Autenticazione WiFi Enterprise senza Active Directory o server on-premise

Sintesi per l'executive

La maggior parte delle organizzazioni ha spostato la propria gestione delle identità nel cloud. Microsoft Entra ID, Okta e Google Workspace ora gestiscono utenti, gruppi e policy di accesso per e-mail, app SaaS e gestione dei dispositivi. Ma il WiFi aziendale non ha tenuto il passo. Gli access point si aspettano ancora un server RADIUS, e storicamente quel server RADIUS è stato Windows Network Policy Server (NPS) collegato a un domain controller Active Directory on-premises.

Questo disallineamento costringe i team IT a mantenere un'infrastruttura on-premises ridondante al solo scopo di mantenere attivo il WiFi. La soluzione è il cloud RADIUS: un servizio di autenticazione completamente gestito che comunica in RADIUS con i tuoi access point e in OAuth2, SCIM e SAML con il tuo identity provider cloud. Abbinandolo alla distribuzione dei certificati EAP-TLS tramite il tuo MDM, otterrai una distribuzione 802.1X completa senza server on-premises, senza patch del sistema operativo e con revoca immediata dell'accesso collegata direttamente alla tua directory cloud.

Purple gestisce il cloud RADIUS in oltre 80.000 sedi a livello globale, con un uptime del 99,999% (dati interni Purple, 2024) e integrazioni native con Microsoft Entra ID, Okta e Google Workspace. Puoi essere operativo sui tuoi access point esistenti Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme o Fortinet in meno di un'ora.

Approfondimento tecnico

Il disallineamento dei protocolli al centro del problema

La sfida fondamentale è che gli identity provider cloud e gli access point WiFi parlano lingue completamente diverse. Microsoft Entra ID (precedentemente Azure AD) autentica gli utenti tramite SAML, OIDC e OAuth2, ovvero i protocolli utilizzati dai browser e dalle app SaaS. Gli access point WiFi utilizzano RADIUS (Remote Authentication Dial-In User Service, RFC 2865), un protocollo basato su UDP progettato negli anni '90 per le connessioni dial-up e VPN. Microsoft non ha mai rilasciato un endpoint RADIUS nativo per Entra ID. Non è possibile puntare un access point Meraki o Aruba direttamente su Azure e aspettarsi che l'802.1X funzioni.

Questo è l'ostacolo contro cui si scontra ogni team IT cloud-first quando cerca di proteggere il WiFi del personale con WPA2-Enterprise o WPA3-Enterprise. Qualcosa deve colmare il divario tra l'access point e l'identity provider cloud. Quel qualcosa è il cloud RADIUS.

Perché PEAP-MSCHAPv2 fallisce senza Active Directory

Storicamente, le distribuzioni 802.1X si affidavano a PEAP-MSCHAPv2 (Protected Extensible Authentication Protocol con Microsoft Challenge Handshake Authentication Protocol versione 2). L'utente inseriva nome utente e password, l'access point inoltrava la richiesta al server RADIUS e il server RADIUS convalidava la password rispetto a un hash NTLM memorizzato in Active Directory.

Microsoft Entra ID non memorizza gli hash NTLM. Non si tratta di una lacuna di configurazione, ma di una scelta architetturale deliberata. Entra ID è un moderno provider di identità cloud, non un domain controller. Di conseguenza, un server RADIUS puntato su Entra ID non può convalidare una richiesta PEAP-MSCHAPv2. L'unico modo per far funzionare PEAP con Entra ID è distribuire Entra Domain Services, un Active Directory gestito a pagamento che si sincronizza da Entra ID, e poi eseguire NPS su di esso. Questo reintroduce la maggior parte di ciò che si cercava di eliminare: VM Windows Server, patch del sistema operativo, memorizzazione degli hash NTLM e gestione manuale dei certificati.

EAP-TLS: la risposta giusta per le organizzazioni cloud-first

EAP-TLS (Extensible Authentication Protocol-Transport Layer Security, RFC 5216) sostituisce le password con certificati digitali X.509. Il dispositivo presenta un certificato al server RADIUS. Il server RADIUS convalida il certificato rispetto a un'Autorità di Certificazione (CA) fidata. Poiché non vi è alcuna password nello scambio, il server RADIUS non ha bisogno di un archivio di hash NTLM. Deve solo considerare attendibile la CA e verificare l'appartenenza al gruppo dell'utente nel provider di identità per applicare la VLAN e i criteri di accesso corretti.

