Autenticación de WiFi con Microsoft Entra ID (Azure AD): Guía de integración empresarial

Resumen Ejecutivo

A medida que las organizaciones de TI empresariales migran la identidad corporativa de Active Directory Domain Services (AD DS) locales a Microsoft Entra ID (anteriormente Azure Active Directory), los arquitectos de redes se enfrentan a un desafío de red fundamental: Microsoft Entra ID no es compatible con la autenticación nativa del protocolo RADIUS.

Las redes inalámbricas empresariales heredadas dependen de IEEE 802.1X con PEAP-MSCHAPv2, consultando instancias locales de Windows Server Network Policy Server (NPS) que validan los hashes de contraseña de NT LAN Manager (NTLM) frente a los controladores de dominio locales. Entra ID nativo de la nube no expone puertos de escucha LDAP (TCP 389) o RADIUS (UDP 1812), ni almacena hashes de contraseña NTLM reversibles o de texto plano para cuentas exclusivamente en la nube.

Para asegurar la red WiFi empresarial con Microsoft Entra ID, las organizaciones deben modernizar su capa de acceso. Esta guía técnica describe los tres patrones de arquitectura probados para conectar Entra ID a redes inalámbricas empresariales:

1. EAP-TLS nativo de la nube a través de Microsoft Cloud PKI y SCEP (Recomendado): Autenticación mutua por certificados sin contraseña, implementada a través de Microsoft Intune.
2. Cloud RADIUS con Entra ID OAuth / Sincronización de Directorio SCIM: Servicio de autenticación en la nube administrado que realiza consultas a la API de Microsoft Graph.
3. NPS local híbrido con extensión Azure MFA: Arquitectura puente para entornos que conservan la infraestructura local de Active Directory.

Comparación Arquitectónica: Métodos de Autenticación WiFi con Entra ID

Antes de seleccionar una ruta de integración, evalúe las capacidades técnicas, la postura de seguridad y los requisitos administrativos de cada modelo:

+----------------------------------------------------------------------------------------------------+
|                             Matriz de Arquitectura WiFi de Microsoft Entra ID                      |
+----------------------------------------------------------------------------------------------------+
| Método               | Protocolo| Tipo de Credencial| Infraestructura Local| Nivel de Seguridad(0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | CA Digital X.509 | Cero (100% Nube)      | 98/100 (Zero Trust)   |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | Cero (100% Nube)      | 88/100 (Enterprise)   |
| 3. NPS Híbrido + MFA | PEAPv0   | Usuario/Contrase | Windows Server y NDES | 68/100 (Riesgo Heredo)|
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth  | Cero (100% Nube)      | 85/100 (Guest/BYOD)   |
+----------------------+----------+------------------+-----------------------+-----------------------+

Método 1: EAP-TLS nativo de la nube a través de Microsoft Intune SCEP (Recomendado)

El método EAP-TLS basado en certificados (RFC 5216) representa el estándar de oro para la seguridad inalámbrica empresarial. Al emitir certificados digitales únicos para los endpoints administrados, las organizaciones eliminan las contraseñas compartidas, derrotan las campañas de phishing para el robo de credenciales y cumplen con los estándares de la Arquitectura Zero Trust de NIST SP 800-207.

+------------------+          +------------------------+          +------------------------+
|Dispositivo Admin.|          |  Punto de Acceso WiFi  |          |  Servidor RADIUS Cloud |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |    (Multirregión)      |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. Asoc. 802.1X EAP-TLS        |                                    |
         |------------------------------->|                                    |
         |                                | 2. RADIUS Access-Request (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. Validar cadena cert
         |                                |                                    |    y consultar Graph API
         |                                |                                    |    para estado de cuenta
         |                                | 4. RADIUS Access-Accept            |
         |                                |    (Atributos VLAN RFC 2868)       |
         |                                |<-----------------------------------|
         | 5. Handshake de 4 vías 802.11  |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ Sesión cifrada establecida (WPA3-Enterprise de 192 bits) ]

Flujo de trabajo de despliegue de Intune SCEP

1. Configuración de la Autoridad de Certificación: Establezca una CA emisora utilizando Microsoft Cloud PKI en Microsoft Intune o una CA en la nube integrada (como SCEPman, EZCA o Cloud RADIUS PKI).
2. Perfil de Certificado de Confianza: Despliegue los certificados públicos de la CA Raíz y la CA Intermedia en todos los grupos de dispositivos Windows 11, macOS, iOS y Android de destino.
3. Configuración de Perfil SCEP:
   • Tipo de Certificado: Certificado de Usuario o de Dispositivo.
   • Formato del Nombre del Sujeto: CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • Nombre Alternativo del Sujeto (SAN): UserPrincipalName = {{UserPrincipalName}} y DNS = {{AADDeviceId}}
   • Uso de Clave: Firma digital, cifrado de clave.
   • Proveedor de Almacenamiento de Claves (KSP): Preferiblemente TPM (fuerza el uso de claves privadas respaldadas por hardware).
4. Perfil de Configuración WiFi:
   • Tipo de WiFi: Enterprise.
   • Tipo de EAP: EAP-TLS.
   • Confianza del Servidor: Seleccione el certificado desplegado de la CA Raíz de Confianza.
   • Server Names: Ingrese el nombre de dominio totalmente calificado (FQDN) del servidor Cloud RADIUS (por ejemplo, radius.purple.ai).
   • Authentication Identity: Certificado de usuario o de máquina.

