Instructor: En esta
lección, vamos a hablar de los servidores AAA, que son las
siglas en inglés de autenticación, autorización y contabilidad, y
para entender los servidores AAA, lo primero que tenemos que hacer
es entender cómo funciona 802.XSI. 1X funciona como un marco.
Instructor: 802. 1X es un marco estandarizado que
se utiliza para la autenticación basada
en puertos tanto en redes cableadas como inalámbricas.
Ahora, desde 802. 1X es sólo el marco, en realidad
va a utilizar otros mecanismos para hacer
la autenticación real para nosotros.
Por ejemplo, tanto el
Remote Authentication Dial-In User Service, conocido
como RADIUS, como el Terminal
Access Controller Access-Control System
Plus, o TACACS+, pueden utilizarse para llevar a cabo la autenticación
mediante el protocolo 802.XSI.
Protocolo 1X.
Hay tres roles que son necesarios para que
se produzca una autenticación bajo 802. 1X.
El primero es el suplicante, que es el dispositivo
o usuario que solicita acceso
a la red, como PC1 en esta imagen.
Luego hay un autenticador, que es el dispositivo
a través del cual el solicitante intenta
acceder a la red.
Normalmente, será algo como un conmutador,
un punto de acceso inalámbrico o un concentrador VPN.
Por último, está el servidor de autenticación,
que será el dispositivo centralizado
que realiza la autenticación,
que normalmente será tu servidor
RADIUS o TACACS+.
La autenticación se produce cuando la identidad de
una persona se establece con pruebas y es confirmada por el sistema.
Lo haces todos los días.
De hecho, lo has hecho al iniciar sesión en este curso.
Al introducir su dirección de correo electrónico
y su contraseña, está afirmando que es usted
el alumno que ha pagado este curso y, al hacerlo,
el sistema lo comprueba y le concede acceso.
Ahora bien, hay diferentes maneras de autenticar quién eres.
En el mundo real, por ejemplo, si un policía
te para por exceso de velocidad,
puedes sacar tu carné de conducir
y demostrarles que eres tú y que eres
quien dices ser.
Esta es su prueba.
Ahora, en el mundo digital,
tenemos cinco métodos de autenticación.
Tenemos algo que usted conoce, que sería
algo así como una contraseña o un nombre de usuario,
tenemos algo que usted es, que sería algo así como
su huella dactilar o un escáner ocular o un escáner de retina, tenemos
algo que usted tiene, esto sería algo así
como una ficha, un permiso de conducir o una tarjeta de crédito, podría
ser algo que usted hace, que es la forma en que
habla o la forma en que firma con su nombre, y puede ser algún
lugar en el que se encuentre, que conocemos como su factor
de localización basado en su ubicación GPS.
LDAP es el Protocolo Ligero de Acceso a Directorios.
Se trata de una base de datos que se utiliza para centralizar
la información sobre tus clientes y tus objetos en la red.
LDAP es esencialmente una versión simplificada de X. 500, que es un servicio de directorio,
y contiene una organización
jerárquica de los usuarios, grupos, servidores
y sistemas dentro de su red.
LDAP se comunica a través del puerto
389 cuando lo hace sin cifrar, y
si decides cifrarlo usando SSL o TLS, usará el puerto 636.
Ahora bien, aunque LDAP se considera multiplataforma,
Microsoft creó su propia implementación de éste,
conocida como AD o Active Directory.
En el dominio de Windows, Active Directory se
utiliza para organizar y gestionar todo en la red,
incluidos los clientes, servidores,
dispositivos, usuarios y grupos.
Ahora, Active Directory también puede utilizarse
como parte de sus políticas de seguridad o control de acceso a través
de sus políticas de grupo.
RADIUS es el Servicio de Autenticación Remota de Acceso Telefónico de Usuarios.
Proporciona administración centralizada de autenticación telefónica,
VPN e inalámbrica, de modo que puede
utilizarla tanto con 802. 1X y el Protocolo
de Autenticación Extensible, o EAP.
RADIUS es un protocolo cliente-servidor que se
ejecuta sobre la séptima capa del modelo
OSI, la capa de aplicación.
RADIUS suele configurarse para ejecutarse en un servidor independiente,
pero también puede cargarse en un servidor Windows en
entornos de dominio más pequeños.
RADIUS se utiliza para autenticar a los usuarios,
autorizarlos a los servicios y
contabilizar el uso que hacen de esos servicios.
RADIUS también utiliza UDP para realizar sus conexiones, por
lo que es bastante rápido durante
sus funciones de autenticación y autorización.
Ahora bien, mientras que RADIUS es un estándar multiplataforma,
existe un protocolo propietario de Cisco llamado TACACS+.
Se trata del sistema de control de acceso Terminal
Access Controller Access-Control System Plus, que puede desempeñar la función
de autenticador en una red 802. Red 1X.
