Jamf y RADIUS: Autenticación de WiFi Basada en Certificados para Flotas de Dispositivos Apple
Esta guía de referencia técnica proporciona a los gerentes de TI, arquitectos de redes y CTO pasos prácticos para implementar la autenticación WiFi 802.1X basada en certificados para flotas de dispositivos Apple utilizando Jamf Pro y RADIUS. Cubre el flujo de trabajo completo de aprovisionamiento de certificados SCEP, la estructura del perfil de configuración de WiFi, los requisitos de integración de RADIUS y escenarios de implementación del mundo real en entornos empresariales y de atención médica. La guía es esencial para cualquier organización que busque eliminar las vulnerabilidades de WiFi basadas en contraseñas, reducir la carga de trabajo de soporte técnico y lograr el cumplimiento con los estándares de acceso a redes PCI-DSS y GDPR.
Video overview
Escucha esta guía
Ver transcripción del podcast
Parte de nuestra serie principal: Guía de Seguridad WiFi para Empresas →
Resumen ejecutivo
Administrar el acceso seguro a WiFi para una flota de dispositivos Apple en un entorno empresarial presenta un desafío operativo y de seguridad significativo cuando se depende de la autenticación tradicional basada en contraseñas. Los usuarios cambian sus credenciales de Active Directory e inmediatamente sus iPhones, iPads y MacBooks se desconectan de la red, lo que genera tickets de soporte, interrumpe los flujos de trabajo y expone a la organización a ataques basados en credenciales.
Para los administradores de TI, arquitectos de red y Directores de Tecnología (CTO) en hoteles, cadenas de retail, estadios y organizaciones del sector público, la solución es la autenticación 802.1X basada en certificados utilizando EAP-TLS. Al aprovechar Jamf Pro para distribuir certificados criptográficos únicos a través de SCEP (Protocolo de inscripción de certificados simple) e integrarse con un servidor RADIUS, las organizaciones pueden lograr un acceso WiFi impecable y sin contraseñas para cada dispositivo Apple administrado. Esta guía proporciona un enfoque práctico y neutral con respecto al proveedor para implementar la autenticación de certificados WiFi de Jamf RADIUS, lo que garantiza una seguridad sólida, el cumplimiento de estándares como PCI-DSS y GDPR, y una reducción medible en los costos de soporte.
-
Análisis técnico profundo
La arquitectura 802.1X EAP-TLS
La base de la autenticación WiFi basada en certificados es el estándar IEEE 802.1X combinado con el protocolo EAP-TLS (Protocolo de autenticación extensible - Seguridad de la capa de transporte). Para obtener una introducción detallada sobre el estándar 802.1X en sí, consulte nuestra guía sobre Autenticación 802.1X: Protección del acceso a la red en dispositivos modernos.
A diferencia de PEAP (EAP protegido), que depende de un usuario y contraseña, EAP-TLS requiere que tanto el dispositivo cliente como el servidor de autenticación demuestren sus identidades utilizando certificados digitales. Esta autenticación mutua es lo que convierte a EAP-TLS en el estándar de oro para implementaciones empresariales. El modelo de tres partes consta de los siguientes componentes.
| Componente | Rol | Ejemplos |
|---|---|---|
| Suplicante | El dispositivo Apple que solicita acceso a la red | MacBook, iPhone, iPad |
| Autenticador | El dispositivo de borde de red que aplica el control de acceso | Punto de acceso WiFi, WLC |
| Servidor de autenticación | Valida certificados y autoriza el acceso | FreeRADIUS, Cisco ISE, Microsoft NPS |
El Punto de acceso actúa como un guardián, bloqueando todo el tráfico hasta que el servidor RADIUS envía un mensaje Access-Accept. Este es el núcleo del modelo de Control de acceso a la red basado en puertos (PNAC) de IEEE 802.1X.
SCEP y Jamf Pro: Distribución escalable de certificados
El desafío con EAP-TLS a gran escala es la distribución de certificados. Instalar manualmente un certificado único en 500 iPads no es una operación viable. Aquí es donde la integración de Jamf Pro y SCEP Jamf se convierte en el habilitador crítico.
