Autenticación de WiFi con Microsoft Entra ID (Azure AD): Guía de integración para empresas

Resumen Ejecutivo

A medida que las organizaciones de TI empresariales migran la identidad corporativa de los Active Directory Domain Services (AD DS) locales a Microsoft Entra ID (anteriormente Azure Active Directory), los arquitectos de red se enfrentan a un desafío fundamental de infraestructura: Microsoft Entra ID no admite la autenticación nativa mediante el protocolo RADIUS.

Las redes inalámbricas empresariales heredadas dependen de IEEE 802.1X con PEAP-MSCHAPv2, realizando consultas a instancias locales de Network Policy Server (NPS) de Windows Server que validan los hashes de contraseñas de NT LAN Manager (NTLM) frente a los controladores de dominio locales. El entorno nativo de la nube de Entra ID no expone puertos de escucha LDAP (TCP 389) o RADIUS (UDP 1812), ni almacena hashes de contraseñas NTLM reversibles o en texto plano para cuentas exclusivamente en la nube.

Para proteger la red WiFi empresarial con Microsoft Entra ID, las organizaciones deben modernizar su capa de acceso. Esta guía técnica describe los tres patrones de arquitectura probados para conectar Entra ID a redes inalámbricas empresariales:

1. EAP-TLS nativo de la nube mediante Microsoft Cloud PKI y SCEP (Recomendado): Autenticación mutua mediante certificados y sin contraseñas desplegada a través de Microsoft Intune.
2. Cloud RADIUS con sincronización de directorio Entra ID OAuth / SCIM: Servicio de autenticación en la nube gestionado que realiza consultas a la API de Microsoft Graph.
3. NPS local híbrido con extensión de MFA de Azure: Arquitectura de puente para entornos que conservan la infraestructura local de Active Directory.

Comparativa de Arquitectura: Métodos de Autenticación WiFi con Entra ID

Antes de seleccionar una ruta de integración, evalúe las capacidades técnicas, el nivel de seguridad y los requisitos administrativos de cada modelo:

+----------------------------------------------------------------------------------------------------+
|                               Matriz de Arquitectura WiFi de Microsoft Entra ID                    |
+----------------------------------------------------------------------------------------------------+
| Método               | Protocolo| Tipo de Credencial| Infraestructura Local | Nivel de Seguridad(0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | X.509 Digital CA | Ninguna (100% Cloud)  | 98/100 (Zero Trust)   |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | Ninguna (100% Cloud)  | 88/100 (Enterprise)   |
| 3. NPS Híbrido + MFA | PEAPv0   | Usuario/Contras. | Windows Server y NDES | 68/100 (Riesgo Her.)  |
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth  | Ninguna (100% Cloud)  | 85/100 (Invitado/BYOD)|
+----------------------+----------+------------------+-----------------------+-----------------------+

Método 1: EAP-TLS nativo de la nube mediante Microsoft Intune SCEP (Recomendado)

El EAP-TLS basado en certificados (RFC 5216) representa el estándar de oro para la seguridad inalámbrica empresarial. Al emitir certificados digitales únicos a los puntos finales gestionados, las organizaciones eliminan las contraseñas compartidas, derrotan las campañas de phishing de captación de credenciales y cumplen con los estándares NIST SP 800-207 Zero Trust Architecture.

+------------------+          +------------------------+          +------------------------+
| Dispositivo Gest.|          | Punto de Acceso WiFi   |          | Servidor RADIUS Cloud  |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |    (Multirregión)      |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. Asoc. EAP-TLS 802.1X        |                                    |
         |------------------------------->|                                    |
         |                                | 2. RADIUS Access-Request (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. Validar cadena cert
         |                                |                                    |    y consultar Graph API
         |                                |                                    |    estado de la cuenta
         |                                | 4. RADIUS Access-Accept            |
         |                                |    (Atributos VLAN RFC 2868)       |
         |                                |<-----------------------------------|
         | 5. Handshake de 4 vías 802.11  |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ Sesión cifrada establecida (WPA3-Enterprise de 192 bits) ]

