¿Qué es RADIUS (Servicio de autenticación remota de usuarios de acceso telefónico)?

Cómo funciona RADIUS

RADIUS funciona entre un servidor de acceso a la red, que actúa como cliente RADIUS, y un servidor RADIUS central. El cliente nunca comprueba las credenciales por sí mismo; las reenvía y aplica la respuesta.

1. Solicitud de acceso: un usuario o dispositivo se conecta a un conmutador, un controlador inalámbrico o una pasarela VPN. Ese dispositivo, que actúa como cliente RADIUS, envía una solicitud de acceso (Access-Request) que contiene las credenciales o los datos EAP, además de atributos como el identificador del cliente.
2. Evaluación del servidor: El servidor RADIUS comprueba la solicitud con su almacén de usuarios, como un directorio o una base de datos, y aplica sus políticas. Las solicitudes se autentican entre el cliente y el servidor mediante un secreto compartido.
3. Respuesta del servidor: El servidor responde con «Access-Accept», «Access-Reject» o «Access-Challenge». Un «challenge» solicita más información, como un segundo factor o el siguiente paso en un intercambio EAP.
4. Atributos de autorización: un mensaje «Access-Accept» puede incluir atributos que indican al cliente qué derechos debe conceder, como una asignación de VLAN, un tiempo de espera de la sesión o una regla de filtrado.
5. Contabilidad: El cliente envía mensajes de solicitud de contabilidad (Accounting-Request) cuando se inicia, se actualiza o se finaliza una sesión. El servidor registra los datos de uso con fines de auditoría y facturación.

RADIUS funciona sobre UDP, por lo que en las implementaciones suelen configurarse tiempos de espera, reintentos y servidores de respaldo. Solo el atributo de contraseña se oculta mediante el secreto compartido, por lo que el tráfico RADIUS debe transmitirse a través de enlaces protegidos o, cuando sea posible, mediante TLS.