Los tres papeles de 802.1X y el estado de un puerto

El estándar IEEE 802.1X define el control de acceso a la red basado en el puerto. Intervienen tres piezas:

• El suplicante: el programa del equipo que se conecta (un portátil, un puesto). Es quien pide entrar y presenta su identidad.
• El autenticador: el equipo de red al que se enchufa el cable o con el que se asocia el inalámbrico, normalmente un conmutador. Deja cerrado el puerto y solo permite pasar la conversación de autenticación.
• El servidor de autenticación: quien decide, consultando el directorio de la empresa. En la práctica es un servidor RADIUS.

Mientras el servidor no responda que sí, el puerto solo deja pasar esa conversación y nada más: ni DHCP, ni tráfico de usuario.

Consulta roles y mira la columna papel.

El modo de un puerto dice cómo se controla el acceso. Con 802.1X, el equipo debe autenticarse. Con solo MAB, el puerto se autoriza por la dirección MAC del equipo (la sala 4 lo trata). Con sin control, el puerto está siempre abierto: cualquier equipo que se conecte queda dentro de la red, sin pruebas ni registro de quién es.

Un puerto sin control en una oficina no es un descuido menor: es la puerta que se salta todo lo demás. Consulta puertos_sw_acc_03 y busca el modo.

La columna estado dice qué ocurrió en cada puerto. autorizado significa que el servidor dijo que sí y el puerto se abrió. no autorizado significa que se rechazó. en espera significa que el conmutador preguntó al equipo quién es y nadie respondió: suele ser un equipo sin suplicante, o con el suplicante apagado.

Cuenta solo los puertos que usan el modo 802.1X y están autorizados. Los de otros modos no cuentan, aunque estén abiertos.

El conmutador no lleva en su memoria las cuentas de los usuarios, y no le corresponde. Cuando un equipo se conecta, pregunta al servidor cuyo dato tiene configurado. Ese servidor es una pieza crítica: si se cae o se compromete, todos los puertos protegidos dependen de su respuesta.

Mira en roles la dirección del equipo que hace de servidor de autenticación.

Una idea equivocada frecuente es pensar que el conmutador comprueba la contraseña o el certificado. No lo hace: reenvía los mensajes sin interpretarlos y obedece lo que el servidor responde. Por eso un conmutador comprometido o mal configurado es un problema distinto del de un servidor comprometido, y se revisan por separado.