Preguntas y respuestas sobre RADIUSaaS
Todas las preguntas de este sitio, ordenadas por tema. Cada respuesta tiene su propio enlace, para que puedas enviárselo directamente a un compañero.
Requisitos de red
01¿RADIUSaaS reemplaza a NPS?
Sí. RADIUSaaS es el servidor RADIUS para tu Wi-Fi, 802.1X cableado y VPN: tus puntos de acceso, switches y puertas de enlace VPN envían sus solicitudes a tu instancia en lugar de a NPS, y los dispositivos se autentican con el certificado que despliega tu MDM, sin ninguna cuenta de Active Directory detrás. Eso es precisamente lo que necesitan los dispositivos unidos a Entra ID, ya que NPS verifica el certificado de un dispositivo contra una cuenta de equipo en Active Directory. Los dispositivos unidos de forma híbrida con device writeback pueden funcionar con NPS, pero el writeback puede ir con retraso y el aprovisionamiento con Windows Autopilot se encuentra con un problema de sincronización, por lo que desaconsejamos apoyarse en él. Los dispositivos que no pueden almacenar un certificado obtienen una cuenta en RADIUSaaS.
02¿Necesitamos un servidor, appliance o agente en algún lugar?
No. RADIUSaaS funciona en nuestros clústeres, y tus puntos de acceso y switches lo alcanzan por internet, directamente por RadSec o a través de un proxy de RADIUSaaS. En los dispositivos no hay nada más allá del certificado y el perfil de red que tu MDM ya distribuye.
03¿Qué debemos comparar entre servicios cloud RADIUS?
Pregunta si obtienes una instancia dedicada, cómo se conecta el equipamiento sin RadSec, cómo se verifica la revocación y qué contempla el recuento de licencias. RADIUSaaS proporciona a cada cliente una instancia dedicada con su propio servidor RadSec en una IP pública dedicada, su propio portal y un espacio de registros independiente, y conecta el equipamiento solo compatible con RADIUS a través de proxies con IPs fijas. Verifica la revocación por CA mediante OCSP o CRL; con SCEPman como CA, los certificados de los dispositivos desactivados se revocan automáticamente. Se licencia por usuario, desde 50 usuarios.
04Nuestros puntos de acceso solo hablan RADIUS. ¿Es suficientemente seguro?
Sí. Entre el punto de acceso y el proxy, RADIUS protege la solicitud con el secreto compartido, y la parte que transporta el certificado o la contraseña queda dentro de un túnel EAP cifrado con TLS. A partir del proxy, todo viaja por RadSec. Con certificados, ningún secreto cruza la red en ninguno de los dos tramos.
05¿Podemos usar MAC authentication bypass para dispositivos antiguos?
Sí, mediante MAB-to-EAP: el switch se autentica en nombre del dispositivo a través de PEAP-MSCHAPv2 o EAP-TTLS-PAP, usando la dirección MAC como nombre de usuario y contraseña. Asigna a esos dispositivos una VLAN de reserva con acceso mínimo mediante una regla. El MAB clásico sobre PAP o CHAP no funciona.
Inicio de sesión y revocación
01¿Pueden los usuarios iniciar sesión en la Wi-Fi con su contraseña de Entra ID?
No, y eso es intencionado. El inicio de sesión con contraseña solo funciona con cuentas creadas en RADIUSaaS, para dispositivos que no pueden almacenar un certificado. Transmitir contraseñas de directorio a través de la red amplía la superficie de ataque; con certificados, ningún secreto viaja en ningún momento.
02¿Qué ocurre si nuestro respondedor OCSP deja de funcionar?
Con el soft fail activado, que es el valor predeterminado, los usuarios siguen iniciando sesión, y los certificados que RADIUSaaS ya sabe que están revocados continúan siendo rechazados. Desactiva el soft fail para una CA si prefieres bloquear el acceso antes que permitir el paso sin verificar. Las listas de revocación no necesitan un respondedor activo en ningún caso.
RADIUSaaS con Microsoft Cloud PKI
01¿Funciona RADIUSaaS con una Cloud PKI que usa vuestra propia raíz (BYOCA)?
Sí. RADIUSaaS confía en cualquier CA que emita certificados de cliente, así que podéis confiar en vuestra propia raíz y en la CA emisora de Cloud PKI anclada a ella, cada una con su comprobación de revocación. Nuestra guía da por sentado que Cloud PKI aloja ambas CAs; el resto de los pasos es el mismo.
02¿Por qué CRL y no OCSP?