Flujo de trabajo de despliegue de SCEP en Intune

1. Configuración de la Autoridad de Certificación: Establezca una CA emisora utilizando Microsoft Cloud PKI en Microsoft Intune o una CA en la nube integrada (como SCEPman, EZCA o Cloud RADIUS PKI).
2. Perfil de Certificado de Confianza: Despliegue los certificados públicos de la CA raíz y de la CA intermedia en todos los grupos de dispositivos de destino Windows 11, macOS, iOS y Android.
3. Configuración del Perfil SCEP:
   • Tipo de certificado: Certificado de usuario o dispositivo.
   • Formato del nombre del firmante: CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • Nombre alternativo del firmante (SAN): UserPrincipalName = {{UserPrincipalName}} y DNS = {{AADDeviceId}}
   • Uso de claves: Firma digital, Cifrado de claves.
   • Proveedor de almacenamiento de claves (KSP): Preferencia por TPM (aplica claves privadas respaldadas por hardware).
4. Perfil de Configuración de WiFi:
   • Tipo de WiFi: Enterprise.
   • Tipo de EAP: EAP-TLS.
   • Confianza del servidor: Seleccione el certificado de CA raíz de confianza desplegado.
   • Server Names: introduzca el nombre de dominio completo (FQDN) del servidor Cloud RADIUS (por ejemplo, radius.purple.ai).
   • Authentication Identity: certificado de usuario o máquina.

Método 2: Cloud RADIUS con Entra ID OAuth y sincronización de directorios SCIM

Para las organizaciones que buscan una gestión de directorios centralizada sin tener que administrar CA privadas, Cloud RADIUS proporciona un puente gestionado entre las controladoras inalámbricas y la Microsoft Graph API.

Cómo se integra Cloud RADIUS con Microsoft Entra ID

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Cloud RADIUS Engine|        | Microsoft Entra ID |
|   Access Points    |        | (Purple Platform)  |        |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Consulta Graph API      |
          |                             |     (Comprobar usr activo,  |
          |                             |      miembros de grupos,    |
          |                             |      acceso condicional)    |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. Respuesta JSON          |
          |                             |     (Estado: Activo,        |
          |                             |      Grupos: [SG-Finance])  |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Ventajas clave de Cloud RADIUS

• Sin hardware local: elimina la adquisición de servidores físicos, las licencias de Windows Server y el mantenimiento anual de parches del sistema operativo.
• Sincronización de directorio en tiempo real: si un empleado deja la empresa o se deshabilita en Entra ID, su acceso inalámbrico se revoca de inmediato en todos los centros globales.
• Redundancia multirregión: el enrutamiento IP Anycast reenvía las solicitudes de autenticación al centro de datos geográfico con menor latencia con conmutación por error automática.

Asignación dinámica de VLAN mediante grupos de seguridad de Entra ID

La asignación dinámica de VLAN permite a los administradores de red emitir un único SSID corporativo mientras colocan automáticamente los dispositivos en segmentos de red aislados según los roles de usuario y las afiliaciones departamentales.

+-----------------------------------------------------------------------------------+
|                        Microsoft Entra ID Security Group                          |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ Cloud RADIUS Policy ]        [ Cloud RADIUS Policy ]            [ Cloud RADIUS Policy ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868:               RADIUS RFC 2868:                   RADIUS RFC 2868:
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (Corporate Exec VLAN 10)       (Engineering Subnet VLAN 20)       (Contractor DMZ VLAN 30)

Atributos estándar de RADIUS requeridos (RFC 2868)

Cuando el servidor Cloud RADIUS aprueba una solicitud de autenticación, incluye tres atributos estándar en el paquete Access-Accept:

Single Sign-On (SSO) en Captive Portal para invitados, BYOD y contratistas

Para los visitantes invitados, proveedores y dispositivos personales de empleados no gestionados (BYOD), la implementación de certificados 802.1X suele resultar inviable. En estos escenarios, un Captive Portal gestionado en la nube e integrado con Microsoft Entra ID a través de SAML 2.0 o OpenID Connect (OIDC) proporciona un flujo de trabajo de incorporación seguro y auditado.

+--------------------+        +--------------------+        +--------------------+
|  Guest / BYOD      |        | Purple Captive     |        | Microsoft Entra ID |
|     Browser        |        | Splash Portal      |        | Login Gateway      |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. HTTP Web Request         |                             |
          |---------------------------->|                             |
          | 2. Redirect to Splash Page  |                             |
          |<----------------------------|                             |
          |                             |                             |
          | 3. Click "Log in with M365" |                             |
          |---------------------------->|                             |
          | 4. SAML / OAuth Auth Request|                             |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. MFA Challenge & Identity Verification (Entra ID)       |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. SAML Assertion / ID Token Issued                       |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. POST Token to Splash Engine                            |
          |---------------------------->|                             |
          |                             | 8. Authorize MAC on WLC     |
          | 9. Internet Access Granted  |<----------------------------|
          |<----------------------------|

Beneficios de seguridad de SSO en el Captive Portal

• Aplicar acceso condicional: Exija la autenticación multifactor (MFA) de Microsoft Entra ID y la aceptación de las Condiciones de uso antes de conceder acceso a la red.
• Caducidad automatizada: Restrinja la duración del acceso de los visitantes (por ejemplo, 8 horas) automáticamente en función de los perfiles de identidad de los invitados.
• Registro de auditoría: Mantenga registros de conexión inmutables que vinculen las direcciones MAC físicas con las direcciones de correo electrónico corporativas de Microsoft Entra ID para las auditorías de cumplimiento.

