Comment configurer WPA2-Enterprise sur les plateformes de points d'accès courantes (Cisco, Aruba, Ubiquiti)

Comment configurer WPA2-Enterprise sur les plateformes de points d'accès courantes - Cisco, Aruba et Ubiquiti Un point d'information Purple WiFi [INTRO - environ 1 minute] Bienvenue dans la série d'informations Purple WiFi. Je suis votre hôte, et aujourd'hui nous allons droit au but sur l'un des sujets les plus fréquemment demandés par nos clients d'entreprise : comment configurer WPA2-Enterprise sur les trois plateformes de points d'accès les plus largement déployées - Cisco, Aruba et Ubiquiti. Que vous soyez directeur informatique d'un groupe hôtelier de 500 chambres, architecte réseau d'une chaîne de distribution nationale ou directeur technique d'un exploitant de centres de congrès, ce point d'information est fait pour vous. Nous n'allons pas faire de la théorie pour le plaisir. Nous allons passer en revue ce que vous devez savoir pour prendre une décision de déploiement, l'exécuter correctement et éviter les pièges dans lesquels tombent même les équipes expérimentées. C'est parti. [ANALYSE TECHNIQUE APPROFONDIE - environ 5 minutes] Tout d'abord, faisons une mise au point rapide sur ce qu'est réellement WPA2-Enterprise, car il subsiste une confusion surprenante sur le marché entre WPA2-Personal et WPA2-Enterprise - et cette distinction est extrêmement importante pour la conformité et la posture face aux risques. WPA2-Personal - la version que la plupart des gens connaissent - utilise une clé pré-partagée unique. Tout le monde sur le réseau utilise le même mot de passe. C'est parfait pour un réseau domestique. En revanche, ce n'est catégoriquement pas acceptable pour un environnement professionnel où vous avez besoin d'une authentification par utilisateur, de pistes d'audit et de la possibilité de révoquer un accès instantanément. WPA2-Enterprise, défini par la norme IEEE 802.1X, remplace cette clé partagée par un échange d'authentification individuel. Chaque utilisateur ou appareil présente ses propres identifiants - qu'il s'agisse d'un nom d'utilisateur et d'un mot de passe, d'un certificat numérique ou d'un jeton - et ces identifiants sont validés par un serveur RADIUS avant que l'accès au réseau ne soit accordé. Le point d'accès lui-même ne voit jamais les identifiants. Il agit uniquement comme un authentificateur, transmettant l'échange EAP - Extensible Authentication Protocol - entre le client et le serveur RADIUS. Il s'agit d'une architecture fondamentalement plus sécurisée, et c'est l'exigence de base pour la conformité PCI-DSS dans tout environnement qui traite des données de cartes de paiement, tout en étant fortement recommandée par le GDPR pour les organisations qui traitent des données personnelles sur des réseaux sans fil. À présent, parlons des trois plateformes. Commençons par Cisco. Le portefeuille WiFi d'entreprise de Cisco - principalement les gammes Catalyst et Meraki - est le choix de référence pour les déploiements à grande échelle. Cisco DNA Center offre une gestion centralisée des politiques, tandis que le tableau de bord Meraki propose la simplicité d'une gestion dans le cloud pour les parcs distribués. Pour configurer WPA2-Enterprise sur un point d'accès Cisco Catalyst, vous passerez par le WLC (contrôleur LAN sans fil) ou DNA Center. Les étapes clés consistent à : définir votre serveur RADIUS sous Security, puis AAA, puis RADIUS Authentication Servers ; créer un nouveau profil WLAN ; définir la politique de sécurité sur WPA2 avec 802.1X comme méthode de gestion des clés ; et associer le serveur RADIUS à ce WLAN. Un point essentiel concernant Cisco : veillez à configurer la comptabilité (accounting) RADIUS en plus de l'authentification. La comptabilité vous fournit la piste d'audit par session requise par les cadres de conformité. Sur Meraki, le processus est encore plus simple : accédez à Wireless, puis SSIDs, sélectionnez votre SSID cible, définissez la sécurité sur WPA2-Enterprise avec mon serveur RADIUS, puis saisissez l'adresse IP de votre serveur RADIUS, le port - généralement 1812 pour l'authentification et 1813 pour la comptabilité - et le secret partagé. Meraki prend également en charge les tests RADIUS directement depuis le tableau de bord, ce qui est extrêmement précieux lors de la mise en service. Passons à Aruba. Aruba Networks, qui fait désormais partie de HPE, est le choix dominant dans l'hôtellerie et l'enseignement supérieur. Aruba Central assure la gestion dans le cloud, et ArubaOS est la plateforme sous-jacente. Sur Aruba, la configuration WPA2-Enterprise se trouve