Cómo configurar WPA2-Enterprise en plataformas comunes de puntos de acceso (Cisco, Aruba, Ubiquiti)

Cómo configurar WPA2-Enterprise en plataformas comunes de puntos de acceso: Cisco, Aruba y Ubiquiti Una sesión informativa de Purple WiFi Intelligence [INTRO — aproximadamente 1 minuto] Le damos la bienvenida a la serie Purple WiFi Intelligence. Soy su anfitrión y hoy iremos directo al grano en uno de los temas más solicitados por nuestros clientes empresariales: cómo configurar WPA2-Enterprise en las tres plataformas de puntos de acceso más utilizadas: Cisco, Aruba y Ubiquiti. Ya sea que usted sea el director de TI de un grupo hotelero de 500 habitaciones, el arquitecto de redes de una cadena de retail nacional o el CTO de un operador de centros de convenciones, esta sesión informativa es para usted. No vamos a cubrir teoría solo por cubrirla. Vamos a guiarle a través de lo que necesita saber para tomar una decisión de implementación, ejecutarla correctamente y evitar los errores comunes que complican incluso a los equipos con más experiencia. Comencemos. [INMERSIÓN TÉCNICA PROFUNDA — aproximadamente 5 minutos] Primero, establezcamos una base rápida sobre qué es realmente WPA2-Enterprise, porque todavía existe una cantidad sorprendente de confusión en el mercado entre WPA2-Personal y WPA2-Enterprise; y la distinción es enormemente importante para el cumplimiento normativo y la postura de riesgo. WPA2-Personal (la versión con la que la mayoría de la gente está familiarizada) utiliza una única clave precompartida. Todos en la red utilizan la misma contraseña. Eso está bien para una red doméstica. Pero categóricamente no es aceptable para un entorno empresarial donde se requiere autenticación por usuario, registros de auditoría y la capacidad de revocar el acceso al instante. WPA2-Enterprise, definido bajo la norma IEEE 802.1X, reemplaza esa clave compartida con un intercambio de autenticación individual. Cada usuario o dispositivo presenta sus propias credenciales (ya sea un nombre de usuario y contraseña, un certificado digital o un token) y esas credenciales son validadas por un servidor RADIUS antes de que se conceda el acceso a la red. El punto de acceso en sí nunca ve las credenciales. Actúa puramente como un autenticador, pasando el intercambio EAP (Extensible Authentication Protocol) entre el cliente y el servidor RADIUS. Esta es una arquitectura fundamentalmente más segura y es el requisito básico para el cumplimiento de PCI-DSS en cualquier entorno que maneje datos de tarjetas de pago, además de ser altamente recomendado bajo GDPR para organizaciones que procesan datos personales a través de redes inalámbricas. Ahora, hablemos de las tres plataformas. Comenzando con Cisco. El portafolio de WiFi empresarial de Cisco - principalmente las líneas Catalyst y Meraki - es la opción habitual para implementaciones a gran escala. Cisco DNA Center proporciona una gestión de políticas centralizada, y el panel de Meraki ofrece una simplicidad administrada desde la nube para propiedades distribuidas. Para configurar WPA2-Enterprise en un punto de acceso Cisco Catalyst, trabajará a través del WLC - Wireless LAN Controller - o de DNA Center. Los pasos clave son: definir su servidor RADIUS en Security, luego AAA, después RADIUS Authentication Servers; crear un nuevo perfil WLAN; establecer la política de seguridad en WPA2 con 802.1X como método de gestión de claves; y vincular el servidor RADIUS a esa WLAN. Un punto crítico en Cisco: asegúrese de configurar el registro de RADIUS (accounting) además de la autenticación. El registro le brinda el historial de auditoría por sesión que requieren los marcos de cumplimiento. En Meraki, el proceso es aún más sencillo: navegue a Wireless, luego a SSIDs, seleccione su SSID de destino, establezca la seguridad en WPA2-Enterprise con mi servidor RADIUS e ingrese la IP de su servidor RADIUS, el puerto - típicamente 1812 para autenticación y 1813 para registro - y el secreto compartido. Meraki también admite pruebas de RADIUS directamente desde el panel, lo cual es invaluable durante la puesta en marcha. Pasando a Aruba. Aruba Networks, ahora parte de HPE, es la opción dominante en hotelería y educación superior. Aruba Central proporciona gestión en la nube y ArubaOS es la plataforma subyacente. En Aruba, la configuración de