Configurar servidor RADIUS y establecer conexiones seguras con WPA2/WPA3-Enterprise: ventajas y guía de configuración

Normalmente en nuestros hogares utilizamos la seguridad WPA2-Personal o WPA3-Personal. Este tipo de seguridad implica configurar una clave «maestra» que será utilizada por todos los dispositivos inalámbricos que deseen conectarse. A esta clave se le conoce como clave precompartida. Sin embargo, en algunos routers domésticos es posible configurar WPA2-Enterprise o WPA3-Enterprise. En este caso, la autenticación se realiza mediante un nombre de usuario y contraseña, y se requiere el uso de un servidor RADIUS para autenticar a los dispositivos. En este artículo, explicaremos cómo configurar WPA2/WPA3-Enterprise en cualquier router utilizando un NAS como servidor de autenticación para los dispositivos WiFi.

Localizar y configurar la IP del NAS que funcionará como servidor RADIUS

Lo primero que debemos hacer es identificar el servidor NAS en la red y conocer su dirección IP privada. Esta dirección IP será necesaria para configurar la red inalámbrica y permitir la autenticación de los dispositivos. Es recomendable asignar una IP fija al servidor NAS para garantizar que su dirección IP privada no cambie. Para lograr esto, existen dos opciones:

• Configurar una IP fija en el servidor NAS.
• Utilizar la función de DHCP estático del router para asignar una dirección IP estática al servidor.

De esta manera, nos aseguramos de que el servidor NAS no cambie su dirección IP privada, lo cual es fundamental para el correcto funcionamiento.

Una vez que hayamos configurado correctamente el NAS o el router para que el servidor NAS mantenga una dirección IP fija, procederemos a configurar el servidor.

Configurar el servidor FreeRADIUS

FreeRADIUS es un software muy completo para configurar un servidor RADIUS con opciones avanzadas. Este software es compatible con diferentes métodos de autenticación y funciona de manera eficiente. Lo mejor de todo es que es compatible con cualquier sistema operativo, lo que garantiza una alta compatibilidad.

La configuración de este servidor es compleja, ya que implica la edición de archivos de configuración y la creación de una autoridad de certificación, entre otros pasos. Sin embargo, muchos servidores NAS como los de QNAP facilitan esta tarea al ofrecer la posibilidad de configurar un servidor RADIUS de manera sencilla y rápida. Esta opción resulta especialmente útil para aquellos que prefieren evitar la configuración en un ordenador o en un servidor basado en Linux o Raspberry Pi. Todos los servidores NAS de QNAP admiten la configuración de un servidor RADIUS de forma sencilla.

Simplemente debemos acceder a la sección «Panel de control / Aplicaciones / Servidor RADIUS». Una vez allí, habilitaremos el servidor y, opcionalmente, permitiremos el acceso a las cuentas de usuario del sistema.

Una vez que el servidor esté activado, en la sección de «Clientes RADIUS» deberemos registrar directamente el router que se encargará de reenviar toda la autenticación al servidor. Los datos que deberemos proporcionar son los siguientes:

• Nombre: asignamos un nombre al cliente
• Dirección IP: introducimos la dirección IP privada del router, en nuestro caso, 192.168.50.1
• Longitud del prefijo: establecemos el valor en 32, indicando que solo esa dirección IP será el cliente
• Clave secreta: definimos una contraseña segura, que será la clave de autenticación entre el router y el servidor FreeRADIUS. Esta clave no corresponderá a la de los clientes

Una vez que hayamos configurado el cliente, deberemos crear los usuarios. Para cada cliente WiFi que vayamos a conectar a la red inalámbrica, deberemos crear un usuario indicando su nombre y contraseña. Todos los clientes que estén en la lista de «Usuarios» tendrán permiso para autenticarse en el servidor y obtener conectividad WiFi sin restricciones.

Después de configurar el servidor, deberemos configurar el router correctamente. Esto implica establecer la autenticación WPA2-Enterprise o WPA3-Enterprise y proporcionar diferentes datos.

