Configurazione dell'autenticazione RADIUS per reti WiFi ospiti e personale

Executive Summary

Nei moderni ambienti aziendali, proteggere le reti wireless è un requisito operativo fondamentale. I metodi di sicurezza legacy, come le chiavi precondivise (PSK), introducono vulnerabilità di sicurezza significative. Se un singolo dipendente lascia l'azienda o se un ospite compromette una password condivisa, l'intera postura di sicurezza della rete risulta compromessa. Questa guida descrive dettagliatamente come implementare il servizio RADIUS per centralizzare il controllo degli accessi, applicare policy di sicurezza granulari e segmentare il traffico di ospiti e personale.

Passando a un'architettura RADIUS centralizzata, le aziende possono implementare l'autenticazione 802.1X per il personale - garantendo che ogni dispositivo si autentichi con credenziali univoche e revocabili - e utilizzare al contempo Captive Portal sicuri e il MAC Authentication Bypass (MAB) per gli utenti ospiti. Questo riferimento tecnico fornisce i progetti architetturali, i passaggi di configurazione e i framework di risoluzione dei problemi necessari per implementare un'infrastruttura di autenticazione wireless resiliente e di livello enterprise.

Approfondimento Tecnico

Il Framework AAA

RADIUS opera sul framework AAA, che definisce le fasi principali del controllo degli accessi:

1. Autenticazione: verifica dell'identità dell'utente o del dispositivo che tenta di connettersi alla rete WiFi. Questo processo avviene tramite credenziali, certificati digitali o token.
2. Autorizzazione: determinazione del livello di accesso alla rete concesso all'entità autenticata. Ciò include l'assegnazione di VLAN specifiche, l'applicazione di elenchi di controllo degli accessi (ACL) o l'imposizione di limiti di larghezza di banda.
3. Accounting: tracciamento del consumo di risorse di rete, inclusi la durata della sessione, i dati trasferiti e gli orari di accesso/disconnessione. Questi dati sono fondamentali per scopi di auditing, conformità e pianificazione della rete.
4. Auditing: revisione dei dati di accounting raccolti per identificare anomalie, violazioni della sicurezza o delle policy.

Componenti dell'Architettura RADIUS

Una distribuzione RADIUS aziendale standard è costituita da tre componenti principali:

• Il Supplicant: il software client in esecuzione sul dispositivo dell'utente (ad esempio, laptop, smartphone) che richiede l'accesso alla rete e fornisce credenziali o certificati.
• L'Autenticatore (Network Access Server / NAS): il dispositivo di rete fisico o virtuale - tipicamente un Wireless LAN Controller (WLC) o un Access Point (AP) - che controlla l'accesso fisico alla rete. L'autenticatore non decide se le credenziali sono valide; agisce come un proxy, impacchettando la richiesta di autenticazione in pacchetti RADIUS e inoltrandoli al server RADIUS.
• Il server di autenticazione: il server centrale (come FreeRADIUS, Cisco ISE, Aruba ClearPass o l'engine RADIUS cloud-based di Purple) che convalida le credenziali rispetto a un archivio di identità (ad es. Active Directory, LDAP o un provider di identità cloud) e restituisce un messaggio di Access-Accept o Access-Reject all'autenticatore.

Metodi EAP per il WiFi del personale

Per le reti del personale, l'Extensible Authentication Protocol (EAP) viene utilizzato all'interno del framework 802.1X per negoziare l'autenticazione. I due metodi EAP aziendali più comuni sono:

• PEAP-MSCHAPv2 (Protected EAP): questo metodo stabilisce un tunnel TLS sicuro e crittografato tra il supplicant e il server RADIUS utilizzando il certificato digitale del server. All'interno di questo tunnel sicuro, il nome utente e la password dell'utente vengono autenticati utilizzando il protocollo MSCHAPv2. Questo metodo è molto diffuso per la sua facilità di implementazione, in quanto non richiede l'installazione di certificati sui dispositivi client.
• EAP-TLS: il metodo di autenticazione più sicuro disponibile. Richiede un'autenticazione reciproca, il che significa che sia il server RADIUS sia il dispositivo client devono presentare certificati digitali validi. Questo elimina gli attacchi basati su password, ma richiede una Public Key Infrastructure (PKI) robusta per gestire la distribuzione e la revoca dei certificati.

Flusso di autenticazione del WiFi per gli ospiti

Le reti per gli ospiti utilizzano in genere un flusso diverso per bilanciare la sicurezza con la praticità d'uso. Al posto di 802.1X, le reti per gli ospiti utilizzano spesso un SSID aperto combinato con un Captive Portal.

Quando un ospite si connette, l'autenticatore utilizza il MAC Authentication Bypass (MAB) o una policy di reindirizzamento per inviare l'utente a un Captive Portal ospitato da una piattaforma come Purple. Una volta che l'utente ha completato il processo di registrazione o di accesso sul portale, la piattaforma del portale comunica con il server RADIUS, che invia un messaggio di Access-Accept al WLC/AP, autorizzando l'indirizzo MAC dell'ospite per l'accesso alla rete per una durata di sessione specificata.

