Autenticación personal frente a empresarial

WPA2 y WPA3 ofrecen dos modos de autenticación: Personal y Enterprise. El modo Personal utiliza una única contraseña compartida por todos; el modo Enterprise proporciona a cada usuario sus propias credenciales, que comprueba un servidor central. En esta lección se explican las diferencias, el funcionamiento de cada modo y cuándo elegir uno u otro, un tema que aparece habitualmente en el examen Network+.

El modo Personal, también llamado PSK (Pre-Shared Key), utiliza una única contraseña que debe introducir toda persona que se conecte. La contraseña de la red Wi-Fi doméstica que aparece en la etiqueta del router es una PSK. Es fácil de configurar y perfecto para hogares y pequeñas oficinas. Todos comparten el mismo secreto, y conocerlo es lo único necesario para unirse a la red.

La clave compartida también es su punto débil. Si una persona revela la contraseña, cualquiera puede conectarse; además, para revocar el acceso debe cambiar la contraseña para todos y volver a configurar cada dispositivo. No existe una identidad por usuario, por lo que no puede saber quién es quién ni deshabilitar a un usuario concreto. Para un grupo reducido de personas de confianza, esto es suficiente; para una empresa, no es escalable.

El modo Enterprise utiliza la autenticación 802.1X y proporciona a cada usuario su propio nombre de usuario y contraseña (o certificado), en lugar de una única clave compartida. Cuando un usuario se conecta, sus credenciales se comprueban con un servidor de autenticación central antes de concederle acceso. No existe una única contraseña de Wi-Fi que compartir o revelar: cada persona se autentica individualmente con su propia identidad.

La autenticación Enterprise depende de un servidor RADIUS (Remote Authentication Dial-In User Service). El punto de acceso reenvía las credenciales de cada usuario al servidor RADIUS, que las verifica en un directorio e indica al AP si debe permitir o denegar la conexión. RADIUS es el cerebro central que hace posible el inicio de sesión Wi-Fi por usuario en numerosos puntos de acceso de una organización.

En 802.1X colaboran tres roles: el supplicant (el dispositivo del usuario), el authenticator (el punto de acceso o switch) y el authentication server (RADIUS). El supplicant envía las credenciales, el authenticator las retransmite y el servidor toma la decisión. Se comunican mediante EAP (Extensible Authentication Protocol), un marco flexible que admite contraseñas, certificados y otros métodos.

El modo Enterprise es la mejor opción para las organizaciones. Puede deshabilitar a un usuario sin afectar a los demás, saber quién se ha conectado, aplicar políticas por usuario y evitar un único secreto compartido que pueda revelarse fácilmente. Se integra con los directorios de usuarios existentes, de modo que los empleados utilizan las mismas credenciales que ya tienen. Esta responsabilidad y este control individuales son exactamente lo que las empresas necesitan para disponer de una red Wi-Fi segura y fácil de gestionar.

El coste del modo Enterprise es su complejidad. Requiere configurar y mantener un servidor RADIUS e integrarlo con un directorio de usuarios, lo que supone mucho más trabajo que introducir una PSK. Para un hogar o una oficina muy pequeña, esta sobrecarga no compensa. La elección depende de un equilibrio: Personal para obtener simplicidad; Enterprise para disponer de escalabilidad, control y responsabilidad.

Utilice Personal (PSK) en hogares y redes pequeñas donde sea aceptable compartir una contraseña entre usuarios de confianza. Utilice Enterprise (802.1X con RADIUS) en empresas, centros educativos y cualquier entorno que necesite inicios de sesión por usuario, revocación individual y responsabilidad. Ambos modos pueden funcionar con WPA2 o WPA3, por lo que puede elegir el estándar de cifrado y el modo de autenticación de forma independiente.

La autenticación Enterprise puede utilizar distintos métodos EAP. PEAP y EAP-TTLS verifican a los usuarios mediante un nombre de usuario y una contraseña dentro de un túnel protegido, que es el enfoque más habitual. EAP-TLS utiliza certificates digitales tanto en el cliente como en el servidor para proporcionar la autenticación más segura sin contraseñas, aunque requiere gestionar certificados. No necesita conocer todos los detalles: basta con saber que EAP es el marco flexible y que EAP-TLS basado en certificados es la opción más segura.

La elección entre Personal y Enterprise determina cómo gestiona el acceso inalámbrico. Personal utiliza una única clave compartida: es sencillo, pero no ofrece control por usuario. Enterprise utiliza 802.1X y un servidor RADIUS para proporcionar credenciales individuales, responsabilidad y una revocación sencilla. Conocer los roles supplicant, authenticator y authentication server, además del término PSK, es fundamental para el conocimiento de Network+ sobre la autenticación inalámbrica.

WPA2/WPA3 ofrecen dos modos. Personal (PSK) utiliza una única contraseña compartida; es sencillo para los hogares, pero no proporciona una identidad por usuario y revocar el acceso resulta engorroso. Enterprise utiliza 802.1X con un servidor RADIUS, de modo que cada usuario tiene credenciales individuales, lo que permite exigir responsabilidades y revocar el acceso fácilmente. Los roles de 802.1X son supplicant (dispositivo), authenticator (AP) y authentication server (RADIUS), que se comunican mediante EAP. Elija Personal por su simplicidad y Enterprise por su escalabilidad y control.