Configuración del router con WPA2/WPA3-Enterprise y autenticación en RADIUS

En primer lugar, accedemos a la sección de «Configuración avanzada / Inalámbrico». Aquí seleccionamos el tipo de cifrado WPA2-Enterprise, lo que desplegará varios submenús adicionales que deberemos completar:

• Método de autenticación: WPA2-Enterprise
• Cifrado WPA: AES
• Dirección IP del servidor: 192.168.50.141
• Puerto del servidor: 1812
• Secreto de conexión: 123456789 (en nuestro caso, es la contraseña que especificamos en el servidor en la sección de «Clientes RADIUS»)

Toda esta información que hemos proporcionado debe reflejarse en la sección de «Configuración de RADIUS» junto con la banda de frecuencia que se haya configurado. Aquí se mostrará la dirección IP privada del servidor, el puerto y el secreto de conexión.

Una vez que hayamos configurado correctamente el router, podremos autenticar a los diferentes clientes WiFi con sus respectivos nombres de usuario y contraseñas creados anteriormente. A continuación, explicaremos cómo conectar un equipo con Windows 10 y un dispositivo Android.

Variantes de WPA3

Como se ha mencionado previamente, WPA3 es considerado como el cifrado más seguro para proteger nuestras redes. Cada vez más dispositivos en el mercado lo están implementando para brindar mayor seguridad a los usuarios. Existen diferentes tipos de WPA3, los cuales ofrecen distintos niveles de protección.

WPA3 Personal

Este es el tipo de WPA3 más comúnmente utilizado en entornos domésticos para conectar dispositivos a redes Wi-Fi. Permite establecer una contraseña personalizada, aunque no es la opción más segura. Con esta contraseña, todos los dispositivos dentro del alcance de la red podrán conectarse.

Con WPA3, podemos crear contraseñas que sean fáciles de recordar, pero esto no es lo recomendable. Cuanto más compleja sea la contraseña, mayor será nuestra seguridad. Un indicador de una contraseña lo suficientemente compleja es la dificultad para recordarla. Cuanto más difícil sea recordarla, más variada o larga será la contraseña, y por lo tanto, más segura.

WPA3 Enterprise

En este caso, nos encontramos con un nivel de seguridad más alto, diseñado especialmente para empresas o instituciones. Utiliza un cifrado mínimo de 128 bits y una clave de derivación de 256 bits.

Se basa en servidores de autenticación, en lugar de utilizar una contraseña como en el caso de WPA3 Personal. Esto se conoce como RADIUS, como se explicó anteriormente en este tutorial, y permite autenticar a diferentes usuarios mediante claves de acceso y un certificado válido. Es poco probable que se utilice a nivel doméstico, pero proporciona una protección mucho mayor y nuevas capas de seguridad, lo cual es ideal para proteger datos sensibles.

Conectar un PC con Windows al WiFi usando WPA2-Enterprise

Para configurar una red WiFi con WPA2-Enterprise, deberemos configurar manualmente la conexión a la red. Debemos acceder al «Panel de control / Centro de redes y recursos compartidos». En este menú, seleccionamos «Configurar una nueva conexión o red».

En la lista de opciones disponibles, elegimos «Conectarse manualmente a una red inalámbrica» y continuamos con los pasos siguientes.

Para conectarnos a una red WiFi en el sistema operativo Windows, primero debemos asegurarnos de introducir el nombre de la red o SSID de manera exacta, tal como aparece en el router. En el apartado de seguridad, seleccionamos «WPA2-Enterprise» y el tipo de cifrado debe ser obligatoriamente AES, sin opción de cambiarlo. Es normal que la sección de «Clave de seguridad» esté deshabilitada.

Desactivamos la opción de «Iniciar esta conexión automáticamente» y también la opción de «Conectarse aunque la red no difunda su nombre». Al continuar, seleccionamos «Cambiar configuración» según nos indica el asistente de Windows. Aparecerá un menú con todas nuestras configuraciones hasta el momento.

En la pestaña de «Seguridad», elegimos la opción «Microsoft: EAP Protegido (PEAP)» y hacemos clic en «Configuración». Desde aquí, deshabilitamos la opción de «Verificar la identidad del servidor validando el certificado». Todas las demás opciones deben mantenerse en sus ajustes predeterminados.

Al conectarnos a la red WiFi, se nos pedirá iniciar sesión introduciendo el nombre de usuario y contraseña que hemos creado en el menú de «Usuarios RADIUS» en el servidor. Una vez que ingresamos las credenciales correctamente, podremos ver que hemos iniciado sesión y tenemos acceso a Internet sin problemas.

