Autenticazione WiFi con Microsoft Entra ID (Azure AD): Guida all'integrazione enterprise

Sintesi Esecutiva

Man mano che le organizzazioni IT aziendali migrano l'identità aziendale da Active Directory Domain Services (AD DS) on-premises a Microsoft Entra ID (precedentemente Azure Active Directory), i progettisti di rete si trovano ad affrontare una sfida di rete fondamentale: Microsoft Entra ID non supporta l'autenticazione nativa del protocollo RADIUS.

Le reti wireless aziendali legacy si affidano a IEEE 802.1X con PEAP-MSCHAPv2, interrogando istanze on-premises di Network Policy Server (NPS) di Windows Server che convalidano gli hash delle password NT LAN Manager (NTLM) rispetto ai domain controller locali. Entra ID, essendo nativo del cloud, non espone porte di ascolto LDAP (TCP 389) o RADIUS (UDP 1812), né memorizza hash di password NTLM in testo normale o reversibili per gli account solo cloud.

Per proteggere il WiFi aziendale con Microsoft Entra ID, le organizzazioni devono modernizzare il proprio livello di accesso. Questa guida tecnica illustra i tre modelli architetturali collaudati per connettere Entra ID alle reti wireless aziendali:

1. EAP-TLS Cloud-Native tramite Microsoft Cloud PKI & SCEP (Consigliato): Autenticazione reciproca basata su certificati e senza password, distribuita tramite Microsoft Intune.
2. Cloud RADIUS con Entra ID OAuth / Sincronizzazione della Directory SCIM: Servizio di autenticazione cloud gestito che interroga la Microsoft Graph API.
3. NPS Ibrido On-Premises con Estensione Azure MFA: Architettura bridge per ambienti che mantengono l'infrastruttura Active Directory locale.

Confronto Architetturale: Metodi di Autenticazione WiFi con Entra ID

Prima di selezionare un percorso di integrazione, valutare le capacità tecniche, il livello di sicurezza e i requisiti amministrativi di ciascun modello:

+----------------------------------------------------------------------------------------------------+
|                               Matrice dell'Architettura WiFi Microsoft Entra ID                    |
+----------------------------------------------------------------------------------------------------+
| Metodo               | Protocollo| Tipo di Credenziale| Impronta On-Premises  | Livello Sicurezza (0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | CA Digitale X.509| Zero (100% Cloud)     | 98/100 (Zero Trust)   |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | Zero (100% Cloud)     | 88/100 (Enterprise)   |
| 3. NPS Ibrido + MFA  | PEAPv0   | Username/Pass    | Windows Server & NDES | 68/100 (Rischio Legacy)|
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth  | Zero (100% Cloud)     | 85/100 (Guest/BYOD)   |
+----------------------+----------+------------------+-----------------------+-----------------------+

Metodo 1: EAP-TLS Cloud-Native tramite Microsoft Intune SCEP (Consigliato)

L'EAP-TLS basata su certificati (RFC 5216) rappresenta lo standard di riferimento per la sicurezza wireless aziendale. Rilasciando certificati digitali univoci agli endpoint gestiti, le organizzazioni eliminano le password condivise, sventano le campagne di phishing per la raccolta di credenziali e rispettano gli standard NIST SP 800-207 Zero Trust Architecture.

+------------------+          +------------------------+          +------------------------+
| Dispositivo Gest.|          | Access Point Wireless  |          |   Server RADIUS Cloud  |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |    (Multi-Regione)     |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. Assoc 802.1X EAP-TLS        |                                    |
         |------------------------------->|                                    |
         |                                | 2. RADIUS Access-Request (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. Valida catena cert
         |                                |                                    |    e interroga Graph API
         |                                |                                    |    per stato account
         |                                | 4. RADIUS Access-Accept            |
         |                                |    (Attributi VLAN RFC 2868)       |
         |                                |<-----------------------------------|
         | 5. Handshake a 4 vie 802.11    |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ Sessione crittografata stabilita (WPA3-Enterprise 192-bit) ]

Flusso di lavoro per la distribuzione Intune SCEP

1. Configurazione dell'Autorità di Certificazione: Configura una CA di emissione utilizzando Microsoft Cloud PKI in Microsoft Intune o una CA cloud integrata (come SCEPman, EZCA o Cloud RADIUS PKI).
2. Profilo del Certificato Attendibile: Distribuisci i certificati pubblici della CA radice (Root CA) e della CA intermedia a tutti i gruppi di dispositivi Windows 11, macOS, iOS e Android di destinazione.
3. Configurazione del Profilo SCEP:
   • Tipo di Certificato: Certificato Utente o Dispositivo.
   • Subject Name Format: CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • Subject Alternative Name (SAN): UserPrincipalName = {{UserPrincipalName}} e DNS = {{AADDeviceId}}
   • Utilizzo Chiave: Firma digitale, Crittografia chiavi.
   • Provider di Archiviazione delle Chiavi (KSP): TPM preferito (impone chiavi private protette da hardware).
4. Profilo di Configurazione WiFi:
   • Tipo WiFi: Enterprise.
   • Tipo EAP: EAP-TLS.
   • Attendibilità Server: Seleziona il certificato della CA radice attendibile distribuito.
   • Nomi dei Server: Inserisci il nome di dominio completo (FQDN) del server Cloud RADIUS (ad es. radius.purple.ai).
   • Identità di Autenticazione: Certificato utente o computer.