Método 2: Cloud RADIUS con OAuth de Entra ID y sincronización de directorio SCIM

Para las organizaciones que buscan una gestión de directorio centralizada sin tener que administrar CA privadas, Cloud RADIUS proporciona un puente administrado entre los controladores inalámbricos y la Microsoft Graph API.

Cómo se integra Cloud RADIUS con Microsoft Entra ID

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Cloud RADIUS Engine|        | Microsoft Entra ID |
|   Access Points    |        | (Purple Platform)  |        |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Consulta Graph API      |
          |                             |     (Verifica usuario       |
          |                             |      activo, membresías     |
          |                             |      de grupo, acceso       |
          |                             |      condicional)           |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. Respuesta JSON          |
          |                             |     (Estado: Activo,        |
          |                             |      Grupos: [SG-Finance])  |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Ventajas clave de Cloud RADIUS

• Cero hardware local: Elimina la adquisición de servidores físicos, el licenciamiento de Windows Server y el mantenimiento anual de parches del sistema operativo.
• Sincronización de directorio en tiempo real: Si un empleado deja la empresa o se deshabilita en Entra ID, su acceso inalámbrico se revoca de inmediato en todos los sitios globales.
• Redundancia multirregión: El enrutamiento IP Anycast reenvía las solicitudes de autenticación al centro de datos geográfico con menor latencia con conmutación por error automática.

Asignación dinámica de VLAN mediante grupos de seguridad de Entra ID

La asignación dinámica de VLAN permite a los administradores de red transmitir un único SSID corporativo mientras colocan automáticamente los dispositivos en segmentos de red aislados según las funciones de los usuarios y las afiliaciones de los departamentos.

+-----------------------------------------------------------------------------------+
|                     Grupo de Seguridad de Microsoft Entra ID                      |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ Política Cloud RADIUS ]      [ Política Cloud RADIUS ]          [ Política Cloud RADIUS ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868:               RADIUS RFC 2868:                   RADIUS RFC 2868:
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (VLAN 10 de Ejecutivos Corp)   (VLAN 20 Subred de Ingeniería)     (VLAN 30 DMZ de Contratistas)

Atributos estándar de RADIUS requeridos (RFC 2868)

Cuando el servidor Cloud RADIUS aprueba una solicitud de autenticación, incluye tres atributos estándar en el paquete Access-Accept:

Inicio de Sesión Único (SSO) en Captive Portal para Invitados, BYOD y Contratistas

Para visitantes invitados, proveedores y dispositivos personales de empleados no gestionados (BYOD), la implementación de certificados 802.1X suele ser poco práctica. En estos escenarios, un Captive Portal gestionado en la nube e integrado con Microsoft Entra ID a través de SAML 2.0 o OpenID Connect (OIDC) proporciona un flujo de trabajo de incorporación seguro y auditado.

+--------------------+        +--------------------+        +--------------------+
|  Navegador de      |        | Portal de Bienvenida|        | Pasarela de Acceso |
|  Invitado / BYOD   |        | Purple Captive     |        | Microsoft Entra ID |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. Solicitud Web HTTP       |                             |
          |---------------------------->|                             |
          | 2. Redirección a Splash Page|                             |
          |<----------------------------|                             |
          |                             |                             |
          | 3. Clic en "Iniciar sesión con M365"                      |
          |---------------------------->|                             |
          | 4. Solicitud de Auth SAML / OAuth                         |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. Desafío MFA y Verificación de Identidad (Entra ID)     |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. Emisión de Aserción SAML / Token de ID                 |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. Envío de Token POST a Splash Engine                    |
          |---------------------------->|                             |
          |                             | 8. Autorizar MAC en WLC     |
          | 9. Acceso a Internet Concedido|<---------------------------|
          |<----------------------------|

Beneficios de seguridad de SSO en Captive Portal

• Aplicar acceso condicional: Exija la autenticación multifactor (MFA) de Microsoft Entra ID y la aceptación de los Términos de uso antes de conceder el acceso a la red.

• Expiración automatizada: Restrinja la duración del acceso de los visitantes (por ejemplo, 8 horas) de forma automática en función de los perfiles de identidad de los invitados.

