Cisco ACS (Access Control Server): Funciones núcleo y arquitectura

Cisco Secure ACS (ahora sucedido por Cisco Identity Services Engine — ISE) fue el servidor de políticas RADIUS/TACACS+ insignia para control acceso red empresarial. Sus funciones siguen siendo el blueprint para NAC moderno.

1. Autenticación (¿Quién eres?)

• Protocolos: RADIUS, TACACS+, RADIUS-DTLS, Kerberos, LDAP bind, SAML/OIDC (versiones posteriores).
• Almacenes identidad: BD interna, Active Directory, LDAP (OpenLDAP, AD LDS), ODBC, RSA SecurID, servidores token.
• Métodos: PAP, CHAP, MS-CHAPv2, EAP-TLS, EAP-PEAP, EAP-FAST, EAP-TTLS.

2. Autorización (¿Qué puedes hacer?)

• Elementos política: Grupos identidad, condiciones red (hora, ubicación, postura dispositivo), NDGs (Network Device Groups).
• Atributos resultado: Cisco-AVPairs → VLAN, ACL, dACL, URL-redirect, timer reauth, timeout sesión.
• RBAC: Autorización comandos shell (TACACS+) para admin dispositivo (privilegio 0–15).

3. Gestión políticas

• Objetos política centralizados (servicios, condiciones, resultados) reutilizables across NADs (Network Access Devices).
• Simulación política / modo test (simula petición RADIUS sin tráfico real).
• Import/export masivo vía CSV, ERS (External RESTful Services) API.

4. Acceso invitados y BYOD

• Portal auto-registro (personalizable, multi-idioma).
• Flujos aprobación sponsor.
• Asignación VLAN/ACL invitados; aceptación AUP.
• Registro dispositivo (integración MDM) → check postura → profiling.

5. Onboarding dispositivos (BYOD)

• Inscripción certificado SCEP/EST para EAP-TLS.
• Provisioning supplicant nativo (iOS .mobileconfig, Android Wi-Fi config, Windows XML).
• Onboarding zero-touch vía QR code / email link.

6. Monitorización, Reporting y Troubleshooting

• Logs en vivo: Flujos RADIUS/TACACS+ tiempo real (auth, authz, acct).
• Reportes: Top fallos, top usuarios, utilización dispositivos, tendencias postura.
• Audit Trail: Cambios admin, despliegues políticas.
• Troubleshooting: Captura paquetes (pcap), logs debug por servicio.

7. Integración y extensibilidad

• Integración NAD: Catalyst, Nexus, Meraki, AireOS, IOS-XE — config cliente RADIUS/TACACS+.
• MDM/EMM: AirWatch, MobileIron, Intune, Jamf — atributos postura vía ERS.
• SIEM: Splunk, QRadar, Elastic — streaming syslog/CEF/JSON.
• API: ERS (REST) para CRUD todos objetos; pxGrid para compartir amenazas.

Nota migración

ACS 5.8 alcanzó End-of-Sale (2017) y End-of-Support (2022). Migra a Cisco ISE 3.x – paridad funcional más pxGrid, TrustSec, integración SD-Access, y desarrollo activo.