SCEP (Simple Certificate Enrollment Protocol) es un protocolo ligero que permite a un dispositivo solicitar y recibir automáticamente un certificado firmado de una Autoridad de Certificación (CA). Jamf Pro actúa como el orquestador, enviando un Perfil de Configuración a cada dispositivo Apple. Este perfil contiene una carga útil de SCEP que indica al dispositivo que se comunique con el servidor SCEP, proporciona una contraseña de desafío dinámica y especifica los atributos de certificado requeridos, como el Nombre Alternativo del Sujeto (SAN), que normalmente se asigna a la dirección MAC o al número de serie del dispositivo.
El mecanismo de contraseña de desafío dinámica es particularmente importante. En una implementación SCEP integrada con Jamf, Jamf genera una contraseña de desafío única y de un solo uso para cada dispositivo. Esto garantiza que solo los dispositivos inscritos en Jamf Pro - y por lo tanto administrados de forma corporativa - puedan obtener con éxito un certificado de la CA. Este es un control de seguridad crítico que evita que dispositivos no autorizados se inscriban.
Atributos RADIUS para la autenticación de dispositivos Apple
Cuando el servidor RADIUS recibe un Access-Request del Access Point, evalúa varios atributos para tomar su decisión de autorización. Para implementaciones de Apple 802.1X, los atributos RADIUS más relevantes son los siguientes.
| Atributo RADIUS | Descripción | Relevancia para Apple |
|---|---|---|
User-Name (Attr 1) |
La identidad presentada por el suplicante | Normalmente el CN del sujeto o el SAN del certificado |
NAS-IP-Address (Attr 4) |
La IP del Access Point | Se utiliza para políticas específicas de AP |
Called-Station-Id (Attr 30) |
El BSSID y SSID del AP | Permite la aplicación de políticas basadas en SSID |
EAP-Message (Attr 79) |
El paquete EAP encapsulado | Contiene los datos del saludo TLS |
Tunnel-Type (Attr 64) |
Especifica el tipo de asignación de VLAN | Se utiliza para la asignación dinámica de VLAN posterior a la autenticación |
Tunnel-Medium-Type (Attr 65) |
Especifica el medio para el túnel | Requerido para el etiquetado de VLAN 802.1Q |
Tunnel-Private-Group-Id (Attr 81) |
El ID de VLAN a asignar | Permite la segmentación de red basada en roles |
El atributo Tunnel-Private-Group-Id es particularmente potente en implementaciones empresariales. Al devolver diferentes IDs de VLAN según los atributos del certificado (por ejemplo, departamento, tipo de dispositivo), el servidor RADIUS puede segmentar dinámicamente la red sin necesidad de SSIDs separados.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.
Guía de implementación
La implementación de la autenticación WiFi de Apple mediante certificados a través de Jamf Pro sigue una secuencia estructurada. Desviarse de este orden es la causa principal de fallas en las implementaciones.
Paso 1: Establecer la infraestructura de su Autoridad de Certificación
Antes de configurar Jamf, su infraestructura de CA debe estar lista. Para entornos Microsoft, esto suele ser Active Directory Certificate Services (AD CS) con el rol Network Device Enrollment Service (NDES), que actúa como el servidor SCEP. Para entornos que no son de Microsoft, las opciones incluyen EJBCA, HashiCorp Vault PKI o CA basadas en la nube como AWS Private CA.
Asegúrese de que la jerarquía de su CA sea clara: una CA raíz que se mantiene fuera de línea y una o más CA emisoras que firman los certificados de los dispositivos. El servidor RADIUS necesitará su propio certificado firmado por esta misma jerarquía de CA.
Paso 2: Configurar la carga útil SCEP en Jamf Pro
Vaya a Computadoras (o Dispositivos móviles) > Perfiles de configuración > Nuevo. Agregue una carga útil de Certificado y seleccione SCEP como origen del certificado. Los campos críticos son los siguientes:
- URL: El endpoint de SCEP (por ejemplo,
http://ndes.tudominio.com/certsrv/mscep/mscep.dll). - Nombre: Un nombre descriptivo que aparecerá en el llavero del dispositivo.
- Asunto: El nombre distinguido del certificado. Utilice variables de Jamf como
CN=$COMPUTERNAMEpara computadoras oCN=$JSSIDpara dispositivos móviles. - Nombre alternativo del sujeto (SAN): Establezca el tipo de SAN en
RFC 822 Namecon el valor$MACADDRESS@tudominio.com, oDNS Namecon$COMPUTERNAME.tudominio.com. Esto es lo que el servidor RADIUS leerá para identificar el dispositivo. - Tipo de desafío: Seleccione Dinámico para usar el proxy SCEP integrado de Jamf, que genera contraseñas de desafío por dispositivo.
