![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi.jpg\")
<\/p>\nRADIUS viene del acr\u00f3nimo en ingl\u00e9s Remote Authentication Dial-In User Service, es un protocolo de autenticaci\u00f3n y autorizaci\u00f3n para el acceso a la red, por defecto, hace uso del protocolo 1812 UDP para establecer las conexiones entre los equipos para autenticarse. Los servidores RADIUS permiten tanto autenticar a usuarios de conexiones a Internet, haciendo uso del PPPoE, pero tambi\u00e9n permite autenticar a usuarios cableados, a usuarios que se quieren autenticar contra un servidor NAS o un servicio, e incluso permite autenticar a los clientes inal\u00e1mbricos WiFi, haciendo uso de WPA2\/WPA3 Enterprise.<\/p>\n
Los servidores RADIUS normalmente hacen uso de diferentes protocolos de autenticaci\u00f3n, PAP, CHAP y EAP son algunos de ellos. Una de las caracter\u00edsticas m\u00e1s interesantes, es que nos permite controlar las sesiones, cu\u00e1ndo comienza la autenticaci\u00f3n, cuando acaba la conexi\u00f3n y muchos otros par\u00e1metros. Dependiendo del uso del servidor RADIUS, este estar\u00e1 configurado orientado a proporcionar un servicio u otro.<\/p>\n
FreeRADIUS es el software por excelencia para montar un servidor RADIUS, es modular, gratuito y proporciona un alto rendimiento y una gran seguridad. FreeRADIUS es compatible con todos los protocolos de autenticaci\u00f3n habituales, de hecho, es la base de muchos productos y servicios comerciales de RADIUS, adem\u00e1s, tenemos una gran cantidad de m\u00f3dulos incluidos y otros que se pueden incorporar. Por ejemplo, los m\u00f3dulos incluidos permiten LDAP, MySQL, PostgreSQL e incluso Oracle y otras bases de datos, respecto a los tipos de autenticaci\u00f3n, soporta EAP, incluyendo PEAP, EAP-TTLS y tambi\u00e9n EAP-TLS.<\/p>\n
FreeRADIUS permite ser administrado a trav\u00e9s de herramientas adicionales, para no tener que configurarlo de manera manual a trav\u00e9s de editar complejos archivos de texto y posteriormente cargar la configuraci\u00f3n. pfSense dispone de una completa interfaz gr\u00e1fica de usuario que nos permitir\u00e1 configurar todos los par\u00e1metros en detalle, adem\u00e1s, tendremos la posibilidad de ver los archivos de texto de configuraci\u00f3n en bruto, por si tenemos que realizar alguna modificaci\u00f3n por nosotros mismos.<\/p>\n
Cuando hablamos de redes WiFi, habitualmente hacemos uso de WPA2 o WPA3-Personal, donde utilizamos una misma contrase\u00f1a para todos y cada uno de los dispositivos. Esta clave es precompartida, es decir, todos los clientes WiFi que se quieran conectar, deben conocerla. Este tipo de redes se suelen atacar por fuerza bruta o por diccionario, aunque l\u00f3gicamente las redes WPA3 son m\u00e1s seguras y resisten mejor los diferentes ataques. Si montamos un servidor RADIUS, podremos configurar nuestro router WiFi o punto de acceso WiFi para usar autenticaci\u00f3n WPA2\/WPA3-Enterprise, donde no tendremos una clave precompartida para todos los usuarios, sino que cada usuario tendr\u00e1 su propio nombre de usuario y contrase\u00f1a para acceder a la red WiFi.<\/p>\n