Porque Microsoft Cloud PKI publica las revocaciones únicamente como CRL y no dispone de respondedor OCSP. OCSP sería la opción más adecuada, ya que responde por cada certificado en el momento del inicio de sesión, pero esta CA no lo ofrece. Intune aloja un punto de distribución por cada CA y actualiza su CRL con cada revocación. RADIUSaaS consulta esas CRL cada hora y descarga cada una de nuevo cuando caduca o cuando su copia tiene más de tres horas.
03¿Seguimos necesitando SCEPman?
En parte. Cloud PKI cubre los certificados de cliente para los dispositivos que gestiona Intune: si eso es todo lo que necesitáis para Wi-Fi, LAN o VPN, Intune emite los certificados y RADIUSaaS los verifica. SCEPman, como servicio en vuestro portal de RADIUSaaS o como Enterprise Edition, cubre el resto: dispositivos en Jamf Pro u otro MDM, certificados de cliente RadSec para vuestros puntos de acceso y switches, el certificado de servidor de RADIUSaaS emitido por vuestra propia CA y renovado automáticamente, y certificados de servidor web, inspección TLS y controlador de dominio. Su respondedor OCSP también permite que RADIUSaaS detecte una revocación en el siguiente inicio de sesión, sin esperar a la próxima CRL.
04¿Podemos asignar VLANs por departamento?
Sí. Una regla puede leer la VLAN desde un campo del certificado, como la OU del sujeto, y usar una VLAN por defecto cuando no hay coincidencia.
Seguridad y disponibilidad
01¿Se ve afectado RADIUSaaS por Blast-RADIUS?
No. RADIUSaaS acepta únicamente autenticación basada en EAP, y el ataque (CVE-2024-3596) no funciona contra EAP implementado correctamente en todos los componentes. Conviene igualmente verificar con tu proveedor de red que tu equipamiento está actualizado.
02¿Dónde residen nuestros datos?
En la ubicación de alojamiento que elijas para tu instancia: Australia, la Unión Europea, el Reino Unido o Estados Unidos. Los proxies funcionan en las regiones que selecciones para ellos, lo cual no cambia dónde está alojada tu instancia. Los registros se conservan durante 75 días; la configuración y los secretos se almacenan en Azure Key Vault.
03¿Dónde puede alojarse nuestra instancia?
En la ubicación de alojamiento que elijas: Australia, la Unión Europea, el Reino Unido o Estados Unidos. Los proxies, para los puntos de acceso que solo hablan RADIUS, funcionan en 19 regiones de los seis continentes, y tú eliges la región de cada uno.
04¿Qué ocurre si no se puede acceder a nuestra instancia?
El objetivo de disponibilidad es 99,5 % al mes. Para mayor redundancia, añade un segundo endpoint RadSec con su propia IP, con coste adicional: tus proxies cambiarán automáticamente al endpoint sano más cercano, y los puntos de acceso que usan RadSec directamente conmutarán a la segunda dirección que configures.
Cómo se licencia RADIUSaaS
01¿Cómo se licencia RADIUSaaS?
Por usuario que puede autenticarse en al menos un dispositivo, desde 50 usuarios. Cada usuario puede conectar hasta cinco dispositivos fijos y cinco móviles. Los detalles están en la página de precios.
02¿Quién cuenta como usuario?
Cualquier persona habilitada para autenticarse en RADIUSaaS en al menos un dispositivo, independientemente de si ese dispositivo está en uso o apagado. En la mayoría de los casos, corresponde al número de usuarios asignados a tu perfil Wi-Fi o de red cableada en tu MDM.
03¿Cuántos dispositivos puede conectar un usuario?
Hasta cinco dispositivos fijos y cinco móviles.
04¿Hay un mínimo?
Sí, 50 usuarios por organización. Una suscripción de usuario está vinculada a un único usuario durante al menos un mes natural.
05¿RADIUSaaS cuenta nuestros usuarios automáticamente?
No. RADIUSaaS no muestra el consumo de licencias, así que lleva un control de las asignaciones de perfiles en tu MDM.
06¿Podemos usar una suscripción para varias organizaciones?
No. Una suscripción cubre los usuarios y dispositivos de una sola organización y no puede dividirse ni revenderse.
07¿Qué está incluido?
Todas las funciones, todas las actualizaciones, soporte para incidencias y consultas técnicas, y dos proxies RADIUS. Un segundo endpoint RadSec para redundancia adicional y SCEPman as a Service están disponibles como complemento.