Comment configurer WPA2-Enterprise sur les plateformes de points d'accès courantes (Cisco, Aruba, Ubiquiti)

Comment configurer WPA2-Enterprise sur les plateformes de points d'accès courantes — Cisco, Aruba et Ubiquiti Une note d'information Purple WiFi [INTRO — environ 1 minute] Bienvenue dans la série d'informations Purple WiFi. Je suis votre hôte, et aujourd'hui nous allons droit au but sur l'un des sujets les plus fréquemment demandés par nos clients entreprises : comment configurer WPA2-Enterprise sur les trois plateformes de points d'accès les plus déployées — Cisco, Aruba et Ubiquiti. Que vous soyez directeur informatique d'un groupe hôtelier de 500 chambres, architecte réseau pour une chaîne nationale de magasins ou CTO d'un centre de conférences, cette note d'information s'adresse à vous. Nous n'allons pas faire de la théorie pour le plaisir. Nous allons passer en revue ce que vous devez savoir pour prendre une décision de déploiement, l'exécuter correctement et éviter les pièges qui font trébucher même les équipes expérimentées. C'est parti. [ANALYSE TECHNIQUE APPROFONDIE — environ 5 minutes] Tout d'abord, un point rapide sur ce qu'est réellement WPA2-Enterprise, car il subsiste une confusion surprenante sur le marché entre WPA2-Personal et WPA2-Enterprise — et la distinction est extrêmement importante pour la conformité et la gestion des risques. WPA2-Personal — la version que la plupart des gens connaissent — utilise une clé pré-partagée unique. Tous les utilisateurs du réseau utilisent le même mot de passe. C'est parfait pour un réseau domestique. C'est catégoriquement inacceptable pour un environnement professionnel où vous avez besoin d'une authentification par utilisateur, de pistes d'audit et de la possibilité de révoquer l'accès instantanément. WPA2-Enterprise, défini par la norme IEEE 802.1X, remplace cette clé partagée par un échange d'authentification individuel. Chaque utilisateur ou appareil présente ses propres identifiants — qu'il s'agisse d'un nom d'utilisateur et d'un mot de passe, d'un certificat numérique ou d'un jeton — et ces identifiants sont validés par un serveur RADIUS avant que l'accès au réseau ne soit accordé. Le point d'accès lui-même ne voit jamais les identifiants. Il agit uniquement comme un authentificateur, transmettant l'échange EAP — Extensible Authentication Protocol — entre le client et le serveur RADIUS. Il s'agit d'une architecture fondamentalement plus sécurisée, et c'est l'exigence de base pour la conformité PCI DSS dans tout environnement qui gère des données de cartes de paiement, tout en étant fortement recommandée par le GDPR pour les organisations qui traitent des données personnelles sur des réseaux sans fil. Maintenant, parlons des trois plateformes. Commençons par Cisco. Le portefeuille WiFi d'entreprise de Cisco — principalement les gammes Catalyst et Meraki — est le choix de référence pour les déploiements à grande échelle. Cisco DNA Center offre une gestion centralisée des politiques, et le tableau de bord Meraki propose la simplicité d'une gestion dans le cloud pour les parcs distribués. Pour configurer le WPA2-Enterprise sur un point d'accès Cisco Catalyst, vous passerez par le WLC — Wireless LAN Controller — ou DNA Center. Les étapes clés sont les suivantes : définir votre serveur RADIUS sous Security, puis AAA, puis RADIUS Authentication Servers ; créer un nouveau profil WLAN ; définir la politique de sécurité sur WPA2 avec 802.1X comme méthode de gestion des clés ; et lier le serveur RADIUS à ce WLAN. Un point critique concernant Cisco : assurez-vous de configurer la comptabilisation (accounting) RADIUS ainsi que l'authentification. La comptabilisation vous fournit la piste d'audit par session requise par les cadres de conformité. Sur Meraki, le processus est encore plus simple — accédez à Wireless, puis SSIDs, sélectionnez votre SSID cible, définissez la sécurité sur WPA2-Enterprise avec mon serveur RADIUS, puis saisissez l'IP de votre serveur RADIUS, le port — généralement 1812 pour l'authentification et 1813 pour la comptabilisation — et le secret partagé. Meraki prend également en charge les tests RADIUS directement depuis le tableau de bord, ce qui est précieux lors de la mise en service. Passons à Aruba. Aruba Networks, qui fait désormais partie de HPE, est le choix dominant dans l'hôtellerie et l'enseignement supérieur. Aruba Central assure la gestion dans le cloud, et ArubaOS est la plateforme sous-jacente. Sur Aruba, la configuration WPA2-Enterprise se trouve dans le profil SSID. Vous définirez un profil AAA qui fait référence