Trasporto sicuro: RadSec

Il traffico RADIUS tradizionale viene inviato tramite UDP (porte 1812 per l'autenticazione e 1813 per l'accounting) in chiaro, con il solo campo della password utente offuscato tramite un segreto condiviso. Questo introduce rischi di sicurezza quando si instrada il traffico di autenticazione su connessioni WAN pubbliche o su Internet.

Per ovviare a questo problema, è necessario implementare RadSec (RADIUS over TLS). RadSec incapsula i pacchetti RADIUS standard all'interno di un tunnel TLS sicuro (in genere utilizzando la porta TCP 2083). In questo modo si garantisce che tutti i dati di autenticazione e di accounting, compresi i nomi utente, gli indirizzi MAC e gli attributi di sessione, siano completamente crittografati durante il transito tra la rete locale e i server RADIUS cloud-based.

Guida all'implementazione

Passaggio 1: Definire i client RADIUS sul server

Prima che qualsiasi dispositivo di rete possa comunicare con il server RADIUS, deve essere registrato come client.

1. Accedere alla console di amministrazione del server RADIUS.
2. Navigare alla sezione Client o Dispositivi di rete.
3. Aggiungi una nuova voce client per ciascun WLC o AP.
4. Inserisci l'indirizzo IP o la subnet dell'autenticatore.
5. Genera un Shared Secret ad alta entropia. Questa password deve contenere almeno 22 caratteri, con una combinazione di lettere maiuscole, lettere minuscole, numeri e caratteri speciali. Evita l'uso di semplici parole di dizionario.

Step 2: Configura il Wireless LAN Controller (WLC) / Access Points

Configura il tuo hardware wireless per puntare al server RADIUS per l'autenticazione e l'accounting.

1. Accedi all'interfaccia di gestione del tuo WLC o AP.
2. Naviga su Sicurezza > AAA > RADIUS > Autenticazione.
3. Aggiungi un nuovo Server di Autenticazione RADIUS:
   • Indirizzo IP del Server: Inserisci l'indirizzo IP del tuo server RADIUS primario.
   • Shared Secret: Inserisci l'esatto shared secret configurato al Punto 1.
   • Porta: 1812 (o 2083 se utilizzi RadSec).
   • Timeout: Imposta a 5 secondi per consentire la latenza di rete.
   • Numero di tentativi: Imposta a 3.
4. Naviga su RADIUS Accounting e aggiungi una nuova voce server utilizzando la porta 1813 (o 2083 per RadSec).
5. Ripeti questi passaggi per aggiungere un server RADIUS secondario (di backup) per l'alta affidabilità.

Step 3: Configura l'SSID del Personale (802.1X)

1. Crea un nuovo SSID chiamato Staff_Enterprise.
2. Imposta il Tipo di Sicurezza su WPA3-Enterprise (o in modalità di transizione WPA2/WPA3-Enterprise se è richiesto il supporto per dispositivi legacy).
3. Seleziona 802.1X come protocollo di gestione delle chiavi.
4. Associa l'SSID ai server di autenticazione e accounting RADIUS configurati al Punto 2.
5. Mappa l'SSID alla VLAN sicura del Personale (ad es., VLAN 10).

Step 4: Configura l'SSID Ospiti con Captive Portal

1. Crea un nuovo SSID chiamato Guest_WiFi.
2. Imposta il Tipo di Sicurezza su Open (o Enhanced Open / OWE per la crittografia wireless opportunistica).
3. Abilita il Filtro MAC o l'Autenticazione MAC e indirizzalo al server RADIUS.
4. Abilita il reindirizzamento del Captive Portal / Web Portal.
5. Configura l'URL di reindirizzamento in modo che punti alla pagina di login del Captive Portal di Purple.
6. Configura il Walled Garden (ACL di pre-autenticazione) per consentire il traffico verso il dominio del Captive Portal, i server DNS e le risorse CDN necessarie prima che l'autenticazione sia completata.
7. Mappa l'SSID a una VLAN Ospiti isolata (ad es., VLAN 20).

Best Practice

Alta Affidabilità e Ridondanza

Distribuisci sempre i server RADIUS in coppie ridondanti (primario e secondario). Assicurati che questi server si trovino su hardware fisici diversi o in diverse zone di disponibilità cloud. Configura i tuoi WLC per eseguire il failover in modo sicuro sul server secondario se il server primario non risponde. Implementa il bilanciamento del carico dove opportuno per distribuire equamente il traffico di autenticazione.

Gestione dei Certificati

Per le distribuzioni PEAP ed EAP-TLS, la validità e l'affidabilità del certificato del server RADIUS sono fondamentali.

• Utilizzare un certificato emesso da una Public Certificate Authority (CA) attendibile per i portali guest e le distribuzioni PEAP, per evitare la comparsa di avvisi relativi ai certificati sui dispositivi degli utenti.
• Per EAP-TLS, stabilire una Private CA interna dedicata per emettere e gestire i certificati client e server.
• Monitorare attentamente le date di scadenza dei certificati e implementare processi di rinnovo automatizzati (come SCEP o ACME) per prevenire improvvisi errori di autenticazione a livello di rete.

