> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/es/otro/faqs/mac-authentication.md).
# Omisión de autenticación MAC
Este artículo pretende aclarar qué es la omisión de autenticación MAC, en qué se diferencia de MAB-to-EAP y cuál funciona con RADIUSaaS.
{% hint style="danger" %}
Dado que **Las direcciones MAC pueden suplantarse fácilmente**, implementar un bypass de autenticación MAC es **muy desaconsejable** salvo que sea absolutamente necesario y el administrador haya sopesado el riesgo asociado con implementar dicho bypass frente a la conveniencia y las limitaciones presupuestarias de actualizar hardware obsoleto.
{% endhint %}
## Resumen
**Bypass de autenticación MAC (MAB)** es una función que permite que dispositivos incapaces de realizar la autenticación empresarial estándar 802.1X (como impresoras heredadas, sensores simples o sistemas integrados) se conecten a una red que, de otro modo, sería segura. MAB concede acceso utilizando la dirección MAC única de un dispositivo como su único identificador frente a una lista autorizada mantenida por un servidor RADIUS.
La implementación heredada de MAB es **vulnerable a la suplantación de direcciones MAC tanto en** la conexión entre el autenticador y el dispositivo de red como en la conexión entre el dispositivo de red y el servidor RADIUS. Para eliminar el segundo vector de ataque, una implementación más sólida de MAB, llamada **MAB-to-EAP**, puede utilizarse, lo que garantiza de forma efectiva la integridad de la dirección MAC transmitida al servidor RADIUS (la dirección MAC aún puede suplantarse en el enlace entre el autenticador y el dispositivo de red).
Esta guía detalla las diferencias entre el método heredado inseguro **MAB puro** y la solución alternativa moderna protegida a nivel de transporte.
## Terminología e implementaciones de MAB
**MAB:** Bypass de autenticación MAC
**EAP:** Protocolo de Autenticación Extensible
**Solicitante:** La entidad (como una laptop, un teléfono o una interfaz de red) que inicia el proceso de autenticación con un autenticador para obtener acceso a una red.
**Autenticador:** Una entidad de red (como un switch, un punto de acceso inalámbrico o una pasarela VPN) que exige autenticación antes de conceder a un solicitante acceso a la red.
**Servidor de autenticación:** Una entidad de red de confianza (como un servidor RADIUS) responsable de verificar la identidad de los solicitantes comprobando sus credenciales (como nombres de usuario, contraseñas o certificados digitales) y determinando si están autorizados para acceder a la red.
**MAB puro** (Implementación heredada): Este método consiste en que el autenticador envía la dirección MAC del cliente a un servidor RADIUS, normalmente en el `Calling-Station-Id` atributo de RADIUS. El servidor RADIUS realiza una búsqueda simple y devuelve un `Access-Accept` o `Access-Reject`. La dirección MAC actúa como identificador, no como una credencial real.
**MAB-to-EAP** (Implementación segura): Como MAB puro carece de un transporte criptográficamente seguro, muchos servicios modernos (como RADIUSaaS) requieren un enfoque más sólido. En este método, el autenticador utiliza la dirección MAC del cliente como nombre de usuario y contraseña, y luego intenta autenticarse en el servidor RADIUS usando un protocolo EAP seguro (p. ej., EAP-TTLS-PAP, PEAP-MSCHAPv2). El dispositivo cliente permanece ajeno a que se haya producido alguna autenticación.
## Cómo funciona MAB puro (base de datos RADIUS externa)
Cuando la base de datos de direcciones MAC es mantenida por un servidor RADIUS externo (la configuración empresarial habitual), la siguiente secuencia se aplica a MAB puro:
1. Un cliente no 802.1X se conecta y solicita acceso a la red.
2. El autenticador detecta la conexión y, al no ver ninguna negociación 802.1X, inicia un intento de MAB.
3. El autenticador toma la dirección MAC del cliente (p. ej., `00:11:22:33:44:55`) y la reenvía al servidor RADIUS en un `Access-Request` mensaje. La dirección MAC normalmente se analiza en el `Calling-Station-Id` atributo de RADIUS.
4. El servidor RADIUS comprueba en su base de datos configurada la presencia de la dirección MAC.
5. Devuelve un `Access-Accept` mensaje si la MAC se encuentra (Coincidencia) o un `Access-Reject` si no se encuentra (Sin coincidencia).
6. Si `Access-Accept` se recibe Coincidencia, el autenticador autoriza el puerto y permite que el cliente se una a la red.
### Consideraciones de seguridad
En general, **MAB proporciona poca o ninguna seguridad** y debe utilizarse con extrema precaución.
* **Suplantación de MAC:** Las direcciones MAC se cambian fácilmente (se suplantan) en la mayoría de los ordenadores y tarjetas de red modernos. Un actor malintencionado puede observar la dirección MAC de un dispositivo autorizado y configurar su propio dispositivo para usarla, obteniendo así acceso no autorizado.
