Comment configurer WPA2-Enterprise sur les plateformes de points d'accès courantes (Cisco, Aruba, Ubiquiti)

Comment configurer WPA2-Enterprise sur les plateformes de points d'accès courantes - Cisco, Aruba et Ubiquiti Un briefing technique Purple WiFi [INTRO - environ 1 minute] Bienvenue dans la série de briefings techniques de Purple WiFi. Je suis votre hôte et aujourd'hui, nous allons droit au but sur l'un des sujets les plus fréquemment demandés par nos clients d'entreprise : comment configurer WPA2-Enterprise sur les trois plateformes de points d'accès les plus largement déployées - Cisco, Aruba et Ubiquiti. Que vous soyez directeur informatique d'un groupe hôtelier de 500 chambres, architecte réseau d'une chaîne nationale de magasins ou CTO d'un gestionnaire de palais des congrès, ce briefing s'adresse à vous. Nous n'allons pas aborder la théorie pour le simple plaisir. Nous allons passer en revue ce que vous devez savoir pour prendre une décision de déploiement, l'exécuter correctement et éviter les pièges qui font trébucher même les équipes chevronnées. C'est parti. [ANALYSE TECHNIQUE - environ 5 minutes] Tout d'abord, faisons une mise au point rapide sur ce qu'est réellement WPA2-Enterprise, car il subsiste une confusion surprenante sur le marché entre WPA2-Personal et WPA2-Enterprise - et la différence est d'une importance capitale pour votre conformité et votre niveau de risque. Le WPA2-Personal - la version que la plupart des gens connaissent - utilise une clé pré-partagée unique. Tous les utilisateurs du réseau partagent le même mot de passe. Cela convient pour un réseau domestique. C'est catégoriquement inacceptable dans un environnement professionnel où vous avez besoin d'une authentification par utilisateur, de pistes d'audit et de la possibilité de révoquer un accès instantanément. Le WPA2-Enterprise, défini par la norme 802.1X, remplace cette clé partagée par un échange d'authentification individuel. Chaque utilisateur ou appareil présente ses propres identifiants - qu'il s'agisse d'un nom d'utilisateur et d'un mot de passe, d'un certificat numérique ou d'un jeton - et ces identifiants sont validés par un serveur RADIUS avant que l'accès au réseau ne soit accordé. Le point d'accès lui-même ne voit jamais les identifiants. Il agit uniquement comme un authentificateur, transmettant l'échange EAP (Extensible Authentication Protocol) entre le client et le serveur RADIUS. Il s'agit d'une architecture fondamentalement plus sécurisée, et c'est l'exigence de base pour la conformité PCI-DSS dans tout environnement qui traite des données de cartes de paiement, tout en étant fortement recommandée dans le cadre du GDPR pour les organisations qui traitent des données personnelles sur des réseaux sans fil. À présent, parlons de ces trois plateformes. Commençons par Cisco. Le portefeuille WiFi d'entreprise de Cisco - principalement les gammes Catalyst et Meraki - est le choix de référence pour les déploiements à grande échelle. Cisco DNA Center offre une gestion centralisée des politiques, et le tableau de bord Meraki propose une simplicité de gestion dans le cloud pour les parcs distribués. Pour configurer le WPA2-Enterprise sur un point d'accès Cisco Catalyst, vous travaillerez via le WLC - Wireless LAN Controller - ou DNA Center. Les étapes clés sont : définir votre serveur RADIUS sous Sécurité, puis AAA, puis Serveurs d'authentification RADIUS ; créer un nouveau profil WLAN ; définir la politique de sécurité sur WPA2 avec 802.1X comme méthode de gestion des clés ; et associer le serveur RADIUS à ce WLAN. Un point essentiel concernant Cisco : veillez à configurer la comptabilisation RADIUS en plus de l'authentification. La comptabilisation vous offre la piste d'audit par session requise par les cadres de conformité. Sur Meraki, le processus est encore plus simple - accédez à Wireless, puis SSIDs, sélectionnez votre SSID cible, définissez la sécurité sur WPA2-Enterprise avec mon serveur RADIUS, puis saisissez l'IP, le port de votre serveur RADIUS - généralement 1812 pour l'authentification et 1813 pour la comptabilisation - ainsi que le secret partagé. Meraki prend également en charge les tests RADIUS directement depuis le tableau de bord, ce qui est extrêmement précieux lors de la mise en service. Passons à Aruba. Aruba Networks, qui fait désormais partie de HPE, est le choix dominant dans les secteurs de l'hôtellerie et de l'enseignement supérieur. Aruba Central assure la gestion dans le cloud, et ArubaOS est la plateforme sous-jacente. Sur Aruba, la configuration WPA2-Enterprise