dans le profil SSID. Vous définirez un profil AAA qui fait référence à votre serveur RADIUS, puis vous rattacherez ce profil AAA à votre profil de point d'accès virtuel (virtual AP). Le ClearPass Policy Manager d'Aruba mérite d'être mentionné ici : il s'agit du moteur RADIUS et de politique propre à Aruba, qui ajoute des fonctionnalités considérables en matière de profilage des appareils, de contrôle d'accès basé sur les rôles et d'intégration des invités. Si vous gérez un environnement mixte où le personnel, les sous-traitants et les invités se connectent tous à la même infrastructure, ClearPass vous offre la granularité de politique nécessaire pour les segmenter correctement. Pour un hôtel déployant WPA2-Enterprise sur les réseaux du personnel et des services administratifs tout en utilisant une solution WiFi pour invités distincte via une plateforme comme Purple, la segmentation des SSIDs d'Aruba combinée à ClearPass pour l'authentification du personnel constitue une architecture très propre. Passons à Ubiquiti. La plateforme UniFi de Ubiquiti a gagné un terrain considérable sur le marché des PME et des entreprises de taille intermédiaire - et de plus en plus dans l'hôtellerie de charme et le commerce de détail - en raison de son prix compétitif et d'une interface de gestion véritablement performante. C'est dans UniFi Network Controller que vous effectuerez le plus gros du travail. Pour configurer WPA2-Enterprise sur UniFi, accédez à Settings, puis WiFi, créez ou modifiez votre SSID, définissez la sécurité sur WPA2 Enterprise et configurez votre profil RADIUS - à savoir l'adresse IP, le port d'authentification 1812, le port de comptabilité (accounting) 1813 et le secret partagé. Une considération importante avec Ubiquiti : il n'est pas livré avec un serveur RADIUS intégré de la même manière que certaines plateformes d'entreprise. Vous aurez besoin d'un serveur RADIUS externe - qu'il s'agisse de Windows Server NPS, FreeRADIUS ou d'un service cloud RADIUS. Ce n'est pas une limitation en soi, mais c'est une dépendance qu'il faut planifier. Pour les déploiements plus modestes, UniFi Network Application inclut un serveur RADIUS de base, mais pour les environnements de production, je recommanderais toujours une instance RADIUS dédiée. Sur les trois plateformes, la sélection de la méthode EAP mérite une attention particulière. PEAP avec MSCHAPv2 est la méthode la plus largement déployée car elle fonctionne avec les identifiants Active Directory sans nécessiter de certificats côté client. EAP-TLS est plus sécurisé - il utilise une authentification mutuelle par certificat - mais il nécessite une infrastructure PKI et le déploiement de certificats sur chaque appareil client, ce qui ajoute une surcharge opérationnelle. Pour la plupart des déploiements d'entreprise, PEAP-MSCHAPv2 avec un serveur RADIUS correctement configuré et une validation de certificat côté client représente le bon équilibre entre sécurité et gérabilité opérationnelle. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — environ 2 minutes] Permettez-moi maintenant de vous présenter les trois modes de défaillance les plus courants que je constate dans les déploiements WPA2-Enterprise, et comment les éviter. Numéro un : la disponibilité du serveur RADIUS. Votre serveur RADIUS est désormais sur le chemin critique de chaque authentification sans fil. S'il tombe en panne, plus personne ne peut se connecter. Cela signifie que vous avez besoin d'une redondance RADIUS - au minimum un serveur RADIUS principal et un secondaire configurés sur chaque point d'accès. La plupart des plateformes le prennent en charge nativement. Sur Cisco, vous pouvez configurer des groupes de serveurs RADIUS avec basculement. Sur Aruba, le profil AAA prend en charge plusieurs serveurs RADIUS avec des valeurs de tentative et de délai d'attente configurables. Sur Ubiquiti, vous pouvez spécifier un serveur RADIUS secondaire dans le profil RADIUS. Ne faites pas l'impasse sur cette étape. Deuxième point : la validation du certificat. Une proportion étonnamment élevée de déploiements que j'examine utilise des appareils clients configurés pour accepter n'importe quel certificat de serveur RADIUS. Cela compromet totalement le modèle de sécurité - cela vous expose à des attaques de type « evil twin » où un point d'accès malveillant usurpe l'identité de votre réseau et dérobe les identifiants. Configurez le certificat de votre serveur RADIUS à partir d'une autorité de certification (CA) de confiance, et configurez vos clients pour valider ce certificat. Sur Windows, cela se fait via les stratégies