Come configurare un server RADIUS per l'autenticazione WiFi

Executive Summary

Per gli ambienti aziendali - che si tratti di un vasto campus universitario, di uno stadio ad alta densità o di una catena di vendita al dettaglio distribuita - l'affidamento a una Pre-Shared Key (PSK) per l'accesso WiFi rappresenta un rischio significativo per la sicurezza. Una singola credenziale compromessa espone l'intera rete e la revoca dell'accesso richiede la modifica della password per ogni dispositivo dell'edificio. L'implementazione dell'autenticazione 802.1X tramite un server RADIUS (Remote Authentication Dial-In User Service) elimina completamente questo problema: ogni utente si autentica individualmente, l'accesso può essere revocato istantaneamente e la segmentazione della rete viene applicata in modo dinamico.

Questa guida fornisce una roadmap definitiva per i manager IT e gli architetti di rete per implementare l'autenticazione RADIUS. Copriamo i compromessi architetturali tra installazioni on-premise e cloud, la configurazione dei metodi Extensible Authentication Protocol (EAP) e l'integrazione con i servizi di directory come Active Directory. Mostriamo inoltre come un solido livello di autenticazione si integri con le soluzioni di Guest WiFi per fornire un accesso fluido ai visitatori, acquisendo al contempo le funzioni di WiFi Analytics che trasformano la tua rete in una risorsa di business intelligence.

Approfondimento Tecnico

L'Architettura 802.1X

Lo standard IEEE 802.1X definisce il controllo dell'accesso alla rete basato su porte (PNAC). In un contesto wireless, coinvolge tre ruoli principali che operano in concerto:

Quando un supplicant si associa a un access point, l'AP blocca tutto il traffico dati ad eccezione dei messaggi EAP (Extensible Authentication Protocol). L'AP incapsula questi messaggi EAP in pacchetti RADIUS e li inoltra al server RADIUS. Il server verifica le credenziali rispetto a un database backend - in genere LDAP o Active Directory - e restituisce un messaggio Access-Accept o Access-Reject. Se accettato, l'AP sblocca la porta e il traffico del client scorre liberamente.

Scelta di un Metodo EAP

La sicurezza dell'installazione RADIUS dipende fortemente dal metodo EAP selezionato. I due più diffusi nelle installazioni aziendali sono:

EAP-TLS (Transport Layer Security) è lo standard di riferimento. Richiede certificati digitali sia sul server RADIUS sia su ogni dispositivo client, eliminando del tutto le password. Anche se un utente malintenzionato intercettasse l'intero scambio di autenticazione, non ci sarebbero credenziali da estrarre. Il compromesso è il sovraccarico amministrativo: la distribuzione e la gestione dei certificati client richiedono un'infrastruttura a chiave pubblica (PKI) funzionante e una soluzione MDM (ad esempio, Microsoft Intune, Jamf) per distribuire i certificati agli endpoint.

PEAP-MSCHAPv2 (Protected EAP) è il metodo più ampiamente utilizzato nella pratica. Utilizza un certificato lato server per stabilire un tunnel TLS crittografato, all'interno del quale il client si autentica con un nome utente e una password. Questo è notevolmente più semplice da implementare rispetto a EAP-TLS poiché deve essere gestito un solo certificato - quello del server. Tuttavia, comporta un avvertimento critico: se i dispositivi client non sono esplicitamente configurati per convalidare il certificato del server RADIUS, sono vulnerabili ad attacchi Man-in-the-Middle (MitM) tramite access point non autorizzati.

Nota critica sulla sicurezza: la mancata imposizione di una rigorosa convalida del certificato sui dispositivi client annulla di fatto i vantaggi di sicurezza di PEAP-MSCHAPv2. Un utente malintenzionato può implementare un AP non autorizzato, presentare un certificato fraudolento e acquisire le credenziali dell'utente in testo non crittografato. Questo non è un rischio teorico - si tratta di un vettore di attacco ampiamente documentato che è stato sfruttato in ambienti reali.

-

Guida all'implementazione

Passaggio 1: Decisione architetturale - RADIUS On-Premise vs. Cloud

La prima decisione riguarda dove ospitare l'infrastruttura RADIUS. Si tratta principalmente di una questione operativa e di costi, non di sicurezza - entrambi i modelli possono essere implementati in modo sicuro.

