Validación centralizada de certificados, LDAP, RADIUS y OTP/MFA

Requisitos:

• Acceso al panel de Ironchip con rol de administrador
• Para el modo passthrough: conectividad desde Identity Platform hasta los servidores LDAP, RADIUS u OTP existentes
• Para la validación de certificados: al menos una CA configurada en Identity Platform o importada como CA de confianza

Pasos a seguir:

• Entender los modos de validación
• Configurar la validación de certificados
• Configurar LDAP
• Configurar RADIUS
• Configurar OTP/MFA
• Definir la política de autenticación

Entender los modos de validación

dentity Platform actúa como punto único de validación. Para cada servicio puedes elegir entre dos modos:

Ambos modos pueden combinarse. Por ejemplo, puedes validar el certificado del dispositivo con la CA integrada, el usuario contra tu Active Directory mediante passthrough y el segundo factor con Ironchip.

Configurar la validación de certificados

Ve a Settings, apartado Certificate validation, y configura:

• Trusted CAs: CA integradas y CA externas que se consideran de confianza. Para añadir una CA externa, pulsa en Add trusted CA y carga su certificado.
• Revocation check: OCSP, CRL o ambos. Se recomienda OCSP con CRL como respaldo.
• On failure: Qué hacer si no se puede consultar el estado de revocación. Selecciona Deny (recomendado) o Allow.
• Mapping: Campo del certificado que identifica al usuario o al dispositivo (CN, SAN o número de serie).

A partir de este momento, cualquier servicio que utilice la validación de certificados de Identity Platform, como TACACS+, RADIUS con EAP-TLS o mTLS, comprobará la cadena, la vigencia y la revocación del certificado.

Configurar LDAP

• Ve a Settings, apartado Directory, y pulsa en Add directory.

  • Integrated: Utiliza el directorio de usuarios y grupos de Identity Platform, sincronizado con Entra ID o con Ironchip AD Connect.
  • Passthrough: Utiliza el Proxy LDAP para validar las credenciales directamente contra tu servidor LDAP, sin copiar los usuarios a Identity Platform. Completa los siguientes campos:
    • Server: Dirección y puerto del servidor LDAP, por ejemplo ldaps://dc01.empresa.local:636.
    • Bind DN: Cuenta de servicio con permisos de lectura.
    • Base DN: Rama del directorio donde se buscan los usuarios.
    • User filter: Filtro de búsqueda, por ejemplo (sAMAccountName={username}).

  Pulsa en Test connection para verificar el acceso y, a continuación, en Save.

Configurar RADIUS

Ve a Settings, apartado RADIUS, y selecciona el modo:

• Integrated: Identity Platform actúa como servidor RADIUS mediante el servidor RADIUS de Ironchip, con soporte de PAP y EAP-TLS. Los dispositivos cliente se registran en Clients con su dirección IP y su secreto compartido.
• Passthrough: Identity Platform recibe la petición y la reenvía a un servidor RADIUS externo, mantiene el control de la política y del segundo factor. Completa los siguientes campos:
  • Upstream server: Dirección y puerto del servidor RADIUS externo.
  • Shared secret: Secreto compartido con el servidor externo.
  • Timeout y retries: Tiempo de espera y número de reintentos antes de considerar el servidor no disponible.

Configurar OTP/MFA

Ve a Settings, apartado MFA, y define qué factores están disponibles:

• Ironchip: Aplicación móvil, aplicación de escritorio, llave FIDO2 y OTP de Ironchip.
• External OTP (passthrough): Identity Platform solicita el código al usuario y lo valida contra un servidor OTP externo mediante RADIUS. Indica la dirección del servidor y el secreto compartido.

En Enforcement, selecciona si el segundo factor es obligatorio, opcional o se exige únicamente cuando la localización o el contexto de la conexión sean de riesgo.

Definir la política de autenticación

Una vez configurados los servicios, define en qué orden se validan. Ve a Policies, pulsa en New policy y selecciona la aplicación a la que se aplica (por ejemplo, la aplicación TACACS+ o una VPN).

Un ejemplo de política habitual para el acceso de administradores es el siguiente:

1. Certificado de dispositivo válido, emitido por la CA de Identity Platform.
2. Usuario y grupo validados contra LDAP mediante passthrough.
3. Segundo factor de Ironchip, obligatorio.

Si cualquiera de los pasos falla, la autenticación se rechaza y el motivo queda registrado en Events. Puedes exportar estos eventos a tu SIEM mediante la exportación de eventos del ITDR.

Nota: Antes de activar una política en producción, utiliza el modo Audit, que registra el resultado de cada validación sin bloquear el acceso, para verificar que ningún usuario legítimo quedaría excluido.