Come configurare un server RADIUS per l'autenticazione WiFi: Guida dettagliata a 802.1X

Executive summary

Le reti wireless aziendali richiedono una gestione centralizzata delle identità, una segmentazione basata sui ruoli e una forte protezione crittografica. Affidarsi a chiavi pre-condivise (PSK) espone le organizzazioni a fughe di credenziali, accessi non autorizzati ai dispositivi e incubi amministrativi ogni volta che un dipendente se ne va.

La configurazione di un server RADIUS (Remote Authentication Dial-In User Service) consente l'autenticazione aziendale IEEE 802.1X. Ogni dispositivo e utente che si connette si autentica individualmente rispetto a una directory centrale - come Microsoft Entra ID, Google Workspace, Okta o Active Directory on-premise.

Questa guida tecnica fornisce istruzioni di implementazione dettagliate per la configurazione di un server RADIUS per il WiFi aziendale. Copriamo la configurazione di FreeRADIUS su Linux, la configurazione di Network Policy Server (NPS) su Windows Server, le moderne architetture Cloud RADIUS, l'assegnazione dinamica delle VLAN e il rafforzamento della sicurezza BlastRADIUS.

Panoramica dell'architettura 802.1X e RADIUS

Il framework IEEE 802.1X suddivide l'accesso alla rete in tre entità distinte:

1. Il Supplicant: L'endpoint client (laptop, smartphone o tablet) che esegue il software client 802.1X e che presenta le credenziali di identità.
2. L'Authenticator: L'access point (AP) wireless o il Wireless LAN Controller (WLC) che controlla l'accesso fisico alla rete e inoltra i messaggi di autenticazione.
3. L'Authentication Server: Il server RADIUS che convalida le credenziali a fronte di una directory di identità e restituisce i criteri di autorizzazione di rete.

+---------------+        EAP over LAN (EAPoL)        +-------------------+
|  Supplicant   | <================================> |   Authenticator   |
| (Client Device)|                                    | (AP / Controller) |
+---------------+                                    +-------------------+
                                                               ||
                                                               || Protocollo RADIUS
                                                               || (UDP 1812 / TCP 2083)
                                                               \/
                                                     +-------------------+
                                                     |   Server RADIUS   |
                                                     |  (FreeRADIUS/NPS) |
                                                     +-------------------+
                                                               ||
                                                               || Ricerca Identità
                                                               \/
                                                     +-------------------+
                                                     | Identity Provider |
                                                     | (Entra ID / LDAP) |
                                                     +-------------------+

Flusso di comunicazione RADIUS

1. Associazione: Il client si associa all'SSID enterprise (WPA2-Enterprise o WPA3-Enterprise).
2. Inizializzazione EAP: L'AP blocca tutto il traffico dati e invia un frame EAP-Request/Identity al client.
3. Risposta di identità: Il client risponde con un frame EAP-Response/Identity.
4. Incapsulamento RADIUS: L'AP incapsula il payload EAP in un pacchetto RADIUS Access-Request e lo inoltra al server RADIUS.
5. Negoziazione EAP: Il client e il server RADIUS negoziano il metodo di autenticazione crittografica (come EAP-TLS o PEAP).
6. Autorizzazione e Access-Accept: A seguito della corretta convalida, il server RADIUS emette un pacchetto RADIUS Access-Accept contenente la Pairwise Master Key (PMK) e gli attributi opzionali di assegnazione dinamica della VLAN.
7. Apertura della porta: L'AP sblocca la porta virtuale e avvia l'handshake a 4 vie per crittografare il traffico wireless via etere.

Per concetti architetturali più approfonditi, consulta la nostra Enterprise WiFi Security Guide e la Captive Portal Guide.

Configurazione dettagliata: FreeRADIUS su Linux

FreeRADIUS è lo standard mondiale open-source per le suite RADIUS. Di seguito è riportata la sequenza di configurazione per Ubuntu 24.04 LTS / Debian 12.

Passaggio 1: Installare i pacchetti FreeRADIUS

sudo apt update
sudo apt install -y freeradius freeradius-utils freeradius-ldap ssl-cert

Passaggio 2: Definire i client Network Access Server (NAS)

Modifica /etc/freeradius/3.0/clients.conf per autorizzare i tuoi punti di accesso wireless e configurare un segreto condiviso:

client enterprise_wlan {
  ipaddr: 192.168.10.0/24
  secret: Str0ngSh@redSecr3t2026!
  shortname: branch-aps
  nas_type: other
  require_message_authenticator: yes
}

Nota: imponi sempre gli attributi Message-Authenticator RFC 2869 per difenderti dagli attacchi di falsificazione BlastRADIUS.

