Come configurare WPA2-Enterprise sulle piattaforme di Access Point più comuni (Cisco, Aruba, Ubiquiti)

Come configurare WPA2-Enterprise sulle piattaforme di Access Point più comuni - Cisco, Aruba e Ubiquiti Un briefing informativo di Purple WiFi [INTRODUZIONE - circa 1 minuto] Benvenuti alla serie informativa di Purple WiFi. Sono il vostro presentatore e oggi andremo dritti al punto su uno degli argomenti più richiesti dai nostri clienti enterprise: come configurare WPA2-Enterprise sulle tre piattaforme di access point più diffuse - Cisco, Aruba e Ubiquiti. Che siate il direttore IT di un gruppo alberghiero da 500 camere, l'architetto di rete di una catena di vendita al dettaglio nazionale o il CTO di un operatore di centri congressi, questo briefing è pensato per voi. Non faremo teoria fine a se stessa. Esamineremo ciò che occorre sapere per prendere una decisione di implementazione, eseguirla correttamente ed evitare le insidie che ostacolano anche i team più esperti. Entriamo nel vivo. [APPROFONDIMENTO TECNICO - circa 5 minuti] In primo luogo, facciamo un rapido punto della situazione su cosa sia effettivamente WPA2-Enterprise, poiché sul mercato c'è ancora una sorprendente confusione tra WPA2-Personal e WPA2-Enterprise - e la distinzione è estremamente importante per la conformità e la gestione del rischio. La versione WPA2-Personal - quella con cui la maggior parte delle persone ha familiarità - utilizza una singola chiave pre-condivisa. Tutti i membri della rete utilizzano la stessa password. Questo va bene per una rete domestica. Non è categoricamente accettabile per un ambiente aziendale in cui sono necessari l'autenticazione per singolo utente, i registri di controllo e la possibilità di revocare l'accesso all'istante. La modalità WPA2-Enterprise, definita dallo standard 802.1X, sostituisce la chiave condivisa con uno scambio di autenticazione individuale. Ogni utente o dispositivo presenta le proprie credenziali - che si tratti di nome utente e password, di un certificato digitale o di un token - e tali credenziali vengono convalidate da un server RADIUS prima che venga concesso l'accesso alla rete. L'access point stesso non vede mai le credenziali. Agisce esclusivamente come autenticatore, trasmettendo lo scambio EAP (Extensible Authentication Protocol) tra il client e il server RADIUS. Si tratta di un'architettura fondamentalmente più sicura ed è il requisito di base per la conformità PCI-DSS in qualsiasi ambiente che gestisca dati di carte di pagamento, oltre a essere fortemente raccomandata ai sensi del GDPR per le organizzazioni che elaborano dati personali su reti wireless. Ora parliamo delle tre piattaforme. Iniziamo con Cisco. Il portfolio WiFi aziendale di Cisco - principalmente le linee Catalyst e Meraki - è la scelta di riferimento per le distribuzioni su larga scala. Cisco DNA Center fornisce una gestione centralizzata delle policy, mentre la dashboard Meraki offre la semplicità della gestione in cloud per le proprietà distribuite. Per configurare WPA2-Enterprise su un access point Cisco Catalyst, dovrai operare tramite il WLC - Wireless LAN Controller - o il DNA Center. I passaggi chiave sono: definire il server RADIUS sotto Security, poi AAA, infine RADIUS Authentication Servers; creare un nuovo profilo WLAN; impostare la policy di sicurezza su WPA2 con 802.1X come metodo di gestione delle chiavi; e associare il server RADIUS a quella WLAN. Un punto critico su Cisco: assicurati di configurare il RADIUS accounting oltre all'autenticazione. L'accounting fornisce la traccia di controllo per sessione richiesta dai framework di conformità. Su Meraki, il processo è ancora più semplice - naviga su Wireless, poi SSIDs, seleziona l'SSID di destinazione, imposta la sicurezza su WPA2-Enterprise con il mio server RADIUS, e inserisci l'IP del server RADIUS, la porta - solitamente 1812 per l'autenticazione e 1813 per l'accounting - e la chiave segreta condivisa. Meraki supporta anche i test RADIUS direttamente dalla dashboard, il che è prezioso durante la messa in servizio. Passiamo ad Aruba. Aruba Networks, ora parte di HPE, è la scelta dominante nel settore dell'ospitalità e dell'istruzione superiore. Aruba Central fornisce la gestione in cloud e ArubaOS è la piattaforma sottostante. Su Aruba, la configurazione WPA2-Enterprise risiede all'interno del profilo SSID. Definirai un profilo AAA che