* **Identificación, no autenticación:** MAB es simplemente una forma de identificación de dispositivos. Solo confirma qué dispositivo se está conectando, no quién es su propietario ni si es criptográficamente seguro.
Debido a estas debilidades, la mayoría de los servicios modernos de autenticación basados en la nube (como RADIUSaaS) no admiten MAB puro ni protocolos heredados como PAP o CHAP. En su lugar, requieren el método MAB-to-EAP, en el que la dirección MAC se usa como credencial dentro de un túnel EAP criptográficamente robusto.
## Implementación de MAB con EAP (un enfoque de RADIUSaaS para MAB)
Cuando MAB está configurado en un autenticador y un dispositivo heredado que no admite 802.1X intenta solicitar acceso a la red, el switch o AP se hará pasar por ese dispositivo y asumirá la autenticación en nombre del cliente autenticándose en RADIUSaaS mediante uno de los EAP admitidos [protocolos](https://docs.radiusaas.com/admin-portal/users#protocols): EAP-TTLS-PAP o PEAP-MSCHAPv2. Como parte de este proceso, RADIUSaaS comprobará si la dirección MAC figura en la base de datos de RADIUSaaS en forma de una entrada añadida manualmente [Usuario](/es/portal-de-administracion/usuarios/users.md). (nombre de usuario = contraseña = dirección MAC), si es así, entonces se devuelve un `Access-Accept` mensaje, y la autenticación basada en EAP se completa, proporcionando acceso a la red al dispositivo heredado. Dado que el autenticador está estableciendo una conexión TLS con RADIUSaaS, debe confiar en el [certificado de servidor](/es/portal-de-administracion/settings/settings-server.md#server-certificates) certificado que utiliza RADIUSaaS.
El uso de la dirección MAC como nombre de usuario/contraseña para activar EAP es una solución alternativa específica implementada por el autenticador para simular MAB mientras utiliza protocolos EAP más sólidos.
### ¿Funciona MAB con RADIUSaaS?
MAB en su implementación original utilizando PAP o CHAP no funciona con RADIUSaaS. Teniendo en cuenta las definiciones anteriores, la implementación actual de RADIUSaaS puede admitir MAB siempre que su autenticador pueda autenticarse mediante uno de los protocolos mencionados anteriormente. Tenga en cuenta que, en cuanto se usan estos protocolos admitidos en la autenticación, ya no se omite la autenticación, y es entonces cuando se utiliza el término más específico MAB-to-EAP.
### Configuración
**MAB** requiere configuración tanto en el autenticador como en el servidor de autenticación.
**Autenticador:**
* Habilite 802.1X y MAC Authentication Bypass (MAB) en los puertos de acceso/SSID específicos destinados a dispositivos no 802.1X.
* Confiar en el [certificado del servidor RADIUS](/es/portal-de-administracion/settings/settings-server.md#download).
* *Nota: los pasos de configuración dependen del proveedor; consulte la documentación de su dispositivo.*
**Servidor de autenticación:**
* Al implementar MAB-to-EAP, debe crear una regla de autorización explícita en RADIUSaaS para asignar todos los dispositivos que se autentiquen mediante este método a una VLAN de reserva con acceso mínimo a la red. Esto es esencial para hacer cumplir el principio de mínimo privilegio, evitando que un actor malintencionado que haya suplantado una dirección MAC válida acceda a recursos críticos de la red. La regla debe configurarse en función de las políticas de autenticación de su entorno:
* Si MAB-to-EAP es el único uso de la autenticación basada en nombre de usuario/contraseña: cree una regla de autorización amplia (LAN/Wi-Fi) que asigne cualquier dispositivo que use este tipo de credenciales a la VLAN de reserva.
* Si el nombre de usuario/contraseña se usa para otros clientes (p. ej., usuarios): esta regla debe ajustarse cuidadosamente mediante expresiones regulares para que coincida específicamente con el patrón de una dirección MAC en el campo de nombre de usuario (p. ej., `00:11:22:33:44:55`). Esto garantiza que solo el tráfico MAB-to-EAP se aísle en la VLAN de reserva.
* Para admitir MAB-to-EAP, debe [agregar](/es/portal-de-administracion/usuarios/users.md#add) usuarios con el formato: Nombre de usuario = Contraseña = dirección MAC. Ejemplo: `00:11:22:33:44:55` = `00:11:22:33:44:55`.
* El formato de la dirección MAC (dos puntos, guion o ninguno) debe coincidir exactamente con el formato que su autenticador envía en las credenciales EAP. Recomendamos usar la notación con dos puntos (p. ej., `00:11:22:33:44:55`) para mantener la coherencia.
* Si tiene varios usuarios, puede importarlos en lote usando un [CSV](/es/portal-de-administracion/usuarios/users.md#csv-import) archivo.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.radiusaas.com/es/otro/faqs/mac-authentication.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
### Consideraciones de seguridad
En general, **MAB proporciona poca o ninguna seguridad** y debe utilizarse con extrema precaución.