Un servidor RADIUS hace uso de una autoridad de certificaci\u00f3n (CA), porque hay algunos protocolos de autenticaci\u00f3n que hacen uso de una infraestructura de clave p\u00fablica para la autenticaci\u00f3n de los clientes, adem\u00e1s, esto es muy importante porque todos los clientes deber\u00edan tener siempre el certificado de la CA para comprobar que efectivamente nos estamos conectando a una red WiFi leg\u00edtima. Algunos ataques a las redes WiFi consisten en hacerse pasar por el punto de acceso leg\u00edtimo, de esta forma, la v\u00edctima podr\u00eda estar enviando sus credenciales a un ciberdelincuente. Por este motivo, es muy recomendable que no solo tengamos el usuario y clave de la red WiFi, sino que deber\u00edamos usar este certificado de la CA para comprobar que la red WiFi a la que nos estamos conectando es leg\u00edtima.<\/p>\n
El esquema de funcionamiento de un servidor RADIUS, ubicado en un servidor NAS de QNAP o cualquier otro fabricante, ser\u00eda el siguiente:<\/p>\n
<\/p>\n
En nuestro caso, hemos instalado FreeRADIUS en el propio sistema operativo pfSense, y autenticaremos a los clientes inal\u00e1mbricos que se conecten al AP directamente desde aqu\u00ed. La configuraci\u00f3n de los puntos de acceso es diferente con cada fabricante, pero lo \u00fanico que deberemos tener en cuenta son tres par\u00e1metros:<\/p>\n
El proceso de autenticaci\u00f3n de un cliente WiFi con WPA2 o WPA3-Enterprise es el siguiente:<\/p>\n
Por supuesto, en cuanto se le permita entrar a la red porque las credenciales son v\u00e1lidas, se le proporcionar\u00e1 una direcci\u00f3n IP por DHCP y acceder\u00e1 a todos los recursos de la red WiFi.<\/p>\n
Una vez que ya conocemos un poco qu\u00e9 es un servidor RADIUS, y qu\u00e9 nos permite hacer FreeRADIUS, vamos a empezar con la configuraci\u00f3n del servidor FreeRADIUS en pfSense.<\/p>\n
El software FreeRADIUS no se encuentra instalado por defecto en pfSense, para instalarlo deberemos irnos a la secci\u00f3n de \u00abSystem \/ Package Manager\u00bb, y buscar el software freeradius3 que tenemos en el listado de paquetes disponibles. Pinchamos en \u00abInstall\u00bb y confirmamos la acci\u00f3n, una vez que lo tengamos instalado y listo para empezar a funcionar, nos saldr\u00e1 la t\u00edpica barra en verde, indicando que todo ha funcionado correctamente.<\/p>\n
En cuanto lo hayamos instalado, podremos ver que en la secci\u00f3n de \u00abServices\u00bb lo tenemos disponible, para empezar a configurarlo:<\/p>\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi.png\")
<\/p>\n
Ahora llega la hora de configurarlo, para dar de alta a los usuarios y tambi\u00e9n a los diferentes puntos de acceso WiFi para que se autentiquen con el servidor RADIUS.<\/p>\n
Si entramos en la configuraci\u00f3n de \u00abFreeRADIUS\u00bb en la secci\u00f3n de \u00abServices\u00bb, podremos ver la interfaz gr\u00e1fica de usuario para configurar el servidor RADIUS en detalle. En este men\u00fa encontraremos diferentes pesta\u00f1as para configurar diferentes aspectos:<\/p>\n
En la secci\u00f3n de \u00abView config\u00bb podremos ver los diferentes archivos de texto con la configuraci\u00f3n en bruto del servidor FreeRADIUS, si est\u00e1s acostumbrado a configurarlo a trav\u00e9s de editar el archivo de texto, entonces esto te permitir\u00e1 revisar que la configuraci\u00f3n est\u00e1 correcta. Por \u00faltimo, tambi\u00e9n podremos ver la configuraci\u00f3n XMLRPC Sync, por si hacemos uso de esto.<\/p>\n
Una vez que hemos visto las configuraciones que nos permite la interfaz gr\u00e1fica de usuario, vamos a configurarlo en detalle.<\/p>\n
Para configurar correctamente el servidor FreeRADIUS necesitaremos dar de alta los AP, dar de alta a los diferentes usuarios, configurar la interfaz de escucha del servidor, y, finalmente, configurar la autenticaci\u00f3n EAP.<\/p>\n