fa riferimento al tuo server RADIUS, quindi collegherai quel profilo AAA al tuo profilo AP virtuale. Aruba ClearPass Policy Manager merita una menzione specifica - si tratta del motore di policy e RADIUS proprietario di Aruba, che aggiunge funzionalità significative per la profilazione dei dispositivi, il controllo degli accessi basato sui ruoli e l'onboarding degli ospiti. Se gestisci un ambiente misto con personale, appaltatori e ospiti che si connettono tutti alla stessa infrastruttura, ClearPass ti offre la granularità delle policy necessaria per segmentarli in modo appropriato. Per un hotel che distribuisce WPA2-Enterprise sulle reti del personale e del retrobottega, gestendo al contempo una soluzione WiFi separata per gli ospiti attraverso una piattaforma come Purple, la segmentazione degli SSID di Aruba combinata con ClearPass per l'autenticazione del personale rappresenta un'architettura estremamente pulita. Ora passiamo a Ubiquiti. La piattaforma UniFi di Ubiquiti ha guadagnato una trazione significativa nel settore delle PMI e del mid-market - e sempre più nell'ospitalità e nel retail di fascia alta - grazie al suo prezzo competitivo e a un'interfaccia di gestione davvero performante. UniFi Network Controller è il luogo in cui svolgerai il lavoro più impegnativo. Per configurare WPA2-Enterprise su UniFi, vai su Impostazioni, poi WiFi, crea o modifica il tuo SSID, imposta la sicurezza su WPA2 Enterprise e configura il tuo profilo RADIUS - di nuovo, indirizzo IP, porta di autenticazione 1812, porta di accounting 1813 e shared secret. Una considerazione importante con Ubiquiti: non viene fornito con un server RADIUS integrato nello stesso modo in cui accade con alcune piattaforme enterprise. Avrai bisogno di un server RADIUS esterno - che si tratti di Windows Server NPS, FreeRADIUS o di un servizio RADIUS cloud. Questa non è una limitazione in sé, ma è una dipendenza che deve essere pianificata. Per implementazioni più piccole, l'applicazione di rete UniFi include un server RADIUS di base, ma per gli ambienti di produzione consiglio sempre un'istanza RADIUS dedicata. Su tutte e tre le piattaforme, la selezione del metodo EAP merita attenzione. PEAP con MSCHAPv2 è il metodo più ampiamente implementato perché funziona con le credenziali di Active Directory senza richiedere certificati lato client. EAP-TLS è più sicuro - utilizza l'autenticazione reciproca dei certificati - ma richiede un'infrastruttura PKI e l'implementazione dei certificati su ogni dispositivo client, il che aumenta il carico di lavoro operativo. Per la maggior parte delle implementazioni enterprise, PEAP-MSCHAPv2 con un server RADIUS correttamente configurato e la validazione del certificato lato client rappresenta il giusto equilibrio tra sicurezza e gestibilità operativa. [RACCOMANDAZIONI DI IMPLEMENTAZIONE ED ERRORI COMUNI - circa 2 minuti] Ora ti illustro i tre scenari di errore più comuni che riscontro nelle implementazioni WPA2-Enterprise e come evitarli. Numero uno: disponibilità del server RADIUS. Il tuo server RADIUS è ora nel percorso critico per ogni autenticazione wireless. Se si arresta, nessuno può connettersi. Ciò significa che hai bisogno di ridondanza RADIUS - come minimo un server RADIUS primario e uno secondario configurati su ogni access point. La maggior parte delle piattaforme supporta questa funzionalità in modo nativo. Su Cisco, è possibile configurare gruppi di server RADIUS con failover. Su Aruba, il profilo AAA supporta più server RADIUS con valori di timeout e tentativi configurabili. Su Ubiquiti, è possibile specificare un server RADIUS secondario nel profilo RADIUS. Non saltare questo passaggio. Numero due: validazione del certificato. Una percentuale incredibilmente alta di distribuzioni che esamino presenta dispositivi client configurati per accettare qualsiasi certificato del server RADIUS. Questo compromette completamente il modello di sicurezza - vi espone ad attacchi evil twin in cui un access point non autorizzato imita la vostra rete e sottrae credenziali. Configurate il certificato del server RADIUS da una CA attendibile e configurate i supplicant dei client per convalidare tale certificato. Su Windows, questo viene eseguito tramite criteri di gruppo. Su iOS e Android, viene gestito tramite profili MDM. Questo è un requisito non negoziabile per qualsiasi ambiente che gestisca dati sensibili. Numero