- Tamaño de clave: RSA de 2048 bits como mínimo. Se recomienda 4096 bits para implementaciones nuevas.
- Uso de clave: Habilite tanto Firma como Cifrado.
Paso 3: Configurar la carga útil de WiFi
En el mismo perfil de configuración, agregue una carga útil de WiFi. Los ajustes clave para Apple 802.1X son los siguientes:
- SSID: El nombre exacto de su SSID seguro corporativo.
- Tipo de seguridad: WPA2 Enterprise o WPA3 Enterprise (se recomienda donde el hardware lo admita).
- Protocolos - Tipos de EAP aceptados: Seleccione únicamente TLS. Desactive PEAP, TTLS y todos los demás tipos para imponer exclusivamente EAP-TLS.
- Autenticación - Certificado de identidad: Seleccione la carga útil SCEP que creó en el Paso 2. Este es el vínculo crítico entre el certificado y la conexión WiFi.
- Confianza - Nombres de certificados de servidor de confianza: Ingrese el Nombre común (CN) exacto del certificado de su servidor RADIUS (por ejemplo,
radius.tudominio.com). Este es el elemento de configuración que se pasa por alto con más frecuencia. - Confianza - Certificados de confianza: Suba la CA raíz y cualquier certificado de CA intermedia que haya firmado el certificado del servidor RADIUS.
Paso 4: Configurar el servidor RADIUS
En su servidor RADIUS, cree una política de red que coincida con los atributos del certificado que definió en Jamf. Para NPS de Microsoft, esto significa crear una Política de solicitud de conexión que coincida con el SSID a través del atributo Called-Station-Id, y una Política de red que valide el certificado contra su CA y, opcionalmente, asigne una VLAN a través de los atributos de túnel.
Para FreeRADIUS, configure el módulo eap para usar tls y apunte a su certificado de CA, certificado de servidor y clave privada. El archivo users o el backend SQL debe configurarse para que el SAN del certificado coincida con su inventario de dispositivos.
Paso 5: Definir el alcance y desplegar el perfil
En Jamf Pro, defina el alcance del Perfil de Configuración para los grupos de dispositivos adecuados - por ejemplo, todos los dispositivos en el Grupo Inteligente "Flota Corporativa". El perfil se enviará automáticamente a través de MDM. Los dispositivos que estén en línea lo recibirán en cuestión de minutos; los dispositivos que estén fuera de línea lo recibirán la próxima vez que se registren.
Mejores prácticas
Implemente WPA3 Enterprise siempre que sea posible. WPA3 Enterprise con modo de 192 bits proporciona una fuerza criptográfica mejorada mediante el uso de GCMP-256 y HMAC-SHA-384, lo que ofrece una protección significativamente más sólida que WPA2 Enterprise. Para entornos de Hospitality y organizaciones de Healthcare que manejan datos confidenciales, esta actualización es cada vez más un requisito de cumplimiento normativo en lugar de una simple mejor práctica.
Aproveche los certificados basados en dispositivos para hardware compartido. Para dispositivos compartidos - como iPads de punto de venta en retail, tablets de conserjería de hoteles o dispositivos clínicos - utilice certificados vinculados al dispositivo en lugar de certificados vinculados al usuario. Esto garantiza que el dispositivo se conecte a la red al arrancar, antes de que cualquier usuario inicie sesión, lo que permite que los registros de MDM, las actualizaciones de aplicaciones y las notificaciones push funcionen correctamente. Esta es una consideración crítica para los despliegues de Retail donde los dispositivos se pueden compartir entre turnos.
Integre el acceso a la red con su postura de seguridad general. Mientras el personal utiliza 802.1X para un acceso interno seguro, asegúrese de que sus redes públicas se gestionen a través de una sólida solución de Guest WiFi para mantener una separación clara del tráfico. Combinar la autenticación de personal basada en certificados con WiFi Analytics proporciona una visibilidad completa tanto del comportamiento de los dispositivos autenticados como de la actividad de la red de invitados.
