Acceso al puerto, 802.1X y seguridad de puertos

802.1X es un estándar del IEEE de control de acceso a la red por puerto. El equipo (suplicante) se identifica ante el conmutador (autenticador), que consulta a un servidor, normalmente RADIUS, y solo entonces abre el puerto. Para equipos que no pueden hablar 802.1X, como una impresora, existe la autenticación por dirección MAC: más débil, porque la MAC se puede copiar, y se usa como excepción documentada.

La seguridad de puertos no identifica a nadie. Fija cuántas direcciones MAC pueden aparecer en el puerto y qué hace cuando aparecen más: apagar el puerto, descartar y registrar, o descartar sin registrar. Los dos controles se complementan, y un puerto de usuario debería tener al menos uno.

Abre el laboratorio. Cada fila es un puerto del conmutador de acceso con lo que tiene configurado. Hay puertos con los dos controles, otros con uno solo, y uno cuya configuración no tiene ninguno de los dos. Eso es un hallazgo directo: cualquier equipo que se conecte recibe red sin que nada lo identifique ni lo limite.

Cuando un puerto supera el número de direcciones permitidas, en la sintaxis tipo IOS del laboratorio puede reaccionar de tres maneras. En modo shutdown apaga el puerto. En modo restrict descarta lo que sobra y deja registro y contador. En modo protect descarta lo que sobra sin dejar ningún registro. El tercero parece amable porque no corta nada, pero el equipo de seguridad nunca se entera de que alguien lo intentó.

Todo el diseño de 802.1X depende del servidor RADIUS. Si cae, los puertos deben hacer algo: o bloquearse, o autorizar una VLAN de emergencia. Lo segundo evita parar la planta, pero convierte la caída del servidor en una puerta abierta si esa VLAN es de uso general. Se anota con su alcance: qué VLAN recibe a quien llega mientras el servidor no responde.

El mismo parámetro tiene un segundo hallazgo: no hay servidor RADIUS secundario. Con un solo servidor, cualquier mantenimiento o caída activa el comportamiento de emergencia. La recomendación tiene dos partes, y las dos van en el informe.