Come segmentare in sicurezza le reti WiFi del personale e degli ospiti: Best Practice per LAN aziendali

Parla con un tono in inglese britannico sicuro e colloquiale - come un consulente senior che fa un briefing a un cliente. Ritmo misurato, autorevole ma accessibile. Niente parole di riempimento. --- INTRODUZIONE E CONTESTO (circa 1 minuto) --- Bene, entriamo nel vivo. Se sei responsabile della rete di una struttura - che si tratti di un hotel, una catena di negozi, uno stadio o un edificio della pubblica amministrazione - c'è una domanda che sorge più di quasi ogni altra: come si offre agli ospiti un WiFi decente senza mettere a rischio la rete aziendale? La risposta breve è la segmentazione. Ma la risposta più lunga - quella che ti porta effettivamente a una rete sicura, conforme e gestibile - prevede l'autenticazione 802.1X, l'isolamento VLAN, il RADIUS in cloud e un ciclo di vita delle credenziali che non si affida a qualcuno che si ricordi di cambiare una password condivisa quando un membro del personale se ne va. Nei prossimi dieci minuti ti guiderò esattamente su come progettare e distribuire una rete adeguatamente segmentata. Copriremo le basi tecniche, i passaggi di configurazione specifici del fornitore per Cisco Meraki e Juniper Mist, due scenari di implementazione nel mondo reale e le insidie che mettono in difficoltà la maggior parte dei team. Cominciamo. --- APPROFONDIMENTO TECNICO (circa 5 minuti) --- Partiamo dalle basi. Segmentazione della rete significa mantenere il traffico del personale e quello degli ospiti su reti fisicamente o logicamente separate, in modo che un dispositivo ospite - o un dispositivo ospite compromesso - non possa raggiungere i tuoi sistemi point-of-sale, il tuo ERP, la tua infrastruttura TVCC o qualsiasi altra cosa sulla tua LAN aziendale. Il modo standard per farlo al Layer 2 è con le VLAN - Virtual Local Area Networks. Assegni l'SSID del tuo personale a una VLAN, ad esempio la VLAN 10, e l'SSID dei tuoi ospiti a un'altra, ad esempio la VLAN 20. I tuoi switch gestiti e i punti di accesso applicano tale separazione a livello hardware. Un ospite sulla VLAN 20 viene reindirizzato a internet e a nient'altro. Un membro del personale sulla VLAN 10 viene reindirizzato alla LAN aziendale e a internet, in base alle regole del firewall che hai definito. Questo è il modello di base. Ma ecco dove la maggior parte delle strutture fallisce: utilizzano una passphrase condivisa - una PSK - per la rete del personale. Tutti la conoscono. Viene scritta su un post-it. Non cambia mai. Quando qualcuno se ne va, la credenziale rimane attiva. Questa non è segmentazione. Questa è una falsa sensazione di sicurezza. L'approccio corretto per il personale è l'802.1X - pronunciato "otto zero due punto uno X" - che è lo standard IEEE per il controllo dell'accesso alla rete basato su porta. Invece di una passphrase condivisa, ogni membro del personale si autentica con la propria credenziale di identità - in genere il proprio account di directory aziendale da Microsoft Entra ID, Okta o Google Workspace. L'access point invia tale richiesta di autenticazione a un server RADIUS, che la convalida rispetto al tuo identity provider e concede o nega l'accesso. Nessun segreto condiviso. Nessuna credenziale che sopravviva a chi lascia l'azienda. Il metodo di autenticazione che funziona meglio nella maggior parte delle distribuzioni aziendali è EAP-TTLS - Extensible Authentication Protocol Tunnelled Transport Layer Security. Crea un tunnel crittografato tra il dispositivo e il server RADIUS, quindi esegue l'autenticazione all'interno di quel tunnel utilizzando PAP. Ciò significa che le credenziali non vengono mai esposte via etere. Ora, il server RADIUS stesso è un componente critico. Tradizionalmente, gestiresti il tuo server RADIUS on-premises - un Cisco ISE, un'unità FreeRADIUS, qualcosa del genere. Ma sempre più spesso le organizzazioni stanno passando a un RADIUS nativo del cloud, che rimuove la dipendenza on-premises, migliora la resilienza e semplifica la gestione. Il prodotto SecurePass di Purple fa esattamente questo - fornisce un servizio RADIUS cloud con cui i tuoi punti di accesso si autenticano tramite RadSec, ovvero RADIUS su TLS sulla porta 2083. Ciò garantisce un traffico RADIUS crittografato, a differenza del tradizionale RADIUS basato su UDP che invia gli attributi in