INB COMPUTERS "Honestidad, calidad y profesionalismo"
POSTED ON: 10 octubre, 2020. ACTUALIZADO EN: 18 julio, 2025.
RADIUS (Remote Authentication Dial-In User Service) es un protocolo más enfocado en la autenticación, autorización y contabilidad, comúnmente usado en redes para gestionar el acceso a recursos de red.
TACACS (Terminal Access Controller Access-Control System) es un protocolo que es similar a RADIUS, pero ofrece mayor flexibilidad y control granular sobre los comandos que puede ejecutar un usuario.
Kerberos es un protocolo de autenticación basado en tickets. Permite que nodos de una red prueben su identidad mutuamente de forma segura sin enviar contraseñas directamente.
El Lightweight Directory Access Protocol (LDAP) es un protocolo de aplicación que permite el acceso, consulta, modificación y control de servicios de directorio. Un servicio de directorio es una base de datos optimizada para la lectura y que almacena información jerárquica, típicamente usada para gestionar identidades digitales como usuarios, grupos, impresoras, políticas de acceso y otros recursos en red.
Active Directory de Microsoft es un servicio que utiliza LDAP para gestionar y organizar recursos dentro de un dominio, como usuarios, computadoras y políticas de seguridad.
Estos dos protocolos de autenticación tienen su principal diferencia en el tema de la seguridad, mientra TACACS cifra todo el tráfico desde la solicitud de usuario hasta la finalización del servicio. En cambio RADIUS solo cifra la contraseña de autenticación.
UDP
Encripta solo el password
No es tan granular para routers
Autenticación y Autorización combinadas
TCP
Encripta todo el paquete desde la solicitud de usuario hasta la finalización del servicio
Multiprotocolo
Define qué comandos para router
Autenticación y Autorización separadas
El servicio Kerberos es una arquitectura cliente-servidor que proporciona seguridad a las transacciones en las redes. El servicio ofrece una sólida autenticación de usuario y también integridad y privacidad. La autenticación garantiza que las identidades del remitente y del destinatario de las transacciones de la red sean verdaderas. El servicio también puede verificar la validez de los datos que se transfieren de un lugar a otro (integridad) y cifrar los datos durante la transmisión (privacidad). Con el servicio Kerberos, puede iniciar sesión en otros equipos, ejecutar comandos, intercambiar datos y transferir archivos de manera segura. Además, Kerberos proporciona servicios de autorización, que permiten a los administradores restringir el acceso a los servicios y los equipos. Asimismo, como usuario de Kerberos, puede regular el acceso de otras personas a su cuenta.
El servicio Kerberos es un sistema de inicio de sesión único. Esto significa que sólo debe autenticarse con el servicio una vez por sesión, y todas las transacciones realizadas posteriormente durante la sesión se aseguran de manera automática. Una vez que el servicio lo autenticó, no necesita volver a autenticarse cada vez que utiliza un comando basado en Kerberos, como ftp o rsh, o accede a datos en un sistema de archivos NFS. Por lo tanto, no es necesario que envíe la contraseña a través de la red, donde puede ser interceptada, cada vez que utiliza estos servicios.
Kerberos es un protocolo de seguridad que puede utilizarse en muchos sistemas operativos, tales como Windows, macOS y Linux. Fue generado en un proyecto de la universidad del MIT llamado proyecto Atena. Siguiendo las referencias mitológicas de Grecia, Kerberos utiliza sus tres cabezas para cumplir con sus objetivos como protocolo. Estas tres cabezas son:
El cliente del servidor principal.
El recurso de la red, que es el server de la aplicación que permite un acceso a toda la red.
Un centro de distribución de claves o key distribution center (KDC), es decir, el servicio de autenticación de este protocolo que emplea la criptografía.
Por otro lado, los beneficios de la utilización de este protocolo de autenticación son variados. Así pues, a continuación, para comprender mejor qué es Kerberos, te presentamos algunos de ellos:
Un control de acceso efectivo, pues este protocolo brinda un punto individual que registra todos los intentos de inicio de sesión, así como la aplicación de todas las políticas de seguridad.
Vida útil limitada de los tickets: cada uno de los tickets tiene una marca de tiempo específica que guardará todos los datos y valores de autenticación para el administrador de el o los tickets.
Otro beneficio es la autenticación mutua entre dos o más servicios.
La autenticación de Kerberos es reusable, por lo que el usuario no tendrá que volver a ingresar su información, ya que toda estará almacenada.
