Come configurare WPA2-Enterprise sulle piattaforme di Access Point più diffuse (Cisco, Aruba, Ubiquiti)

Come configurare WPA2-Enterprise sulle piattaforme Access Point più diffuse — Cisco, Aruba e Ubiquiti Un briefing informativo di Purple WiFi [INTRO — circa 1 minuto] Benvenuti alla serie Purple WiFi Intelligence. Sono il vostro ospite e oggi andremo dritti al punto su uno dei temi più richiesti dai nostri clienti enterprise: come configurare WPA2-Enterprise sulle tre piattaforme di access point più diffuse — Cisco, Aruba e Ubiquiti. Che siate il direttore IT di un gruppo alberghiero da 500 camere, l'architetto di rete di una catena retail nazionale o il CTO di un operatore di centri congressi, questo briefing è pensato per voi. Non ci soffermeremo sulla teoria fine a se stessa. Analizzeremo nel dettaglio ciò che dovete sapere per prendere una decisione di implementazione, eseguirla correttamente ed evitare le insidie che ostacolano anche i team più esperti. Cominciamo. [APPROFONDIMENTO TECNICO — circa 5 minuti] In primo luogo, facciamo un rapido punto su cosa sia effettivamente WPA2-Enterprise, perché sul mercato c'è ancora molta confusione tra WPA2-Personal e WPA2-Enterprise - e la differenza è estremamente importante per la conformità e la sicurezza. WPA2-Personal — la versione con cui la maggior parte delle persone ha familiarità — utilizza una singola chiave precondivisa. Tutti i membri della rete utilizzano la stessa password. Va bene per una rete domestica. Non è assolutamente accettabile per un ambiente aziendale in cui sono necessari l'autenticazione per singolo utente, i log di controllo e la possibilità di revocare l'accesso all'istante. WPA2-Enterprise, definito dallo standard 802.1X, sostituisce la chiave condivisa con uno scambio di autenticazione individuale. Ogni utente o dispositivo presenta le proprie credenziali — che si tratti di nome utente e password, di un certificato digitale o di un token — e tali credenziali vengono convalidate da un server RADIUS prima che venga concesso l'accesso alla rete. L'access point stesso non vede mai le credenziali. Funge puramente da autenticatore, passando lo scambio EAP — Extensible Authentication Protocol — tra il client e il server RADIUS. Si tratta di un'architettura fondamentalmente più sicura, ed è il requisito di base per la conformità PCI-DSS in qualsiasi ambiente che gestisce dati di carte di pagamento, oltre a essere fortemente raccomandata dal GDPR per le organizzazioni che elaborano dati personali su reti wireless. Ora, parliamo delle tre piattaforme. Iniziamo con Cisco. Il portfolio WiFi aziendale di Cisco - principalmente le linee Catalyst e Meraki - è la scelta di riferimento per le distribuzioni su larga scala. Cisco DNA Center fornisce una gestione centralizzata delle policy, e la dashboard Meraki offre la semplicità della gestione in cloud per le proprietà distribuite. Per configurare WPA2-Enterprise su un access point Cisco Catalyst, lavorerai tramite il WLC (Wireless LAN Controller) o il DNA Center. I passaggi chiave sono: definire il server RADIUS in Sicurezza, poi AAA, quindi RADIUS Authentication Servers; creare un nuovo profilo WLAN; impostare la policy di sicurezza su WPA2 con 802.1X come metodo di gestione delle chiavi; e associare il server RADIUS a quella WLAN. Un punto critico su Cisco: assicurati di configurare sia il RADIUS accounting che l'autenticazione. L'accounting ti fornisce la traccia di controllo per sessione richiesta dai framework di conformità. Su Meraki, il processo è ancora più semplice - naviga su Wireless, poi SSIDs, seleziona l'SSID di destinazione, imposta la sicurezza su WPA2-Enterprise con "il mio server RADIUS" e inserisci l'IP del server RADIUS, la porta - in genere 1812 per l'autenticazione e 1813 per l'accounting - e la chiave segreta condivisa. Meraki supporta anche i test RADIUS direttamente dalla dashboard, il che è prezioso durante la messa in servizio. Passiamo ad Aruba. Aruba Networks, ora parte di HPE, è la scelta dominante nel settore dell'ospitalità e dell'istruzione superiore. Aruba Central fornisce la gestione in cloud, e ArubaOS è la piattaforma sottostante. Su Aruba, la configurazione WPA2-Enterprise risiede all'interno del profilo SSID. Definirai un profilo AAA che fa