Lo primero que debemos hacer es dar de alta los diferentes AP para que se autentiquen correctamente con el servidor. Nos tenemos que ir a la secci\u00f3n de \u00abNAS \/ Clients\u00bb, para dar de alta los diferentes APs que van a usar el servidor RADIUS para autenticar a los usuarios inal\u00e1mbricos. En la siguiente galer\u00eda pod\u00e9is ver todas las opciones disponibles que tenemos:<\/p>\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-1.png\")
<\/div>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-2.png\")
<\/div>\n<\/div>\n<\/span><\/span><\/div>\n Tendremos que introducir la siguiente informaci\u00f3n:<\/p>\n Si est\u00e1s en una organizaci\u00f3n donde tienes un controlador WiFi, y gestionas, por ejemplo, 4 puntos de acceso WiFi, deber\u00e1s configurarlo de la siguiente forma:<\/p>\n El resto de opciones las podemos dejar por defecto:<\/p>\n En nuestro caso, hemos configurado un total de 4 puntos de acceso WiFi, todos ellos controlados por el controlador Nuclias Connect.<\/p>\n Una vez dados de alta, vamos a configurar la secci\u00f3n de \u00abInterfaces\u00bb que es donde escuchar\u00e1.<\/p>\n En la secci\u00f3n de Interfaces es donde podremos configurar la direcci\u00f3n IP de escucha del servidor, si ponemos * significa que escuchar\u00e1 en todas las interfaces. Tambi\u00e9n deberemos indicar el puerto de escucha, el tipo de interfaz (autenticaci\u00f3n, autorizaci\u00f3n etc), la versi\u00f3n IPv4 y una breve descripci\u00f3n.<\/p>\n En nuestro caso, nos interesa que \u00fanicamente escuche en la direcci\u00f3n IP de la red de gesti\u00f3n, en el resto de interfaces no nos interesa tener escuchando el servidor RADIUS.<\/p>\n Podremos a\u00f1adir varias interfaces de manera manual, y no solamente una de ellas. En el men\u00fa principal de \u00abInterfaces\u00bb podremos ver el resumen de la configuraci\u00f3n.<\/p>\n Una vez que ya hemos definido esto, procedemos a configurar los usuarios para autenticarse.<\/p>\n Para dar de alta a los diferentes usuarios, deberemos irnos a la secci\u00f3n de \u00abUsers\u00bb. En este men\u00fa tendremos muchas opciones de configuraci\u00f3n, pero si queremos realizar \u00fanicamente autenticaci\u00f3n v\u00eda WiFi con WPA2\/WPA3-Enterprise, deberemos rellenar esto:<\/p>\n Otras opciones de configuraci\u00f3n son la posibilidad de habilitar autenticaci\u00f3n multifactor, definir una direcci\u00f3n URL de redirecci\u00f3n despu\u00e9s de autenticarse, proporcionarle una IP siempre, un VLAN ID en concreto, configurarle el ancho de banda m\u00e1ximo y el tr\u00e1fico, y el tiempo de expiraci\u00f3n de la sesi\u00f3n y otros par\u00e1metros avanzados.<\/p>\n Para las redes WiFi empresariales, basta con poner nombre de usuario y contrase\u00f1a:<\/p>\n A continuaci\u00f3n, en la secci\u00f3n de \u00abUsers\u00bb los veremos todos dados de alta, en cualquier momento podremos modificarles la configuraci\u00f3n.<\/p>\n Llegados a este punto, como vamos a autenticar a los clientes WiFi v\u00eda EAP-TTLS o PEAP, es necesario crear una nueva CA para el FreeRADIUS, para crearlo, simplemente tenemos que irnos a la secci\u00f3n de \u00abSystem \/ Certificate Manager<\/strong>\u00ab, y crear una nueva CA interna, con RSA de 2048 o 4096 bits, con SHA256 y un tiempo de vida que nosotros queramos:<\/p>\n Una vez creado, nos aparecer\u00e1 en el listado de CA, tal y como pod\u00e9is ver aqu\u00ed:<\/p>\n Hay algunos tipos de autenticaci\u00f3n que necesitan hacer uso de certificados para el cliente, vamos a crear un certificado SSL adicional para el servidor FreeRADIUS, y otro para el cliente. Para hacerlo, deberemos irnos a la secci\u00f3n de \u00abCertificates\u00bb, y crear uno nuevo, tomando la autoridad de certificaci\u00f3n creada anteriormente como CA, de esta forma, crearemos y firmaremos un certificado para servidor.