Configuring RADIUS Authentication for Guest and Staff WiFi Networks

Executive Summary

Negli ambienti aziendali moderni, la sicurezza delle reti wireless è un requisito operativo fondamentale. I metodi di sicurezza tradizionali, come le chiavi precondivise (PSK) comuni, introducono significative vulnerabilità di sicurezza. Se un singolo dipendente lascia l'azienda, o se un ospite compromette una password condivisa, l'intera sicurezza della rete viene compromessa. Questa guida spiega nel dettaglio come implementare Remote Authentication Dial-In User Service (RADIUS) per centralizzare il controllo degli accessi, applicare policy di sicurezza granulari e segmentare il traffico di ospiti e personale.

Passando a un'architettura RADIUS centralizzata, le organizzazioni possono implementare l'autenticazione 802.1X per il personale - garantendo che ogni dispositivo si autentichi con credenziali univoche e revocabili - e al contempo utilizzare Captive Portal sicuri e il MAC Authentication Bypass (MAB) per gli utenti ospiti. Questa guida tecnica di riferimento fornisce i progetti architetturali, i passaggi di configurazione e i framework di risoluzione dei problemi necessari per implementare un'infrastruttura di autenticazione wireless resiliente e di livello enterprise.

Technical Deep-Dive

Il Framework AAA

RADIUS opera sul framework AAA, che definisce le fasi principali del controllo degli accessi:

1. Autenticazione: verifica dell'identità dell'utente o del dispositivo che tenta di connettersi alla rete WiFi. Questo avviene tramite credenziali, certificati digitali o token.
2. Autorizzazione: determinazione del livello di accesso alla rete concesso all'entità autenticata. Ciò include l'assegnazione di VLAN specifiche, l'applicazione di liste di controllo degli accessi (ACL) o l'imposizione di limiti di larghezza di banda.
3. Accounting: tracciamento del consumo di risorse di rete, inclusa la durata della sessione, i dati trasferiti e gli orari di accesso/disconnessione. Questi dati sono fondamentali per l'auditing, la conformità e la pianificazione della rete.
4. Auditing: revisione dei dati di accounting raccolti per identificare anomalie, violazioni della sicurezza o violazioni delle policy.

Componenti dell'Architettura RADIUS

Un'implementazione RADIUS aziendale standard è costituita da tre componenti principali:

• Il Supplicant: il software client in esecuzione sul dispositivo dell'utente (ad es. laptop, smartphone) che richiede l'accesso alla rete e fornisce credenziali o certificati.
• L'Authenticator (Network Access Server / NAS): il dispositivo di rete fisico o virtuale - tipicamente un Wireless LAN Controller (WLC) o un Access Point (AP) - che controlla l'accesso fisico alla rete. L'authenticator non decide se le credenziali sono valide; funge da proxy, impacchettando la richiesta di autenticazione in pacchetti RADIUS e inoltrandoli al server RADIUS.
• L'Authentication Server: il server centrale (come FreeRADIUS, Cisco ISE, Aruba ClearPass o il motore RADIUS basato su cloud di Purple) che convalida le credenziali rispetto a un archivio di identità (ad es. Active Directory, LDAP o un provider di identità cloud) e restituisce un messaggio di Access-Accept o Access-Reject all'authenticator.

Metodi EAP per il WiFi del Personale

Per le reti del personale, l'Extensible Authentication Protocol (EAP) viene utilizzato all'interno del framework 802.1X per negoziare l'autenticazione. I due metodi EAP aziendali più comuni sono:

• PEAP-MSCHAPv2 (Protected EAP): questo metodo stabilisce un tunnel TLS sicuro e crittografato tra il richiedente e il server RADIUS utilizzando il certificato digitale del server. All'interno di questo tunnel sicuro, il nome utente e la password dell'utente vengono autenticati utilizzando il protocollo MSCHAPv2. Questo metodo è molto diffuso per la sua facilità di implementazione, in quanto non richiede l'installazione di certificati sui dispositivi client.
• EAP-TLS: il metodo di autenticazione più sicuro disponibile. Richiede un'autenticazione reciproca, il che significa che sia il server RADIUS sia il dispositivo client devono presentare certificati digitali validi. Questo elimina gli attacchi basati su password, ma richiede una Public Key Infrastructure (PKI) robusta per gestire la distribuzione e la revoca dei certificati.

Flusso di autenticazione per guest WiFi

Le reti guest utilizzano in genere un flusso diverso per bilanciare la sicurezza e la praticità d'uso. Al posto del protocollo 802.1X, le reti guest utilizzano spesso un SSID aperto combinato con un Captive Portal.

Quando un ospite si connette, l'autenticatore utilizza il MAC Authentication Bypass (MAB) o una policy di reindirizzamento per inviare l'utente a un captive portal ospitato da una piattaforma come Purple. Una volta che l'utente ha completato il processo di registrazione o di accesso sul portale, la piattaforma del portale comunica con il server RADIUS, che invia un messaggio di Access-Accept al WLC/AP, autorizzando l'indirizzo MAC dell'ospite per l'accesso alla rete per una durata di sessione specificata.