Automatice la renovación de certificados. Configure la carga útil SCEP en Jamf para activar la renovación automática cuando un certificado esté entre 14 y 30 días antes de expirar. Esto evita el escenario en el que un dispositivo pierde silenciosamente el acceso a la red debido a que su certificado expiró de la noche a la mañana. En Jamf Pro, esto se controla mediante el ajuste Límite de renovación en la carga útil SCEP.
Mantenga una Lista de Revocación de Certificados (CRL) o un respondedor OCSP. Cuando un dispositivo se retira del servicio, es robado o se da de baja de Jamf, su certificado debe ser revocado a nivel de la CA. Configure su servidor RADIUS para verificar el endpoint CRL o OCSP en cada intento de autenticación. Sin esto, un dispositivo robado con un certificado válido aún puede autenticarse en la red.
Para obtener más contexto sobre las decisiones de infraestructura de red moderna, la guía The Core SD WAN Benefits for Modern Businesses proporciona información útil sobre cómo se integra la autenticación basada en certificados con las arquitecturas superpuestas de SD-WAN.
Resolución de problemas y mitigación de riesgos
El problema de aprovisionamiento del huevo y la gallina. Los dispositivos necesitan una conexión de red para llegar al servidor SCEP y descargar su certificado, pero necesitan el certificado para unirse a la WiFi segura. Este es el bloqueador de implementación más común. Las estrategias de mitigación recomendadas son: aprovisionamiento a través de Ethernet utilizando adaptadores de USB-C o Lightning a Ethernet; usar datos celulares en iPhones y iPads con capacidad celular; o crear un SSID de incorporación temporal y restringido con reglas de firewall que permitan únicamente el tráfico de SCEP y MDM.
Fallos silenciosos de EAP-TLS en macOS. Si la cadena de confianza está incompleta, macOS puede fallar silenciosamente al conectarse sin mostrar un error significativo en la interfaz de usuario. La única indicación está en el registro del sistema. Utilice log stream --predicate 'subsystem == "com.apple.network"' para capturar eventos de autenticación en tiempo real. Verifique siempre que la matriz Trusted Server Certificate Names en el perfil de Jamf coincida exactamente con el CN en el certificado del servidor RADIUS.
Tiempo de espera de RADIUS durante eventos de alta carga. En entornos como estadios o centros de conferencias, las solicitudes de autenticación simultáneas de cientos de dispositivos pueden saturar el servidor RADIUS. Mitigue esto implementando RADIUS en un par de alta disponibilidad, ajustando el parámetro max_requests en FreeRADIUS y asegurándose de que el servidor RADIUS tenga suficiente CPU y memoria para la carga de autenticación concurrente esperada. Para implementaciones en sedes a gran escala, revise nuestra guía sobre Wireless Access Points Definition Your Ultimate 2026 Guide para consideraciones de planificación de capacidad.
Discrepancia de atributos de certificado. Si el SAN en el certificado del dispositivo no coincide con lo que espera la política de red de RADIUS, la autenticación fallará. Esto es particularmente común al migrar de una CA a otra, o cuando las variables de Jamf se resuelven de manera diferente a la esperada. Realice siempre pruebas con un solo dispositivo e inspeccione los registros del servidor RADIUS para confirmar la cadena de identidad exacta que se presenta antes de realizar el despliegue en toda la flota.
ROI e impacto empresarial
La transición a la autenticación de certificados WiFi de Jamf RADIUS ofrece un valor empresarial medible en varias dimensiones.
| Métrica | Resultado típico |
|---|---|
| Reducción de tickets de soporte técnico | Reducción del 60 - 85% en las solicitudes de soporte relacionadas con WiFi |
| Tiempo de incorporación por dispositivo | Reducido de 15 - 30 minutos a menos de 2 minutos (cero contacto) |
| Riesgo de incidentes de seguridad | Casi eliminación de los ataques a la WiFi basados en credenciales |
| Postura de cumplimiento | Cumple con el requisito 1.3 de PCI-DSS y los controles de red del Artículo 32 de GDPR |
| Ciclo de vida del certificado | La renovación automatizada elimina la gestión manual de certificados |
| El factor de retorno de inversión (ROI) más significativo es la eliminación de las interrupciones por rotación de contraseñas. En una flota de 500 dispositivos donde el 10% de los equipos se desconecta de la red cada trimestre debido a cambios de contraseña, y cada incidente requiere 20 minutos de tiempo de TI para resolverse, el ahorro en costos de soporte anual por sí solo puede justificar la inversión de implementación dentro del primer año. |
Para los operadores de Transport y entornos de grandes sedes, el caso de negocio se fortalece aún más por la capacidad de aplicar la asignación dinámica de VLAN - lo que garantiza que los dispositivos operativos, los dispositivos del personal y los sistemas de gestión se segmenten automáticamente sin necesidad de una reconfiguración manual de la red.
