Esta guía se aplica a computadoras Windows
Cuando seleccionas Enterprise Wi-Fi en Iru Endpoint, las opciones Identity certificate y Certificate trust siempre aparecen en la interfaz, independientemente del tipo de EAP que selecciones. Estos campos no son obligatorios y, en algunos tipos de EAP, no se aplican. Si tu tipo de EAP no usa certificados, puedes dejar estos campos en blanco.
Configurar EAP-TLS
EAP-TLS usa Transport Layer Security y un certificado de identidad para autenticar el dispositivo en la red. Debes proporcionar un certificado de identidad para usar EAP-TLS.1
Seleccionar el tipo de EAP
Selecciona TLS en Accepted EAP Types.
2
Elegir el origen de las credenciales
En Credential source, elige cómo debe ubicar el cliente el certificado de identidad.
- La mayoría de las implementaciones usan Certificate Store.
3
Habilitar la selección simple de certificados (recomendado)
Habilita Simple certificate selection para que Windows seleccione automáticamente el certificado correcto durante la autenticación.
Si está deshabilitada, es posible que se pida a los usuarios que elijan entre los certificados disponibles.
4
Configurar la validación del servidor (recomendado)
Configura las opciones de validación según cómo esté implementada tu infraestructura de RADIUS/certificados:
- Perform server validation (recomendado para producción)
- Deshabilitar la solicitud al usuario para la validación del servidor
- Aceptar nombre del servidor
5
Configurar el filtrado de EKU (opcional)
Si tu entorno usa filtrado de EKU, configura:
- EKU de autenticación de cliente
- EKU de cualquier propósito
- EKU de todos los propósitos
Configurar EAP-TTLS
Tunneled Transport Layer Security (TTLS) usa un túnel TLS para cifrar otro protocolo de autenticación. Normalmente no requiere un certificado de identidad, y la mayoría de las implementaciones se autentican con un nombre de usuario y una contraseña (o con credenciales del dispositivo, según la infraestructura).1
Seleccionar el tipo de EAP
Selecciona TTLS en Accepted EAP Types.
2
Habilitar la privacidad de identidad (opcional pero recomendado)
Si tu infraestructura admite la privacidad de identidad, habilita Enable identity privacy.
Cuando está habilitada, el cliente envía una identidad externa anónima durante el intercambio inicial y solo revela la identidad real dentro del túnel cifrado.
3
Configurar la validación del servidor (recomendado)
Configura:
- Realizar la validación del servidor
- Deshabilitar la solicitud al usuario para la validación del servidor
- Aceptar nombre del servidor
4
Configurar la autenticación interna
En Inner authentication, selecciona el protocolo de autenticación que se usará dentro del túnel TLS (según lo requiera tu configuración de RADIUS).
Las opciones del certificado de identidad pueden aparecer en la interfaz, pero normalmente no se usan para TTLS, a menos que tu infraestructura requiera explícitamente un certificado.
Configurar EAP-PEAP
Protected Extensible Authentication Protocol (PEAP) usa un túnel TLS para proteger las credenciales intercambiadas mediante un método de autenticación interno. Al igual que TTLS, PEAP normalmente no requiere un certificado de identidad y, por lo general, usa autenticación con nombre de usuario y contraseña dentro del túnel.1
Seleccionar el tipo de EAP
Selecciona PEAP en Accepted EAP Types.
2
Configurar el comportamiento opcional de PEAP
Según tu entorno, configura:
- Enable fast reconnect (mejora el rendimiento en itinerancia)
- Require cryptobinding (recomendado cuando se admite; ayuda a proteger contra algunos ataques de tunelización)
- Enable NAP quarantine checks (heredado; normalmente deshabilitado en implementaciones modernas)
3
Controlar el comportamiento de confianza para certificados de servidor no confiables (recomendado)
Configura Allow user to accept untrusted server certificates.
- Si está habilitada, es posible que se avise a los usuarios cuando la CA del servidor no sea de confianza.
- Si está deshabilitada, la conexión fallará automáticamente si no se puede validar el servidor.
4
Configurar la validación del servidor (recomendado)
Configura:
- Realizar la validación del servidor
- Deshabilitar la solicitud al usuario para la validación del servidor
- Aceptar nombre del servidor
5
Habilitar la privacidad de identidad (opcional pero recomendado)
Habilita Enable identity privacy si tu implementación admite identidades externas anónimas.
6
Configurar la autenticación interna
Selecciona un método de Inner authentication según tus requisitos de RADIUS.
PEAP normalmente no usa un certificado de identidad, aunque los campos del certificado de identidad puedan aparecer.
