RADIUS en Wi‑Fi empresarial: una puerta de entrada que sí sabe quién eres

En una empresa pequeña, una sola contraseña de Wi‑Fi parece práctica hasta que alguien deja la organización, se pierde un teléfono o la clave termina escrita en una recepción. Cambiarla obliga a reconectar cámaras, impresoras, terminales y visitantes. RADIUS cambia el enfoque: la red deja de confiar en una clave común y consulta una identidad antes de permitir el acceso.

Qué ocurre detrás de la conexión

El punto de acceso no guarda necesariamente todas las credenciales. Cuando una persona intenta entrar, el equipo consulta a un servidor de autenticación RADIUS. Ese servidor valida la identidad contra un directorio o una base de usuarios y devuelve una decisión. En diseños más completos también puede asignar una VLAN o una política diferente según el perfil.

Eso permite distinguir, por ejemplo, a colaboradores, contratistas, invitados y dispositivos administrados. La red de invitados no tiene por qué compartir el mismo camino que la red de trabajo. Las cámaras y sensores, además, deberían vivir en una segmentación propia, con los servicios estrictamente necesarios.

Cuándo vale la pena

RADIUS suele aportar valor cuando hay rotación de personal, varias sucursales, requisitos de auditoría o más de un punto de acceso. Para una casa con tres dispositivos puede ser innecesario. Para una clínica, escuela, hotel u oficina con usuarios cambiantes, la administración centralizada evita que cada cambio se convierta en una visita técnica.

El proyecto no termina en instalar el servidor

Antes de activarlo hay que decidir qué ocurre si el servidor no responde. Se puede mantener un acceso de emergencia muy controlado, pero no conviene dejar una clave universal con permisos amplios. También deben probarse certificados, relojes, respaldo de configuración y recuperación de cuentas. Una política excelente que nadie puede usar durante una falla se convierte en una interrupción.

El registro es otra pieza importante. Saber qué cuenta se autenticó, desde qué punto de acceso y en qué horario ayuda a investigar incidentes. No se trata de espiar cada movimiento, sino de contar con trazabilidad cuando se necesita determinar si el problema fue una cuenta, un equipo o una configuración.

Ruta de implementación

1. Inventariar puntos de acceso, switches y redes actuales.
2. Separar invitados, colaboradores, dispositivos IoT y administración.
3. Definir el directorio de identidades y el ciclo de altas y bajas.
4. Probar un solo punto de acceso en una ventana controlada.
5. Documentar respaldo, emergencia y recuperación antes de ampliar.

RADIUS no es un botón de “Wi‑Fi más seguro”. Es una pieza de gobierno: hace que el acceso tenga dueño, reglas y una fecha de caducidad. Bien implementado, reduce la dependencia de contraseñas que nadie se atreve a cambiar.

Para ampliar: NIST: incorporación confiable de dispositivos IoT · NIST: guía de red empresarial segura

Si tu empresa ya tiene varias redes y no sabes qué dispositivos deberían hablar entre sí, esa revisión debe ocurrir antes de comprar más access points.