Guida per amministratori di rete alla configurazione dell'autenticazione RADIUS per il WiFi ospiti

Guida per Amministratori di Rete alla Configurazione dell'Autenticazione RADIUS per Guest WiFi - Traccia del Podcast [INTRO - circa 1 minuto] Ciao e benvenuti. Vi guiderò attraverso tutto ciò che c'è da sapere sulla configurazione dell'autenticazione RADIUS per il guest WiFi - dall'architettura di base fino ai passaggi pratici che il vostro team deve compiere, e alle insidie che mettono in difficoltà la maggior parte dei deployment. Questa non è una lezione. Pensatela come un briefing da parte di un consulente senior che si è seduto al tavolo con i responsabili IT di hotel, catene di negozi, stadi e centri congressi, aiutandoli a fare le cose per bene. Copriremo i fondamentali tecnici, i modelli di implementazione nel mondo reale e il ruolo che la piattaforma RADIUS cloud-native di Purple svolge in questo scenario. Iniziamo. [APPROFONDIMENTO TECNICO - circa 5 minuti] Quindi, cos'è effettivamente RADIUS? RADIUS sta per Remote Authentication Dial-In User Service. Si tratta di un protocollo di rete - definito nella RFC 2865 - che fornisce autenticazione, autorizzazione e tracciamento centralizzati per l'accesso alla rete. In parole povere: è il sistema che decide se il dispositivo di un visitatore è autorizzato ad accedere alla vostra rete, a quali condizioni, per quanto tempo e, infine, registra l'intera sessione. Nello specifico del guest WiFi, RADIUS si posiziona tra i vostri access point e il vostro livello di identità. Un visitatore si connette al vostro SSID, il suo dispositivo invia una richiesta di autenticazione all'access point, l'access point la inoltra a un Network Access Server - o NAS - che a sua volta interroga il server RADIUS. Il server RADIUS convalida le credenziali, restituisce un Access-Accept o un Access-Reject, e la sessione ha inizio o viene bloccata. I pacchetti di accounting tengono poi traccia della durata della sessione, dei dati consumati e del motivo della disconnessione. Le tre funzioni principali sono spesso chiamate AAA: Autenticazione, Autorizzazione e Accounting. L'Autenticazione conferma l'identità. L'Autorizzazione definisce a cosa quell'identità può accedere - limiti di banda, assegnazione VLAN, durata della sessione. L'Accounting crea la traccia di controllo. Ora, per il guest WiFi il metodo di autenticazione è estremamente importante. In un ambiente aziendale si utilizzerebbe tipicamente 802.1X con EAP-TLS - basato su certificati, molto sicuro. Per gli ospiti questo è impraticabile. Gli ospiti non hanno certificati sui loro dispositivi personali. Di conseguenza, il modello comune è un Captive Portal combinato con RADIUS. Il visitatore atterra su una splash page, inserisce i propri dati o si autentica tramite social login, e il Captive Portal scambia tali credenziali con il server RADIUS per suo conto. Il server RADIUS segnala poi all'access point di concedere l'accesso. Questa è esattamente l'architettura su cui opera Purple. Il nostro servizio RADIUS cloud-native gestisce lo scambio di autenticazione, mentre il Captive Portal - che potete personalizzare e configurare tramite la piattaforma Purple - gestisce l'esperienza rivolta al visitatore. L'access point deve semplicemente conoscere l'indirizzo del server RADIUS, la porta e la chiave segreta condivisa. Purple fornisce tutti e tre.Parliamo di porte e protocolli. Il traffico di autenticazione RADIUS viene eseguito sulla porta UDP 1812. L'accounting RADIUS viene eseguito sulla porta UDP 1813. Dovrai configurare entrambe sui tuoi access point. Il segreto condiviso è una chiave precondivisa tra l'access point e il server RADIUS - trattalo come una password. Utilizza una stringa lunga generata casualmente. Non riutilizzarla mai in distribuzioni diverse. Dal punto di vista hardware, Purple è agnostico rispetto all'hardware. Lavoriamo, tra gli altri, con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. I passaggi di configurazione variano a seconda del fornitore, ma i parametri RADIUS sottostanti sono coerenti: IP del server o nome host, porta di autenticazione 1812, porta di accounting 1813, segreto condiviso e intervallo di accounting. Per gli access point Avaya, ad esempio, configuri gli attributi RADIUS nella sezione External RADIUS, imposti il formato Called-Station-Id sul formato MAC con trattino UC, abiliti l'accounting e poi configuri l'SSID con il reindirizzamento della pagina web che punta ai link del Captive Portal di Purple. La documentazione di supporto di Purple copre i passaggi esatti per Avaya al link presente nella guida. Per i dispositivi della serie Pepwave MAX, puoi eseguire la configurazione tramite InControl2 - la loro piattaforma di gestione cloud - o direttamente tramite l'interfaccia web locale. In entrambi i casi, configurerai un Captive Portal esterno, indirizzerai l'autenticazione e l'accounting ai server RADIUS di Purple e configurerai l'SSID con sicurezza aperta e il Captive Portal associato. Anche in questo caso, i passaggi esatti si trovano nei documenti di supporto di Purple. Una decisione di architettura che vale la pena segnalare: server RADIUS primari e secondari. Configurali sempre entrambi. Purple fornisce due indirizzi di server RADIUS per ridondanza. Se il primario non è