se trouve dans le profil SSID. Vous définirez un profil AAA qui fait référence à votre serveur RADIUS, puis vous rattacherez ce profil AAA à votre profil d'AP virtuel. Le ClearPass Policy Manager d'Aruba mérite une mention particulière ici - il s'agit du moteur de politique et RADIUS propre à Aruba, qui ajoute des capacités d'analyse de profil des appareils, de contrôle d'accès basé sur les rôles et d'intégration des invités. Si vous gérez un environnement mixte où le personnel, les sous-traitants et les invités se connectent tous à la même infrastructure, ClearPass vous offre la granularité de politique nécessaire pour les segmenter correctement. Pour un hôtel déployant du WPA2-Enterprise sur les réseaux du personnel et administratifs tout en exploitant une solution de WiFi invité distincte via une plateforme comme Purple, la segmentation SSID d'Aruba combinée à ClearPass pour l'authentification du personnel constitue une architecture très propre. Passons à Ubiquiti. La plateforme UniFi de Ubiquiti a gagné un terrain considérable sur le marché des PME et des entreprises de taille intermédiaire - et de plus en plus dans l'hôtellerie de charme et le commerce de détail - en raison de son positionnement tarifaire compétitif et d'une interface de gestion véritablement performante. C'est dans UniFi Network Controller que vous effectuerez le plus gros du travail. Pour configurer WPA2-Enterprise sur UniFi, accédez à Settings, puis WiFi, créez ou modifiez votre SSID, définissez la sécurité sur WPA2 Enterprise et configurez votre profil RADIUS - à savoir, l'adresse IP, le port d'authentification 1812, le port de comptabilisation (accounting) 1813 et le secret partagé. Un point important à prendre en compte avec Ubiquiti : il n'est pas livré avec un serveur RADIUS intégré de la même manière que certaines plateformes d'entreprise. Vous aurez besoin d'un serveur RADIUS externe - qu'il s'agisse de Windows Server NPS, FreeRADIUS ou d'un service cloud RADIUS. Ce n'est pas une limitation en soi, mais c'est une dépendance qu'il faut planifier. Pour les déploiements plus modestes, l'application UniFi Network inclut un serveur RADIUS de base, mais pour les environnements de production, je recommande toujours une instance RADIUS dédiée. Sur les trois plateformes, le choix de la méthode EAP mérite toute votre attention. Le protocole PEAP avec MSCHAPv2 est la méthode la plus largement déployée car elle fonctionne avec les identifiants Active Directory sans nécessiter de certificats côté client. Le protocole EAP-TLS est plus sécurisé - il utilise une authentification mutuelle par certificat - mais il nécessite une infrastructure PKI et le déploiement de certificats sur chaque appareil client, ce qui ajoute une charge opérationnelle. Pour la plupart des déploiements d'entreprise, PEAP-MSCHAPv2 avec un serveur RADIUS correctement configuré et une validation de certificat côté client représente le bon équilibre entre sécurité et gérabilité opérationnelle. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes] Permettez-moi maintenant de vous présenter les trois modes de défaillance les plus courants que je constate dans les déploiements WPA2-Enterprise, et comment les éviter. Numéro un : la disponibilité du serveur RADIUS. Votre serveur RADIUS est désormais sur le chemin critique de chaque authentification sans fil. S'il tombe en panne, plus personne ne peut se connecter. Cela signifie que vous avez besoin d'une redondance RADIUS - au minimum un serveur RADIUS principal et un secondaire configurés sur chaque point d'accès. La plupart des plateformes le prennent en charge nativement. Sur Cisco, vous pouvez configurer des groupes de serveurs RADIUS avec basculement. Sur Aruba, le profil AAA prend en charge plusieurs serveurs RADIUS avec des valeurs de tentative et de délai d'expiration configurables. Sur Ubiquiti, vous pouvez spécifier un serveur RADIUS secondaire dans le profil RADIUS. Ne faites pas l'impasse sur cette étape. Numéro deux : la validation des certificats. Une proportion étonnamment élevée de déploiements que j'examine comporte des appareils clients configurés pour accepter n'importe quel certificat de serveur RADIUS. Cela compromet totalement le modèle de sécurité - cela vous expose à des attaques de type "evil twin" (jumeau malveillant) où un point d'accès pirate usurpe l'identité de votre réseau et récupère les identifiants. Configurez le certificat de votre serveur RADIUS auprès d'une autorité de certification de confiance, et configurez vos clients demandeurs pour valider ce certificat. Sur