de groupe (Group Policy). Sur iOS et Android, cela est géré via des profils MDM. C'est non négociable pour tout environnement traitant des données sensibles. Troisième point : l'attribution de VLAN. WPA2-Enterprise permet l'attribution dynamique de VLAN - le serveur RADIUS peut renvoyer un attribut VLAN dans le message Access-Accept, plaçant chaque utilisateur authentifié dans le segment de réseau approprié en fonction de son identité ou de son rôle. C'est l'une des fonctionnalités les plus puissantes de l'architecture 802.1X, et elle est fréquemment laissée non configurée. Si vous gérez un site avec du personnel, une direction et des appareils IoT sur la même infrastructure physique, l'attribution dynamique de VLAN est le moyen d'appliquer la segmentation du réseau sans avoir à gérer plusieurs SSID. Concernant l'intégration avec Purple : si vous déployez WPA2-Enterprise pour votre personnel et vos réseaux opérationnels, et que vous utilisez la plateforme de WiFi invité de Purple pour la connectivité des visiteurs, ces deux systèmes coexistent de manière fluide. Purple gère l'authentification des invités, la capture de données et la couche analytique - y compris le WiFi analytics et l'analyse de fréquentation que les exploitants de sites utilisent pour leurs décisions opérationnelles - tandis que votre infrastructure WPA2-Enterprise sécurise le réseau de l'entreprise. La clé réside dans une séparation nette des SSID et des VLAN au niveau des points d'accès, ce que les trois plateformes prennent en charge. [SÉANCE DE QUESTIONS-RÉPONSES RAPIDES — environ 1 minute] Passons rapidement en revue quelques questions qui reviennent régulièrement. Puis-je faire fonctionner WPA2-Enterprise et un réseau invité sur les mêmes points d'accès ? Oui, tout à fait. Les trois plateformes prennent en charge plusieurs SSID par radio, chacun ayant des politiques de sécurité indépendantes. Votre SSID d'entreprise utilise WPA2-Enterprise ; votre SSID invité peut passer par le Captive Portal de Purple avec l'isolation appropriée. Dois-je remplacer mes points d'accès existants pour déployer WPA2-Enterprise ? Presque certainement pas. WPA2-Enterprise est pris en charge sur les points d'accès de classe entreprise depuis plus d'une décennie. Si votre matériel a moins de huit ans et utilise un firmware récent, il prendra en charge le 802.1X. Quelle est la différence entre WPA2-Enterprise et WPA3-Enterprise ? WPA3-Enterprise ajoute un mode de sécurité 192 bits utilisant la cryptographie Suite B, ce qui est pertinent pour les environnements gouvernementaux et de défense. Pour la plupart des déploiements commerciaux, WPA2-Enterprise avec des méthodes EAP fortes reste la norme. Planifier la transition vers WPA3 est pertinent pour les nouveaux déploiements, mais ce n'est pas une migration urgente pour la plupart des organisations. Le RADIUS cloud est-il une option viable ? Oui, et de plus en plus. Des services comme Cisco ISE dans le cloud, Aruba ClearPass en tant que service, ou des options tierces comme JumpCloud et Foxpass fournissent RADIUS-as-a-Service, ce qui supprime les coûts d'infrastructure. Pour les parcs distribués - par exemple une chaîne de vente au détail de 200 points de vente - le RADIUS cloud peut réduire considérablement la complexité opérationnelle. [RÉSUMÉ ET PROCHAINES ÉTAPES - environ 1 minute] Pour résumer : WPA2-Enterprise est la base non négociable pour tout déploiement sans fil d'entreprise. Le processus de configuration sur Cisco, Aruba et Ubiquiti suit le même schéma fondamental - définir votre serveur RADIUS, créer votre SSID avec une gestion des clés 802.1X, sélectionner votre méthode EAP, et tester avant de passer en production. Les différences résident dans les interfaces de gestion et les outils de l'écosystème autour de chaque plateforme. Les trois points à optimiser : la redondance RADIUS, la validation des certificats sur les clients, et l'affectation dynamique de VLAN. Maîtrisez ces trois aspects et vous obtiendrez une posture de sécurité sans fil solide, conforme et auditable. Pour vos prochaines étapes : si vous évaluez des plateformes, utilisez le cadre de comparaison des fournisseurs dans le guide d'accompagnement. Si vous êtes prêt pour le déploiement, les guides de configuration étape par étape pour chaque plateforme se trouvent dans la section implémentation. Et si vous réfléchissez à la manière d'intégrer le WiFi invité à votre réseau d'entreprise, la documentation de la plateforme Purple couvre l'architecture d'intégration en détail. Merci de votre attention. On se retrouve lors de la prochaine session.