A continuación, explicaremos cómo conectar un smartphone Android a la red WiFi con WPA2-Enterprise.

Conectar smartphone Android al WiFi con WPA2-Enterprise

En los smartphones Android, simplemente debemos presionar sobre la red WiFi a la cual deseamos conectarnos. No es necesario agregar manualmente una red inalámbrica, como ocurre en los sistemas operativos Windows. Al seleccionar la red WiFi, aparecerán diferentes opciones de configuración que debemos completar de la siguiente manera:

• Método EAP: PEAP
• Autenticación de fase 2: MSCHAPv2
• Certificado de CA: No validar

En la sección de «Identidad» tendremos que introducir nuestro nombre de usuario que hemos dado de alta en el servidor, y en «Contraseña» tendremos que introducir la clave de acceso. Automáticamente nos conectaremos a la red inalámbrica WiFi, y podremos navegar por Internet sin ningún problema, haciendo uso de WPA2-Enterprise y  el tipo de cifrado 802.1x EAP que nos indica nuestro smartphone..

• Método EAP: TTLS
• Autenticación de fase 2: MSCHAPv2
• Certificado de CA: No validar

En la sección de «Identidad» y «Contraseña» tendremos también que introducir nuestras credenciales, como antes.

Ventajas de un servidor RADIUS

El uso de un servidor FreeRADIUS ofrece varias ventajas significativas para la gestión de la autenticación y la autorización en una red. A continuación, se detallan algunas de las ventajas más destacadas:

• Escalabilidad: FreeRADIUS es altamente escalable y puede manejar un gran número de usuarios y servicios simultáneamente. Esto es especialmente importante en entornos de red empresariales o proveedores de servicios que requieren una solución robusta y capaz de gestionar un alto volumen de autenticaciones.
• Flexibilidad: Es compatible con una amplia gama de métodos de autenticación, incluyendo contraseñas almacenadas localmente, bases de datos externas, autenticación basada en certificados y sistemas de autenticación externos como LDAP y Active Directory. Esto proporciona flexibilidad para adaptarse a los requisitos específicos de autenticación de una organización y permite una integración fluida con otros sistemas y servicios.
• Seguridad: FreeRADIUS ofrece un sólido conjunto de características de seguridad para proteger las comunicaciones y los datos sensibles. Utiliza protocolos de cifrado fuertes para garantizar la confidencialidad y la integridad de la información transmitida. Además, cuenta con funciones avanzadas de autenticación, como autenticación basada en certificados, que proporcionan un nivel adicional de seguridad para la verificación de identidad.
• Control de acceso granular: Con este sistema, es posible definir políticas de acceso granulares para cada usuario o grupo de usuarios. Esto permite establecer reglas personalizadas sobre qué servicios o recursos están disponibles para cada usuario, lo que mejora la seguridad y facilita la administración de la red. También se pueden aplicar políticas de cuotas y límites de uso para controlar el consumo de recursos por parte de los usuarios.
• Registro y auditoría: FreeRADIUS registra de manera detallada todas las actividades de autenticación y autorización, lo que permite realizar un seguimiento exhaustivo de los eventos y facilita la auditoría de seguridad. Esto es particularmente valioso en entornos en los que se requiere un registro preciso de las actividades de los usuarios, como en organizaciones reguladas o aquellas que deben cumplir con estándares de seguridad específicos.
• Interoperabilidad: Se trata de una solución de código abierto y ampliamente utilizada, lo que significa que es compatible con una amplia variedad de dispositivos de red y sistemas operativos. Esto facilita su integración con infraestructuras existentes y permite su implementación en entornos heterogéneos.

Tal y como habéis visto, configurar la autenticación WPA2-Enterprise en un router es muy sencillo, y mucho más si hacemos uso de un servidor de autenticación como el que está integrado en los QNAP. No obstante, no podemos descargarnos la CA para instalarla en todos y cada uno de los clientes inalámbricos WiFi, por tanto, aún podríamos sufrir un ataque de Rogue AP donde un ciberdelincuente se haga pasar por el punto de acceso legítimo, algo que si tuviéramos la CA en nuestro sistema no pasaría porque se valida antes de establecer una conexión. Para poder disponer de esta seguridad, será necesario montar nuestro propio servidor FreeRADIUS desde cero, o en un sistema como pfSense donde sí tengamos todas las opciones de configuración disponibles.