EAP-TLS è resistente al phishing per progettazione. Non ci sono credenziali da rubare. Soddisfa le linee guida CISA sull'autenticazione a più fattori resistente al phishing e si allinea ai requisiti PCI DSS per l'autenticazione forte sulle reti che gestiscono i dati dei titolari di carta. È il metodo di autenticazione raccomandato da IEEE 802.1X per le flotte di dispositivi gestiti.

Architettura di autenticazione 802.1X cloud-first: i dispositivi si autenticano tramite EAP-TLS attraverso il cloud RADIUS di Purple, che convalida i certificati e applica criteri basati sui gruppi da Entra ID, Okta o Google Workspace.

Come l'MDM sostituisce la CA on-premises

In una distribuzione 802.1X tradizionale, i certificati venivano emessi da un'Autorità di Certificazione on-premises che eseguiva Active Directory Certificate Services (AD CS). In una distribuzione cloud-first, l'MDM assume questo ruolo utilizzando SCEP (Simple Certificate Enrollment Protocol). Microsoft Intune, Jamf Pro e altre piattaforme MDM possono richiedere certificati a una CA ospitata nel cloud e distribuirli in modo invisibile ai dispositivi gestiti.

Il flusso funziona come segue. L'amministratore IT crea un profilo di certificato SCEP nell'MDM, limitato ai gruppi di dispositivi che richiedono l'accesso WiFi. L'MDM distribuisce automaticamente il certificato ai dispositivi Windows, macOS, iOS, iPadOS, Android Enterprise e ChromeOS. L'utente non vede nulla. Il certificato è associato all'identità del dispositivo nell'MDM e si rinnova automaticamente prima della scadenza. Quando il dispositivo si connette al WiFi, presenta il certificato al server cloud RADIUS, che lo convalida rispetto alla CA e applica i criteri di rete corretti.

Per le organizzazioni che utilizzano Microsoft Intune, Microsoft Cloud PKI fornisce una CA completamente gestita che si integra direttamente con i profili SCEP di Intune, eliminando la necessità di un server NDES (Network Device Enrollment Service) on-premises. Per le flotte Mac e iOS gestite da Jamf, la CA integrata di Jamf o una CA cloud di terze parti svolge lo stesso scopo.

SCIM e revoca immediata dell'accesso

Uno degli aspetti operativamente più importanti di cloud RADIUS è il provisioning SCIM (System for Cross-domain Identity Management). SCIM è uno standard aperto che invia le modifiche di identità dalla sorgente di verità - il tuo provider di identità cloud - ai sistemi dipendenti in tempo reale. Quando un dipendente viene disabilitato in Entra ID o Okta, SCIM invia immediatamente tale modifica al servizio cloud RADIUS. Al successivo tentativo di autenticazione del dispositivo, il server RADIUS restituisce un Access-Reject. Con un timeout di sessione breve configurato sull'access point, il dispositivo viene rimosso dalla rete entro pochi minuti dalla disattivazione dell'account.

Questo rappresenta un miglioramento sostanziale della sicurezza rispetto alle reti PSK condivise, dove l'unico modo per revocare l'accesso è cambiare la password su ogni dispositivo, e rispetto alle distribuzioni RADIUS legacy che si affidano a sincronizzazioni LDAP periodiche con una finestra temporale di ore o giorni.

RadSec: proteggere il traffico RADIUS su Internet

Il RADIUS tradizionale utilizza UDP e fornisce solo un'autenticazione di base dei messaggi. Quando il server RADIUS si trova nello stesso data center degli access point, questo è accettabile. Quando il server RADIUS è un servizio cloud, il traffico di autenticazione attraversa l'Internet pubblica. RadSec (RADIUS su TLS, RFC 6614) crittografa lo scambio RADIUS utilizzando TLS, garantendo riservatezza e integrità al traffico di autenticazione. Purple supporta RadSec nativamente, con fallback IPsec per gli access point che non supportano ancora RadSec.

Guida all'implementazione

La distribuzione di cloud RADIUS con EAP-TLS richiede quattro passaggi coordinati. Un SSID pilota può essere attivo in meno di un'ora se Entra ID e un MDM sono già configurati.