WPA2-Enterprise reside dentro del perfil SSID. Definirá un perfil AAA que haga referencia a su servidor RADIUS, luego adjuntará ese perfil AAA a su perfil de AP virtual. Vale la pena mencionar específicamente ClearPass Policy Manager de Aruba: es el motor de políticas y RADIUS propio de Aruba, y agrega una capacidad significativa en torno al perfilado de dispositivos, el control de acceso basado en roles y el registro de invitados. Si opera un entorno mixto con personal, contratistas e invitados conectándose a la misma infraestructura, ClearPass le brinda la granularidad de políticas para segmentarlos adecuadamente. Para un hotel que implementa WPA2-Enterprise en las redes del personal y operativas mientras ejecuta una solución de WiFi para invitados independiente a través de una plataforma como Purple, la segmentación de SSID de Aruba combinada con ClearPass para la autenticación del personal es una arquitectura muy limpia. Ahora Ubiquiti. La plataforma UniFi de Ubiquiti ha ganado una tracción significativa en el mercado de las PYMES y el mercado medio - y cada vez más en la hotelería boutique y el comercio minorista - debido a su precio competitivo y a una interfaz de administración genuinamente capaz. UniFi Network Controller es el lugar donde hará el trabajo pesado. Para configurar WPA2-Enterprise en UniFi, navegue a Settings, luego a WiFi, cree o edite su SSID, configure la seguridad en WPA2 Enterprise y configure su perfil de RADIUS - de nuevo, dirección IP, puerto de autenticación 1812, puerto de contabilidad 1813 y el shared secret. Una consideración importante con Ubiquiti: no viene con un servidor RADIUS integrado de la misma manera que lo hacen algunas plataformas empresariales. Necesitará un servidor RADIUS externo - ya sea Windows Server NPS, FreeRADIUS o un servicio de RADIUS en la nube. Esto no es una limitación en sí, sino una dependencia que debe planificarse. Para implementaciones más pequeñas, la UniFi Network Application sí incluye un servidor RADIUS básico, pero para entornos de producción siempre recomendaría una instancia de RADIUS dedicada. En las tres plataformas, la selección del método EAP merece atención. PEAP con MSCHAPv2 es el método más implementado porque funciona con credenciales de Active Directory sin requerir certificados del lado del cliente. EAP-TLS es más seguro - utiliza autenticación de certificado mutuo - pero requiere una infraestructura PKI y el despliegue de certificados en cada dispositivo cliente, lo que añade sobrecarga operativa. Para la mayoría de las implementaciones empresariales, PEAP-MSCHAPv2 con un servidor RADIUS configurado correctamente y validación de certificados en el lado del cliente es el equilibrio adecuado entre seguridad y manejabilidad operativa. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - aproximadamente 2 minutos] Ahora permítame detallar los tres modos de falla más comunes que veo en las implementaciones de WPA2-Enterprise y cómo evitarlos. Número uno: disponibilidad del servidor RADIUS. Su servidor RADIUS ahora está en la ruta crítica para cada autenticación inalámbrica. Si se cae, nadie puede conectarse. Esto significa que necesita redundancia de RADIUS - como mínimo un servidor RADIUS primario y secundario configurado en cada punto de acceso. La mayoría de las plataformas admiten esto de forma nativa. En Cisco, puede configurar grupos de servidores RADIUS con failover. En Aruba, el perfil AAA admite múltiples servidores RADIUS con valores de reintento y tiempo de espera configurables. En Ubiquiti, puede especificar un servidor RADIUS secundario en el perfil de RADIUS. No se salte este paso. Número dos: validación de certificados. Una proporción sorprendentemente alta de las implementaciones que reviso tienen dispositivos cliente configurados para aceptar cualquier certificado de servidor RADIUS. Esto debilita por completo el modelo de seguridad; lo expone a ataques de gemelo malvado donde un punto de acceso no autorizado suplanta su red y recopila credenciales. Configure el certificado de su servidor RADIUS desde una CA de confianza y configure sus suplicantes de cliente para validar ese certificado. En Windows, esto se realiza a través de Group Policy. En iOS y Android, se gestiona a través de perfiles MDM. Esto no es negociable para cualquier entorno que maneje datos