IEEE 802.1X mantiene cerrado el puerto de un switch hasta que el equipo conectado se autentica, y RADIUS (RFC 2865) es el protocolo con el que el switch consulta a un servidor central que decide si lo admite. Evita que un portátil desconocido obtenga acceso con solo enchufarse a la red de la subestación. Exige certificados o cuentas, un secreto compartido por cada switch y un servidor disponible.
Para qué sirve autenticar la red
La puerta de entrada más sencilla a una red OT es un cable. Si el puerto de un switch de la subestación está activo, cualquier portátil que se enchufe obtiene conectividad. IEEE 802.1X cierra esa puerta: el puerto queda bloqueado para todo el tráfico salvo el de autenticación hasta que el equipo conectado demuestre quién es. RADIUS es el protocolo con que el switch pregunta a un servidor central si debe admitirlo.
Es una de las medidas que piden las guías de endurecimiento de red: puertos sin uso cerrados, autenticación de los puertos en uso, VLAN de gestión aislada y cuentas con niveles de acceso. La guía de endurecimiento de relés, switches e IED la ubica entre las demás, y la de VLAN y prioridad IEEE 802.1Q explica por qué las VLAN solas no bastan.
Los tres roles de 802.1X
| Rol | Qué es | Ejemplo en una subestación |
|---|---|---|
| Suplicante | El equipo que quiere entrar a la red | Portátil de ingeniería, relé, pasarela |
| Autenticador | El equipo que controla el puerto | Switch de la red de estación |
| Servidor de autenticación | Decide si se admite | Servidor RADIUS |
El autenticador no decide: retransmite. Habla con el suplicante mediante EAP sobre la red local (EAPOL) y con el servidor mediante RADIUS. Si el servidor responde que el equipo es válido, el switch abre el puerto, y puede asignarle una VLAN según el perfil. Si responde que no, el puerto sigue cerrado.
- Equipo conectado al puerto del switch
- Puerto en estado controlado. Solo pasa el tráfico de autenticación
- Suplicante envía su identidad y credencial. Certificado o usuario, por EAP
- Switch (autenticador) reenvía al servidor RADIUS. Access-Request
- Servidor valida contra su base de usuarios o certificados
- Access-Accept: puerto abierto, con su VLAN. Access-Reject: sigue cerrado
RADIUS en breve
RADIUS (Remote Authentication Dial-In User Service) está definido en el RFC 2865. En su versión clásica corre sobre UDP: el puerto 1812 para autenticación y autorización, y el 1813 para el registro de accesos (accounting, RFC 2866). Algunas implementaciones antiguas usan 1645 y 1646. Conviene comprobar cuáles usa cada equipo, porque un puerto distinto en el servidor y en el switch es una causa habitual de «no autentica».
Los elementos que hay que definir son:
- Cliente RADIUS o NAS (Network Access Server): cada switch que consulta al servidor se registra con su dirección IP.
- Secreto compartido: una clave que conocen el NAS y el servidor y que protege los mensajes entre ellos. Debe ser única para cada NAS, larga y almacenada en un gestor de contraseñas. Un secreto igual en todos los switches significa que comprometer uno compromete la red entera.
- Base de usuarios o de certificados: de dónde sabe el servidor quién es válido.
- Respuesta: Access-Accept (admitido), Access-Reject (rechazado) o Access-Challenge (pide más información).
Métodos de autenticación
802.1X transporta el protocolo EAP, que admite varios métodos. Los dos más comunes en equipos de red para subestación son:
- EAP-TLS: autenticación mutua con certificados en el servidor y en el equipo. Es la más robusta y encaja con una infraestructura de claves ya existente; vea PKI en subestaciones. Exige emitir, renovar y revocar un certificado por equipo.
- PEAP: el servidor se identifica con certificado y el usuario con nombre y contraseña dentro de un túnel TLS. Es más simple de desplegar, pero depende de la calidad de las contraseñas.
Para un portátil de ingeniería, el certificado instalado en el equipo corporativo es mejor que una contraseña que se pueda compartir.
Qué equipos lo soportan
Los switches de subestación suelen incluir la función de autenticador, junto con RADIUS y TACACS+ para las cuentas de administración. Por ejemplo, la ficha de los switches Siemens RUGGEDCOM lista IEEE 802.1X con PEAP y EAP-TLS, autenticación RADIUS y certificados X.509; el resumen de switches Ethernet de subestación describe esta seguridad por puerto como una función habitual de la gama. Entre los relés, algunos modelos recientes declaran acceso de red autenticado por 802.1X, como el SIPROTEC 5 7UT86.