chiaro. Per il lato ospiti, il modello è diverso. Gli ospiti non dispongono di account di directory aziendali. Si connettono a un SSID separato - in genere protetto da un Captive Portal che raccoglie un accesso basato sul consenso, o tramite Passpoint, che è lo standard Hotspot 2.0 di Wi-Fi Alliance che consente un'autenticazione automatica e fluida senza una pagina di benvenuto. La piattaforma di Purple supporta entrambi. L'SSID per gli ospiti risiede sulla propria VLAN, instrada il traffico solo verso Internet ed è completamente isolato dalla rete del personale e dalla LAN aziendale. Permettetemi di parlare un momento di Passpoint, perché è sempre più importante. Passpoint - noto anche come Hotspot 2.0 o OpenRoaming - consente a un dispositivo di connettersi automaticamente a una rete fidata utilizzando una credenziale già in suo possesso, come una credenziale dell'operatore mobile o un'identità dall'app Purple. Il dispositivo e la rete negoziano l'autenticazione utilizzando EAP-TTLS o EAP-TLS senza che l'utente debba interagire con una pagina di benvenuto. Per i luoghi ad alta affluenza - aeroporti, stadi, centri commerciali - questo migliora notevolmente l'esperienza di connessione mantenendo al contempo la sicurezza. Ora parliamo di due piattaforme hardware specifiche: Cisco Meraki e Juniper Mist, perché queste sono le due piattaforme aziendali più comuni che vediamo nei locali. Su Cisco Meraki, configuri l'SSID del personale in Wireless, Controllo Accessi. Imposti la sicurezza su Enterprise con il mio server RADIUS, solo WPA2, nessuna pagina di benvenuto. Quindi aggiungi i tuoi server RADIUS - nel caso di Purple, rad1-secure.purple.ai e rad2-secure.purple.ai, entrambi sulla porta 2083, con RadSec abilitato. Configuri anche Hotspot 2.0 in Wireless, Hotspot 2.0 - abilitandolo, impostando il nome dell'operatore, l'elenco dei domini e il realm NAI con EAP-TTLS come metodo. Tutti i dettagli passo-passo sono presenti nella documentazione di supporto di Purple, a cui farò riferimento alla fine. Su Juniper Mist, vai su Network, WLANs, aggiungi una nuova WLAN, imposta il tipo di sicurezza su WPA2 Enterprise 802.1X, abilita Passpoint e configura i tuoi server di autenticazione come RadSec puntando all'infrastruttura di Purple. Devi anche installare il certificato RadSec in Organisation Settings. Di nuovo, i valori di configurazione esatti e i passaggi sono nell'articolo di supporto di Purple - consiglio sempre di seguire la documentazione live piuttosto che codificare a livello hardware i valori di un podcast. La parte relativa al ciclo di vita delle credenziali è dove le reti Identity-Based Networks si dimostrano davvero indispensabili. Quando un dipendente viene assunto, il suo account in Microsoft Entra ID o Okta viene configurato e ottiene l'accesso WiFi in modo automatico. Quando cambia ruolo, il suo profilo di accesso si aggiorna. Quando se ne va - e questo è l'aspetto cruciale - il suo account viene disattivato e Purple revoca il suo accesso WiFi in tempo reale. Nessuna password condivisa da cambiare. Nessun processo manuale. Nessuna finestra temporale di vulnerabilità. Questo è ciò che Purple chiama il flusso di lavoro joiners, movers, leavers, o JML, ed è ciò che fa la differenza tra una rete realmente sicura e una che sembra solo sicura. --- RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI (circa 2 minuti) --- Bene, parliamo di cosa va storto nella pratica, perché ci sono alcuni scenari di errore che vedo ripetutamente. Il primo è l'errata configurazione delle VLAN. Configuri gli SSID correttamente, ma le porte trunk sui tuoi switch non trasportano entrambe le VLAN, oppure le regole di routing inter-VLAN sono troppo permissive. Un ospite sulla VLAN 20 finisce per essere in grado di effettuare il ping dei dispositivi sulla VLAN 10. Testa sempre con un dispositivo ospite dopo l'implementazione - prova a raggiungere un indirizzo IP interno. Se ci riesci, le regole del tuo firewall devono essere rese più restrittive. Il secondo è il failover RADIUS. Se configuri solo un server RADIUS e questo diventa irraggiungibile, il personale non può autenticarsi. Configura sempre sia rad1-secure che rad2-secure come primario e secondario. L'infrastruttura cloud RADIUS di Purple è progettata per l'alta affidabilità, ma il tuo access point deve conoscere entrambi gli endpoint. Il terzo - e questo è