Análisis comparativo de los protocolos RADIUS y TACACS+ en el control de acceso centralizado a la configuración de switches

Abstract

El presente trabajo de investigación analiza y compara los protocolos de autenticación, autorización y auditoría (AAA) RADIUS y TACACS+ para determinar cuál ofrece mejor desempeño, seguridad y disponibilidad en el acceso de forma centralizada a la configuración un switch. La investigación es de tipo aplicada, enfoque cuantitativo, nivel descriptivo y diseño cuasi-experimental. La muestra está conformada por dos sistemas AAA implementados, uno basado en RADIUS y otro en TACACS+. Los datos se recolectan mediante la técnica experimental, utilizando como instrumentos las interfaces de línea de comandos del switch y el servidor AAA, así como las herramientas de análisis de tráfico de red Wireshark y tcpdump. El análisis se realiza mediante la comparación de métricas asociadas al desempeño, seguridad y disponibilidad de cada protocolo. Los resultados demuestran que RADIUS presenta mejor desempeño operacional al generar menor número de paquetes, volumen de datos y latencia en la red. RADIUS generó 2 paquetes con un tamaño total de 226 bytes, mientras que TACACS+ generó 22 paquetes con 1517 bytes transmitidos. La latencia promedio registrada con RADIUS es de 0.137 segundos, frente a los 0.169 segundos de TACACS+. No obstante, TACACS+ demostró un nivel superior de seguridad, ya que presenta un mayor porcentaje de cifrado en los paquetes AAA. Asimismo, TACACS+ ofrece un control más granular de privilegios, permitiendo denegar hasta el 95.2% de los comandos ejecutables por un usuario con nivel de privilegio 1, característica inexistente en RADIUS. En cuanto a auditoría, TACACS+ generó 10 paquetes de registro, incluyendo los comandos ejecutados por el usuario, mientras que RADIUS registró únicamente el inicio y cierre de sesión con 4 paquetes. En términos de disponibilidad, TACACS+ presentó un tiempo promedio de conmutación (fail-over) de 1.570 segundos, significativamente menor que el registrado por RADIUS (40.259 segundos), evidenciando una mejor capacidad de recuperación ante fallos. Se concluye que TACACS+ ofrece ventajas sustanciales en seguridad y disponibilidad del servicio AAA, mientras que RADIUS mantiene un desempeño operativo más eficiente. Esta comparación aporta evidencia técnica relevante para la selección del protocolo más adecuado según las necesidades específicas de rendimiento o seguridad en entornos de red corporativos.

This research study analyzes and compares the authentication, authorization, and accounting (AAA) protocols RADIUS and TACACS+ to determine which one offers better performance, security, and availability in centralized access to switch configuration. The study is applied in nature, with a quantitative approach, descriptive level, and a quasi-experimental design. The sample consists of two implemented AAA systems: one based on RADIUS and the other on TACACS+. Data were collected through an experimental technique, using as instruments the command-line interfaces (CLI) of the switch and the AAA server, as well as the Wireshark and tcpdump network traffic analysis tools. The analysis was carried out by comparing metrics associated with the performance, security, and availability of each protocol. The results show that RADIUS exhibits better operational performance by generating a smaller number of packets, lower data volume, and reduced network latency. RADIUS generated 2 packets with a total size of 226 bytes, while TACACS+ generated 22 packets with 1517 bytes transmitted. The average latency recorded with RADIUS was 0.137 seconds, compared to 0.169 seconds with TACACS+. However, TACACS+ demonstrated a higher level of security, as it achieved a greater percentage of encryption in AAA packets. Likewise, TACACS+ provides more granular privilege control, allowing up to 95.2% of commands executable by a privilege level 1 user to be denied— a feature not available in RADIUS. Regarding auditing, TACACS+ generated 10 log packets that included user-executed commands, whereas RADIUS recorded only session start and end events with 4 packets. In terms of availability, TACACS+ achieved an average failover time of 1.570 seconds, significantly lower than that of RADIUS (40.259 seconds), demonstrating superior fault recovery capability. In conclusion, TACACS+ offers substantial advantages in AAA service security and availability, while RADIUS maintains higher operational performance efficiency. This comparison provides relevant technical evidence for selecting the most appropriate protocol according to specific performance or security requirements in corporate network environments.