tre: assegnazione VLAN. Lo standard WPA2-Enterprise consente l'assegnazione dinamica delle VLAN - il server RADIUS può restituire un attributo VLAN nel messaggio Access-Accept, posizionando ogni utente autenticato nel segmento di rete appropriato in base alla sua identità o al suo ruolo. Questa è una delle funzionalità più potenti dell'architettura 802.1X, e spesso viene lasciata non configurata. Se gestite una sede con personale, direzione e dispositivi IoT tutti sulla stessa infrastruttura fisica, l'assegnazione dinamica delle VLAN è il modo in cui applicate la segmentazione della rete senza dover gestire molteplici SSID. Per quanto riguarda l'integrazione con Purple: se state distribuendo il protocollo WPA2-Enterprise per il personale e le reti operative, e utilizzate la piattaforma WiFi per ospiti di Purple per la connettività dei visitatori, questi due sistemi coesistono in modo pulito. Purple gestisce l'autenticazione degli ospiti, l'acquisizione dei dati e il livello di analytics - inclusi gli analytics WiFi e la footfall intelligence che i gestori delle sedi utilizzano per le decisioni operative - mentre l'infrastruttura WPA2-Enterprise protegge la rete aziendale. La chiave è una netta separazione di SSID e VLAN a livello di access point, supportata da tutte e tre le piattaforme. [D&R RAPIDO - circa 1 minuto] Permettetemi di rispondere rapidamente ad alcune domande che sorgono regolarmente. Posso eseguire il protocollo WPA2-Enterprise e una rete ospiti sugli stessi access point? Sì, assolutamente. Tutte e tre le piattaforme supportano molteplici SSID per radio, ciascuno con criteri di sicurezza indipendenti. Il vostro SSID aziendale esegue WPA2-Enterprise; il vostro SSID ospiti può essere gestito tramite il Captive Portal di Purple con un isolamento appropriato. Devo sostituire i miei access point esistenti per implementare WPA2-Enterprise? Quasi certamente no. Il protocollo WPA2-Enterprise è supportato dagli access point di livello enterprise da oltre un decennio. Se l'hardware ha meno di otto anni ed esegue un firmware aggiornato, supporterà lo standard 802.1X. Qual è la differenza tra WPA2-Enterprise e WPA3-Enterprise? Lo standard WPA3-Enterprise aggiunge una modalità di sicurezza a 192 bit che utilizza la crittografia Suite B, rilevante per gli ambienti governativi e della difesa. Per la maggior parte delle implementazioni commerciali, il WPA2-Enterprise con metodi EAP sicuri rimane lo standard. Vale la pena pianificare la transizione a WPA3 per le nuove installazioni, ma non si tratta di una migrazione urgente per la maggior parte delle organizzazioni. Il RADIUS in cloud è un'opzione praticabile? Sì, e lo è sempre di più. Servizi come Cisco ISE in cloud, Aruba ClearPass as a service o opzioni di terze parti come JumpCloud e Foxpass forniscono RADIUS come servizio gestito, eliminando i costi di gestione dell'infrastruttura. Per le realtà distribuite - si pensi a una catena retail con 200 sedi - il RADIUS in cloud può ridurre significativamente la complessità operativa. [RIASSUNTO E PROSSIMI PASSI - circa 1 minuto] Per concludere: WPA2-Enterprise rappresenta lo standard minimo non negoziabile per qualsiasi implementazione wireless aziendale. Il processo di configurazione su Cisco, Aruba e Ubiquiti segue lo stesso modello fondamentale - definire il server RADIUS, creare l'SSID con gestione delle chiavi 802.1X, selezionare il metodo EAP ed effettuare i test prima del rilascio definitivo. Le differenze risiedono nelle interfacce di gestione e negli strumenti dell'ecosistema di ciascuna piattaforma. I tre aspetti fondamentali da definire correttamente sono: la ridondanza RADIUS, la convalida dei certificati sui client e l'assegnazione dinamica della VLAN. Gestendo correttamente questi tre elementi, otterrete una postura di sicurezza wireless solida, conforme e verificabile. Per i prossimi passi: se state valutando le piattaforme, utilizzate la griglia di confronto dei vendor nella guida allegata. Se siete pronti per l'installazione, i passaggi dettagliati per la configurazione di ciascuna piattaforma si trovano nella sezione di implementazione. E se state pensando a come integrare il WiFi per gli ospiti insieme alla vostra rete aziendale, la documentazione della piattaforma Purple descrive in dettaglio l'architettura di integrazione. Grazie per l'attenzione. Ci vediamo al prossimo briefing.