Definiciones clave
EAP-TLS (Protocolo de Autenticación Extensible - Seguridad de la Capa de Transporte)
El método de autenticación 802.1X más seguro, que requiere tanto que el dispositivo cliente como el servidor RADIUS se autentiquen mutuamente mediante certificados digitales. No se intercambia ni se transmite ninguna contraseña.
Cuando los equipos de TI necesitan eliminar el WiFi basado en contraseñas y aplicar un cumplimiento estricto del dispositivo, EAP-TLS es el estándar obligatorio. Es el único tipo de EAP que proporciona autenticación mutua.
SCEP (Protocolo de Inscripción de Certificados Simple)
Un protocolo que permite a los dispositivos solicitar de forma segura y automática certificados digitales a una Autoridad de Certificación mediante un mecanismo de desafío y respuesta.
Esencial para escalar los despliegues de certificados a través de Jamf Pro sin requerir que el personal de TI instale manualmente certificados en miles de dispositivos. El proxy SCEP dinámico de Jamf genera contraseñas de desafío por dispositivo.
RADIUS (Servicio de Usuario de Marcación Telefónica con Autenticación Remota)
Un protocolo de red que proporciona una gestión centralizada de Autenticación, Autorización y Contabilización (AAA) para los dispositivos que se conectan a un servicio de red.
El motor de decisión central que le indica al punto de acceso WiFi si un dispositivo gestionado por Jamf tiene permitido el acceso a la red y, de forma opcional, qué VLAN asignar.
Perfil de Configuración
Un archivo XML (.mobileconfig) implementado por Jamf Pro que contiene uno o más payloads para administrar los ajustes en dispositivos Apple, incluidos certificados, WiFi, VPN y restricciones.
Este es el vehículo utilizado para enviar los ajustes SCEP, la configuración de la SSID de WiFi y la cadena de confianza de certificados a los iPhone, iPad o Mac.
CSR (Solicitud de Firma de Certificado)
Un bloque de texto codificado generado por el dispositivo Apple que contiene la clave pública y la información de identidad, enviado a la Autoridad de Certificación para solicitar un certificado digital firmado.
El primer paso en el proceso SCEP. El dispositivo genera la CSR de forma local, asegurando que la clave privada nunca salga del dispositivo - un principio fundamental de la seguridad PKI.
Nombre Alternativo del Sujeto (SAN)
Una extensión para un certificado X.509 que permite asociar múltiples valores de identidad con el certificado, como direcciones de correo electrónico, nombres DNS, direcciones IP o direcciones MAC.
Crucial para la autenticación RADIUS. El servidor RADIUS lee el SAN para identificar al dispositivo o usuario. En los despliegues de Jamf, el SAN suele configurarse con la dirección MAC del dispositivo o el UPN del usuario.
CA Raíz (Autoridad de Certificación)
El certificado de nivel más alto en una jerarquía PKI, cuya clave privada se utiliza para firmar certificados de CA subordinados. El certificado de la CA Raíz debe ser confiable para todas las partes en la cadena de autenticación.
Debe implementarse en los dispositivos Apple a través de Jamf para que confíen en los certificados presentados por el servidor RADIUS durante el saludo EAP-TLS. Sin esto, el saludo falla.
IEEE 802.1X
Un estándar IEEE para el Control de Acceso a Redes Basado en Puertos (PNAC), que proporciona un mecanismo de autenticación a los dispositivos que desean conectarse a una LAN o WLAN antes de que se les otorgue acceso a la red.
El marco global que bloquea el tráfico de red en el punto de acceso hasta que el servidor RADIUS valida el certificado provisto por Jamf. Toda la seguridad de WiFi empresarial se basa en este estándar.
Asignación Dinámica de VLAN
Una función de RADIUS que asigna un dispositivo de conexión a una VLAN específica según los atributos de política devueltos en el mensaje Access-Accept, utilizando los atributos RADIUS Tunnel 64, 65 y 81.