à votre serveur RADIUS, puis vous attacherez ce profil AAA à votre profil d'AP virtuel. Le ClearPass Policy Manager d'Aruba mérite une mention particulière ici — il s'agit du moteur de politique et RADIUS propre à Aruba, qui ajoute des fonctionnalités d'analyse de profil des appareils, de contrôle d'accès basé sur les rôles et d'intégration des invités. Si vous gérez un environnement mixte où le personnel, les prestataires et les invités se connectent tous à la même infrastructure, ClearPass vous offre la granularité de politique nécessaire pour les segmenter de manière appropriée. Pour un hôtel déployant le WPA2-Enterprise sur les réseaux du personnel et des services internes tout en exploitant une solution de WiFi invité distincte via une plateforme comme Purple, la segmentation des SSID d'Aruba combinée à ClearPass pour l'authentification du personnel constitue une architecture très propre. Passons à Ubiquiti. La plateforme UniFi d'Ubiquiti a gagné une part de marché significative dans le segment des PME et du marché intermédiaire — et de plus en plus dans l'hôtellerie de charme et le commerce de détail — en raison de son positionnement tarifaire compétitif et d'une interface de gestion véritablement performante. C'est dans UniFi Network Controller que vous effectuerez le plus gros du travail. Pour configurer le WPA2-Enterprise sur UniFi, accédez à Settings, puis WiFi, créez ou modifiez votre SSID, définissez la sécurité sur WPA2 Enterprise et configurez votre profil RADIUS — à savoir, l'adresse IP, le port d'authentification 1812, le port de comptabilisation (accounting) 1813 et le secret partagé. Une considération importante avec Ubiquiti : il n'est pas livré avec un serveur RADIUS intégré de la même manière que certaines plateformes d'entreprise. Vous aurez besoin d'un serveur RADIUS externe — qu'il s'agisse de Windows Server NPS, de FreeRADIUS ou d'un service RADIUS cloud. Ce n'est pas une limitation en soi, mais c'est une dépendance qui doit être planifiée. Pour les déploiements plus modestes, l'application UniFi Network inclut un serveur RADIUS de base, mais pour les environnements de production, je recommande toujours une instance RADIUS dédiée. Sur les trois plateformes, le choix de la méthode EAP mérite une attention particulière. PEAP avec MSCHAPv2 est la méthode la plus largement déployée car elle fonctionne avec les identifiants Active Directory sans nécessiter de certificats côté client. EAP-TLS est plus sécurisé — il utilise une authentification mutuelle par certificat — mais il nécessite une infrastructure PKI et le déploiement de certificats sur chaque appareil client, ce qui ajoute une charge opérationnelle. Pour la plupart des déploiements d'entreprise, PEAP-MSCHAPv2 avec un serveur RADIUS correctement configuré et une validation de certificat côté client représente le bon équilibre entre sécurité et gérabilité opérationnelle. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — environ 2 minutes] Permettez-moi maintenant de vous présenter les trois modes de défaillance les plus courants que je constate dans les déploiements WPA2-Enterprise, et comment les éviter. Numéro un : la disponibilité du serveur RADIUS. Votre serveur RADIUS se trouve désormais sur le chemin critique de chaque authentification sans fil. S'il tombe en panne, plus personne ne peut se connecter. Cela signifie que vous avez besoin d'une redondance RADIUS — au minimum un serveur RADIUS principal et un secondaire configurés sur chaque point d'accès. La plupart des plateformes le prennent en charge nativement. Sur Cisco, vous pouvez configurer des groupes de serveurs RADIUS avec basculement (failover). Sur Aruba, le profil AAA prend en charge plusieurs serveurs RADIUS avec des valeurs de tentative et de délai d'expiration configurables. Sur Ubiquiti, vous pouvez spécifier un serveur RADIUS secondaire dans le profil RADIUS. Ne faites pas l'impasse sur cette étape. Deuxième point : la validation des certificats. Une proportion étonnamment élevée de déploiements que j'examine comporte des appareils clients configurés pour accepter n'importe quel certificat de serveur RADIUS. Cela compromet totalement le modèle de sécurité — cela vous expose à des attaques de type « evil twin » (jumeau malveillant) où un point d'accès pirate usurpe l'identité de votre réseau et collecte des identifiants. Configurez le certificat de votre serveur RADIUS auprès d'une autorité de certification (CA) de confiance, et configurez vos clients pour qu'ils valident ce certificat. Sur Windows, cela se fait via les stratégies de groupe (Group