Cómo configurar Azure Entra ID (Azure AD) para la autenticación de WiFi

Resumen Ejecutivo

Para los CTO y arquitectos de red que gestionan entornos complejos —desde espacios de Hospitality a gran escala hasta entornos dinámicos de Retail — proteger la red corporativa ya no es solo cuestión de contraseñas seguras. Las claves precompartidas (PSK) heredadas y la autenticación básica de credenciales son fundamentalmente incompatibles con las arquitecturas modernas de zero-trust.

Esta guía detalla la transición a la autenticación WiFi basada en certificados 802.1X integrada directamente con Azure Entra ID (anteriormente Azure AD). Al migrar a EAP-TLS (Protocolo de Autenticación Extensible con Seguridad de la Capa de Transporte), las organizaciones pueden eliminar los riesgos asociados con el robo de credenciales, automatizar la incorporación de dispositivos a través de la gestión de dispositivos móviles (MDM) y garantizar que solo los dispositivos gestionados y conformes puedan acceder a las VLAN corporativas sensibles. Exploraremos la arquitectura técnica, los pasos de implementación y cómo esta postura de seguridad corporativa corre en paralelo con las estrategias de red de invitados gestionadas por plataformas como Purple.

Análisis Técnico Profundo

El Cambio de Credenciales a Certificados

Históricamente, el WiFi empresarial dependía de PEAP-MSCHAPv2, lo que requería que los usuarios ingresaran sus credenciales de dominio. Sin embargo, Microsoft está descontinuando activamente la autenticación basada en credenciales debido a su vulnerabilidad a los ataques de adversario en el medio (AiTM). El estándar de la industria ahora es EAP-TLS, que utiliza autenticación mutua por certificados.

In una implementación EAP-TLS, tanto el servidor RADIUS como el dispositivo cliente presentan certificados digitales. Si un dispositivo carece de un certificado válido emitido por su Autoridad de Certificación (CA) de confianza, el servidor RADIUS rechaza la conexión antes de que el dispositivo obtenga siquiera una dirección IP.

El Puente Arquitectónico: RADIUS y Entra ID

Azure Entra ID es un proveedor de identidad (IdP) en la nube que utiliza protocolos modernos como SAML y OIDC; no habla de forma nativa RADIUS, el protocolo utilizado por los puntos de acceso inalámbricos (WAP). Para cerrar esta brecha, los arquitectos de red deben implementar un servidor RADIUS que pueda comunicarse con Entra ID. Esto se logra típicamente a través de:

1. Soluciones RADIUS en la Nube: Plataformas diseñadas específicamente (por ejemplo, SecureW2, SCEPman o Portnox) que se integran directamente con Entra ID e Intune a través de API.
2. Servidor de Políticas de Red (NPS) Local: Utilizando la extensión Azure MFA, aunque esto se considera cada vez más como un enfoque heredado en comparación con RADIUS nativo de la nube.

Guía de Implementación

La implementación de Azure Entra ID para la autenticación WiFi requiere la coordinación entre los equipos de identidad, gestión de dispositivos e infraestructura de red.

Paso 1: Establecer la Infraestructura de Clave Pública (PKI)

Debe establecer una CA para emitir certificados de cliente y servidor. En un entorno que prioriza la nube, esto suele ser una PKI en la nube integrada con Microsoft Intune a través del Protocolo de Inscripción de Certificados Simple (SCEP).

Paso 2: Configurar el Servidor RADIUS

Implemente su infraestructura RADIUS y vincúlela a su inquilino de Entra ID. El servidor RADIUS necesita su propio certificado de servidor, de confianza para sus dispositivos cliente, para demostrar su identidad durante el saludo EAP.

Paso 3: Implementar Perfiles MDM a través de Intune

No dependa de que los usuarios configuren manualmente sus ajustes de WiFi. Utilice Intune para enviar un perfil de WiFi completo que incluya:

• El certificado de la CA raíz de confianza.
• El perfil SCEP para solicitar el certificado de cliente.
• La configuración de WiFi en sí, definiendo explícitamente el SSID y los nombres de servidor exactos de su infraestructura RADIUS para evitar ataques de gemelo malvado.