Permite la segmentación de red sin necesidad de múltiples SSID. Una sola SSID corporativa puede colocar automáticamente iPads clínicos en la VLAN 20, MacBooks ejecutivas en la VLAN 30 y dispositivos de invitados en la VLAN 100.
Ejemplos resueltos
¿Cómo debe rediseñar su arquitectura de autenticación un hospital de 500 camas que necesita implementar 1,200 iPads compartidos para el personal clínico, si actualmente utiliza PEAP con credenciales de Active Directory, lo que provoca cientos de dispositivos desconectados cada 90 días cuando las contraseñas expiran?
El hospital debe migrar a EAP-TLS utilizando certificados basados en dispositivos administrados a través de Jamf Pro. La implementación consta de cuatro pasos clave. Primero, implementar AD CS con el rol NDES para que actúe como el servidor SCEP, emitiendo certificados desde una plantilla de certificado dedicada a "Dispositivo Clínico". Segundo, configurar un Perfil de Configuración de Jamf con un payload SCEP utilizando $MACADDRESS como el SAN, y un payload de WiFi dirigido al SSID clínico con EAP-TLS únicamente, confiando explícitamente en el certificado del servidor RADIUS. Tercero, configurar Microsoft NPS con una Política de Red que coincida con la plantilla de certificado de "Dispositivo Clínico" y asigne los dispositivos a la VLAN Clínica (Tunnel-Private-Group-Id = 20). Cuarto, establecer el umbral de renovación de SCEP a 30 días para asegurar la renovación automática del certificado sin intervención de TI. Los dispositivos deben aprovisionarse mediante Ethernet durante la implementación inicial para resolver el desafío de la red de incorporación.
Una agencia creativa con 300 MacBooks se está mudando a una nueva oficina. Quieren un aprovisionamiento de WiFi sin intervención (zero-touch): las nuevas MacBooks deben conectarse automáticamente al SSID corporativo seguro cuando los usuarios finales las saquen de la caja en sus escritorios, sin intervención de TI. ¿Cómo logran esto?
La agencia debe combinar el Apple Automated Device Enrollment (ADE) con Jamf Pro y un Perfil de Configuración cuidadosamente secuenciado. Durante el Asistente de Configuración de macOS, la MacBook se conecta a internet a través de un SSID de incorporación abierto temporal (restringido por firewall para permitir únicamente el tráfico de activación de Apple, Jamf MDM y SCEP). Se comunica con Apple, reconoce que pertenece a la agencia a través de ADE y se inscribe automáticamente en Jamf Pro. Jamf Pro envía de inmediato un Perfil de Configuración pre-establecido que contiene el payload SCEP y el payload de WiFi corporativo. La inscripción SCEP se completa a través del SSID de incorporación, el certificado se instala en el Keychain y el payload de WiFi se activa. Luego, la MacBook realiza la transición automática al SSID corporativo seguro 802.1X. Desde la perspectiva del usuario, simplemente completa el Asistente de Configuración y la laptop ya está en la red corporativa.
Preguntas de práctica
Q1. Ha implementado un Perfil de Configuración de Jamf con un payload SCEP y un payload WiFi en 50 MacBooks. Los certificados SCEP se instalaron correctamente en el Keychain, pero las MacBooks muestran un cuadro de diálogo que pide a los usuarios 'Verificar Certificado' al intentar conectarse al SSID corporativo. ¿Qué elemento de configuración falta o es incorrecto?
Sugerencia: Piense en qué información necesita el dispositivo Apple para confiar automáticamente en la identidad del servidor RADIUS sin la interacción del usuario.
Ver respuesta modelo
Al payload WiFi en el Perfil de Configuración de Jamf le falta la entrada 'Nombres de Certificados de Servidor Confiables' (que debe coincidir exactamente con el CN en el certificado del servidor RADIUS), o bien los certificados de la CA raíz y de la CA intermedia que firmaron el certificado del servidor RADIUS no están incluidos en el payload de confianza (Trust payload) del perfil. Sin una confianza explícita definida por el MDM, macOS e iOS requieren que el usuario verifique y acepte manualmente el certificado del servidor RADIUS durante el saludo EAP-TLS. Ambos campos deben estar completados: el arreglo de Certificados Confiables (que contiene la cadena de la CA) y el arreglo de Nombres de Certificados de Servidor Confiables (que contiene el CN del servidor RADIUS).