RADIUS On-Premise (ad esempio, Microsoft NPS, FreeRADIUS, Cisco ISE) è adatto per organizzazioni con personale IT dedicato, infrastruttura di directory on-premise esistente e stringenti requisiti di sovranità dei dati o conformità. Non dipende dalla connettività internet per l'autenticazione, il che rappresenta un vantaggio significativo per gli ambienti in cui la disponibilità di internet non può essere garantita.

Cloud RADIUS è sempre più il modello preferito per gli ambienti distribuiti - catene Retail, gruppi di Hospitality e hub di Transport in cui l'implementazione di server in ogni sede è operativamente impraticabile. Cloud RADIUS si integra nativamente con i provider di identità cloud (Azure AD, Google Workspace, Okta) e offre alta affidabilità integrata e scalabilità globale.

Passaggio 2: Installare e configurare il server RADIUS

Per un'implementazione on-premise che utilizza Microsoft NPS (la scelta più comune negli ambienti incentrati su Windows):

1. Installare il ruolo Network Policy Server tramite Server Manager.
2. Registrare il server NPS in Active Directory per consentirgli di leggere le proprietà di connessione degli utenti.
3. Creare una voce RADIUS Client per ciascun access point o controller wireless, specificando l'indirizzo IP dell'AP e una chiave Shared Secret forte e univoca.
4. Configurare una Network Policy che definisca le condizioni (es. appartenenza a un gruppo di utenti) e i vincoli (es. metodo EAP, timeout della sessione) per l'accesso.
5. Configurare la Connection Request Policy per elaborare le richieste localmente.

Per FreeRADIUS su Linux:

1. Installare tramite il gestore pacchetti: sudo apt-get install freeradius freeradius-ldap.
2. Configurare /etc/freeradius/3.0/clients.conf per definire i RADIUS client (AP) e le relative chiavi shared secret.
3. Configurare il modulo LDAP in /etc/freeradius/3.0/mods-available/ldap puntando al proprio server Active Directory o LDAP.
4. Abilitare il modulo LDAP: sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/.
5. Definire i metodi EAP in /etc/freeradius/3.0/mods-available/eap.

Passaggio 3: Configurare gli Access Point

Sul controller wireless o sui singoli access point:

1. Definire l'indirizzo o gli indirizzi IP del server RADIUS e la porta di autenticazione (predefinita: UDP 1812).
2. Configurare lo Shared Secret - utilizzare un minimo di 22 caratteri, combinando caratteri alfanumerici e speciali. Utilizzare una chiave segreta univoca per ciascuna sede o gruppo di AP.
3. Configurare l'SSID per utilizzare la modalità di sicurezza WPA2-Enterprise o WPA3-Enterprise con gestione delle chiavi 802.1X.
4. Configurare un server RADIUS secondario per il failover.

Passaggio 4: Integrazione della Directory

Per l'integrazione con AD on-premise, il server RADIUS deve essere aggiunto al dominio o disporre dell'accesso in lettura LDAP. Assicurarsi che gli account di servizio utilizzati per l'associazione LDAP dispongano dei permessi minimi richiesti. Per il cloud RADIUS, configurare la sincronizzazione basata su API o l'integrazione SAML/OIDC con il proprio IdP.

Definire gruppi di utenti chiari nella directory, poiché questi guideranno i criteri di autorizzazione. Struttura dei gruppi consigliata:

Passaggio 5: Configurazione dei Client e Validazione dei Certificati

Questo è il passaggio più critico a livello operativo. Utilizzare le Group Policy (GPO) per Windows e i profili MDM per macOS/iOS/Android per distribuire le configurazioni WiFi in background sui dispositivi gestiti. Il profilo deve specificare:

• La Root CA che ha emesso il certificato del server RADIUS.
• Il nome server previsto (CN o SAN del certificato del server).
• Il metodo EAP e il protocollo di autenticazione interno.

Per i dispositivi BYOD non gestiti, fornire istruzioni chiare per l'onboarding in modalità self-service, idealmente tramite un portale di Network Access Control (NAC).

Passaggio 6: Implementare l'Assegnazione Dinamica della VLAN

Configurare il server RADIUS per restituire gli attributi di assegnazione della VLAN nella risposta Access-Accept:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = IEEE-802 (6)
• Tunnel-Private-Group-Id = <VLAN ID>

L'access point legge questi attributi e inserisce il client autenticato nella VLAN specificata - nessuna riconfigurazione manuale è richiesta quando gli utenti cambiano ruoli o sedi.

