# Validación centralizada

> Validar certificados, LDAP, RADIUS y OTP/MFA desde un único punto: modos integrado y passthrough, configuración de cada servicio y política de autenticación.

URL: https://docs.ironchip.com/identidad/protocolos/validacion-centralizada/

Ironchip actúa como punto único de validación de certificados, LDAP, RADIUS y OTP/MFA. Esta página explica cómo configurar cada servicio y cómo combinarlos en una política de autenticación.

## Requisitos

- Acceso a la consola de Ironchip con rol de administrador.
- Para el modo passthrough: conectividad desde Ironchip hasta los servidores LDAP, RADIUS u OTP existentes.
- Para la validación de certificados: al menos una CA configurada en Ironchip o importada como CA de confianza.

## Modos de validación

Para cada servicio puedes elegir entre dos modos:

| Servicio     | Modo integrado                                            | Modo passthrough                                                      |
| ------------ | --------------------------------------------------------- | --------------------------------------------------------------------- |
| Certificados | Validación con las CA de Ironchip, CRL y OCSP             | Validación contra CA externas de confianza y su CRL u OCSP            |
| LDAP         | Directorio de usuarios y grupos de Ironchip               | Proxy LDAP hacia el directorio existente (Active Directory, OpenLDAP) |
| RADIUS       | Servidor RADIUS de Ironchip                               | Reenvío de la petición a un servidor RADIUS externo                   |
| OTP/MFA      | Factores de Ironchip (aplicación móvil, llave FIDO2, OTP) | Validación del código en un servidor OTP externo                      |

Puedes combinar ambos modos. Por ejemplo, puedes validar el certificado del dispositivo con la CA integrada, el usuario contra tu Active Directory mediante passthrough y el segundo factor con Ironchip.

## Configurar la validación de certificados

Ve a **Settings**, apartado **Certificate validation**, y configura:

- **Trusted CAs**: CA integradas y CA externas que se consideran de confianza. Para añadir una CA externa, haz clic en **Add trusted CA** y carga su certificado.
- **Revocation check**: OCSP, CRL o ambos. Se recomienda OCSP con CRL como respaldo.
- **On failure**: qué hacer si no se puede consultar el estado de revocación. Selecciona **Deny** (recomendado) o **Allow**.
- **Mapping**: campo del certificado que identifica al usuario o al dispositivo (CN, SAN o número de serie).

Desde ese momento, cualquier servicio que use la validación de certificados de Ironchip, como [TACACS+](https://docs.ironchip.com/identidad/protocolos/tacacs/), RADIUS con EAP-TLS o mTLS, comprueba la cadena, la vigencia y la revocación del certificado.

## Configurar LDAP

1. Ve a **Settings**, apartado **Directory**, y haz clic en **Add directory**.
2. Elige el modo:
   - **Integrated**: usa el directorio de usuarios y grupos de Ironchip, sincronizado con [Entra ID](https://docs.ironchip.com/identidad/administracion/sincronizacion/entra-id/) o con [Ironchip AD Connect](https://docs.ironchip.com/identidad/administracion/sincronizacion/ad-connect/).
   - **Passthrough**: usa el [proxy LDAP](https://docs.ironchip.com/identidad/administracion/sincronizacion/proxy-ldap/) para validar las credenciales directamente contra tu servidor LDAP, sin copiar los usuarios a Ironchip. Completa estos campos:
     - **Server**: dirección y puerto del servidor LDAP, por ejemplo `ldaps://dc01.empresa.local:636`.
     - **Bind DN**: cuenta de servicio con permisos de lectura.
     - **Base DN**: rama del directorio donde se buscan los usuarios.
     - **User filter**: filtro de búsqueda, por ejemplo `(sAMAccountName={username})`.
3. Haz clic en **Test connection** para verificar el acceso y, después, en **Save**.

## Configurar RADIUS

Ve a **Settings**, apartado **RADIUS**, y selecciona el modo:

- **Integrated**: Ironchip actúa como servidor RADIUS mediante el [servidor RADIUS de Ironchip](https://docs.ironchip.com/identidad/protocolos/radius/), con soporte de PAP y EAP-TLS. Registra los dispositivos cliente en **Clients** con su dirección IP y su secreto compartido.
- **Passthrough**: Ironchip recibe la petición y la reenvía a un servidor RADIUS externo, y mantiene el control de la política y del segundo factor. Completa estos campos:
  - **Upstream server**: dirección y puerto del servidor RADIUS externo.
  - **Shared secret**: secreto compartido con el servidor externo.
  - **Timeout** y **retries**: tiempo de espera y número de reintentos antes de considerar el servidor no disponible.

## Configurar OTP/MFA

Ve a **Settings**, apartado **MFA**, y define qué factores están disponibles:

- **Ironchip**: aplicación móvil, aplicación de escritorio, llave FIDO2 y [OTP](https://docs.ironchip.com/identidad/protocolos/otp/) de Ironchip.
- **External OTP (passthrough)**: Ironchip pide el código al usuario y lo valida contra un servidor OTP externo mediante RADIUS. Indica la dirección del servidor y el secreto compartido.

En **Enforcement**, selecciona si el segundo factor es obligatorio, opcional o se exige solo cuando la localización o el contexto de la conexión sean de riesgo.

## Definir la política de autenticación

Cuando hayas configurado los servicios, define en qué orden se validan.

1. Ve a **Policies** y haz clic en **New policy**.
2. Selecciona la aplicación a la que se aplica, por ejemplo la aplicación TACACS+ o una VPN.

Una política habitual para el acceso de administradores es esta:

1. Certificado de dispositivo válido, emitido por la CA de Ironchip.
2. Usuario y grupo validados contra LDAP mediante passthrough.
3. Segundo factor de Ironchip, obligatorio.

Si falla cualquiera de los pasos, la autenticación se rechaza y el motivo queda registrado en **Events**. Puedes exportar estos eventos a tu SIEM mediante la [exportación de eventos del ITDR](https://docs.ironchip.com/identidad/administracion/exportacion-de-eventos/).

:::tip[Prueba antes en modo Audit]
Antes de activar una política en producción, usa el modo **Audit**: registra el resultado de cada validación sin bloquear el acceso, para comprobar que ningún usuario legítimo quedaría excluido.
:::