Cómo configurar WPA2-Enterprise en plataformas comunes de puntos de acceso (Cisco, Aruba, Ubiquiti)

Cómo configurar WPA2-Enterprise en plataformas de puntos de acceso comunes: Cisco, Aruba y Ubiquiti Una sesión informativa de Purple WiFi Intelligence [INTRODUCCIÓN - aproximadamente 1 minuto] Le damos la bienvenida a las series Purple WiFi Intelligence. Soy su anfitrión y hoy iremos directos al grano con uno de los temas más solicitados por nuestros clientes de empresa: cómo configurar WPA2-Enterprise en las tres plataformas de puntos de acceso más utilizadas: Cisco, Aruba y Ubiquiti. Tanto si es el director de TI de un grupo hotelero con 500 habitaciones, el arquitecto de redes de una cadena nacional de tiendas o el director de tecnología de un operador de centros de conferencias, esta sesión informativa es para usted. No nos detendremos en la teoría por el simple hecho de explicarla. Vamos a analizar detalladamente todo lo que necesita saber para tomar una decisión sobre la implementación, ejecutarla correctamente y evitar los problemas habituales en los que suelen caer incluso los equipos con experiencia. Comencemos. [ANÁLISIS TÉCNICO DETALLADO - aproximadamente 5 minutos] En primer lugar, hagamos una breve aclaración sobre qué es realmente WPA2-Enterprise, ya que todavía existe una cantidad sorprendente de confusión en el mercado entre WPA2-Personal y WPA2-Enterprise, y esta diferencia es enormemente importante para el cumplimiento y la postura ante el riesgo. WPA2-Personal (la versión con la que la mayoría de la gente está familiarizada) utiliza una única clave precompartida. Todos los usuarios de la red utilizan la misma contraseña. Esto es adecuado para una red doméstica, pero es totalmente inaceptable en un entorno empresarial donde se requiere autenticación por usuario, registros de auditoría y la capacidad de revocar el acceso de forma instantánea. WPA2-Enterprise, definido bajo la norma IEEE 802.1X, sustituye esa clave compartida por un proceso de autenticación individual. Cada usuario o dispositivo presenta sus propias credenciales (ya sea un nombre de usuario y contraseña, un certificado digital o un token de seguridad) y un servidor RADIUS valida dichas credenciales antes de conceder el acceso a la red. El punto de acceso en sí nunca ve las credenciales. Actúa estrictamente como autenticador, transmitiendo el intercambio EAP (Extensible Authentication Protocol o protocolo de autenticación extensible) entre el cliente y el servidor RADIUS. Esta es una arquitectura fundamentalmente más segura y constituye el requisito básico para cumplir con la norma PCI-DSS en cualquier entorno que gestione datos de tarjetas de pago, además de estar firmemente recomendado en el marco del GDPR para las organizaciones que procesan datos personales a través de redes inalámbricas. Ahora, hablemos de las tres plataformas. Empezando por Cisco. La cartera de WiFi empresarial de Cisco - principalmente las líneas Catalyst y Meraki - es la opción de referencia para implementaciones a gran escala. Cisco DNA Center proporciona una gestión centralizada de políticas, y el panel de control de Meraki ofrece la simplicidad de la gestión en la nube para entornos distribuidos. Para configurar WPA2-Enterprise en un punto de acceso Cisco Catalyst, deberá trabajar a través del WLC - Wireless LAN Controller - o de DNA Center. Los pasos clave son: definir su servidor RADIUS en Security, luego AAA, y después RADIUS Authentication Servers; crear un nuevo perfil de WLAN; establecer la política de seguridad en WPA2 con 802.1X como método de gestión de claves; y vincular el servidor RADIUS a esa WLAN. Un punto crítico en Cisco: asegúrese de configurar el registro de actividad (accounting) de RADIUS además de la autenticación. El registro de actividad le proporciona la pista de auditoría por sesión que requieren los marcos de cumplimiento normativo. En Meraki, el proceso es aún más sencillo: navegue a Wireless, luego a SSIDs, seleccione su SSID de destino, establezca la seguridad en WPA2-Enterprise con su servidor RADIUS e introduzca la IP de su servidor RADIUS, el puerto - normalmente 1812 para autenticación y 1813 para registro de actividad - y el secreto compartido. Meraki también admite pruebas de RADIUS directamente desde el panel de control, lo cual es de gran valor durante la puesta en marcha. Pasando a Aruba. Aruba Networks, que ahora forma parte de HPE, es la opción dominante en el