sensibles. Número tres: asignación de VLAN. WPA2-Enterprise permite la asignación dinámica de VLAN: el servidor RADIUS puede devolver un atributo VLAN en el mensaje Access-Accept, colocando a cada usuario autenticado en el segmento de red adecuado según su identidad o rol. Esta es una de las características más potentes de la arquitectura 802.1X, y con frecuencia se deja sin configurar. Si opera un establecimiento con personal, administración y dispositivos IoT en la misma infraestructura física, la asignación dinámica de VLAN es la forma en que aplica la segmentación de red sin gestionar múltiples SSIDs. En cuanto a la integración con Purple: si está implementando WPA2-Enterprise para su personal y redes operativas, y ejecutando la plataforma de WiFi para invitados de Purple para la conectividad de los visitantes, estos dos sistemas coexisten sin problemas. Purple gestiona la autenticación de invitados, la captura de datos y la capa de analíticas - incluyendo las analíticas de WiFi e inteligencia de afluencia que los operadores de establecimientos utilizan para decisiones operativas - mientras que su infraestructura WPA2-Enterprise protege la red corporativa. La clave es una separación clara de SSID y VLAN a nivel de punto de acceso, lo cual es compatible con las tres plataformas. [Preguntas y respuestas rápidas - aproximadamente 1 minuto] Permítame repasar rápidamente algunas preguntas que surgen con regularidad. ¿Puedo ejecutar WPA2-Enterprise y una red de invitados en los mismos puntos de acceso? Sí, absolutamente. Las tres plataformas admiten múltiples SSIDs por radio, cada uno con políticas de seguridad independientes. Su SSID corporativo ejecuta WPA2-Enterprise; su SSID de invitados puede ejecutarse a través del Captive Portal de Purple con el aislamiento adecuado. ¿Necesito reemplazar mis puntos de acceso existentes para implementar WPA2-Enterprise? Casi con seguridad que no. WPA2-Enterprise ha sido compatible con puntos de acceso de calidad empresarial durante más de una década. Si su hardware tiene menos de ocho años y ejecuta el firmware actual, admitirá 802.1X. ¿Cuál es la diferencia entre WPA2-Enterprise y WPA3-Enterprise? WPA3-Enterprise añade un modo de seguridad de 192 bits utilizando criptografía Suite B, que es relevante para entornos gubernamentales y de defensa. Para la mayoría de las implementaciones comerciales, WPA2-Enterprise con métodos EAP sólidos sigue siendo el estándar. Vale la pena planificar la transición a WPA3 para nuevas implementaciones, pero no es una migración urgente para la mayoría de las organizaciones. ¿Es el RADIUS en la nube una opción viable? Sí, y cada vez más. Los servicios como Cisco ISE en la nube, Aruba ClearPass como servicio, o las opciones de terceros como JumpCloud y Foxpass proporcionan RADIUS como servicio administrado, lo que elimina la sobrecarga de infraestructura. Para propiedades distribuidas - piense en una cadena de retail con 200 ubicaciones - el RADIUS en la nube puede reducir significativamente la complejidad operativa. [RESUMEN Y PRÓXIMOS PASOS - aproximadamente 1 minuto] Para concluir: WPA2-Enterprise es el estándar básico no negociable para cualquier implementación inalámbrica empresarial. El proceso de configuración en Cisco, Aruba y Ubiquiti sigue el mismo patrón fundamental - defina su servidor RADIUS, cree su SSID con gestión de claves 802.1X, seleccione su método EAP y realice pruebas antes de ponerlo en marcha. Las diferencias radican en las interfaces de administración y las herramientas del ecosistema alrededor de cada plataforma. Las tres cosas que debe hacer bien: redundancia RADIUS, validación de certificados en los clientes y asignación dinámica de VLAN. Logre configurar correctamente esas tres y tendrá una postura de seguridad inalámbrica sólida, de conformidad y auditable. Para sus próximos pasos: si está evaluando plataformas, utilice el marco de comparación de proveedores en la guía complementaria. Si está listo para la implementación, las guías paso a paso de configuración para cada plataforma se encuentran en la sección de implementación. Y si está pensando en cómo encaja el WiFi para invitados junto con su red empresarial, la documentación de la plataforma Purple cubre la arquitectura de integración en detalle. Gracias por escuchar. Nos vemos en la próxima sesión informativa.