Validación centralizada

Ironchip actúa como punto único de validación de certificados, LDAP, RADIUS y OTP/MFA. Esta página explica cómo configurar cada servicio y cómo combinarlos en una política de autenticación.

Requisitos

• Acceso a la consola de Ironchip con rol de administrador.
• Para el modo passthrough: conectividad desde Ironchip hasta los servidores LDAP, RADIUS u OTP existentes.
• Para la validación de certificados: al menos una CA configurada en Ironchip o importada como CA de confianza.

Modos de validación

Para cada servicio puedes elegir entre dos modos:

Servicio	Modo integrado	Modo passthrough
Certificados	Validación con las CA de Ironchip, CRL y OCSP	Validación contra CA externas de confianza y su CRL u OCSP
LDAP	Directorio de usuarios y grupos de Ironchip	Proxy LDAP hacia el directorio existente (Active Directory, OpenLDAP)
RADIUS	Servidor RADIUS de Ironchip	Reenvío de la petición a un servidor RADIUS externo
OTP/MFA	Factores de Ironchip (aplicación móvil, llave FIDO2, OTP)	Validación del código en un servidor OTP externo

Puedes combinar ambos modos. Por ejemplo, puedes validar el certificado del dispositivo con la CA integrada, el usuario contra tu Active Directory mediante passthrough y el segundo factor con Ironchip.

Configurar la validación de certificados

Ve a Settings, apartado Certificate validation, y configura:

• Trusted CAs: CA integradas y CA externas que se consideran de confianza. Para añadir una CA externa, haz clic en Add trusted CA y carga su certificado.
• Revocation check: OCSP, CRL o ambos. Se recomienda OCSP con CRL como respaldo.
• On failure: qué hacer si no se puede consultar el estado de revocación. Selecciona Deny (recomendado) o Allow.
• Mapping: campo del certificado que identifica al usuario o al dispositivo (CN, SAN o número de serie).

Desde ese momento, cualquier servicio que use la validación de certificados de Ironchip, como TACACS+, RADIUS con EAP-TLS o mTLS, comprueba la cadena, la vigencia y la revocación del certificado.

Configurar LDAP

1. Ve a Settings, apartado Directory, y haz clic en Add directory.
2. Elige el modo:
   • Integrated: usa el directorio de usuarios y grupos de Ironchip, sincronizado con Entra ID o con Ironchip AD Connect.
   • Passthrough: usa el proxy LDAP para validar las credenciales directamente contra tu servidor LDAP, sin copiar los usuarios a Ironchip. Completa estos campos:
     • Server: dirección y puerto del servidor LDAP, por ejemplo ldaps://dc01.empresa.local:636.
     • Bind DN: cuenta de servicio con permisos de lectura.
     • Base DN: rama del directorio donde se buscan los usuarios.
     • User filter: filtro de búsqueda, por ejemplo (sAMAccountName={username}).
3. Haz clic en Test connection para verificar el acceso y, después, en Save.

Configurar RADIUS

Ve a Settings, apartado RADIUS, y selecciona el modo:

• Integrated: Ironchip actúa como servidor RADIUS mediante el servidor RADIUS de Ironchip, con soporte de PAP y EAP-TLS. Registra los dispositivos cliente en Clients con su dirección IP y su secreto compartido.
• Passthrough: Ironchip recibe la petición y la reenvía a un servidor RADIUS externo, y mantiene el control de la política y del segundo factor. Completa estos campos:
  • Upstream server: dirección y puerto del servidor RADIUS externo.
  • Shared secret: secreto compartido con el servidor externo.
  • Timeout y retries: tiempo de espera y número de reintentos antes de considerar el servidor no disponible.

Configurar OTP/MFA

Ve a Settings, apartado MFA, y define qué factores están disponibles:

• Ironchip: aplicación móvil, aplicación de escritorio, llave FIDO2 y OTP de Ironchip.
• External OTP (passthrough): Ironchip pide el código al usuario y lo valida contra un servidor OTP externo mediante RADIUS. Indica la dirección del servidor y el secreto compartido.

En Enforcement, selecciona si el segundo factor es obligatorio, opcional o se exige solo cuando la localización o el contexto de la conexión sean de riesgo.

Definir la política de autenticación

Cuando hayas configurado los servicios, define en qué orden se validan.

1. Ve a Policies y haz clic en New policy.
2. Selecciona la aplicación a la que se aplica, por ejemplo la aplicación TACACS+ o una VPN.

Una política habitual para el acceso de administradores es esta:

1. Certificado de dispositivo válido, emitido por la CA de Ironchip.
2. Usuario y grupo validados contra LDAP mediante passthrough.
3. Segundo factor de Ironchip, obligatorio.

Si falla cualquiera de los pasos, la autenticación se rechaza y el motivo queda registrado en Events. Puedes exportar estos eventos a tu SIEM mediante la exportación de eventos del ITDR.

Prueba antes en modo Audit

Antes de activar una política en producción, usa el modo Audit: registra el resultado de cada validación sin bloquear el acceso, para comprobar que ningún usuario legítimo quedaría excluido.