Esa lista no es una regla para todo el parque. Cada modelo y cada versión de firmware debe confirmarse en su manual: qué métodos EAP admite, cuántos servidores RADIUS acepta y si funciona en los puertos de proceso o solo en los de gestión. Una función que existe en el catálogo pero no se activó en la configuración no protege.
Lo que se decide en el diseño
- Qué puertos se autentican. Los de usuarios y de ingeniería, siempre. Los de IED y enlaces entre switches, caso por caso. Autenticar un puerto que lleva disparos por GOOSE agrega una dependencia que debe justificarse.
- Qué pasa sin servidor. Política de caída definida y probada, con servidores redundantes.
- Dónde vive el servidor. En una zona de gestión protegida, no en la red de oficina. Vea IEC 62443 en subestaciones.
- Quién administra las cuentas. Altas, bajas y revisión periódica. La baja de un usuario debe cerrar su acceso el mismo día.
- Roles dentro del equipo. 802.1X decide quién entra a la red; lo que cada persona puede hacer dentro de un IED se define con control de acceso por roles (IEC 62351-8).
Errores comunes
- Dejar las credenciales por defecto del servidor RADIUS o del panel de administración. Es lo primero que se cambia, antes de crear usuarios.
- Un secreto compartido idéntico en todos los switches.
- No registrar al switch como NAS en el servidor: el servidor ignora sus peticiones.
- Puertos UDP bloqueados entre el switch y el servidor por un cortafuegos.
- Un solo servidor sin respaldo.
- Certificados vencidos o relojes desajustados, que rompen EAP-TLS aunque todo lo demás esté bien.
- Desplegarlo sin una prueba: antes de ponerlo en producción se valida con un cliente RADIUS de prueba que el servidor devuelve Access-Accept para un usuario válido y Access-Reject para uno inválido, y después con un equipo real en un puerto de laboratorio.
Cómo verificarlo
Un despliegue sólido se comprueba con casos: equipo válido (entra a la VLAN correcta), equipo desconocido (queda cerrado), certificado revocado (se rechaza), servidor caído (se aplica la política definida) y baja de un usuario (pierde el acceso). Estas comprobaciones forman parte de las pruebas de ciberseguridad en FAT y SAT. Para el monitoreo posterior, los registros de autenticación alimentan la vigilancia descrita en monitoreo de seguridad de red.
Cuándo conviene apoyarse en un especialista
Autenticar puertos en una red OT exige equilibrar seguridad y disponibilidad: lo que protege un acceso no debe poner en riesgo una protección. Diseñamos e implementamos esta capa como parte de la ciberseguridad de subestaciones y plantas, junto con la configuración segura de switches e IED. Escríbanos para cotizar.
Guías relacionadas
- Endurecimiento de relés, switches e IED
- Switches Ethernet de subestación
- VLAN y prioridad IEEE 802.1Q
- Acceso remoto seguro a subestaciones
- Control de acceso por roles (IEC 62351-8)
Referencias
- IEEE 802.1X: control de acceso a la red basado en puertos.
- IETF RFC 2865: Remote Authentication Dial In User Service (RADIUS).
- IETF RFC 2866: RADIUS Accounting.
- IETF RFC 6614: Transport Layer Security (TLS) Encryption for RADIUS.
- IEC 62443 (serie): seguridad de sistemas de automatización y control industrial.
Preguntas frecuentes
¿Todos los IED de una subestación pueden autenticarse con 802.1X?
No. En 802.1X el equipo conectado debe actuar como suplicante, y muchos IED no incluyen esa función. Algunos modelos recientes sí la declaran; se confirma en la ficha técnica de cada equipo. Para los que no la soportan se usan otros controles: puerto cerrado o asignado a una VLAN fija, filtro por dirección MAC y acceso físico restringido.
¿Qué pasa con la red si el servidor RADIUS se cae?
Depende de cómo se configure el switch. Puede dejar sin acceso a los equipos que se conecten durante la caída, o mantener los ya autenticados y admitir los nuevos en una VLAN restringida. En OT se diseña con dos servidores y una política de caída decidida de antemano, porque una subestación no debe perder comunicaciones de protección por un fallo de autenticación.
¿RADIUS cifra la contraseña del usuario?
RADIUS clásico protege solo ciertos campos, como la contraseña, con el secreto compartido entre el switch y el servidor; el resto del mensaje viaja sin cifrar. Por eso el tramo se aísla en la red de gestión. Existe una variante que transporta RADIUS sobre TLS (RadSec, RFC 6614) para redes que requieren protección completa.