Segmentazione VLAN

Segmentare rigorosamente il traffico di rete utilizzando le VLAN. Il traffico guest deve essere completamente isolato dalle risorse aziendali. Implementare regole di firewall sullo switch centrale o sul gateway per impedire il routing inter-VLAN tra la VLAN Guest e le VLAN Staff/Management. Consentire il routing del traffico guest solo direttamente verso internet.

Timeout di Sessione e Intervalli di Accounting

Configurare timeout di sessione appropriati per evitare che le sessioni inattive consumino indirizzi IP e risorse di rete.

• Per le reti del personale, impostare un timeout di sessione da 8 a 12 ore, in linea con un turno di lavoro standard.
• Per le reti guest, impostare un timeout di sessione più breve, da 2 a 4 ore.
• Configurare l'intervallo di interim-update dell'accounting RADIUS a 10 o 15 minuti. Questo garantisce che il server RADIUS riceva aggiornamenti regolari sulla connettività dei dispositivi e sull'uso dei dati senza sovraccaricare il server con pacchetti di accounting.

Risoluzione dei Problemi e Mitigazione dei Rischi

Modalità di Guasto Comuni e Soluzioni

1. Mancata Corrispondenza del Shared Secret

• Sintomo: I log del WLC mostrano "Server RADIUS non rispondente" e i log del server RADIUS mostrano "Pacchetto scartato - autenticatore non valido" o "Autenticatore errato nella richiesta".
• Causa Principale: Il shared secret configurato sul WLC non corrisponde al shared secret configurato sul server RADIUS.
• Mitigazione: Reinserire il shared secret su entrambi i dispositivi, assicurandosi che non vengano copiati spazi finali o caratteri nascosti.

2. Problemi di Attendibilità del Certificato

• Sintomo: I dispositivi client non riescono a connettersi all'SSID dello Staff, mostrando errori come "Certificato del server non attendibile" o "Connessione rifiutata".
• Causa Principale: Il dispositivo client non si fida della CA che ha firmato il certificato del server RADIUS, oppure il certificato è scaduto.
• Mitigazione: Assicurarsi che i certificati della CA radice e intermedia siano installati nell'archivio dei certificati radice attendibili del dispositivo client. Per i dispositivi gestiti a livello aziendale, distribuire questi certificati tramite MDM o Criteri di Gruppo.

3. Blocchi del Firewall

• Sintomo: Il server RADIUS non riceve alcun traffico dal WLC, anche se il routing è verificato.
• Causa Principale: I firewall intermedi stanno bloccando le porte UDP 1812 e 1813.
• Mitigazione: Creare regole di firewall esplicite per consentire il traffico UDP 1812 e 1813 (o TCP 2083 per RadSec) tra l'IP di gestione del WLC e l'IP del server RADIUS.

4. Timeout Causati dalla Latenza

• Sintomo: Errori di autenticazione intermittenti, in particolare durante le ore di punta o quando si utilizzano server RADIUS basati su cloud.
• Causa principale: la latenza di rete supera la soglia di timeout RADIUS del WLC, inducendo il WLC a presumere che il server sia offline.
• Mitigazione: aumentare l'impostazione del timeout RADIUS del WLC dal valore predefinito (in genere 2 secondi) a 5 o 7 secondi. Ottimizzare il routing WAN o implementare proxy RADIUS locali per memorizzare nella cache le richieste di autenticazione.

ROI e impatto aziendale

Il passaggio a un modello di autenticazione RADIUS centralizzato offre un valore aziendale quantificabile in diverse aree chiave:

• Riduzione dei costi operativi: elimina lo sforzo manuale richiesto per ruotare le password WiFi condivise quando il personale lascia l'organizzazione. Gli account utente possono essere disabilitati istantaneamente in Active Directory o nel provider di identità, revocando immediatamente il loro accesso alla rete.
• Miglioramento della sicurezza: mitiga il rischio di violazioni dei dati causate dal furto di credenziali o dall'accesso non autorizzato alla rete. Imponendo lo standard 802.1X e l'autenticazione basata su certificati, le organizzazioni garantiscono che solo i dispositivi autorizzati e conformi possano accedere alle risorse aziendali sensibili.
• Ottimizzazione delle operazioni in sede: integrando il WiFi per gli ospiti con la piattaforma cloud RADIUS di Purple, i gestori delle sedi acquisiscono preziosi dati demografici e comportamentali. Questi dati possono essere utilizzati per progettare campagne di marketing mirate, migliorare il coinvolgimento dei visitatori e ottimizzare l'uso dello spazio fisico sulla base dell'analisi delle presenze.
• Conformità normativa: i log di tracciamento RADIUS centralizzati forniscono un percorso di controllo degli accessi alla rete, aiutando le organizzazioni a soddisfare i requisiti di conformità per standard quali PCI-DSS, ISO 27001 e GDPR.