Best Practice

La ridondanza non è negoziabile. Distribuisci un minimo di due server RADIUS (primario e secondario) e configura tutti gli access point per il failover automatico. Per le distribuzioni on-premise, valuta la possibilità di collocare il server secondario in una sede fisica o in una zona di disponibilità diversa. Un'interruzione del servizio RADIUS significa che nessuno può autenticarsi, il che equivale a un'interruzione completa della rete per gli SSID protetti da 802.1X.

Monitora la scadenza dei certificati in modo proattivo. La scadenza di un certificato del server RADIUS è una delle cause più comuni di improvvisi e diffusi errori di autenticazione. Implementa un sistema di monitoraggio per avvisare gli amministratori almeno 30 giorni prima della scadenza. Questo vale sia per il certificato del server sia per qualsiasi certificato CA intermedio nella catena.

Tratta il Shared Secret come una credenziale critica. Il shared secret tra l'AP e il server RADIUS crittografa i pacchetti RADIUS. Utilizza segreti univoci per sede o gruppo di AP, memorizzali in un gestore di segreti e ruotali periodicamente. Consulta la nostra guida su come Proteggere la tua rete con DNS sicuri e sicurezza per raccomandazioni più ampie sull'igiene della sicurezza di rete.

Allineati con i framework di conformità. Per gli ambienti soggetti a PCI-DSS (ad esempio, reti di pagamento al dettaglio), l'autenticazione 802.1X supporta direttamente i requisiti per il controllo degli accessi alla rete e la registrazione dei log di audit. Per la conformità GDPR, i registri di contabilità RADIUS (porta 1813) forniscono un audit trail dettagliato di chi ha effettuato l'accesso alla rete, da dove e quando - prezioso per la risposta agli incidenti. Per gli ambienti del settore Sanità, la segmentazione della rete tramite l'assegnazione dinamica delle VLAN supporta i requisiti HIPAA per la protezione delle informazioni sanitarie protette elettroniche (ePHI).

Risoluzione dei problemi e mitigazione dei rischi

Per un approfondimento dettagliato sul processo di configurazione 802.1X, la guida Come configurare l'autenticazione WiFi 802.1X: una guida passo dopo passo fornisce procedure di configurazione dettagliate e specifiche per i diversi vendor.

ROI e impatto aziendale

Il passaggio da PSK a 802.1X supportato da RADIUS richiede un investimento iniziale nella configurazione e, potenzialmente, licenze per soluzioni cloud o hardware per installazioni on-premise. I vantaggi in termini di ROI sono evidenti:

Mitigazione del rischio: il costo medio di una violazione dei dati nel Regno Unito supera i 3 milioni di sterline (IBM Cost of a Data Breach Report). Una PSK compromessa può esporre l'intera rete. Lo standard 802.1X limita l'area di impatto a un singolo account utente compromesso, che può essere disattivato in pochi secondi tramite la directory.

Efficienza operativa: l'assegnazione dinamica della VLAN elimina la riconfigurazione manuale della rete in caso di cambio di ruolo del personale. L'onboarding di un nuovo dipendente consiste semplicemente nell'aggiungerlo al gruppo AD corretto - l'accesso alla rete segue automaticamente di conseguenza.

Conformità normativa: per le organizzazioni soggette a PCI-DSS, ISO 27001 o Cyber Essentials, lo standard 802.1X rappresenta un controllo diretto che i revisori si aspettano di trovare. L'implementazione rafforza la tua conformità e riduce i costi di risoluzione dei rilievi di audit.

Esperienza degli ospiti e analisi dei dati: per i gestori di spazi fisici, l'integrazione di RADIUS per l'autenticazione del personale con la piattaforma Guest WiFi di Purple per l'accesso dei visitatori crea un modello di accesso unificato e multilivello. Il personale si autentica in modo trasparente tramite 802.1X; gli ospiti si connettono tramite un Captive Portal personalizzato. La piattaforma di WiFi Analytics di Purple fornisce quindi visibilità in tempo reale sui tempi di permanenza dei visitatori, sui tassi di ritorno e sulle metriche di interazione - dati che informano direttamente le decisioni di spesa marketing e la gestione della location.

Per ulteriori approfondimenti, consulta la guida Como Configurar a Autenticação 802.1X WiFi: Um Guia Passo a Passo per indicazioni di implementazione in lingua portoghese, e l'articolo Che cos'è una linea dedicata? Internet aziendale dedicato per assicurarsi che la connettività di base soddisfi i requisiti aziendali.