Policy). Sur iOS et Android, cela est géré via des profils MDM. C'est non négociable pour tout environnement traitant des données sensibles. Troisième point : l'attribution de VLAN. Le WPA2-Enterprise permet l'attribution dynamique de VLAN — le serveur RADIUS peut renvoyer un attribut VLAN dans le message Access-Accept, plaçant chaque utilisateur authentifié dans le segment de réseau approprié en fonction de son identité ou de son rôle. C'est l'une des fonctionnalités les plus puissantes de l'architecture 802.1X, et elle est fréquemment laissée non configurée. Si vous gérez un site avec du personnel, de la direction et des appareils IoT sur la même infrastructure physique, l'attribution dynamique de VLAN est le moyen d'imposer la segmentation du réseau sans avoir à gérer plusieurs SSID. Du côté de l'intégration de Purple : si vous déployez le WPA2-Enterprise pour votre personnel et vos réseaux opérationnels, et que vous utilisez la plateforme de guest WiFi de Purple pour la connectivité des visiteurs, ces deux systèmes coexistent parfaitement. Purple gère l'authentification des invités, la capture de données et la couche analytique — y compris les analyses WiFi et les données de fréquentation que les exploitants de sites utilisent pour leurs décisions opérationnelles — tandis que votre infrastructure WPA2-Enterprise sécurise le réseau de l'entreprise. La clé réside dans une séparation claire des SSID et des VLAN au niveau des points d'accès, ce que les trois plateformes prennent en charge. [Q&R RAPIDE — environ 1 minute] Passons en revue quelques questions qui reviennent régulièrement. Puis-je faire fonctionner le WPA2-Enterprise et un réseau invité sur les mêmes points d'accès ? Oui, tout à fait. Les trois plateformes prennent en charge plusieurs SSID par radio, chacun ayant des politiques de sécurité indépendantes. Votre SSID d'entreprise utilise le WPA2-Enterprise ; votre SSID invité peut passer par le Captive Portal de Purple avec une isolation appropriée. Dois-je remplacer mes points d'accès existants pour déployer le WPA2-Enterprise ? Presque certainement pas. Le WPA2-Enterprise est pris en charge sur les points d'accès de classe entreprise depuis plus d'une décennie. Si votre matériel a moins de huit ans et utilise un firmware à jour, il prendra en charge le 802.1X. Quelle est la différence entre le WPA2-Enterprise et le WPA3-Enterprise ? Le WPA3-Enterprise ajoute un mode de sécurité 192 bits utilisant la cryptographie Suite B, ce qui est pertinent pour les environnements gouvernementaux et de défense. Pour la plupart des déploiements commerciaux, le WPA2-Enterprise avec des méthodes EAP fortes reste la norme. La transition vers le WPA3 vaut la peine d'être planifiée pour les nouveaux déploiements, mais ce n'est pas une migration urgente pour la plupart des organisations. Le RADIUS dans le cloud est-il une option viable ? Oui, et de plus en plus. Des services comme Cisco ISE dans le cloud, Aruba ClearPass en tant que service, ou des options tierces comme JumpCloud et Foxpass fournissent RADIUS en tant que service managé, ce qui élimine les coûts d'infrastructure. Pour les parcs distribués — pensez à une chaîne de vente au détail de 200 points de vente — le RADIUS dans le cloud peut réduire considérablement la complexité opérationnelle. [RÉSUMÉ ET PROCHAINES ÉTAPES — environ 1 minute] Pour résumer : le WPA2-Enterprise est le socle non négociable de tout déploiement sans fil en entreprise. Le processus de configuration sur Cisco, Aruba et Ubiquiti suit le même schéma fondamental — définir votre serveur RADIUS, créer votre SSID avec la gestion des clés 802.1X, sélectionner votre méthode EAP et tester avant la mise en production. Les différences résident dans les interfaces de gestion et les outils de l'écosystème propres à chaque plateforme. Les trois éléments à maîtriser : la redondance RADIUS, la validation des certificats sur les clients et l'attribution dynamique de VLAN. Maîtrisez ces trois aspects et vous obtiendrez une posture de sécurité sans fil solide, conforme et auditable. Pour vos prochaines étapes : si vous évaluez des plateformes, utilisez le cadre de comparaison des fournisseurs dans le guide d'accompagnement. Si vous êtes prêt à déployer, les guides de configuration étape par étape pour chaque plateforme se trouvent dans la section implémentation. Et si vous réfléchissez à la manière dont le WiFi invité s'intègre à votre réseau d'entreprise, la documentation de la plateforme Purple détaille l'architecture d'intégration. Merci pour votre écoute. À bientôt pour le prochain briefing.