Passaggio 1: Connettere cloud RADIUS al provider di identità

Connetti Purple al tuo provider di identità tramite il consenso amministratore OAuth2 (per Entra ID) o tramite token API (per Okta e Google Workspace). Questo autorizza Purple a leggere utenti, gruppi e appartenenze ai gruppi dalla directory. Configura il provisioning SCIM per inviare le modifiche dello stato dell'utente a Purple in tempo reale. Nessuna credenziale di entità servizio viene memorizzata su disco. Le modifiche ai gruppi si propagano al successivo evento di autenticazione, non in base a una pianificazione di sincronizzazione.

Passaggio 2: Configurare l'MDM e il profilo SCEP

In Microsoft Intune, crea un Profilo Certificato Attendibile per la CA root, quindi crea un profilo certificato SCEP che punti alla CA gestita da Purple. Associa entrambi i profili ai gruppi di dispositivi che richiedono l'accesso WiFi. Per Jamf, configura un payload SCEP in un profilo di configurazione. L'MDM distribuisce i certificati in modo invisibile. Verifica la consegna dei certificati nella dashboard di conformità dell'MDM prima di procedere.

Passaggio 3: Definire i criteri di rete nella dashboard cloud RADIUS

Crea criteri RADIUS che associno i gruppi dell'identity provider a VLAN e controlli di accesso specifici. Ad esempio, associa il gruppo Entra ID "Staff-Finance" alla VLAN 20 con accesso completo a Internet e associa "Staff-Contractors" alla VLAN 30 con un accesso limitato nel tempo che scade automaticamente. La dashboard di Purple applica questi criteri al momento dell'autenticazione, senza richiedere modifiche al firewall.

Passaggio 4: Aggiornare la configurazione degli access point

Aggiorna la configurazione dell'SSID sui tuoi access point per utilizzare WPA2-Enterprise o WPA3-Enterprise con 802.1X. Inserisci gli indirizzi IP o gli hostname degli endpoint primari e secondari del cloud RADIUS di Purple, insieme alla chiave segreta condivisa (shared secret). Configura gli access point per utilizzare l'assegnazione dinamica della VLAN in base agli attributi RADIUS restituiti da Purple. Esegui un test con un singolo SSID su un sottoinsieme di access point prima di estendere la configurazione a tutta l'infrastruttura.

Cloud RADIUS vs RADIUS on-premises: un confronto diretto tra tempi di implementazione, dipendenza da Active Directory, alta disponibilità, patch del sistema operativo, integrazione dell'identità e gestione del ciclo di vita dei certificati.

Best practice

Queste raccomandazioni riflettono gli standard IEEE 802.1X, i requisiti PCI DSS v4.0 e l'esperienza operativa maturata da Purple in oltre 80.000 sedi.

Imporre EAP-TLS per i dispositivi gestiti. Le password sono vulnerabili al phishing e al credential stuffing. I certificati forniscono una prova crittografica dell'identità e della conformità del dispositivo. EAP-TLS è l'unico metodo 802.1X intrinsecamente resistente al phishing.

Utilizzare SCIM per la revoca immediata. Le sincronizzazioni LDAP periodiche lasciano una finestra temporale in cui un dipendente licenziato conserva l'accesso alla rete. SCIM garantisce che l'accesso venga revocato nel momento stesso in cui l'account viene disabilitato nell'identity provider.

Implementare RADIUS multi-regione. Configura i tuoi access point con almeno due endpoint RADIUS in regioni geografiche diverse. Purple fornisce un failover multi-regione attivo-attivo per impostazione predefinita, che si completa in pochi secondi.

Segmentare il traffico con VLAN dinamiche. Utilizza l'appartenenza ai gruppi dell'identity provider per assegnare dinamicamente gli utenti a VLAN specifiche. In questo modo si isola il traffico sensibile e si limita la portata dei danni di un dispositivo compromesso senza richiedere modifiche manuali al firewall.

Abilitare RadSec. Se i tuoi access point supportano RadSec, abilitalo per crittografare il traffico di autenticazione tra l'access point e il server cloud RADIUS. Questo è particolarmente importante per le filiali e le sedi in cui l'access point si trova su un segmento di rete non attendibile.