La seguridad está muy consolidada, pues integra la criptografía, autenticación de third-party y varias claves secretas.
WEB: https://www.freeradius.org/
LICENCIA: Free
PLATAFORMA: Linux
WIKI FreeRADIUS: https://wiki.freeradius.org/
COMUNIDAD FreeRADIUS: https://www.freeradius.org/community/
DOCUMENTACION FreeRADIUS: https://www.freeradius.org/documentation/
GIT FreeRADIUS: https://github.com/FreeRADIUS
FreeRADIUS es reconocido como el servidor RADIUS de código abierto más utilizado a nivel mundial, siendo responsable de autenticar a una parte significativa de los usuarios de Internet.
FreeRADIUS fue fundada en junio de 1999 por Miquel van Smoorenburg y Alan DeKok. La primera versión "alfa" del código se publicó en agosto de 1999, y la 0.1 en mayo de 2001. Desde entonces, se han publicado nuevas versiones cada pocos meses.
Guías de Inicio Rápido: Instrucciones paso a paso para la instalación y configuración inicial del servidor.
Wiki de FreeRADIUS: Documentación detallada sobre características, módulos y casos de uso. https://wiki.freeradius.org/
Soporte Comunitario: Listas de correo y foros donde los usuarios pueden compartir experiencias y resolver dudas. https://www.freeradius.org/documentation/freeradius-server/4.0.0/faq.html?utm_source=chatgpt.com
Active Directory de Microsoft es un servicio que utiliza LDAP para gestionar y organizar recursos dentro de un dominio, como usuarios, computadoras y políticas de seguridad.
Autenticación LDAP PFSense en Active Directory https://techexpert.tips/es/pfsense-es/autenticacion-ldap-pfsense-en-active-directory/
(1): Ingresamos el nombre del router.
(2): Configuramos una contraseña cifrada para el acceso al modo EXEC.
(3): Creamos un usuario y contraseña cifrada.
(4): Creamos un nuevo modelo de autenticación AAA.
(5): Ingresamos la ip del servidor.
(6): Ingresamos la clave para que el router se pueda conectar al servidor.
(7): Se ingresa los metodos por los cuales se va a autenticar el usuario, ya sea group radius, group tacacs o local. Se pueden ingresar un maximo de 4. Si ingresamos mas de uno por ej: group radius local; significa que primero autenticará con Radius y, en caso de fallar, se autenticará con la base de datos del router. Para eso creamos el username.
(8): Ingresamos en un modo consola, vty o aux y le indicamos que se autentique con el método aaa previamente definido.
Router(config)#hostname [NOMRE DE ROUTER](1)
R1(config)#enable secret [CONTRASEÑA](2)
R1(config)#username [USUARIO] secret [CONTRASEÑA](3)
R1(config)#aaa new-model(4)
R1(config)#radius-server host [IP DEL SERVIDOR](5)
R1(config)#radius-server key [CLAVE](6)
R1(config)#aaa authentication login [default o NOMBRE DE LISTA] [Metodo1][Metodo2]..[Metodo4](7)
R0(config-line)#login authentication default(8)
R2(config)#tacacs-server host [IP DEL SERVIDOR](5)
R2(config)#tacacs-server key [CLAVE](6)
Con este video estamos implementando la autenticación de las direcciones MAC con el Portal Cautivo mediante el protocolo Radius con la finalidad de autenticar los ordenadores (no usuarios).
Roberto Murillo (23 junio, 2019). PfSense: Autenticar las Direcciones MAC con Radius y Portal Cautivo [Archivo de video]. https://youtu.be/b3va29COYC4Este es un vídeo tutorial en donde explico la configuración de un Servidor Radius con FreeRadius para implementarlo con un Servidor PPPoE todo elaborado con la plataforma pfSense.
Roberto Murillo (19 abril, 2020). pfSense: Servidores PPPoE y RADIUS con FreeRadius [Archivo de video]. https://youtu.be/Jt-7Wwk6Q-opfSense + GNS3: Configurar Alta Disponibilidad, Outbound NAT, DHCP, VIP, y VIP CARP. https://youtu.be/kPlQamx_Lf0
Recomendaciones y guia de alta disponibilidad. Soporte https://docs.netgate.com/pfsense/en/latest/recipes/high-availability.html
Authenticating OpenVPN Users with FreeRADIUS. Soporte https://docs.netgate.com/pfsense/en/latest/recipes/openvpn-ra-auth-freeradius.html