riferimento al tuo server RADIUS, quindi collegherai quel profilo AAA al tuo profilo AP virtuale. Il ClearPass Policy Manager di Aruba merita una menzione specifica in questo contesto: è il motore RADIUS e di policy proprietario di Aruba, e aggiunge funzionalità significative in termini di profilazione dei dispositivi, controllo degli accessi basato sui ruoli e onboarding degli ospiti. Se gestisci un ambiente misto con personale, collaboratori esterni e ospiti che si connettono tutti alla stessa infrastruttura, ClearPass ti offre la granularità delle policy necessaria per segmentarli in modo appropriato. Per un hotel che distribuisce WPA2-Enterprise sulle reti del personale e del back-office e gestisce al contempo una soluzione WiFi separata per gli ospiti tramite una piattaforma come Purple, la segmentazione SSID di Aruba combinata con ClearPass per l'autenticazione del personale rappresenta un'architettura estremamente pulita. Ora passiamo a Ubiquiti. La piattaforma UniFi di Ubiquiti ha ottenuto una trazione significativa nello spazio delle PMI e del mercato medio - e sempre più nell'ospitalità boutique e nel retail - grazie al suo prezzo competitivo e a un'interfaccia di gestione davvero efficiente. Il controller di rete UniFi è il luogo in cui svolgerai il lavoro più impegnativo. Per configurare WPA2-Enterprise su UniFi, vai su Impostazioni, quindi WiFi, crea o modifica il tuo SSID, imposta la sicurezza su WPA2 Enterprise e configura il tuo profilo RADIUS - di nuovo, indirizzo IP, porta di autenticazione 1812, porta di accounting 1813 e il shared secret. Una considerazione importante con Ubiquiti: non viene fornito con un server RADIUS integrato nello stesso modo in cui lo fanno alcune piattaforme enterprise. Avrai bisogno di un server RADIUS esterno - che si tratti di Windows Server NPS, FreeRADIUS o di un servizio RADIUS cloud. Questa non è una limitazione in sé, ma è una dipendenza che deve essere pianificata. Per implementazioni più piccole, l'applicazione di rete UniFi include un server RADIUS di base, ma per gli ambienti di produzione consiglio sempre un'istanza RADIUS dedicata. Su tutte e tre le piattaforme, la selezione del metodo EAP merita attenzione. PEAP con MSCHAPv2 è il metodo più diffuso perché funziona con le credenziali di Active Directory senza richiedere certificati lato client. EAP-TLS è più sicuro - utilizza l'autenticazione reciproca dei certificati - ma richiede un'infrastruttura PKI e la distribuzione dei certificati su ogni dispositivo client, il che aggiunge un sovraccarico operativo. Per la maggior parte delle installazioni aziendali, PEAP-MSCHAPv2 con un server RADIUS configurato correttamente e la convalida del certificato sul lato client rappresenta il giusto equilibrio tra sicurezza e gestibilità operativa. [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE — circa 2 minuti] Ora ti illustro i tre scenari di errore più comuni che riscontro nelle implementazioni WPA2-Enterprise e come evitarli. Numero uno: disponibilità del server RADIUS. Il tuo server RADIUS è ora nel percorso critico per ogni autenticazione wireless. Se si interrompe, nessuno può connettersi. Ciò significa che è necessaria la ridondanza RADIUS - come minimo un server RADIUS primario e uno secondario configurati su ogni access point. La maggior parte delle piattaforme supporta questa funzione in modo nativo. Su Cisco, puoi configurare gruppi di server RADIUS con failover. Su Aruba, il profilo AAA supporta più server RADIUS con valori di timeout e tentativi configurabili. Su Ubiquiti, puoi specificare un server RADIUS secondario nel profilo RADIUS. Non saltare questo passaggio. Numero due: validazione del certificato. Una percentuale incredibilmente alta di implementazioni che esamino ha dispositivi client configurati per accettare qualsiasi certificato del server RADIUS. Questo compromette completamente il modello di sicurezza - ti espone ad attacchi evil twin in cui un access point rogue impersona la tua rete e raccoglie le credenziali. Configura il certificato del tuo server RADIUS da una CA fidata e configura i tuoi supplicant client per validare quel certificato. Su Windows, questo viene fatto tramite Group Policy. Su iOS e Android, viene gestito tramite profili MDM. Questo è non