Trasporto sicuro: RadSec

Il traffico RADIUS tradizionale viene inviato tramite UDP (porte 1812 per l'autenticazione e 1813 per l'accounting) in chiaro, con il solo campo della password dell'utente oscurato tramite un segreto condiviso. Questo comporta rischi per la sicurezza quando si instrada il traffico di autenticazione su connessioni WAN pubbliche o su Internet.

Per ovviare a questo inconveniente, è necessario implementare RadSec (RADIUS su TLS). RadSec avvolge i pacchetti RADIUS standard all'interno di un tunnel TLS sicuro (in genere utilizzando la porta TCP 2083). In questo modo si garantisce che tutti i dati di autenticazione e di accounting, compresi i nomi utente, gli indirizzi MAC e gli attributi di sessione, siano completamente crittografati durante il transito tra la rete locale e i server RADIUS basati sul cloud.

Guida all'implementazione

Passaggio 1: Definire i client RADIUS sul server

Prima che un dispositivo di rete possa comunicare con il server RADIUS, deve essere registrato come client.

1. Accedere alla console di amministrazione del server RADIUS.
2. Passare alla sezione Client o Dispositivi di rete.
3. Aggiungere una nuova voce client per ogni WLC o AP.
4. Inserire l'indirizzo IP o la sottorete dell'autenticatore.
5. Generare un segreto condiviso ad alta entropia. Questo segreto deve essere lungo almeno 22 caratteri e contenere una combinazione di lettere maiuscole, lettere minuscole, numeri e caratteri speciali. Evitare l'uso di parole semplici del dizionario.

Passaggio 2: Configurare il Wireless LAN Controller (WLC) / Access Point

Configura il tuo hardware wireless per puntare al server RADIUS per l'autenticazione e l'accounting.

1. Accedi all'interfaccia di gestione del tuo WLC o AP.
2. Naviga su Sicurezza > AAA > RADIUS > Autenticazione.
3. Aggiungi un nuovo Server di Autenticazione RADIUS:
   • Indirizzo IP del Server: Inserisci l'indirizzo IP del tuo server RADIUS primario.
   • Segreto Condiviso: Inserisci l'esatto segreto condiviso configurato nel Passaggio 1.
   • Porta: 1812 (o 2083 se utilizzi RadSec).
   • Timeout: Imposta su 5 secondi per consentire la latenza di rete.
   • Numero di Tentativi: Imposta su 3.
4. Naviga su RADIUS Accounting e aggiungi una nuova voce del server utilizzando la porta 1813 (o 2083 per RadSec).
5. Ripeti questi passaggi per aggiungere un server RADIUS secondario (di backup) per l'alta affidabilità.

Passaggio 3: Configura l'SSID del personale (802.1X)

1. Crea un nuovo SSID denominato Staff_Enterprise.
2. Imposta il Tipo di Sicurezza su WPA3-Enterprise (o in modalità di transizione WPA2/WPA3-Enterprise se è richiesto il supporto per dispositivi legacy).
3. Seleziona 802.1X come protocollo di gestione delle chiavi.
4. Associa l'SSID ai server di autenticazione e accounting RADIUS configurati nel Passaggio 2.
5. Associa l'SSID alla VLAN protetta del personale (ad es. VLAN 10).

Passaggio 4: Configura l'SSID Ospiti con il Captive Portal

1. Crea un nuovo SSID denominato Guest_WiFi.
2. Imposta il Tipo di Sicurezza su Open (o Enhanced Open / OWE per la crittografia wireless opportunistica).
3. Abilita il Filtraggio MAC o l'Autenticazione MAC e indirizzalo al server RADIUS.
4. Abilita il reindirizzamento al Captive Portal / Web Portal.
5. Configura l'URL di reindirizzamento per puntare alla pagina di accesso del Captive Portal di Purple.
6. Configura il Walled Garden (ACL di pre-autenticazione) per consentire il traffico verso il dominio del Captive Portal, i server DNS e le risorse CDN necessarie prima del completamento dell'autenticazione.
7. Associa l'SSID a una VLAN Ospiti isolata (ad es. VLAN 20).

Best Practice

Alta Affidabilità e Ridondanza

Distribuisci sempre i server RADIUS in coppie ridondanti (primario e secondario). Assicurati che questi server si trovino su hardware fisici diversi o in diverse zone di disponibilità cloud. Configura i tuoi WLC per eseguire il failover in modo ottimale sul server secondario se il server primario smette di rispondere. Implementa il bilanciamento del carico dove opportuno per distribuire equamente il traffico di autenticazione.

Gestione dei Certificati

Per le distribuzioni PEAP ed EAP-TLS, la validità e l'affidabilità del certificato del server RADIUS sono di fondamentale importanza.