Ahora le toca a usted determinar cuál es la mejor para
las necesidades de su organización.
Personalmente, he utilizado RADIUS casi exclusivamente
en mis organizaciones.
Descubrí que TACACS+ es un poco más lento de operar
porque depende de TCP en lugar de UDP, pero
TACACS+ tiene algunos beneficios.
Le proporciona cierta seguridad
adicional y lleva a cabo de forma independiente sus procesos
de autenticación, autorización y contabilidad.
TACACS+ admite todos los protocolos de red,
pero RADIUS, en cambio,
no admite el protocolo de acceso remoto,
NetBIOS Frame protocol, X. 25 conexiones con clavijas, y
algunas otras.
En general, TACACS+ es una excelente opción, pero sólo
si vas a utilizar dispositivos Cisco en toda
tu red, porque si quieres
tener esa capacidad multiplataforma, entonces vas a
tener que pasar con RADIUS, la forma
que he elegido en el pasado.
La segunda A es la autorización.
La autorización se produce cuando se da acceso a
un usuario a determinados datos o a determinadas zonas del edificio.
¿Alguna vez ha entrado en un edificio y ha visto
un cartel que ponía acceso restringido, sólo personal autorizado?
Bueno, eso significa que no puedes entrar en esa zona.
Puede ser algo así como una sala de mantenimiento
o algún lugar donde tengan generadores
y sólo puedan entrar los mecánicos.
Tienen llaves especiales o insignias especiales
que les permiten entrar en esas zonas.
Esa zona es un lugar al que no estás autorizado a ir.
Kerberos se centra en la autenticación y la autorización.
Esto se realiza a través de nuestro sistema de tickets
Kerberos en un dominio Windows.
Kerberos es un protocolo de autenticación que permite
la autenticación bidireccional o mutua.
Cuando el usuario se conecta al dominio,
primero se pone en contacto con el controlador
de dominio, que actúa como centro de distribución de claves, o KDC.
Este KDC tiene dos funciones básicas, la autenticación
y la concesión de tickets.
Por tanto, si el cliente se autentica correctamente,
el centro de distribución de claves le emitirá un vale
TGT, que se denomina Ticket Granting Ticket.
Este Ticket Granting Ticket se proporciona entonces
al controlador de dominio cada vez que ese usuario quiere
acceder a un recurso, y entonces
el controlador de dominio puede proporcionar a ese usuario
un ticket de servicio o una clave de sesión para usar, lo que
sea apropiado para sus necesidades.
Estos tickets se presentan al recurso, y entonces
se concede el acceso porque el recurso
siempre confía en los tickets proporcionados
por los controladores de dominio.
Ahora, debido a que Kerberos depende del controlador
de dominio para servir como ese centro de distribución
de claves, este es un único punto de fallo en el dominio.
Si el controlador de dominio está fuera de servicio,
los servicios de concesión de tickets también están fuera de servicio.
Para evitarlo, la mayoría de la gente tiene
un controlador de dominio activo principal y otro secundario.
Eso te dará esta forma de redundancia
para asegurarte de que Kerberos está activo y LDAP sigue funcionando.
La tercera A es la contabilidad.
La contabilidad garantiza el seguimiento
de los datos, el uso de ordenadores y los recursos de red.
Ahora, cuando hacemos eso, por lo general se
pone en algo llamado un archivo de registro.
Se trata de un archivo en un ordenador
que es esencialmente un documento de texto de gran
tamaño, y mantiene un registro de todo tipo de cosas.
Puede tratarse de todas las conexiones a
Internet que están saliendo de la red, como se muestra aquí
en la pantalla, o puede ser una lista de todas las
personas que intentaron entrar en un archivo o sitio web en particular.
En el ordenador se guardan todo tipo de registros diferentes
para hacer un seguimiento de todas las
cosas que se hacen, y todo ello para garantizar
que se utilizan buenas prácticas contables, ya que si se produce
una violación de datos o algún tipo de amenaza
interna, se puede volver atrás y consultar
los datos de los archivos de registro para averiguar quién
hizo qué y cuándo.
Eso es lo que te permite hacer la contabilidad.
Ahora bien, si tienes pruebas de que alguien hizo
algo, de que realizó una acción, a esto lo llamamos no repudio.
El no repudio simplemente significa que el usuario no puede decir
que no realizó la acción porque usted tiene pruebas de que sí lo hizo.
Por ejemplo, si me enviaste un correo electrónico
y lo firmaste con una firma digital, eres
la única persona en todo el mundo que tiene
esa clave privada de firma digital.
Sé con certeza que enviaste ese correo electrónico.
No puedes decirme después que no lo enviaste
porque ahora tengo pruebas.
Eso es no repudio.