Qué es un servidor RADIUS y para qué sirve en un ISP
RADIUS es un protocolo que centraliza tres funciones en una red de proveedor de internet: verificar quién se conecta, decidir qué se le permite, y registrar cuánto usó. Se conoce por las siglas AAA — autenticación, autorización y contabilidad — y es la pieza que permite que un ISP controle miles de accesos sin configurar cada equipo por separado.
- 3
- funciones: AAA
- 1
- punto central en vez de equipo por equipo
- 2
- capas que deben comunicarse
Las tres funciones, en concreto
Vale separarlas porque se confunden con frecuencia, y cada una resuelve un problema distinto de la operación:
- Autenticación: verificar que quien se conecta es quien dice ser, normalmente con usuario y contraseña o con un identificador del equipo.
- Autorización: una vez identificado, decidir qué perfil se le aplica — velocidad, dirección IP, restricciones.
- Contabilidad: registrar cuándo empezó la sesión, cuánto duró y cuántos datos transfirió.
Por qué un ISP lo necesita
Sin un punto central de autenticación, cada cambio de plan implica tocar el equipo del abonado o el concentrador. Con cientos de abonados es incómodo; con miles es inviable.
Con RADIUS, el perfil vive en un solo lugar. Cuando un abonado sube de plan, cambia el registro central y la próxima sesión ya toma la velocidad nueva. Cuando entra en mora, el mismo mecanismo puede asignarle un perfil restringido sin que nadie vaya a tocar nada.
Esa última capacidad es la que conecta RADIUS con la gestión comercial: el control de acceso deja de ser una tarea de red y pasa a ser una consecuencia del estado de la cartera.
La contabilidad es más útil de lo que parece
La parte de accounting suele quedar subutilizada. Los registros de sesión responden preguntas que de otra forma requieren adivinar: cuándo se conecta realmente cada abonado, cuánto consume, si su servicio se cae con frecuencia.
Ese último dato es especialmente valioso para retención. Un abonado cuyas sesiones se interrumpen varias veces al día tiene un problema de calidad que va a terminar en una baja, y aparece en los registros mucho antes de que llame a reclamar.
Qué NO resuelve RADIUS
Conviene ser claro para no esperar de más. RADIUS autentica y aplica perfiles; no factura, no gestiona el padrón de abonados, no lleva el inventario de equipos ni emite documentos fiscales.
Un ISP necesita ambas capas: el control de acceso en la red y la gestión comercial que decide quién debe tener acceso. El valor aparece cuando las dos se comunican — cuando el estado de la cartera determina automáticamente el perfil que RADIUS aplica.
Cuando esa comunicación no existe, alguien termina sincronizando dos listas a mano, que es exactamente el trabajo que ninguna de las dos capas debería generar.
Consideraciones prácticas al implementarlo
Tres decisiones que conviene tomar de forma consciente y no por defecto:
- Redundancia: si el servidor RADIUS cae, las sesiones nuevas no autentican. Un servidor secundario deja de ser opcional al crecer.
- Retención de registros: la contabilidad genera volumen; hay que definir cuánto se guarda y con qué nivel de detalle.
- Qué identificador se usa para autenticar, porque cambiarlo después implica tocar a toda la base.
Preguntas frecuentes
- ¿Qué significa AAA en redes?
- Authentication, Authorization and Accounting: autenticación, autorización y contabilidad. Son las tres funciones que centraliza un servidor RADIUS — verificar quién se conecta, definir qué puede hacer, y registrar cuánto usó.
- ¿Un ISP pequeño necesita RADIUS?
- Depende del tamaño y la arquitectura. Con pocas decenas de abonados se puede administrar sin él; el punto de quiebre aparece cuando cambiar un plan o restringir un servicio implica tocar equipos uno por uno.
- ¿RADIUS reemplaza al software de gestión?
- No. RADIUS controla el acceso a la red; el software de gestión administra el negocio — abonados, contratos, facturación, cartera, inventario. Son capas distintas, y el valor aparece cuando se comunican entre sí.
- ¿Qué pasa si el servidor RADIUS deja de responder?
- Las sesiones ya establecidas suelen mantenerse, pero las nuevas autenticaciones fallan, así que cualquier abonado que se reconecte queda sin servicio. Por eso la redundancia deja de ser opcional a partir de cierto tamaño.