Monitorare il ciclo di vita dei certificati. Imposta il rinnovo automatico MDM all'80% della durata del certificato. Per un certificato di un anno, il rinnovo inizia al decimo mese. Configura avvisi per i dispositivi che non riescono a effettuare il rinnovo prima della scadenza del certificato. Per una trattazione più ampia degli standard e dei framework di sicurezza WiFi aziendali, consulta la nostra Enterprise WiFi Security: A Complete Guide for 2026 .

Risoluzione dei problemi e mitigazione dei rischi

La transizione a un sistema RADIUS in cloud introduce nuove dipendenze. Preparati a gestire questi scenari di errore comuni prima che abbiano un impatto sulla produzione.

Scadenza dei certificati. Se il certificato di un dispositivo scade prima che l'MDM lo rinnovi, l'autenticazione del dispositivo fallisce in modo silenzioso. L'utente visualizza un errore di connessione senza alcuna spiegazione. Mitiga questo rischio configurando il rinnovo automatico dell'MDM all'80% della durata del certificato e monitorando la dashboard di conformità dell'MDM per individuare i dispositivi con certificati in scadenza.

Errori di sincronizzazione MDM. Un dispositivo che non rispetta più i requisiti di conformità dell'MDM o che non riesce a effettuare il check-in potrebbe non ricevere il certificato rinnovato. Implementa criteri di conformità che segnalino i dispositivi non integri e avvisino gli amministratori prima della scadenza del certificato.

Blocco del traffico RADIUS da parte del firewall. Gli access point devono poter raggiungere gli endpoint RADIUS in cloud sulla porta UDP 1812 (autenticazione) e sulla porta UDP 1813 (accounting), oppure sulla porta TCP 2083 per RadSec. Le regole dei firewall in uscita presso le filiali bloccano frequentemente queste porte. Verifica la raggiungibilità dalla VLAN di gestione degli access point prima della distribuzione.

Errori di provisioning SCIM. Se la connessione SCIM tra l'identity provider e Purple viene interrotta, le modifiche allo stato dell'utente non verranno propagate. Monitora lo stato di sincronizzazione SCIM sia nell'identity provider che nella dashboard di Purple. Configura gli avvisi per gli errori di sincronizzazione.

Dispositivi legacy senza supporto per i certificati. I dispositivi IoT, le stampanti e l'hardware più datato potrebbero non supportare EAP-TLS. Per questi dispositivi, utilizza iPSK (chiavi pre-condivise individuali) anziché una PSK condivisa. Purple supporta iPSK in modo nativo, assegnando una chiave univoca per dispositivo e inserendo ciascun dispositivo nella VLAN corretta senza richiedere il supporto del supplicant 802.1X.

ROI e impatto aziendale

La migrazione da un RADIUS on-premises a un RADIUS in cloud offre un valore misurabile in termini di infrastruttura, operazioni e sicurezza.

I team IT che utilizzano la soluzione Staff WiFi di Purple registrano in genere una riduzione dell'80% dei ticket di supporto relativi al WiFi (dati interni Purple, 2024), grazie all'eliminazione del ripristino delle password e dell'onboarding manuale dei dispositivi. L'autenticazione basata su certificati soddisfa inoltre il requisito PCI DSS 8.3 per l'autenticazione forte e il controllo ISO 27001 A.9.4 per il controllo degli accessi a sistemi e applicazioni, riducendo il carico di audit sul team di sicurezza.

Per le organizzazioni nei settori del retail e dell' hospitality , la possibilità di gestire lo Staff WiFi e il Guest WiFi da un'unica dashboard cloud - con un livello di identità unificato - riduce la complessità operativa in tutte le sedi. Per gli operatori del settore trasporti e i fornitori di servizi sanitari , la funzionalità di revoca istantanea e il registro di controllo completo soddisfano i requisiti normativi senza la necessità di strumenti aggiuntivi.

Il livello di WiFi Analytics di Purple aggiunge dati sull'occupazione e sul lavoro ibrido all'infrastruttura di autenticazione, trasformando lo Staff WiFi da un centro di costo a una fonte di intelligenza operativa.

Letture correlate: Enterprise WiFi Security: A Complete Guide for 2026 - OpenWrt Custom Firmware Integration with Purple WiFi