Come configurare WPA2-Enterprise sulle piattaforme di Access Point più diffuse (Cisco, Aruba, Ubiquiti)

Come configurare WPA2-Enterprise sulle piattaforme di Access Point più diffuse — Cisco, Aruba e Ubiquiti Un briefing informativo di Purple WiFi [INTRODUZIONE — circa 1 minuto] Benvenuti alla serie di briefing informativi di Purple WiFi. Sono il vostro ospite e oggi andremo dritti al punto su uno degli argomenti più richiesti dai nostri clienti enterprise: come configurare WPA2-Enterprise sulle tre piattaforme di access point più diffuse sul mercato — Cisco, Aruba e Ubiquiti. Che siate il direttore IT di un gruppo alberghiero da 500 camere, l'architetto di rete di una catena di vendita al dettaglio nazionale o il CTO di un operatore di centri congressi, questo briefing è pensato per voi. Non ci soffermeremo sulla teoria fine a se stessa. Esamineremo ciò che occorre sapere per prendere una decisione di implementazione, eseguirla correttamente ed evitare gli errori in cui incorrono anche i team più esperti. Entriamo nel vivo. [APPROFONDIMENTO TECNICO — circa 5 minuti] Innanzitutto, facciamo un rapido punto della situazione su cosa sia effettivamente WPA2-Enterprise, perché c'è ancora una sorprendente confusione sul mercato tra WPA2-Personal e WPA2-Enterprise — e la distinzione è estremamente importante per la conformità e la gestione del rischio. Il WPA2-Personal — la versione con cui la maggior parte delle persone ha familiarità — utilizza una singola chiave precondivisa. Tutti i membri della rete utilizzano la stessa password. Questo va bene per una rete domestica. Non è assolutamente accettabile per un ambiente aziendale in cui sono necessari l'autenticazione per singolo utente, i registri di controllo e la possibilità di revocare l'accesso istantaneamente. Il WPA2-Enterprise, definito dallo standard IEEE 802.1X, sostituisce la chiave condivisa con uno scambio di autenticazione individuale. Ogni utente o dispositivo presenta le proprie credenziali — che si tratti di nome utente e password, di un certificato digitale o di un token — e tali credenziali vengono convalidate da un server RADIUS prima che venga concesso l'accesso alla rete. L'access point stesso non vede mai le credenziali. Agisce esclusivamente come autenticatore, trasmettendo lo scambio EAP — Extensible Authentication Protocol — tra il client e il server RADIUS. Si tratta di un'architettura fondamentalmente più sicura ed è il requisito di base per la conformità PCI DSS in qualsiasi ambiente che gestisca dati di carte di pagamento, oltre a essere fortemente raccomandata ai sensi del GDPR per le organizzazioni che elaborano dati personali su reti wireless. Ora, parliamo delle tre piattaforme. Iniziamo con Cisco. Il portfolio WiFi aziendale di Cisco — principalmente le linee Catalyst e Meraki — rappresenta la scelta di riferimento per le installazioni su larga scala. Cisco DNA Center fornisce una gestione centralizzata delle policy, mentre la dashboard Meraki offre la semplicità della gestione in cloud per le infrastrutture distribuite. Per configurare WPA2-Enterprise su un access point Cisco Catalyst, si opera tramite il WLC — Wireless LAN Controller — o DNA Center. I passaggi chiave sono: definire il server RADIUS in Sicurezza, poi AAA, quindi Server di Autenticazione RADIUS; creare un nuovo profilo WLAN; impostare la policy di sicurezza su WPA2 con 802.1X come metodo di gestione delle chiavi; e associare il server RADIUS a tale WLAN. Un punto critico su Cisco: assicurarsi di configurare l'accounting RADIUS oltre all'autenticazione. L'accounting fornisce la traccia di controllo per sessione richiesta dai framework di conformità. Su Meraki, il processo è ancora più semplice — basta navigare su Wireless, poi SSIDs, selezionare l'SSID di destinazione, impostare la sicurezza su WPA2-Enterprise con il proprio server RADIUS e inserire l'IP del server RADIUS, la porta — in genere 1812 per l'autenticazione e 1813 per l'accounting — e la chiave segreta condivisa. Meraki supporta anche il test RADIUS direttamente dalla dashboard, il che è prezioso in fase di collaudo. Passiamo ad Aruba. Aruba Networks, ora parte di HPE, è la scelta dominante nel settore dell'ospitalità e dell'istruzione superiore. Aruba Central fornisce la gestione in cloud, e ArubaOS è la piattaforma sottostante. Su Aruba, la configurazione