Paso 4: Configurar el Controlador de LAN Inalámbrica (WLC)

Configure sus puntos de acceso o WLC para usar WPA2/WPA3-Enterprise (802.1X). Dirija el tráfico de autenticación y contabilidad a las nuevas direcciones IP de su servidor RADIUS y configure los secretos compartidos de RADIUS.

> "Al configurar 802.1X, asegúrese de que los valores de tiempo de espera de RADIUS en el WLC sean suficientes para manejar la latencia de la validación de certificados basada en la nube, aumentando típicamente de 2 a 5 segundos." [1]

Mejores Prácticas

• Separar el Tráfico Corporativo y de Invitados: Los dispositivos corporativos deben usar 802.1X vinculado a Entra ID. Los dispositivos de invitados deben usar un SSID abierto con un Captive Portal. Para un acceso de invitados y analíticas robustos, aproveche las soluciones de Guest WiFi . Esto garantiza el aislamiento completo del tráfico no confiable.
• Implementar el Bypass de Autenticación MAC (MAB) con Cuidado: Los dispositivos IoT y el hardware heredado (por ejemplo, escáneres antiguos en centros de Transport ) a menudo no son compatibles con 802.1X. Coloque estos en un SSID separado usando MAB o una PSK dedicada, y restrinja su acceso a la red mediante ACL estrictas.
• Priorizar la Revocación de Certificados: Asegúrese de que sus puntos finales de Lista de Revocación de Certificados (CRL) o del Protocolo de Estado de Certificados en Línea (OCSP) estén altamente disponibles. Si el servidor RADIUS no puede verificar el estado de revocación, la autenticación fallará.

Resolución de Problemas y Mitigación de Riesgos

Cuando las implementaciones fallan, rara vez es culpa del IdP en la nube. Los modos de falla comunes incluyen:

• Desviación del Reloj: EAP-TLS es altamente sensible al tiempo. Asegúrese de que todos los componentes de la infraestructura, especialmente el WLC y los servidores RADIUS, estén sincronizados a través de NTP.
• Retrasos de Sincronización de Intune: Cuando se registra un nuevo dispositivo, puede tomar tiempo para que se emita el certificado SCEP y el dispositivo intente la conexión. Planifique esta latencia durante la incorporación.
• Discrepancia en el Nombre del Servidor Radius: Si el nombre del servidor definido en el perfil de WiFi de Intune no coincide exactamente con el Nombre Común (CN) o el Nombre Alternativo del Sujeto (SAN) en el certificado del servidor RADIUS, el cliente interrumpirá silenciosamente la conexión para protegerse contra APs no autorizados.

Para obtener más información sobre cómo asegurar su infraestructura, consulte nuestra guía sobre cómo Proteger su Red con DNS Sólido y Seguridad .

ROI e Impacto de Negocio

La transición a la autenticación WiFi de Azure Entra ID ofrece retornos medibles:

1. Reducción de Gastos Operativos de Soporte: Eliminar la autenticación basada en contraseñas reduce drásticamente los tickets relacionados con bloqueos de contraseñas y actualizaciones de credenciales de WiFi.
2. Aceleración del Cumplimiento: EAP-TLS proporciona la prueba criptográfica de identidad requerida por marcos como PCI DSS e ISO 27001, crucial para entornos de Cuidado de la Salud y retail.
3. Bajas Automatizadas: Cuando un empleado se va, deshabilitar su cuenta en Entra ID revoca de inmediato su acceso a la red en todas las ubicaciones, mitigando las amenazas internas.

Al asegurar la red corporativa, los equipos de TI pueden enfocarse en iniciativas que generen ingresos, como aprovechar WiFi Analytics para comprender el comportamiento de los visitantes e impulsar el engagement.

Referencias

[1] Microsoft Learn. (2023). Secure Wi-Fi access with Intune and EAP-TLS.