Passaggio 3: Configurare i moduli di autenticazione EAP

Apri /etc/freeradius/3.0/mods-available/eap e configura il metodo EAP predefinito:

eap {
  default_eap_type: tls
  timer_expire: 60
  ignore_unknown_eap_types: no
  cisco_accounting_username_bug: no
  max_sessions: 4096

  tls-config tls-common {
    certdir: ${confdir}/certs
    cadir: ${confdir}/certs
    private_key_file: ${certdir}/radius-server.key
    certificate_file: ${certdir}/radius-server.crt
    ca_file: ${cadir}/ca.crt
    cipher_list: HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH
    tls_min_version: 1.2
  }
}

Passaggio 4: Testare in modalità debug

Prima di eseguire come servizio di sistema, arresta il demone e avvialo in modalità di debug in primo piano:

sudo systemctl stop freeradius
sudo freeradius -X

Testa l'autenticazione locale utilizzando radtest:

radtest testuser Password123 127.0.0.1 0 testing123

Una risposta corretta restituisce Received Access-Accept Id 1.

Configurazione passo-passo: Windows Server NPS

Microsoft Network Policy Server (NPS) è il ruolo di server RADIUS integrato per gli ambienti Windows Server connessi a Active Directory Domain Services (AD DS).

+-------------------------------------------------------------------------+
|                  Windows Server Network Policy Server                   |
|                                                                         |
|  [Client RADIUS (AP / WLC)] ---> [Criteri di richiesta di connessione]  |
|                                                  |                      |
|                                                  v                      |
|  [Active Directory DS / PKI] <--- [Criteri di rete (VLAN / EAP-TLS)]    |
+-------------------------------------------------------------------------+

Passaggio 1: Installare Servizi di accesso e criteri di rete

Aprire PowerShell come Amministratore:

Install-WindowsFeature NPAS -IncludeManagementTools
Register-ActiveDirectoryServer -Server nps01.corp.local

Passaggio 2: Registrare i client RADIUS (access point)

1. Aprire Network Policy Server (nps.msc).
2. Espandere Client e server RADIUS > Fare clic con il tasto destro su Client RADIUS > Nuovo.
3. Inserire il Nome descrittivo: Cisco-Catalyst-AP-Cluster.
4. Inserire l'Indirizzo IP o la subnet CIDR (es. 10.50.0.0/24).
5. Generare e inserire un segreto condiviso sicuro (minimo 24 caratteri alfanumerici).

Passaggio 3: Creare un criterio di rete per l'autenticazione WiFi

1. Sotto Criteri > Criteri di rete, fare clic con il tasto destro e selezionare Nuovo.
2. Nome del criterio: Staff-WiFi-802.1X-Policy. Tipo di server di accesso alla rete: Non specificato.
3. Condizioni:
   • Aggiungere Gruppi di Windows: CORP\WiFi-Authorised-Users
   • Aggiungere Tipo di porta NAS: Wireless - IEEE 802.11 o Wireless - Altro
4. Autorizzazione di accesso: Selezionare Accesso concesso.
5. Metodi di autenticazione:
   • Deselezionare i metodi meno sicuri.
   • Sotto Tipi EAP, aggiungere Microsoft: Smart card o altro certificato (EAP-TLS).
   • Modificare il metodo e selezionare il Certificato server RADIUS emesso dalla propria CA Enterprise di Active Directory Certificate Services (AD CS).
6. Vincoli: Impostare il timeout di inattività a 30 minuti e il timeout di sessione a 8 ore.

Cloud RADIUS: Moderna architettura zero-trust

I server RADIUS tradizionali on-premise presentano importanti sfide operative:

• Elevati costi di licenza del server e oneri di installazione delle patch.
• Nessuna API di autenticazione nativa per le directory di identità cloud come Microsoft Entra ID o Google Workspace.
• Vulnerabilità alle interruzioni della rete WAN nelle filiali.

Le reti aziendali moderne distribuiscono il Cloud RADIUS per centralizzare l'autenticazione con zero ingombro di server on-premise.

Per modellare la tua architettura, esplora la nostra Guida WiFi Multi-Tenant e le nostre Soluzioni WiFi per il Personale.