quello che causa il maggior disagio operativo - è il mancato rilevamento dell'integrazione con il tuo identity provider fin dal primo giorno. I team spesso iniziano con account RADIUS locali, con l'intenzione di migrare a Entra ID o Okta in un secondo momento. Quella migrazione è dolorosa. Falla bene fin dall'inizio. L'automazione JML da sola giustifica lo sforzo. La quarta trappola è trattare la rete ospite come un elemento secondario. Il tuo SSID ospite necessita di una raccolta del consenso conforme al GDPR, della gestione della larghezza di banda per evitare che un singolo ospite saturi il collegamento e dell'isolamento dei client in modo che gli ospiti non possano vedere i dispositivi degli altri. La piattaforma di Purple gestisce la parte relativa al consenso e all'analisi dei dati. Il tuo access point gestisce l'isolamento dei client - assicurati che sia abilitato. Sul fronte della conformità: se elaborate pagamenti con carta ovunque sulla stessa infrastruttura di rete fisica, l'ambito PCI DSS è una preoccupazione reale. Una corretta segmentazione VLAN, combinata con un firewall che impone l'assenza di traffico cross-VLAN tra la rete guest e quella dei pagamenti, è la base di partenza. Il vostro QSA vorrà vedere le prove di tale segmentazione. Documentate le vostre assegnazioni VLAN, le regole del firewall e la configurazione dei vostri access point. --- DOMANDE E RISPOSTE RAPIDE (circa 1 minuto) --- Ecco alcune domande che mi vengono poste regolarmente. Posso gestire il personale e i guest sullo stesso access point? Sì - i moderni access point aziendali di Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e altri supportano più SSID con tagging VLAN su un'unica radio. Non è necessario un hardware separato. Ho bisogno del WPA3? Il WPA3 è preferibile per le nuove distribuzioni, in particolare per la rete guest, perché garantisce la forward secrecy e protegge dagli attacchi di dizionario offline. Tuttavia, il WPA2 Enterprise con 802.1X è ancora forte per il personale e la maggior parte dell'hardware aziendale lo supporta. Se il vostro hardware supporta il WPA3, abilitatelo. E per quanto riguarda il BYOD - il personale che utilizza dispositivi personali? È qui che l'autenticazione basata su certificati, o EAP-TLS, diventa preziosa. Potete rilasciare certificati di dispositivo tramite il vostro MDM ai dispositivi gestiti e limitare il WiFi del personale solo ai dispositivi autenticati tramite certificato. I dispositivi personali non gestiti vengono reindirizzati a un SSID BYOD separato con accesso più limitato. Come funziona la piattaforma di analytics di Purple insieme alla segmentazione? Purple raccoglie dati di prima parte dagli accessi al WiFi guest - previo consenso - e li mostra attraverso la piattaforma di analytics WiFi. Il traffico del personale è separato e non è soggetto alla stessa raccolta di analytics. Le due reti sono architettonicamente distinte, esattamente come dovrebbe essere. --- SINTESI E PROSSIMI PASSI (circa 1 minuto) --- Per riassumere. La segmentazione sicura del WiFi per il personale e per i guest si riduce a cinque elementi. Uno: VLAN separate per il traffico del personale e dei guest, imposte a livello di switch e di access point. Due: 802.1X con EAP-TTLS per l'autenticazione del personale - nessuna passphrase condivisa. Tre: cloud RADIUS con RadSec per un'infrastruttura di autenticazione crittografata e resiliente. Quattro: Passpoint o captive portal per i guest, con raccolta del consenso conforme al GDPR. Cinque: integrazione con l'identity provider per la gestione automatizzata di assunzioni, trasferimenti e dimissioni - così chi lascia l'azienda perde l'accesso nel momento stesso in cui il suo account viene rimosso. Se state effettuando la distribuzione su Cisco Meraki o Juniper Mist, la documentazione di supporto di Purple contiene i passaggi esatti per la configurazione. Se state valutando la piattaforma più ampia - tra cui SecurePass per l'identità del personale, analytics WiFi per i dettagli sui guest e l'app Purple per una connettività Passpoint fluida - il punto di partenza è purple.ai. Per oggi è tutto. Se avete trovato utile questo contenuto, condividetelo con il vostro network architect o con il vostro direttore delle operazioni della sede. E se avete uno scenario di distribuzione specifico che vorreste che trattassimo, mettetevi in contatto con noi.