Metodo 2: Cloud RADIUS con Entra ID OAuth e sincronizzazione della directory SCIM

Per le organizzazioni che cercano una gestione centralizzata della directory senza dover gestire CA private, Cloud RADIUS fornisce un bridge gestito tra i controller wireless e la Microsoft Graph API.

Come Cloud RADIUS si integra con Microsoft Entra ID

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Motore Cloud RADIUS|        | Microsoft Entra ID |
|   Access Points    |        | (Piattaforma Purple)|       |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Query Graph API         |
          |                             |     (Verifica utente abil., |
          |                             |      appartenenza gruppi,   |
          |                             |      accesso condizionale)  |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. Risposta JSON           |
          |                             |     (Stato: Attivo,         |
          |                             |      Gruppi: [SG-Finance])  |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Vantaggi chiave di Cloud RADIUS

• Zero hardware on-premise: Elimina l'acquisto di server fisici, le licenze Windows Server e la manutenzione annuale delle patch del sistema operativo.
• Sincronizzazione della directory in tempo reale: Se un dipendente lascia l'azienda o viene disabilitato in Entra ID, il suo accesso wireless viene revocato immediatamente in tutte le sedi globali.
• Ridondanza multi-regione: Il routing IP Anycast inoltra le richieste di autenticazione al data center geografico con la latenza più bassa con failover automatico.

Assegnazione dinamica della VLAN tramite i gruppi di sicurezza Entra ID

L'assegnazione dinamica della VLAN consente agli amministratori di rete di trasmettere un singolo SSID aziendale posizionando automaticamente i dispositivi in segmenti di rete isolati in base ai ruoli utente e alle affiliazioni di reparto.

+-----------------------------------------------------------------------------------+
|                     Gruppo di sicurezza Microsoft Entra ID                        |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ Policy Cloud RADIUS ]        [ Policy Cloud RADIUS ]            [ Policy Cloud RADIUS ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868:               RADIUS RFC 2868:                   RADIUS RFC 2868:
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (Corporate Exec VLAN 10)       (Engineering Subnet VLAN 20)       (Contractor DMZ VLAN 30)

Attributi standard RADIUS richiesti (RFC 2868)

Quando il server Cloud RADIUS approva una richiesta di autenticazione, include tre attributi standard nel pacchetto Access-Accept:

Captive Portal Single Sign-On (SSO) per Ospiti, BYOD & Contractors

Per visitatori ospiti, fornitori e dispositivi personali non gestiti dei dipendenti (BYOD), la distribuzione dei certificati 802.1X è spesso impraticabile. In questi scenari, un Captive Portal gestito in cloud e integrato con Microsoft Entra ID tramite SAML 2.0 o OpenID Connect (OIDC) fornisce un flusso di lavoro di onboarding sicuro e monitorato.

+--------------------+        +--------------------+        +--------------------+
|  Browser ospite /  |        | Purple Captive     |        | Gateway di accesso |
|       BYOD         |        | Splash Portal      |        | Microsoft Entra ID |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. Richiesta Web HTTP       |                             |
          |---------------------------->|                             |
          | 2. Reindirizzamento a Splash Page                         |
          |<----------------------------|                             |
          |                             |                             |
          | 3. Clic su "Accedi con M365" |                             |
          |---------------------------->|                             |
          | 4. Richiesta Autenticazione SAML / OAuth                  |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. Verifiche di Identità e Sfida MFA (Entra ID)           |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. Rilascio Asserzione SAML / Token ID                     |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. POST del Token a Splash Engine                         |
          |---------------------------->|                             |
          |                             | 8. Autorizza MAC su WLC     |
          | 9. Accesso Internet Concesso|<----------------------------|
          |<----------------------------|

Vantaggi di sicurezza SSO del Captive Portal

• Applicazione dell'Accesso Condizionale: Richiedi l'autenticazione a più fattori (MFA) di Microsoft Entra ID e l'accettazione dei Termini di Utilizzo prima di concedere l'accesso alla rete.
• Scadenza Automatica: Limita automaticamente la durata dell'accesso dei visitatori (ad es. 8 ore) in base ai profili di identità degli ospiti.
• Registri di Audit: Mantieni record di connessione immutabili che collegano gli indirizzi MAC fisici agli indirizzi email aziendali di Microsoft Entra ID per gli audit di conformità.