* **Suplantación de MAC:** Las direcciones MAC se cambian fácilmente (se suplantan) en la mayoría de los ordenadores y tarjetas de red modernos. Un actor malintencionado puede observar la dirección MAC de un dispositivo autorizado y configurar su propio dispositivo para usarla, obteniendo así acceso no autorizado.
* **Identificación, no autenticación:** MAB es simplemente una forma de identificación de dispositivos. Solo confirma qué dispositivo se está conectando, no quién es su propietario ni si es criptográficamente seguro.
Debido a estas debilidades, la mayoría de los servicios modernos de autenticación basados en la nube (como RADIUSaaS) no admiten MAB puro ni protocolos heredados como PAP o CHAP. En su lugar, requieren el método MAB-to-EAP, en el que la dirección MAC se usa como credencial dentro de un túnel EAP criptográficamente robusto.
## Implementación de MAB con EAP (un enfoque de RADIUSaaS para MAB)
Cuando MAB está configurado en un autenticador y un dispositivo heredado que no admite 802.1X intenta solicitar acceso a la red, el switch o AP se hará pasar por ese dispositivo y asumirá la autenticación en nombre del cliente autenticándose en RADIUSaaS mediante uno de los EAP admitidos [protocolos](https://docs.radiusaas.com/admin-portal/users#protocols): EAP-TTLS-PAP o PEAP-MSCHAPv2. Como parte de este proceso, RADIUSaaS comprobará si la dirección MAC figura en la base de datos de RADIUSaaS en forma de una entrada añadida manualmente [Usuario](/es/portal-de-administracion/usuarios/users.md). (nombre de usuario = contraseña = dirección MAC), si es así, entonces se devuelve un `Access-Accept` mensaje, y la autenticación basada en EAP se completa, proporcionando acceso a la red al dispositivo heredado. Dado que el autenticador está estableciendo una conexión TLS con RADIUSaaS, debe confiar en el [certificado de servidor](/es/portal-de-administracion/settings/settings-server.md#server-certificates) certificado que utiliza RADIUSaaS.
El uso de la dirección MAC como nombre de usuario/contraseña para activar EAP es una solución alternativa específica implementada por el autenticador para simular MAB mientras utiliza protocolos EAP más sólidos.
### ¿Funciona MAB con RADIUSaaS?
MAB en su implementación original utilizando PAP o CHAP no funciona con RADIUSaaS. Teniendo en cuenta las definiciones anteriores, la implementación actual de RADIUSaaS puede admitir MAB siempre que su autenticador pueda autenticarse mediante uno de los protocolos mencionados anteriormente. Tenga en cuenta que, en cuanto se usan estos protocolos admitidos en la autenticación, ya no se omite la autenticación, y es entonces cuando se utiliza el término más específico MAB-to-EAP.
### Configuración
**MAB** requiere configuración tanto en el autenticador como en el servidor de autenticación.
**Autenticador:**
* Habilite 802.1X y MAC Authentication Bypass (MAB) en los puertos de acceso/SSID específicos destinados a dispositivos no 802.1X.
* Confiar en el [certificado del servidor RADIUS](/es/portal-de-administracion/settings/settings-server.md#download).
* *Nota: los pasos de configuración dependen del proveedor; consulte la documentación de su dispositivo.*
**Servidor de autenticación:**
* Al implementar MAB-to-EAP, debe crear una regla de autorización explícita en RADIUSaaS para asignar todos los dispositivos que se autentiquen mediante este método a una VLAN de reserva con acceso mínimo a la red. Esto es esencial para hacer cumplir el principio de mínimo privilegio, evitando que un actor malintencionado que haya suplantado una dirección MAC válida acceda a recursos críticos de la red. La regla debe configurarse en función de las políticas de autenticación de su entorno:
* Si MAB-to-EAP es el único uso de la autenticación basada en nombre de usuario/contraseña: cree una regla de autorización amplia (LAN/Wi-Fi) que asigne cualquier dispositivo que use este tipo de credenciales a la VLAN de reserva.
* Si el nombre de usuario/contraseña se usa para otros clientes (p. ej., usuarios): esta regla debe ajustarse cuidadosamente mediante expresiones regulares para que coincida específicamente con el patrón de una dirección MAC en el campo de nombre de usuario (p. ej., `00:11:22:33:44:55`). Esto garantiza que solo el tráfico MAB-to-EAP se aísle en la VLAN de reserva.
* Para admitir MAB-to-EAP, debe [agregar](/es/portal-de-administracion/usuarios/users.md#add) usuarios con el formato: Nombre de usuario = Contraseña = dirección MAC. Ejemplo: `00:11:22:33:44:55` = `00:11:22:33:44:55`.
* El formato de la dirección MAC (dos puntos, guion o ninguno) debe coincidir exactamente con el formato que su autenticador envía en las credenciales EAP. Recomendamos usar la notación con dos puntos (p. ej., `00:11:22:33:44:55`) para mantener la coherencia.
* Si tiene varios usuarios, puede importarlos en lote usando un [CSV](/es/portal-de-administracion/usuarios/users.md#csv-import) archivo.