WPA2-Enterprise risiede all'interno del profilo SSID. È necessario definire un profilo AAA che faccia riferimento al server RADIUS, quindi associare tale profilo AAA al profilo AP virtuale. ClearPass Policy Manager di Aruba merita una menzione specifica — è il motore RADIUS e di policy proprietario di Aruba, e aggiunge funzionalità significative in termini di profilazione dei dispositivi, controllo degli accessi basato sui ruoli e onboarding degli ospiti. Se si gestisce un ambiente misto con dipendenti, collaboratori esterni e ospiti che si connettono tutti alla stessa infrastruttura, ClearPass offre la granularità delle policy necessaria per segmentarli in modo appropriato. Per un hotel che distribuisce WPA2-Enterprise sulle reti del personale e del back-office, gestendo al contempo una soluzione WiFi per gli ospiti separata tramite una piattaforma come Purple, la segmentazione degli SSID di Aruba combinata con ClearPass per l'autenticazione del personale rappresenta un'architettura estremamente pulita. Ora passiamo a Ubiquiti. La piattaforma UniFi di Ubiquiti ha ottenuto una trazione significativa nel mercato delle PMI e delle medie imprese — e sempre più nel settore dell'ospitalità boutique e del retail — grazie al suo prezzo competitivo e a un'interfaccia di gestione davvero efficiente. UniFi Network Controller è il luogo in cui svolgerai il lavoro più impegnativo. Per configurare WPA2-Enterprise su UniFi, vai su Impostazioni, poi su WiFi, crea o modifica il tuo SSID, imposta la sicurezza su WPA2 Enterprise e configura il tuo profilo RADIUS — ancora una volta, indirizzo IP, porta di autenticazione 1812, porta di accounting 1813 e chiave segreta condivisa. Una considerazione importante con Ubiquiti: non viene fornito con un server RADIUS integrato nello stesso modo in cui lo fanno alcune piattaforme enterprise. Avrai bisogno di un server RADIUS esterno — che si tratti di Windows Server NPS, FreeRADIUS o di un servizio RADIUS cloud. Questa non è una limitazione in sé, ma è una dipendenza che deve essere pianificata. Per le distribuzioni più piccole, l'applicazione UniFi Network include un server RADIUS di base, ma per gli ambienti di produzione consiglio sempre un'istanza RADIUS dedicata. Su tutte e tre le piattaforme, la selezione del metodo EAP merita attenzione. PEAP con MSCHAPv2 è il metodo più diffuso perché funziona con le credenziali di Active Directory senza richiedere certificati lato client. EAP-TLS è più sicuro — utilizza l'autenticazione reciproca dei certificati — ma richiede un'infrastruttura PKI e la distribuzione dei certificati a ogni dispositivo client, il che aumenta i costi operativi di gestione. Per la maggior parte delle distribuzioni aziendali, PEAP-MSCHAPv2 con un server RADIUS configurato correttamente e la convalida del certificato lato client rappresenta il giusto equilibrio tra sicurezza e gestibilità operativa. [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI — circa 2 minuti] Ora lascia che ti illustri i tre scenari di errore più comuni che riscontro nelle distribuzioni WPA2-Enterprise e come evitarli. Numero uno: disponibilità del server RADIUS. Il tuo server RADIUS è ora nel percorso critico per ogni autenticazione wireless. Se si interrompe, nessuno può connettersi. Ciò significa che hai bisogno di ridondanza RADIUS — come minimo un server RADIUS primario e uno secondario configurati su ogni access point. La maggior parte delle piattaforme supporta questa funzione in modo nativo. Su Cisco, puoi configurare gruppi di server RADIUS con failover. Su Aruba, il profilo AAA supporta più server RADIUS con valori di timeout e tentativi configurabili. Su Ubiquiti, puoi specificare un server RADIUS secondario nel profilo RADIUS. Non saltare questo passaggio. Numero due: validazione del certificato. Una percentuale incredibilmente alta di implementazioni che analizzo presenta dispositivi client configurati per accettare qualsiasi certificato del server RADIUS. Questo mina completamente il modello di sicurezza, esponendoti ad attacchi "evil twin" in cui un access point canaglia impersona la tua rete e sottrae credenziali. Configura il certificato del tuo server RADIUS da una CA attendibile e configura i tuoi supplicant client per validare tale certificato. Su Windows, questo si fa tramite Group Policy. Su iOS e Android, viene gestito tramite