Rafforzamento della Sicurezza WiFi Aziendale: Modalità WPA3-Enterprise a 192 bit

Durante la configurazione dell'autenticazione WiFi con Microsoft Entra ID, i progettisti di rete dovrebbero configurare il protocollo WPA3-Enterprise per proteggersi da vettori di attacco wireless avanzati:

• Modalità di Sicurezza a 192 bit (Suite CNSA): Implementa la crittografia Galois/Counter Mode Protocol a 256 bit (GCMP-256) e la derivazione della chiave HMAC-SHA-384 a 384 bit.
• Frame di Gestione Protetti (PMF / IEEE 802.11w): Impedisce ai malintenzionati di spoofare gli indirizzi MAC degli access point per inviare falsi frame di deautenticazione e disassociazione.
• Eliminazione delle Cifrature Legacy: Depreca completamente le suite WEP, TKIP e WPA2-TKIP non protette.

Risoluzione dei Problemi di Autenticazione WiFi 802.1X con Entra ID

Quando i dispositivi client non riescono a autenticarsi, consulta questa guida diagnostica sistematica:

1. Errore di handshake EAP-TLS: CA sconosciuta o certificato non attendibile

• Sintomo: Il client non riesce a connettersi; il log RADIUS mostra TLS Alert: unknown_ca (48).
• Causa principale: Il dispositivo client non si fida del certificato del server RADIUS, oppure il server RADIUS non dispone della Root CA che ha emesso il certificato del client.
• Risoluzione:
  1. Confermare che il profilo Intune Trusted Certificate abbia distribuito la Root CA sul dispositivo client.
  2. Nel profilo WiFi di Intune, verificare che il nome del server nella whitelist Server Names corrisponda esattamente al Common Name (CN) o al Subject Alternative Name (SAN) del certificato del server RADIUS.
  3. Assicurarsi che l'intera catena di certificati (Root CA + Intermediate CA) sia importata nell'archivio attendibilità dei certificati di Cloud RADIUS.

2. RADIUS Access-Reject: Account utente disabilitato o mancata corrispondenza dell'appartenenza al gruppo

• Sintomo: Il server RADIUS riceve la richiesta ma restituisce Access-Reject con l'errore User account not found or disabled.
• Causa principale: L'account utente è disabilitato in Microsoft Entra ID, oppure l'utente non è membro del gruppo di sicurezza Entra autorizzato.
• Risoluzione:
  1. Esaminare l'oggetto utente nell'interfaccia di amministrazione di Microsoft Entra (entra.microsoft.com) per verificare che lo stato dell'account sia attivo.
  2. Verificare i permessi dell'applicazione aziendale Cloud RADIUS in Entra ID (User.Read.All, GroupMember.Read.All).
  3. Verificare la latenza di sincronizzazione della directory se l'utente è stato aggiunto di recente a un nuovo gruppo di sicurezza.

3. Assegnazione dinamica della VLAN non attiva

• Sintomo: L'autenticazione va a buon fine, ma il client rimane sulla VLAN nativa predefinita invece che sulla VLAN di reparto assegnata.
• Causa principale: Il controller LAN wireless (WLC) non ha abilitato il AAA Override, o la porta trunk dello switch è priva dell'ID della VLAN di destinazione.
• Risoluzione:
  1. Sui controller Cisco Catalyst / Aruba, abilitare AAA Override e Allow Dynamic VLANs nella configurazione della WLAN.
  2. Verificare che la porta dello switch che si collega all'access point consenta tutti gli ID delle VLAN dinamiche sul trunk 802.1Q (switchport trunk allowed vlan add 10,20,30,40).
  3. Confermare che RADIUS restituisca tutti e tre gli attributi richiesti: Tunnel-Type = 13, Tunnel-Medium-Type = 6 e Tunnel-Private-Group-ID = <VLAN_ID>.

Riepilogo e prossimi passi

L'integrazione di Microsoft Entra ID con il WiFi aziendale crea un livello di accesso alla rete sicuro e senza password. Abbinando la gestione dei certificati SCEP di Microsoft Intune con Cloud RADIUS e l'assegnazione dinamica della VLAN, i dipartimenti IT eliminano i costi dell'infrastruttura on-premises rafforzando al contempo la loro strategia di sicurezza zero-trust.

Per le organizzazioni che gestiscono volumi elevati di visitatori guest, collaboratori esterni o hardware BYOD insieme ai dispositivi aziendali, Purple offre una gestione chiavi in mano dell'accesso WiFi cloud, single sign-on nativo tramite Captive Portal con SAML/OAuth di Entra ID e analisi di rete in tempo reale per tutti i principali fornitori di hardware wireless aziendali.