sector hotelero y en la educación superior. Aruba Central proporciona gestión en la nube y ArubaOS es la plataforma subyacente. En Aruba, la configuración de WPA2-Enterprise reside dentro del perfil SSID. Definirá un perfil AAA que haga referencia a su servidor RADIUS y, a continuación, asociará ese perfil AAA a su perfil de AP virtual. Vale la pena mencionar específicamente el ClearPass Policy Manager de Aruba: es el motor de políticas y RADIUS propio de Aruba, y añade una capacidad significativa en torno al perfilado de dispositivos, el control de acceso basado en roles y la incorporación de invitados. Si tiene un entorno mixto con personal, contratistas e invitados que se conectan a la misma infraestructura, ClearPass le ofrece la granularidad de políticas necesaria para segmentarlos adecuadamente. Para un hotel que implementa WPA2-Enterprise en las redes del personal y de administración mientras ejecuta una solución de WiFi para invitados independiente a través de una plataforma como Purple, la segmentación de SSID de Aruba combinada con ClearPass para la autenticación del personal constituye una arquitectura muy limpia. Ahora pasemos a Ubiquiti. La plataforma UniFi de Ubiquiti ha ganado una tracción significativa en el mercado de las pymes y empresas medianas - y cada vez más en el sector de la hostelería boutique y el comercio minorista - gracias a su precio competitivo y a una interfaz de gestión realmente capaz. UniFi Network Controller es el lugar donde realizará el trabajo pesado. Para configurar WPA2-Enterprise en UniFi, navegue a Settings, luego a WiFi, cree o edite su SSID, establezca la seguridad en WPA2 Enterprise y configure su perfil RADIUS - de nuevo, dirección IP, puerto de autenticación 1812, puerto de contabilidad 1813 y secreto compartido. Una consideración importante con Ubiquiti: no incluye un servidor RADIUS integrado de la misma manera que lo hacen algunas plataformas empresariales. Necesitará un servidor RADIUS externo - ya sea Windows Server NPS, FreeRADIUS o un servicio RADIUS en la nube. Esto no es una limitación en sí, pero es una dependencia que debe planificarse. Para implementaciones más pequeñas, la UniFi Network Application incluye un servidor RADIUS básico, pero para entornos de producción siempre recomendaría una instancia RADIUS dedicada. En las tres plataformas, la selección del método EAP merece especial atención. PEAP con MSCHAPv2 es el método más implantado porque funciona con credenciales de Active Directory sin necesidad de certificados en el lado del cliente. EAP-TLS es más seguro - utiliza autenticación mutua por certificado - pero requiere una infraestructura PKI y el despliegue de certificados en cada dispositivo cliente, lo que añade costes operativos. Para la mayoría de los despliegues empresariales, PEAP-MSCHAPv2 con un servidor RADIUS correctamente configurado y validación de certificados en el lado del cliente ofrece el equilibrio adecuado entre seguridad y facilidad de gestión operativa. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — aproximadamente 2 minutos] Permítame ahora indicarle los tres modos de fallo más comunes que veo en los despliegues de WPA2-Enterprise y cómo evitarlos. Número uno: disponibilidad del servidor RADIUS. Su servidor RADIUS está ahora en la ruta crítica para cada autenticación inalámbrica. Si se cae, nadie podrá conectarse. Esto significa que necesita redundancia RADIUS - como mínimo un servidor RADIUS primario y otro secundario configurados en cada punto de acceso. La mayoría de las plataformas lo admiten de forma nativa. En Cisco, puede configurar grupos de servidores RADIUS con conmutación por error. En Aruba, el perfil AAA admite múltiples servidores RADIUS con valores configurables de reintento y tiempo de espera. En Ubiquiti, puede especificar un servidor RADIUS secundario en el perfil RADIUS. No se salte este paso. Número dos: validación de certificados. Una proporción sorprendentemente alta de los despliegues que reviso tienen dispositivos clientes configurados para aceptar cualquier certificado de servidor RADIUS. Esto socava por completo el modelo de seguridad; le expone a ataques de tipo "evil twin" en los que un punto de acceso malicioso se hace pasar por su red y recopila credenciales. Configure el certificado de su servidor RADIUS desde una CA de confianza y configure sus suplicantes de cliente para que validen ese certificado. En Windows, esto se hace a través