negoziabile per qualsiasi ambiente che gestisca dati sensibili. Numero tre: assegnazione VLAN. WPA2-Enterprise consente l'assegnazione dinamica della VLAN - il server RADIUS può restituire un attributo VLAN nel messaggio Access-Accept, posizionando ogni utente autenticato nel segmento di rete appropriato in base alla sua identità o al suo ruolo. Questa è una delle funzionalità più potenti dell'architettura 802.1X ed è spesso lasciata non configurata. Se gestisci una sede con personale, direzione e dispositivi IoT tutti sulla stessa infrastruttura fisica, l'assegnazione dinamica della VLAN è il modo in cui applichi la segmentazione di rete senza gestire SSID multipli. Sul fronte dell'integrazione con Purple: se stai implementando WPA2-Enterprise per il personale e le reti operative, e utilizzi la piattaforma Purple per il guest WiFi per la connettività dei visitatori, questi due sistemi coesistono in modo pulito. Purple gestisce l'autenticazione degli ospiti, l'acquisizione dei dati e il livello di analytics - inclusi i WiFi analytics e la footfall intelligence che i gestori delle sedi utilizzano per le decisioni operative - mentre la tua infrastruttura WPA2-Enterprise protegge la rete aziendale. La chiave è una netta separazione di SSID e VLAN a livello di access point, supportata da tutte e tre le piattaforme. [D&R RAPIDE - circa 1 minuto] Vediamo di passare in rassegna alcune domande che sorgono regolarmente. Posso eseguire WPA2-Enterprise e una rete ospite sugli stessi access point? Sì, assolutamente. Tutte e tre le piattaforme supportano SSID multipli per radio, ciascuno con policy di sicurezza indipendenti. Il tuo SSID aziendale esegue WPA2-Enterprise; il tuo SSID ospite può essere gestito tramite il captive portal di Purple con un isolamento appropriato. Devo sostituire i miei access point esistenti per implementare WPA2-Enterprise? Quasi certamente no. WPA2-Enterprise è supportato su access point di livello enterprise da ben oltre un decennio. Se il tuo hardware ha meno di otto anni ed esegue un firmware corrente, supporterà lo standard 802.1X. Qual è la differenza tra WPA2-Enterprise e WPA3-Enterprise? WPA3-Enterprise aggiunge una modalità di sicurezza a 192 bit utilizzando la crittografia Suite B, rilevante per gli ambienti governativi e di difesa. Per la maggior parte delle implementazioni commerciali, WPA2-Enterprise con metodi EAP forti rimane lo standard. Vale la pena pianificare la transizione a WPA3 per le nuove installazioni, ma non si tratta di una migrazione urgente per la maggior parte delle organizzazioni. Il RADIUS in cloud è un'opzione praticabile? Sì, e lo è sempre di più. Servizi come Cisco ISE in cloud, Aruba ClearPass as a service, o opzioni di terze parti come JumpCloud e Foxpass offrono RADIUS come servizio gestito, eliminando i costi di gestione dell'infrastruttura. Per le proprietà distribuite - si pensi a una catena retail con 200 sedi - il RADIUS in cloud può ridurre significativamente la complessità operativa. [RIASSUNTO E PROSSIMI PASSI — circa 1 minuto] Per concludere: il WPA2-Enterprise è la base non negoziabile per qualsiasi implementazione wireless aziendale. Il processo di configurazione tra Cisco, Aruba e Ubiquiti segue lo stesso schema fondamentale - definire il server RADIUS, creare l'SSID con gestione delle chiavi 802.1X, selezionare il metodo EAP e testare prima di andare online. Le differenze risiedono nelle interfacce di gestione e negli strumenti dell'ecosistema che circondano ciascuna piattaforma. Le tre cose da fare bene: ridondanza RADIUS, validazione dei certificati sui client e assegnazione dinamica delle VLAN. Gestendo correttamente questi tre elementi si otterrà una postura di sicurezza wireless solida, conforme e verificabile. Per i prossimi passi: se si stanno valutando le piattaforme, utilizzare il framework di confronto dei fornitori nella guida allegata. Se si è pronti per l'implementazione, i passaggi di configurazione dettagliati per ciascuna piattaforma sono inclusi nella sezione di implementazione. E se si sta valutando come integrare il WiFi per gli ospiti insieme alla rete aziendale, la documentazione della piattaforma Purple descrive in dettaglio l'architettura di integrazione. Grazie per l'attenzione. Ci vediamo al prossimo briefing.