Configurar EAP-TEAP
Tunneled EAP (TEAP) es un método EAP tunelizado moderno que admite varios mecanismos de autenticación interna y una mayor extensibilidad que PEAP/TTLS. Muchas implementaciones de TEAP se autentican con nombre de usuario y contraseña, certificados o una combinación de ambos.1
Seleccionar el tipo de EAP
Selecciona TEAP en Accepted EAP Types.
2
Configurar el comportamiento de confianza para certificados de servidor aceptados manualmente (opcional)
Configura Auto-trust servers accepted by the user.
Si está habilitada, cuando un usuario acepta manualmente un certificado de servidor y la conexión se realiza correctamente, las raíces adicionales enviadas por el servidor se pueden agregar a la lista de CA de confianza.
3
Configurar la validación del servidor (recomendado)
Configura:
- Realizar la validación del servidor
- Deshabilitar la solicitud al usuario para la validación del servidor
- Aceptar nombre del servidor
4
Habilitar la privacidad de identidad (opcional)
Habilita Enable identity privacy si tu infraestructura lo admite.
5
Configurar la autenticación interna
TEAP puede usar varios métodos internos. Configura:
- Autenticación interna principal
- Secondary inner authentication (opcional)
Algunas implementaciones de TEAP pueden usar certificados de identidad, según tu estrategia de autenticación. Si tu implementación de TEAP no usa certificados, puedes dejar en blanco los campos de certificados.
Configurar EAP-SIM
EAP-SIM usa una tarjeta SIM para la autenticación. Se usa comúnmente en entornos de operadores o empresariales que usan identidad basada en SIM para el control de acceso.1
Seleccionar el tipo de EAP
Selecciona SIM en Accepted EAP Types.
2
Requerir claves de cifrado seguras (opcional)
Configura Require strong cipher keys para exigir claves de cifrado más seguras (tres RAND).
Si no se configura, se pueden permitir dos o tres RAND, según el comportamiento del servidor.
3
Ocultar la identidad permanente del suscriptor (IMSI) (opcional)
Configura Hide permanent subscriber identity (IMSI) para evitar revelar el IMSI cuando exista una identidad seudónima de autenticaciones anteriores.
4
Configurar el proveedor y el dominio (opcional)
- Provider name (limita la autenticación a las SIM que coincidan con este proveedor)
- Realm configuration (controla el dominio que se usa al enviar la identidad al servidor)
Configurar EAP-AKA
EAP-AKA usa autenticación basada en USIM, comúnmente utilizada en implementaciones de operadores móviles y empresariales con SIM.1
Seleccionar el tipo de EAP
Selecciona AKA en Accepted EAP Types.
2
Ocultar la identidad permanente del suscriptor (IMSI) (opcional)
Configura Hide permanent subscriber identity (IMSI) según si quieres proteger el IMSI cuando existan seudónimos.
3
Configurar el proveedor y el dominio (opcional)
- Nombre del proveedor
- Configuración del dominio
Configurar EAP-AKA’
EAP-AKA’ es una versión mejorada de EAP-AKA con mejoras en la vinculación de identidad y la derivación de claves. Se usa en algunas implementaciones modernas basadas en SIM.1
Seleccionar el tipo de EAP
Selecciona AKA’ en Accepted EAP Types.
2
Validar el nombre de red del servidor (opcional)
Configura Validate network name from server para controlar si el cliente verifica el nombre de red que espera frente al que anuncia el servidor.
3
Habilitar la reautenticación rápida (opcional)
Configura Enable fast reauthentication para permitir intercambios AKA’ más cortos y rápidos cuando sea posible.
Si está deshabilitada o no configurada, cada conexión usará la autenticación completa.
4
Ocultar la identidad permanente del suscriptor (IMSI) (opcional)
Configura las opciones de protección del IMSI si tu entorno lo requiere.
5
Configurar el proveedor y el dominio (opcional)
- Nombre del proveedor
- Configuración del dominio
Recomendaciones y prácticas recomendadas
- Usa la validación del servidor siempre que sea posible. Deshabilitar la validación o permitir certificados de servidor no confiables aumenta la exposición a la interceptación de credenciales y a riesgos de ataques de intermediario (man-in-the-middle).
- Habilita la privacidad de identidad cuando esté disponible, especialmente en entornos TTLS/PEAP/TEAP.
- Usa EAP-SIM / AKA / AKA’ solo cuando tu organización admita la autenticación de identidad basada en SIM/USIM. Estos métodos son poco comunes en las implementaciones Wi-Fi empresariales estándar.
- Si no sabes qué tipo de EAP usar, consulta a tu equipo de Wi-Fi/RADIUS para confirmar qué métodos están habilitados en tu infraestructura.