• Utilizza un certificato emesso da un'Autorità di Certificazione (CA) pubblica attendibile per i portali ospiti e le distribuzioni PEAP per evitare messaggi di avviso sui certificati sui dispositivi degli utenti.
• Per EAP-TLS, stabilisci una CA privata interna dedicata per emettere e gestire i certificati client e server.
• Monitora attentamente le date di scadenza dei certificati e implementa processi di rinnovo automatizzati (come SCEP o ACME) per prevenire improvvisi errori di autenticazione a livello di rete.

Segmentazione della VLAN

Segmenta rigorosamente il traffico di rete utilizzando le VLAN. Il traffico guest deve essere completamente isolato dalle risorse aziendali. Implementa regole di firewall sullo switch principale o sul gateway per impedire il routing inter-VLAN tra la VLAN Guest e le VLAN Staff/Management. Consenti solo il routing diretto del traffico guest verso internet.

Session Timeout e intervalli di accounting

Configura session timeout appropriati per evitare che le sessioni inattive consumino indirizzi IP e risorse di rete.

• Per le reti dello staff, imposta un session timeout compreso tra 8 e 12 ore, in linea con un turno di lavoro standard.
• Per le reti guest, imposta un session timeout più breve, da 2 a 4 ore.
• Configura l'intervallo interim-update di accounting RADIUS a 10 o 15 minuti. Questo garantisce che il server RADIUS riceva aggiornamenti regolari sulla connettività dei dispositivi e sull'utilizzo dei dati senza sovraccaricare il server con pacchetti di accounting.

Risoluzione dei problemi e mitigazione dei rischi

Modalità di guasto comuni e soluzioni

1. Mancata corrispondenza del Shared Secret

• Sintomo: I log del WLC mostrano "Server RADIUS non rispondente" e i log del server RADIUS mostrano "Pacchetto scartato - autenticatore non valido" o "Autenticatore errato nella richiesta".
• Causa principale: Il shared secret configurato sul WLC non corrisponde a quello configurato sul server RADIUS.
• Mitigazione: Reinserisci il shared secret su entrambi i dispositivi, assicurandoti che non vengano copiati spazi finali o caratteri nascosti.

2. Problemi di attendibilità dei certificati

• Sintomo: I dispositivi client non riescono a connettersi al SSID dello staff, mostrando errori come "Certificato server non attendibile" o "Connessione rifiutata".
• Causa principale: Il dispositivo client non considera attendibile la CA che ha firmato il certificato del server RADIUS, oppure il certificato è scaduto.
• Mitigazione: Assicurati che i certificati CA radice e intermedi siano installati nell'archivio radice attendibile del dispositivo client. Per i dispositivi gestiti a livello aziendale, distribuisci questi certificati tramite MDM o Criteri di gruppo.

3. Blocchi del Firewall

• Sintomo: Il server RADIUS non riceve alcun traffico dal WLC, anche se il routing è verificato.
• Causa principale: I firewall intermedi stanno bloccando le porte UDP 1812 e 1813.
• Mitigazione: Crea regole firewall esplicite per consentire le porte UDP 1812 e 1813 (o TCP 2083 per RadSec) tra l'IP di gestione del WLC e l'IP del server RADIUS.

4. Timeout causati dalla latenza

• Sintomo: Errori di autenticazione intermittenti, in particolare durante le ore di punta o quando si utilizzano server RADIUS basati su cloud.
• Causa principale: La latenza di rete supera la soglia di timeout RADIUS del WLC, inducendo il WLC a presumere che il server sia offline.
• Mitigazione: Aumenta l'impostazione del timeout RADIUS del WLC dal valore predefinito (in genere 2 secondi) a 5 o 7 secondi. Ottimizza il routing WAN o implementa proxy RADIUS locali per memorizzare nella cache le richieste di autenticazione.

ROI e impatto aziendale

Il passaggio a un modello di autenticazione RADIUS centralizzato offre un valore aziendale misurabile in diverse aree chiave:

• Costi operativi ridotti: Elimina lo sforzo manuale richiesto per ruotare le password WiFi condivise quando il personale lascia l'organizzazione. Gli account utente possono essere disabilitati istantaneamente in Active Directory o nel tuo identity provider, revocando immediatamente il loro accesso alla rete.
• Postura di sicurezza migliorata: Mitiga il rischio di violazioni dei dati causate dal furto di credenziali o dall'accesso non autorizzato alla rete. Imponendo l'autenticazione basata su certificati e 802.1X, le organizzazioni garantiscono che solo i dispositivi autorizzati e conformi possano accedere alle risorse aziendali sensibili.
• Operazioni della sede ottimizzate: Integrando il WiFi ospiti con la piattaforma cloud RADIUS di Purple, i gestori delle sedi acquisiscono preziosi dati demografici e comportamentali. Questi dati possono essere utilizzati per progettare campagne di marketing mirate, migliorare il coinvolgimento dei visitatori e ottimizzare l'utilizzo dello spazio fisico sulla base dell'analisi del flusso di persone.
• Conformità normativa: I log di tracciamento RADIUS centralizzati forniscono un registro di controllo degli accessi alla rete, aiutando le organizzazioni a soddisfare i requisiti di conformità per standard come PCI-DSS, ISO 27001 e GDPR.