Refuerzo de la seguridad WiFi corporativa: modo WPA3-Enterprise de 192 bits

Al configurar la autenticación WiFi de Microsoft Entra ID, los arquitectos de red deben configurar WPA3-Enterprise para protegerse contra vectores de ataque inalámbricos sofisticados:

• Modo de seguridad de 192 bits (CNSA Suite): Implementa el cifrado Galois/Counter Mode Protocol de 256 bits (GCMP-256) y la derivación de claves HMAC-SHA-384 de 384 bits.
• Tramas de gestión protegidas (PMF / IEEE 802.11w): Evita que los actores maliciosos suplanten las direcciones MAC de los puntos de acceso para enviar tramas falsas de desautenticación y desasociación.
• Eliminación de cifrados heredados: Desaprueba por completo las suites WEP, TKIP y WPA2-TKIP no reforzadas.

Solución de problemas de fallos de autenticación WiFi 802.1X en Entra ID

Cuando los dispositivos de los clientes no logren autenticarse, consulte esta guía de diagnóstico sistemático:

1. Fallo en el protocolo de enlace EAP-TLS: CA desconocida o certificado no fiable

• Síntoma: El cliente no se conecta; el registro de RADIUS muestra TLS Alert: unknown_ca (48).
• Causa raíz: El dispositivo cliente no confía en el certificado del servidor RADIUS, o el servidor RADIUS no dispone de la CA raíz que emitió el certificado del cliente.
• Resolución:
  1. Confirme que el perfil de certificado de confianza de Intune ha implementado la CA raíz en el dispositivo cliente.
  2. En el perfil de WiFi de Intune, verifique que el nombre del servidor en la lista blanca de Server Names coincide exactamente con el Nombre común (CN) o el Nombre alternativo del sujeto (SAN) del certificado del servidor RADIUS.
  3. Asegúrese de que la cadena de certificados completa (CA raíz + CA intermedias) se haya importado en el almacén de confianza de certificados de Cloud RADIUS.

2. RADIUS Access-Reject: Cuenta de usuario deshabilitada o discordancia en la pertenencia al grupo

• Síntoma: El servidor RADIUS recibe la solicitud pero devuelve Access-Reject con el error User account not found or disabled.
• Causa raíz: La cuenta de usuario está deshabilitada en Microsoft Entra ID, o el usuario no es miembro del grupo de seguridad de Entra autorizado.
• Resolución:
  1. Inspeccione el objeto de usuario en el centro de administración de Microsoft Entra (entra.microsoft.com) para verificar que el estado de la cuenta esté activo.
  2. Verifique los permisos de la aplicación empresarial Cloud RADIUS en Entra ID (User.Read.All, GroupMember.Read.All).
  3. Compruebe la latencia de sincronización del directorio si el usuario se ha añadido recientemente a un nuevo grupo de seguridad.

3. La asignación dinámica de VLAN no surte efecto

• Síntoma: La autenticación se realiza correctamente, pero el cliente permanece en la VLAN nativa predeterminada en lugar de en la VLAN asignada al departamento.
• Causa raíz: El controlador de LAN inalámbrica (WLC) no tiene activado el AAA Override, o en el puerto troncal del switch falta el ID de la VLAN de destino.
• Resolución:
  1. En los controladores Cisco Catalyst / Aruba, habilite AAA Override y Allow Dynamic VLANs en la configuración de la WLAN.
  2. Verifique que el puerto del switch que se conecta al punto de acceso permita todos los ID de VLAN dinámicos en el troncal 802.1Q (switchport trunk allowed vlan add 10,20,30,40).
  3. Confirme que RADIUS devuelve los tres atributos requeridos: Tunnel-Type = 13, Tunnel-Medium-Type = 6 y Tunnel-Private-Group-ID = <VLAN_ID>.

Resumen y próximos pasos

La integración de Microsoft Entra ID con la red WiFi empresarial crea una capa de acceso a la red resistente y sin contraseñas. Al emparejar la gestión de certificados SCEP de Microsoft Intune con Cloud RADIUS y la asignación dinámica de VLAN, las organizaciones de TI eliminan la deuda de infraestructura local al tiempo que refuerzan su postura de seguridad zero-trust.

Para las organizaciones que gestionan grandes volúmenes de visitantes invitados, contratistas o hardware BYOD junto con flotas corporativas, Purple ofrece una gestión de acceso WiFi en la nube lista para usar, inicio de sesión único con Captive Portal nativo de Entra ID SAML/OAuth y análisis de red en tiempo real en todos los principales proveedores de hardware inalámbrico empresarial.