Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

En el mundo digital de una gran organización, la red es una autopista invisible que transporta cada correo electrónico, transferencia de archivos y videollamada. Durante décadas, la gestión del acceso a la red fue relativamente simple y estática: un cable físico conectado a un puerto de pared determinaba a qué parte de la red podía acceder una computadora. Si ese puerto estaba conectado a un segmento de red específico, cualquier persona que conectara un dispositivo en él podría potencialmente obtener acceso a ese segmento, independientemente de su identidad. Este enfoque dependía en gran medida de la seguridad física. Si una persona no autorizada podía acceder a una toma de red expuesta, podría obtener acceso a los recursos de la red sin haber sido autenticada previamente. A medida que las organizaciones se volvieron más complejas, con empleados, estudiantes y huéspedes que requerían diferentes niveles de acceso, este enfoque tradicional se convirtió en una preocupación de seguridad significativa. Una solución más segura es hacer que la red verifique la identidad de un usuario antes de conceder el acceso y luego dirigir al usuario al segmento de red apropiado según su rol autorizado.

Este es el desafío abordado por un estudio realizado por Abdulraheem Hamoud Mohammed Almaweri en Djibouti. El investigador se propuso construir y evaluar un sistema que reemplace las asignaciones estáticas de acceso a la red por un enfoque dinámico basado en la identidad. En este modelo, una computadora se conecta a la red y la red solicita la autenticación. Si el usuario proporciona credenciales válidas, el sistema verifica su rol dentro de la organización y asigna dinámicamente la conexión al segmento de red apropiado. Los miembros del personal son dirigidos a la red del personal, mientras que los estudiantes son dirigidos a la red de estudiantes. Si la autenticación falla o el servidor de autenticación deja de estar disponible, el sistema está diseñado para restringir el acceso y dirigir las conexiones afectadas a una red de cuarentena aislada, donde los problemas de conectividad pueden ser investigados y resueltos sin exponer recursos sensibles de la red.

Para evaluar si este proceso podía operar de manera confiable, el investigador construyó un laboratorio virtual que representa una red empresarial. En lugar de depender de una sola computadora, el experimento utilizó un entorno de red simulado que incorporaba un servidor central para la gestión de la identidad, un servidor de políticas para definir y aplicar las reglas de acceso, y un conmutador de red (switch) para controlar el acceso a través de puertos físicos. El investigador creó dos grupos de usuarios distintos que representaban al personal y a los estudiantes. Cada grupo fue asociado con una red de área local virtual (VLAN) separada, lo que proporcionaba una separación lógica entre los dos grupos dentro de la misma infraestructura de red física. El grupo del personal fue mapeado a una VLAN, mientras que el grupo de estudiantes fue mapeado a otra. El sistema utilizó un marco de autenticación en el que el cliente y la infraestructura de red intercambiaban mensajes de autenticación para verificar la identidad del usuario antes de conceder el acceso a la red.

El investigador realizó luego veinticinco pruebas para evaluar el sistema bajo diferentes condiciones. En las pruebas iniciales, usuarios autorizados de los grupos de personal y estudiantes intentaron autenticarse utilizando credenciales válidas. En cada caso probado, el sistema autenticó con éxito a los usuarios y asignó sus conexiones a la VLAN correspondiente. Los usuarios del personal fueron dirigidos a la red del personal, mientras que los usuarios estudiantes fueron asignados a la red de estudiantes. También se midió el proceso de autenticación y asignación de acceso. Desde el momento en que un usuario conectó el dispositivo a la red hasta que se concedió el acceso, el proceso tomó aproximadamente un segundo y medio, según los resultados experimentales reportados. Este intervalo relativamente corto sugiere que el control de acceso dinámico a la red puede implementarse sin introducir necesariamente un retraso sustancial para los usuarios en el entorno probado.

El estudio también examinó cómo respondía el sistema a los fallos de autenticación. En un escenario, un usuario proporcionó el nombre de usuario correcto pero una contraseña incorrecta. En otro, un usuario intentó autenticarse con una cuenta que no pertenecía a un grupo autorizado. En ambos escenarios, el sistema rechazó el intento de autenticación y asignó la conexión afectada a la VLAN de cuarentena designada. Este segmento de red aislado tenía como objetivo evitar que las conexiones no autorizadas llegaran a los recursos sensibles de la red, permitiendo al mismo tiempo que los administradores investiguen los fallos de autenticación o asistan a los usuarios. El sistema aplicó con éxito el comportamiento de cuarentena configurado en todos los casos probados que involucraban credenciales inválidas o cuentas no autorizadas.

Otra prueba importante examinó la respuesta del sistema ante la falta de disponibilidad del servidor de autenticación central. El investigador simuló un fallo del servidor para evaluar cómo se comportaría el conmutador de red cuando ya no pudiera comunicarse con el servicio de autenticación. Dependiendo de la configuración, un fallo de este tipo puede resultar en el acceso no autorizado o en la denegación del acceso legítimo. En este experimento, el conmutador fue configurado para aplicar una política de respaldo restrictiva. Cuando el servidor de autenticación dejó de ser alcanzable, las nuevas conexiones fueron dirigidas a la VLAN de cuarentena tras el intervalo de respuesta configurado. Este comportamiento demostró cómo una configuración de seguridad ante fallos (fail-secure) puede ayudar a mantener el aislamiento de la red cuando el servicio de autenticación central no está disponible. El alcance preciso de este comportamiento, incluyendo su efecto en las sesiones existentes, depende de la configuración implementada y de los escenarios probados.

Los resultados de las veinticinco pruebas mostraron un comportamiento consistente en todos los escenarios evaluados. El sistema asignó a los usuarios autorizados a sus segmentos de red designados, rechazó los intentos de autenticación no autorizados y dirigió las conexiones afectadas a la VLAN de cuarentena bajo las condiciones de fallo probadas. Sin embargo, el número limitado de ensayos y el uso de un entorno virtual controlado significan que se necesitarían más pruebas para evaluar la confiabilidad, la escalabilidad y el rendimiento a largo plazo en redes de producción masivas. El estudio no pretendía abordar todas las posibles amenazas de seguridad de red ni evaluar todos los métodos de autenticación. En su lugar, se centró en demostrar la viabilidad de vincular dinámicamente la identidad del usuario y su estado de autorización con las asignaciones de acceso a la red utilizando componentes de red estándar y tecnologías de autenticación establecidas.

Estos hallazgos proporcionan un ejemplo práctico de cómo las organizaciones pueden ir más allá de las asignaciones estáticas de acceso a la red basadas en puertos hacia un control de acceso más flexible y basado en la identidad. Al demostrar que la asignación de red de un usuario puede determinarse por su identidad autenticada y su rol organizacional, en lugar de basarse únicamente en su punto de conexión física, el estudio ilustra un enfoque práctico para mejorar la segmentación de la red y la gestión del acceso. Los resultados experimentales indican que una red puede autenticar a los usuarios, asignarlos a los segmentos de red apropiados y aplicar políticas restrictivas cuando la autenticación falla o el servicio de autenticación deja de estar disponible. Aunque el despliegue en entornos de producción requeriría una validación adicional, el experimento proporciona una base para investigaciones futuras sobre el control de acceso dinámico a la red utilizando tecnologías de red empresarial establecidas.