Q2. Una cadena de tiendas de autoservicio desea que sus iPads de punto de venta se conecten a la red WiFi corporativa segura inmediatamente al arrancar, antes de que cualquier miembro del personal inicie sesión en la aplicación de punto de venta. La implementación actual utiliza certificados de usuario vinculados a los UPN de empleados individuales. Los dispositivos suelen fallar al conectarse al inicio de un turno. ¿Cuál es la causa raíz y cuál es el cambio de arquitectura correcto?
Sugerencia: Considere cuándo están disponibles los diferentes tipos de certificados para la pila de red de iOS en relación con el ciclo de vida de autenticación del usuario.
Ver respuesta modelo
La causa raíz es que los certificados de usuario (vinculados a un UPN) se almacenan en el llavero (keychain) del usuario y solo son accesibles después de que el usuario se haya autenticado en el dispositivo. Al arrancar o en la pantalla de bloqueo de iOS, el llavero del usuario está bloqueado, por lo que la pila de WiFi no puede acceder al certificado para realizar el proceso EAP-TLS. El cambio de arquitectura correcto es cambiar a certificados de dispositivo, donde el SAN se establece con la dirección MAC o el número de serie del dispositivo. Los certificados de dispositivo se almacenan en el llavero del sistema, el cual es accesible al arrancar antes de que cualquier usuario inicie sesión. La Política de Red de RADIUS debe actualizarse para que coincida con los certificados de dispositivo en lugar de los certificados de usuario, y el payload SCEP de Jamf debe actualizarse para utilizar variables a nivel de dispositivo como $MACADDRESS o $SERIALNUMBER en el SAN.
Q3. Su organización utiliza Microsoft NPS como servidor RADIUS. Está configurando un nuevo payload SCEP de Jamf para 200 MacBooks. La Política de Red de NPS está configurada para requerir que el Subject Alternative Name del certificado coincida con una cuenta de computadora en Active Directory. ¿Qué valor de SAN debe configurar en el payload SCEP de Jamf y qué formato espera NPS?
Sugerencia: La autenticación de certificados de computadora en NPS requiere que el SAN coincida con la identidad de la computadora en Active Directory en un formato específico.
Ver respuesta modelo
Para la autenticación de certificados de computadora en NPS, el SAN debe establecerse en el tipo DNS Name con el valor $COMPUTERNAME.yourdomain.com (utilizando la variable de Jamf para el nombre de host de la computadora). NPS espera que el DNS Name del SAN coincida con el nombre de dominio completamente calificado (FQDN) de la computadora tal como aparece en Active Directory. Alternativamente, si se utiliza el tipo de SAN User Principal Name, el formato debe ser host/$COMPUTERNAME@YOURDOMAIN.COM. La condición de la Política de Red de NPS debe configurarse para que coincida con el atributo 'Client Certificate SAN'. Asegúrese de que las MacBooks estén unidas a Active Directory, o que los nombres de las computadoras en Jamf coincidan con los objetos de computadora en AD, de lo contrario, la búsqueda en NPS fallará incluso si el certificado es válido.
Continúe leyendo esta serie
Alternativas a IronWiFi para implementaciones empresariales
Podrá preseleccionar una alternativa a IronWiFi según las tareas que debe realizar su red: autenticación, identidad, consentimiento, cobertura de hardware y costo a tres años. Sabrá cuándo se adaptan mejor Purple, Cloud4Wi, Spotipo o Cloudi-Fi, cuándo sigue ganando IronWiFi y cómo ejecutar una prueba piloto de un solo sitio que demuestre las promesas de cada proveedor.
Sophos Firewall y guest WiFi: configuración de Captive Portal con Purple
Cómo funciona el guest WiFi en la nube de Purple con Sophos Firewall y sus puntos de acceso a través de un Captive Portal externo estándar y RADIUS, y dónde verificar el soporte y encontrar los pasos.
Aruba Central y Purple WiFi: integración administrada en la nube
Una guía de referencia técnica completa para integrar Aruba Central con la plataforma de inteligencia de WiFi para invitados alojada en la nube de Purple. Esta guía cubre la arquitectura, la configuración paso a paso de portales cautivos externos y RADIUS, y estrategias de implementación en múltiples sitios para equipos de TI empresariales.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.