Configurazione dell'assegnazione dinamica della VLAN

L'assegnazione dinamica della VLAN (definita secondo RFC 2868 e RFC 3580) consente a un singolo SSID aziendale di segmentare dinamicamente gli utenti in sottoreti di rete distinte in base alla loro appartenenza ai gruppi di directory.

                          [Enterprise Staff SSID]
                                     |
              +----------------------+----------------------+
              |                      |                      |
              v                      v                      v
        [VLAN 10: Exec]       [VLAN 20: Engineering]  [VLAN 30: Contractors]
        (10.10.10.0/24)        (10.10.20.0/24)        (10.10.30.0/24)

Attributi RADIUS standard richiesti

Quando il server RADIUS convalida le credenziali, aggiunge questi attributi alla risposta Access-Accept:

Tunnel-Type = 13 (VLAN)
Tunnel-Medium-Type = 6 (802 - include tutti i supporti 802 più il formato canonico Ethernet)
Tunnel-Private-Group-ID = 20 (o Nome VLAN "CORP_ENG")

Esempio di mappatura dinamica della VLAN in FreeRADIUS

In /etc/freeradius/3.0/users:

DEFAULT Group == "Engineering-Team"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "20"

DEFAULT Group == "Contractors"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "30"

Regole del firewall di rete e configurazione delle porte

Assicurati che i firewall di rete consentano la comunicazione tra gli access point e i server RADIUS:

Protezione della sicurezza e mitigazione di BlastRADIUS

Mitigazione di BlastRADIUS (CVE-2024-3596)

Nel luglio 2024, i ricercatori hanno divulgato BlastRADIUS, una vulnerabilità di collisione MD5 nel protocollo RADIUS che consente a un utente malintenzionato posizionato tra l'access point e il server RADIUS di contraffare le risposte Access-Accept.

Per proteggere la tua installazione:

1. Forza Message-Authenticator: Richiedi l'attributo Message-Authenticator (RFC 2869) su tutti i pacchetti Access-Request e Access-Accept.
2. Passaggio a EAP-TLS: L'autenticazione EAP-TLS basata su certificati è crittograficamente immune alla contraffazione del proxy perché le chiavi crittografiche TLS sono derivate end-to-end tra il client e il server RADIUS.
3. Implementazione di RadSec (RFC 6614): Incapsula il traffico RADIUS all'interno di tunnel TLS per impedire la manomissione dei pacchetti da parte di attacchi man-in-the-middle.

Risoluzione dei problemi di autenticazione 802.1X

Domande frequenti

Quale porta utilizza un server RADIUS per l'autenticazione WiFi?

L'autenticazione RADIUS standard opera sulla porta UDP 1812, mentre l'accounting utilizza la porta UDP 1813. Le implementazioni legacy utilizzavano le porte UDP 1645 e 1646. Le moderne distribuzioni Cloud RADIUS utilizzano RadSec sulla porta TCP 2083 con crittografia TLS.

Dovrei scegliere FreeRADIUS o Windows Server NPS?

Scegli Windows Server NPS se la tua organizzazione si affida esclusivamente ad Active Directory Domain Services on-premise. Scegli FreeRADIUS per prestazioni elevate, flessibilità open-source e ambienti Linux. Se la tua organizzazione utilizza provider di identità cloud come Microsoft Entra ID o Google Workspace, scegli Cloud RADIUS.

Come posso collegare Microsoft Entra ID (Azure AD) a un server RADIUS?

Microsoft Entra ID non supporta nativamente i protocolli di autenticazione legacy on-premise LDAP o NTLM. Per connettere Entra ID al WiFi aziendale, distribuisci Cloud RADIUS associato alla distribuzione dei certificati Microsoft Intune SCEP per autenticare gli endpoint tramite EAP-TLS.

Perché EAP-TLS è preferito rispetto a PEAP-MSCHAPv2?

EAP-TLS utilizza l'autenticazione reciproca dei certificati X.509 in cui sia il client che il server convalidano le identità crittografiche. PEAP-MSCHAPv2 si affida alle password degli utenti all'interno di un tunnel TLS, lasciando le reti vulnerabili a password spraying, phishing e furto di credenziali tramite AP non autorizzati.

Per un'architettura di sicurezza WiFi aziendale su misura, consulta la nostra Guida all'analisi del WiFi o parla con uno specialista di reti aziendali.