profili MDM. Questo è un requisito non negoziabile per qualsiasi ambiente che gestisca dati sensibili. Numero tre: assegnazione della VLAN. WPA2-Enterprise consente l'assegnazione dinamica della VLAN: il server RADIUS può restituire un attributo VLAN nel messaggio Access-Accept, inserendo ogni utente autenticato nel segmento di rete appropriato in base alla sua identità o al suo ruolo. Questa è una delle funzionalità più potenti dell'architettura 802.1X, e spesso non viene configurata. Se gestisci una struttura con personale, management e dispositivi IoT tutti sulla stessa infrastruttura fisica, l'assegnazione dinamica della VLAN è il modo in cui imponi la segmentazione della rete senza dover gestire più SSID. Per quanto riguarda l'integrazione con Purple: se stai implementando WPA2-Enterprise per il tuo personale e le reti operative, e utilizzi la piattaforma guest WiFi di Purple per la connettività dei visitatori, questi due sistemi coesistono perfettamente. Purple gestisce l'autenticazione degli ospiti, l'acquisizione dei dati e il livello di analytics — inclusi i WiFi analytics e la footfall intelligence che i gestori delle strutture utilizzano per le decisioni operative — mentre la tua infrastruttura WPA2-Enterprise protegge la rete aziendale. La chiave è una netta separazione di SSID e VLAN a livello di access point, supportata da tutte e tre le piattaforme. [Q&A RAPIDO — circa 1 minuto] Rispondo rapidamente ad alcune domande che sorgono regolarmente. Posso gestire WPA2-Enterprise e una rete ospiti sugli stessi access point? Sì, assolutamente. Tutte e tre le piattaforme supportano più SSID per radio, ciascuno con policy di sicurezza indipendenti. Il tuo SSID aziendale esegue WPA2-Enterprise; il tuo SSID ospiti può essere gestito tramite il Captive Portal di Purple con un isolamento adeguato. Devo sostituire i miei access point esistenti per implementare WPA2-Enterprise? Quasi certamente no. WPA2-Enterprise è supportato su access point di livello enterprise da ben oltre un decennio. Se il tuo hardware ha meno di otto anni e utilizza un firmware aggiornato, supporterà lo standard 802.1X. Qual è la differenza tra WPA2-Enterprise e WPA3-Enterprise? WPA3-Enterprise aggiunge una modalità di sicurezza a 192 bit che utilizza la crittografia Suite B, rilevante per gli ambienti governativi e della difesa. Per la maggior parte delle implementazioni commerciali, WPA2-Enterprise con metodi EAP forti rimane lo standard. Vale la pena pianificare la transizione a WPA3 per le nuove installazioni, ma non si tratta di una migrazione urgente per la maggior parte delle organizzazioni. Il RADIUS in cloud è un'opzione praticabile? Sì, e lo è sempre di più. Servizi come Cisco ISE nel cloud, Aruba ClearPass as a service o opzioni di terze parti come JumpCloud e Foxpass forniscono il RADIUS come servizio gestito, eliminando i costi generali dell'infrastruttura. Per le proprietà distribuite — si pensi a una catena di vendita al dettaglio con 200 sedi — il RADIUS in cloud può ridurre significativamente la complessità operativa. [RIASSUNTO E PROSSIMI PASSI — circa 1 minuto] Per concludere: WPA2-Enterprise è la base non negoziabile per qualsiasi implementazione wireless aziendale. Il processo di configurazione su Cisco, Aruba e Ubiquiti segue lo stesso schema fondamentale: definire il server RADIUS, creare l'SSID con la gestione delle chiavi 802.1X, selezionare il metodo EAP e testare prima di andare online. Le differenze risiedono nelle interfacce di gestione e negli strumenti dell'ecosistema che circondano ciascuna piattaforma. Le tre cose da fare bene: ridondanza RADIUS, validazione dei certificati sui client e assegnazione dinamica della VLAN. Gestendo correttamente questi tre elementi, otterrete una postura di sicurezza wireless solida, conforme e verificabile. Per i prossimi passi: se state valutando le piattaforme, utilizzate il framework di confronto dei vendor nella guida allegata. Se siete pronti per l'implementazione, le guide dettagliate alla configurazione passo-passo per ciascuna piattaforma si trovano nella sezione di implementazione. E se state pensando a come il WiFi per gli ospiti si integri con la vostra rete aziendale, la documentazione della piattaforma Purple copre in dettaglio l'architettura di integrazione. Grazie per l'attenzione. Ci vediamo al prossimo briefing.