<\/p>\n Una vez que tengamos creada la CA y el certificado del servidor (el del cliente ser\u00eda opcional, hay algunos tipos de autenticaci\u00f3n que no necesitan certificado SSL de cliente), procedemos a irnos a \u00abServices \/ FreeRADIUS \/ EAP<\/strong>\u00ab, y modificaremos las siguientes opciones:<\/p>\n En la secci\u00f3n de \u00abCertificates for TLS<\/strong>\u00ab, tendremos que poner:<\/p>\n En la secci\u00f3n de \u00abEAP-TLS<\/strong>\u00bb podemos dejarlo por defecto, nosotros no usaremos este tipo de autenticaci\u00f3n, pero si la usas, tendr\u00e1s que poner:<\/p>\n En la secci\u00f3n de \u00abEAP-TTLS<\/strong>\u00bb definimos las siguientes configuraciones:<\/p>\n En la secci\u00f3n de \u00abEAP-PEAP<\/strong>\u00bb definimos las siguientes configuraciones:<\/p>\n En la siguiente galer\u00eda pod\u00e9is ver nuestra configuraci\u00f3n actual:<\/p>\n Una vez terminado, pinchamos en \u00abSave\u00bb y ya lo tendremos listo. Ahora nos iremos al punto de acceso o al controlador WiFi, y configuramos:<\/p>\n Guardamos cambios, propagamos todos los cambios realizados en el controlador WiFi a todos los puntos de acceso WiFi, y ya tendremos configurado todo el sistema para empezar a autenticar a los clientes WiFi.<\/p>\n Lo primero que tenemos que hacer para conectarnos con Windows 10, es exportar la clave p\u00fablica de la CA en el pfSense, para hacer esto, simplemente nos tenemos que ir a la secci\u00f3n de \u00abSystem \/ Certificate Manager\u00bb y pinchamos en \u00abExport CA\u00bb, no tenemos que exportar la \u00abkey\u00bb, solamente \u00abExport CA\u00bb. Una vez exportada y que est\u00e9 en nuestro PC, hacemos doble click en el certificado para instalarlo en nuestro sistema operativo Windows, en el almac\u00e9n de certificados.<\/p>\n A continuaci\u00f3n, buscamos la red WiFi a la que conectarnos, Windows 10 reconocer\u00e1 autom\u00e1ticamente que nos intentamos conectar a una red WiFi empresarial, ponemos el nombre de usuario y contrase\u00f1a, y Windows 10 nos preguntar\u00e1 si seguir conectado a la red, porque no tenemos en uso el certificado de la CA. Si pinchamos en \u00abMostrar detalles del certificado\u00bb podremos ver la huella digital de dicho certificado.<\/p>\n En estado de la red WiFi, podremos pinchar en \u00abPropiedades inal\u00e1mbricas\u00bb, nos vamos a la secci\u00f3n de \u00abConfiguraci\u00f3n\u00bb donde pone PEAP, y ponemos la siguiente cofniguraci\u00f3n:<\/p>\n Tambi\u00e9n podremos configurar la pol\u00edtica de notificaci\u00f3n antes de conectar, e incluso el m\u00e9todo de autenticaci\u00f3n, que seleccionamos EAP-MSCHAPv2, como pod\u00e9is ver aqu\u00ed:<\/p>\n El resto de opciones de configuraci\u00f3n podemos dejarlas por defecto.<\/p>\n <\/span><\/span><\/div>\n Pinchamos en aceptar y nos saldremos, ahora ya podremos autenticarnos en la red WiFi WPA2-Enterprise con seguridad, ya que hemos cargado la CA correctamente para validar que efectivamente nos estamos conectando a un AP leg\u00edtimo.