Seguridad y acceso a la red: principio y configuración AAA

Hoy en día, los problemas de seguridad de la red son cada vez más graves. Para evitar el acceso de usuarios no autorizados, la autenticación de los usuarios de acceso es la práctica más común. El método más utilizado para la autenticación de usuarios es AAA, es decir, autenticación, autorización y contabilidad. AAA no solo puede autenticar a los usuarios de acceso, sino también autorizar una cuenta en función de los roles de los usuarios. De esta manera, el acceso, los privilegios de acceso y los registros de tráfico de los usuarios de acceso están completamente controlados.

Autenticación

La autenticación confirma las identidades de los usuarios remotos que acceden a la red y determina si los usuarios están autorizados.

Autorización

La autorización asigna derechos diferenciados para autorizar a los usuarios a utilizar servicios específicos.

Contabilidad

La contabilidad registra todas las operaciones de un usuario durante el proceso del servicio de red, incluido el tipo de servicio utilizado, la hora de inicio y el tráfico de datos, para recopilar y registrar el uso de recursos de red del usuario para implementar la contabilidad basada en el tiempo o el tráfico y el monitoreo de la red.

Arquitectura básica de AAA

AAA usa la arquitectura cliente/servidor. El dispositivo de acceso en el que se ejecuta un cliente AAA generalmente se denomina servidor de acceso a la red (NAS) que es responsable de la verificación de la identidad del usuario y la gestión del acceso del usuario. Un servidor AAA proporciona una colección de funciones de autenticación, autorización y contabilidad y es responsable de la gestión centralizada de la información del usuario.

Figura 1: Arquitectura básica de AAA

El servidor AAA más utilizado es RADIUS, que es el estándar común de la industria.

Proceso de autenticación

Antes de que el usuario intente acceder a Internet, iniciará el proceso de autenticación para conectarse. Suponga que el usuario de acceso envía el nombre de usuario y la contraseña a la AAA para que se autentique. Al recibir el nombre de usuario y la contraseña, el cliente AAA los envía al servidor AAA para verificar esta información. Si el par de nombre de usuario y contraseña son correctos, AAA responderá un mensaje de aceptación para notificar al cliente de AAA que el usuario que accede es un usuario legal. De lo contrario, el servidor AAA responderá un mensaje de rechazo para notificar al cliente AAA que el usuario que accede es un usuario ilegal, como resultado, el cliente AAA eliminará el tráfico de acceso a Internet.

Figura 2: El usuario de acceso se autentica

Además de la arquitectura anterior, también podríamos integrar el servidor AAA en el dispositivo cliente AAA. Y en este escenario, el cliente AAA también es el servidor AAA.

Figura 3: El cliente AAA integra la función de servidor AAA

Aunque el cliente AAA podría integrar la función AAA, no se puede utilizar como servidor AAA, lo que significa que cuando actúa como cliente y servidor AAA, el dispositivo solo puede autenticar a los usuarios de acceso que acceden en sí mismo.

¿Cuál es la diferencia entre la autenticación local y la autenticación del servidor AAA?

Caracteristica	Autenticación Local	Autenticación con servidor AAA
Servidor de autenticación	Dispositivo local	Servidor AAA
Recursos	Ocupe recursos adicionales para almacenar el nombre de usuario y la contraseña	No ocupa un recurso extra
Complejidad de configuración	Facil	Dificil
Escala de usuarios soportado	Pequeña escala	Escala amplia
Requiere protocolos extra	No	Si, normalmente usa RADIUS
Dificultad para el mantenimiemto	Facil	Dificil
Escenarios de aplicación	SOHO, etc.	Acceso de usuarios a gran escala