de directivas de grupo. En iOS y Android, se gestiona a través de perfiles MDM. Esto no es negociable para cualquier entorno que maneje datos sensibles. Número tres: asignación de VLAN. WPA2-Enterprise permite la asignación dinámica de VLAN; el servidor RADIUS puede devolver un atributo de VLAN en el mensaje Access-Accept, colocando a cada usuario autenticado en el segmento de red adecuado según su identidad o rol. Esta es una de las funciones más potentes de la arquitectura 802.1X, y con frecuencia se deja sin configurar. Si gestiona un recinto con personal, administración y dispositivos IoT en la misma infraestructura física, la asignación dinámica de VLAN es la forma de aplicar la segmentación de red sin tener que gestionar múltiples SSID. Por el lado de la integración de Purple: si está desplegando WPA2-Enterprise para su personal y redes operativas, y ejecutando la plataforma de WiFi para invitados de Purple para la conectividad de los visitantes, estos dos sistemas coexisten a la perfección. Purple gestiona la autenticación de invitados, la captura de datos y la capa de análisis - incluyendo el WiFi analytics y la inteligencia de afluencia que los operadores de recintos utilizan para las decisiones operativas - mientras que su infraestructura WPA2-Enterprise protege la red corporativa. La clave es una separación limpia de SSID y VLAN a nivel de punto de acceso, algo que las tres plataformas soportan. [PREGUNTAS Y RESPUESTAS RÁPIDAS - aproximadamente 1 minuto] Permítame repasar algunas preguntas que surgen con regularidad. ¿Puedo tener WPA2-Enterprise y una red de invitados en los mismos puntos de acceso? Sí, por supuesto. Las tres plataformas admiten múltiples SSID por radio, cada uno con políticas de seguridad independientes. Su SSID corporativo ejecuta WPA2-Enterprise; su SSID de invitados puede funcionar a través del Captive Portal de Purple con el aislamiento adecuado. ¿Necesito sustituir mis puntos de acceso actuales para desplegar WPA2-Enterprise? Casi seguro que no. WPA2-Enterprise ha sido compatible con los puntos de acceso de calidad empresarial durante más de una década. Si su hardware tiene menos de ocho años y ejecuta un firmware actual, será compatible con 802.1X. ¿Cuál es la diferencia entre WPA2-Enterprise y WPA3-Enterprise? WPA3-Enterprise añade el modo de seguridad de 192 bits utilizando criptografía Suite B, que es relevante para entornos gubernamentales y de defensa. Para la mayoría de los despliegues comerciales, WPA2-Enterprise con métodos EAP potentes sigue siendo el estándar. Merece la pena planificar la transición a WPA3 para los nuevos despliegues, pero no es una migración urgente para la mayoría de las organizaciones. ¿Es RADIUS en la nube una opción viable? Sí, y cada vez más. Servicios como Cisco ISE en la nube, Aruba ClearPass como servicio u opciones de terceros como JumpCloud y Foxpass proporcionan RADIUS como un servicio gestionado (RADIUS-as-a-Service), lo que elimina la sobrecarga de infraestructura. Para entornos distribuidos (piense en una cadena de tiendas con 200 ubicaciones), RADIUS en la nube puede reducir significativamente la complejidad operativa. [RESUMEN Y PRÓXIMOS PASOS - aproximadamente 1 minuto] Para resumir: WPA2-Enterprise es el punto de partida no negociable para cualquier despliegue inalámbrico empresarial. El proceso de configuración en Cisco, Aruba y Ubiquiti sigue el mismo patrón fundamental: definir su servidor RADIUS, crear su SSID con gestión de claves 802.1X, seleccionar su método EAP y realizar pruebas antes de la puesta en marcha. Las diferencias radican en las interfaces de gestión y las herramientas del ecosistema de cada plataforma. Las tres cosas que debe hacer bien: redundancia RADIUS, validación de certificados en los clientes y asignación dinámica de VLAN. Si consigue dominar estas tres áreas, dispondrá de una postura de seguridad inalámbrica sólida, conforme a las normativas y auditable. Para sus próximos pasos: si está evaluando plataformas, utilice el marco de comparación de proveedores en la guía adjunta. Si está listo para el despliegue, las guías de configuración paso a paso para cada plataforma se encuentran en la sección de implementación. Y si está pensando en cómo encaja el WiFi de invitados junto a su red empresarial, la documentación de la plataforma Purple cubre la arquitectura de integración en detalle. Gracias por su atención. Nos vemos en la próxima sesión informativa.