<\/p>\n En el caso de Android, tambi\u00e9n tendremos que instalar el certificado de la CA en el dispositivo m\u00f3vil, pasamos este certificado al m\u00f3vil por cualquier m\u00e9todo (v\u00eda cable, WiFi, v\u00eda FTP etc), y con cualquier explorador de archivos lo instalamos en el sistema operativo como CA para WiFi.<\/p>\n Elegimos la red WiFi con WPA2-Enteprise a la que conectarnos, y configuramos todo de la siguiente forma:<\/p>\n Una vez hecho, el m\u00f3vil se autenticar\u00e1 correctamente con el servidor RADIUS configurado, y tendremos conexi\u00f3n a Internet sin problemas.<\/p>\n Tal y como hab\u00e9is visto, configurar un servidor RADIUS para la autenticaci\u00f3n de clientes inal\u00e1mbricos WiFi v\u00eda WPA2 o WPA3-Enterprise es mucho m\u00e1s complejo que poner la t\u00edpica contrase\u00f1a de acceso, pero tambi\u00e9n es mucho m\u00e1s seguro. Este tipo de autenticaci\u00f3n es ampliamente utilizado en redes empresariales, universidades e incluso en ciertos hoteles.<\/p>\n Esperamos que este tutorial os haya servido de ayuda para configurar el FreeRADIUS en el sistema operativo pfSense para autenticar a los diferentes usuarios.<\/p>\n","protected":false},"excerpt":{"rendered":" \u00bfQu\u00e9 es un servidor RADIUS? RADIUS viene del acr\u00f3nimo en ingl\u00e9s Remote Authentication Dial-In User Service, es un protocolo de autenticaci\u00f3n y autorizaci\u00f3n para el acceso a la red, por defecto, hace uso del protocolo 1812 UDP para establecer las conexiones entre los equipos para autenticarse. Los servidores RADIUS permiten tanto autenticar a usuarios de […]<\/p>\n","protected":false},"author":1,"featured_media":3679,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/3678"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=3678"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/3678\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media\/3679"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=3678"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=3678"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=3678"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-3.png\")
<\/p>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-4.png\")
<\/p>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-5.png\")
<\/p>\nConfigurar \u00abInterfaces\u00bb donde va a escuchar<\/h3>\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-6.png\")
<\/p>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-7.png\")
<\/p>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-8.png\")
<\/p>\nDar de alta a los diferentes usuarios para autenticarse<\/h3>\n
\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-9.png\")
<\/p>\nCrear una CA para asign\u00e1rselo al servidor<\/h3>\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-10.png\")
<\/p>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-11.png\")
<\/p>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-12.png\")
<\/p>\n\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-13.png\")
<\/p>\n\n
\n
\n
\n
\n
![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-14.png\")
<\/p>\nConectar Windows 10 a la red WiFi con WPA2 o WPA3-Enterprise<\/h2>\n
\n
\n\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-15.png\")
<\/div>\n![](\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2021\/03\/configura-un-servidor-freeradius-para-usar-wpa2-y-wpa3-enterprise-en-wifi-16.png\")
<\/div>\n<\/div>\nConectar Android a la red WiFi con WPA2 o WPA3-Enterprise<\/h2>\n
\n