Windows, cela se fait via les stratégies de groupe. Sur iOS et Android, cela est géré via des profils MDM. C'est non négociable pour tout environnement manipulant des données sensibles. Numéro trois : l'attribution de VLAN. WPA2-Enterprise permet l'attribution dynamique de VLAN - le serveur RADIUS peut renvoyer un attribut VLAN dans le message Access-Accept, plaçant chaque utilisateur authentifié dans le segment de réseau approprié en fonction de son identité ou de son rôle. C'est l'une des fonctionnalités les plus puissantes de l'architecture 802.1X, et elle est fréquemment laissée non configurée. Si vous gérez un site avec du personnel, une direction et des appareils IoT sur la même infrastructure physique, l'attribution dynamique de VLAN est le moyen d'imposer la segmentation du réseau sans avoir à gérer plusieurs SSID. Du côté de l'intégration Purple : si vous déployez WPA2-Enterprise pour votre personnel et vos réseaux opérationnels, et que vous utilisez la plateforme WiFi invité de Purple pour la connectivité des visiteurs, ces deux systèmes coexistent parfaitement. Purple gère l'authentification des invités, la capture de données et la couche analytique - y compris l'analyse WiFi et l'analyse de fréquentation que les exploitants de sites utilisent pour leurs décisions opérationnelles - tandis que votre infrastructure WPA2-Enterprise sécurise le réseau de l'entreprise. La clé réside dans une séparation claire des SSID et des VLAN au niveau du point d'accès, ce que les trois plateformes prennent en charge. [Q&R RAPIDES - environ 1 minute] Passons en revue quelques questions qui reviennent régulièrement. Puis-je faire fonctionner WPA2-Enterprise et un réseau invité sur les mêmes points d'accès ? Oui, tout à fait. Les trois plateformes prennent en charge plusieurs SSID par radio, chacun ayant des politiques de sécurité indépendantes. Votre SSID d'entreprise utilise WPA2-Enterprise ; votre SSID invité peut passer par le Captive Portal de Purple avec une isolation appropriée. Dois-je remplacer mes points d'accès existants pour déployer WPA2-Enterprise ? Presque certainement pas. WPA2-Enterprise est pris en charge sur les points d'accès de classe entreprise depuis plus d'une décennie. Si votre matériel a moins de huit ans et fonctionne avec un firmware à jour, il prendra en charge le 802.1X. Quelle est la différence entre WPA2-Enterprise et WPA3-Enterprise ? WPA3-Enterprise ajoute un mode de sécurité 192 bits utilisant la cryptographie Suite B, ce qui est pertinent pour les environnements gouvernementaux et de défense. Pour la plupart des déploiements commerciaux, WPA2-Enterprise avec des méthodes EAP fortes reste la norme. Il convient de planifier la transition vers WPA3 pour les nouveaux déploiements, mais il ne s'agit pas d'une migration urgente pour la plupart des organisations. Le RADIUS cloud est-il une option viable ? Oui, et de plus en plus. Des services comme Cisco ISE dans le cloud, Aruba ClearPass en tant que service, ou des options tierces comme JumpCloud et Foxpass fournissent RADIUS en tant que service managé, ce qui élimine les frais d'infrastructure. Pour les parcs distribués - par exemple une chaîne de magasins de 200 points de vente - le RADIUS cloud peut réduire considérablement la complexité opérationnelle. [RÉSUMÉ ET PROCHAINES ÉTAPES - environ 1 minute] Pour conclure : le WPA2-Enterprise est la base non négociable de tout déploiement WiFi d'entreprise. Le processus de configuration sur Cisco, Aruba et Ubiquiti suit le même modèle fondamental - définir votre serveur RADIUS, créer votre SSID avec une gestion des clés 802.1X, sélectionner votre méthode EAP et tester avant la mise en service. Les différences résident dans les interfaces de gestion et les outils de l'écosystème propres à chaque plateforme. Les trois éléments à maîtriser : la redondance RADIUS, la validation des certificats sur les clients et l'affectation dynamique des VLAN. Maîtrisez ces trois éléments et vous disposerez d'une posture de sécurité WiFi solide, conforme et auditable. Pour vos prochaines étapes : si vous évaluez des plateformes, utilisez la grille de comparaison des fournisseurs dans le guide d'accompagnement. Si vous êtes prêt pour le déploiement, les guides de configuration étape par étape pour chaque plateforme se trouvent dans la section de mise en œuvre. Et si vous vous demandez comment le WiFi invité s'intègre à votre réseau d'entreprise, la documentation de la plateforme Purple détaille l'architecture d'intégration. Merci pour votre écoute. On se retrouve lors du prochain point.