raggiungibile, l'access point passa automaticamente al secondario. Senza un secondario, un problema temporaneo del server RADIUS significa che i tuoi ospiti non possono connettersi. In un hotel con 300 camere o in uno stadio con 40.000 tifosi, si tratta di un incidente grave. La segmentazione della VLAN è l'altro elemento critico. Il tuo traffico WiFi per gli ospiti non dovrebbe mai toccare la tua rete aziendale o operativa. Assegna le sessioni degli ospiti a una VLAN dedicata, instrada quella VLAN verso un uplink internet separato o, come minimo, attraverso un firewall con regole di uscita rigide. Questo è un requisito PCI-DSS se elabori pagamenti con carta in qualsiasi punto della stessa infrastruttura fisica, ed è comunque semplicemente una buona pratica. [RACCOMANDAZIONI DI IMPLEMENTAZIONE ED ERRORI COMUNI - circa 2 minuti] Lascia che ti indichi le tre cose che più comunemente vanno storte. Primo: discrepanze nel segreto condiviso. Il segreto condiviso sull'access point deve corrispondere esattamente a quello registrato nel server RADIUS. Distingue tra maiuscole e minuscole, carattere per carattere. Un singolo carattere errato produce un errore Access-Reject senza alcun messaggio utile. Copia e incolla sempre dalla tua dashboard Purple anziché digitare manualmente. Secondo: lacune nella whitelist. Prima che l'visitatore si autentichi, il suo dispositivo deve raggiungere il Captive Portal. Ciò significa che determinati domini devono essere inseriti nella whitelist sull'access point - gli URL del portale di Purple, gli endpoint di autenticazione e gli eventuali provider di social login in uso. Se la whitelist è incompleta, i visitatori vedranno una pagina vuota o un timeout. Purple mantiene un elenco aggiornato dei domini richiesti nella documentazione di supporto - usate quell'elenco, non tirate a indovinare. Terzo: intervallo di accounting. Questo controlla la frequenza con cui l'access point invia aggiornamenti intermedi di accounting al server RADIUS. Impostatelo su un valore troppo lungo e perderete la granularità della sessione. Impostatelo su un valore troppo breve e genererete traffico non necessario. Per la maggior parte delle implementazioni, l'intervallo corretto è compreso tra 240 e 300 secondi. L'intervallo consigliato da Avaya è di 300 secondi; quello di Pepwave è compreso tra 180 e 240 secondi. Seguite la guida specifica del fornitore. Sul fronte della conformità: il GDPR richiede una base giuridica per la raccolta dei dati dei visitatori. Un Captive Portal ben configurato con caselle di controllo del consenso esplicito soddisfa questo requisito. La piattaforma di Purple è conforme al GDPR e certificata ISO 27001. Ogni accesso tramite Purple è un opt-in di scelta consapevole - il visitatore accetta attivamente i vostri termini prima di connettersi. Quella traccia di audit rappresenta la vostra prova di conformità. [D&R RAPIDE - circa 1 minuto] Domande frequenti che mi vengono rivolte regolarmente. "Devo sostituire il mio hardware esistente?" No. Purple si integra sopra la vostra infrastruttura esistente. Non è richiesta alcuna sostituzione completa. "Posso utilizzare RADIUS per la rete WiFi del personale sulla stessa piattaforma?" Sì. Purple supporta SSID separati per ospiti e personale, con diverse policy di autenticazione su ciascuno. "Cosa succede se la mia struttura ha più sedi?" Purple gestisce le implementazioni multi-sito da un unico pannello di controllo. Configurate una sola volta e replicate in tutti i siti. "Il cloud RADIUS è meno sicuro di quello on-premise?" No. Il cloud RADIUS di Purple opera con un uptime del 99,999%, certificazione ISO 27001 e crittografia end-to-end. La superficie di attacco è inferiore rispetto a un server autogestito perché le patch e il rafforzamento della sicurezza sono gestiti centralmente. "Quanto tempo richiede un'implementazione completa?" Per una singola struttura con hardware supportato, un amministratore di rete può completare la configurazione RADIUS in meno di due ore. Il team di onboarding di Purple è a disposizione per fornire assistenza. [RIASSUNTO E PROSSIMI PASSI - circa 1 minuto] Per riassumere. L'autenticazione RADIUS per il WiFi ospiti offre un controllo degli accessi centralizzato, una traccia di accounting completa e la base di conformità necessaria per il GDPR e PCI-DSS. L'architettura è lineare: dall'access point al NAS, al server RADIUS, fino alla piattaforma cloud di Purple. I tre elementi da impostare correttamente sono la chiave segreta condivisa (shared secret), la whitelist dei domini e l'intervallo di accounting. Purple gestisce un RADIUS cloud-native in oltre 80.000 strutture in tutto il mondo, con 440 milioni di accessi gestiti nel 2024. La piattaforma è indipendente dall'hardware, certificata ISO 27001 e conforme al GDPR.I tuoi passi successivi: verifica se il tuo hardware è presente nell'elenco dei dispositivi supportati da Purple, recupera le credenziali del server RADIUS dalla tua dashboard Purple e segui la guida alla configurazione specifica del fornitore nel centro di supporto di Purple. Se hai bisogno di aiuto, il team tecnico di Purple può guidarti durante la procedura. Grazie per l'attenzione. La guida scritta completa con diagrammi, esempi pratici e riferimenti di configurazione è collegata qui sotto.