• Registro de auditoría: Mantenga registros de conexión inmutables que vinculen las direcciones MAC físicas con las direcciones de correo electrónico corporativas de Microsoft Entra ID para las auditorías de cumplimiento.

Reforzamiento de la seguridad de WiFi empresarial: modo WPA3-Enterprise de 192 bits

Al configurar la autenticación WiFi de Microsoft Entra ID, los arquitectos de red deben configurar WPA3-Enterprise para protegerse contra vectores de ataque inalámbricos sofisticados:

• Modo de seguridad de 192 bits (CNSA Suite): Implementa el cifrado Galois/Counter Mode Protocol de 256 bits (GCMP-256) y la derivación de claves HMAC-SHA-384 de 384 bits.

• Tramas de gestión protegidas (PMF / IEEE 802.11w): Evita que actores maliciosos suplanten las direcciones MAC de los puntos de acceso para enviar tramas falsas de desautenticación y desasociación.

• Eliminación de cifrados heredados: Desaprueba por completo las suites WEP, TKIP y WPA2-TKIP no reforzadas.

Solución de problemas de fallas de autenticación WiFi 802.1X en Entra ID

Cuando los dispositivos cliente no logren autenticarse, consulte esta guía de diagnóstico sistemático:

1. Falla en el protocolo de enlace EAP-TLS: CA desconocida o certificado no confiable

• Síntoma: El cliente no logra conectarse; el registro de RADIUS muestra TLS Alert: unknown_ca (48).
• Causa raíz: El dispositivo cliente no confía en el certificado del servidor RADIUS, o el servidor RADIUS no tiene la CA raíz que emitió el certificado del cliente.
• Solución:
  1. Confirme que el perfil de certificado de confianza de Intune haya distribuido la CA raíz al dispositivo cliente.
  2. En el perfil de WiFi de Intune, verifique que el nombre del servidor en la lista blanca de Server Names coincida exactamente con el Common Name (CN) o el Subject Alternative Name (SAN) del certificado del servidor RADIUS.
  3. Asegúrese de que la cadena de certificados completa (CA raíz + CA intermedias) esté importada en el almacén de confianza de certificados de Cloud RADIUS.

2. RADIUS Access-Reject: Cuenta de usuario deshabilitada o discordancia en la membresía del grupo

• Síntoma: El servidor RADIUS recibe la solicitud pero devuelve Access-Reject con el error User account not found or disabled.
• Causa raíz: La cuenta de usuario está deshabilitada en Microsoft Entra ID, o el usuario no es miembro del grupo de seguridad de Entra autorizado.
• Solución:
  1. Inspeccione el objeto de usuario en el centro de administración de Microsoft Entra (entra.microsoft.com) para verificar que el estado de la cuenta esté activo.
  2. Verifique los permisos de la aplicación empresarial Cloud RADIUS en Entra ID (User.Read.All, GroupMember.Read.All).
  3. Compruebe la latencia de sincronización del directorio si el usuario se agregó recientemente a un nuevo grupo de seguridad.

3. La asignación dinámica de VLAN no surte efecto

• Síntoma: La autenticación se realiza con éxito, pero el cliente permanece en la VLAN nativa predeterminada en lugar de la VLAN asignada para su departamento.
• Causa raíz: El controlador de LAN inalámbrica (WLC) no ha habilitado el AAA Override, o el puerto troncal del switch no tiene el ID de la VLAN de destino.
• Solución:
  1. En los controladores Cisco Catalyst / Aruba, habilite AAA Override y Allow Dynamic VLANs en la configuración de la WLAN.
  2. Verifique que el puerto del switch que se conecta al punto de acceso permita todos los ID de VLAN dinámicos en el troncal 802.1Q (switchport trunk allowed vlan add 10,20,30,40).
  3. Confirme que RADIUS devuelva los tres atributos requeridos: Tunnel-Type = 13, Tunnel-Medium-Type = 6 y Tunnel-Private-Group-ID = <VLAN_ID>.

Resumen y siguientes pasos

La integración de Microsoft Entra ID con el WiFi empresarial crea una capa de acceso a la red resistente y sin contraseñas. Al emparejar la gestión de certificados SCEP de Microsoft Intune con Cloud RADIUS y la asignación dinámica de VLAN, las organizaciones de TI eliminan la deuda de infraestructura local al tiempo que refuerzan su postura de seguridad zero-trust.

Para las organizaciones que gestionan grandes volúmenes de visitantes invitados, contratistas o hardware BYOD junto con flotas corporativas, Purple ofrece una gestión de acceso WiFi en la nube lista para usar, inicio de sesión único con Captive Portal nativo mediante SAML/OAuth de Entra ID y análisis de red en tiempo real para los principales proveedores de hardware inalámbrico empresarial.