Server RADIUS: una guida completa per le aziende

Executive summary

Per i responsabili IT, gli architetti di rete e i CTO che operano nei settori dell' hospitality , del retail , del transport e dei grandi spazi pubblici, la protezione dell'accesso wireless è un requisito operativo fondamentale, non un upgrade opzionale. Affidarsi a una chiave pre-condivisa (PSK) per l'accesso WiFi rappresenta una grave vulnerabilità di sicurezza. Una singola credenziale compromessa espone l'intera rete e la revoca dell'accesso richiede la modifica della password per ogni dispositivo presente nella struttura. L'implementazione dell'autenticazione 802.1X tramite un'architettura server RADIUS (Remote Authentication Dial-In User Service) elimina questo problema. Ogni utente si autentica individualmente, l'accesso può essere revocato istantaneamente e la segmentazione della rete viene applicata in modo dinamico.

Il server RADIUS implementa il framework AAA: Authentication, Authorisation, and Accounting. Convalida le identità rispetto a directory come Microsoft Entra ID, Okta o Google Workspace, assegna gli utenti al segmento di rete corretto tramite l'assegnazione dinamica delle VLAN e mantiene un registro di audit dettagliato per ogni sessione. Per le organizzazioni soggette a PCI DSS, GDPR o Cyber Essentials, questo registro di audit non è opzionale. È un requisito di conformità rigoroso. Il server Cloud RADIUS di Purple protegge il personale e i dispositivi aziendali tramite l'autenticazione 802.1X basata su certificati, integrandovisi con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet in oltre 80.000 sedi attive.

Technical deep-dive: server RADIUS architecture

Lo standard IEEE 802.1X definisce il controllo dell'accesso alla rete basato su porta (PNAC). In un contesto wireless, prevede tre ruoli principali che operano di concerto per proteggere il perimetro della rete.

Quando un supplicant si associa a un access point, l'AP blocca tutto il traffico dati ad eccezione dei messaggi Extensible Authentication Protocol (EAP). L'AP incapsula questi messaggi EAP in pacchetti RADIUS e li inoltra al server RADIUS sulla porta UDP 1812. Il server verifica le credenziali rispetto a una directory backend e restituisce un messaggio Access-Accept o Access-Reject. Se accettato, l'AP sblocca la porta e il traffico del client fluisce liberamente.

Il framework AAA nella pratica

L'Autenticazione è il primo pilastro: verificare l'identità di un utente. Quando un dispositivo si connette a un SSID WPA3-Enterprise, il server RADIUS verifica le credenziali o il certificato presentati confrontandoli con la sorgente di identità configurata. Microsoft Entra ID, Okta e Google Workspace sono i provider di identità cloud standard che si integrano direttamente con le moderne piattaforme Cloud RADIUS.

L'Autorizzazione è il secondo pilastro: determinare cosa può fare l'utente autenticato. Il server RADIUS restituisce gli attributi RADIUS all'access point, in particolare l'ID VLAN. Un membro del team finanziario viene assegnato alla VLAN 10 con accesso ai sistemi interni. Un collaboratore esterno viene assegnato alla VLAN 20 con accesso solo a Internet. Un ospite viene assegnato alla VLAN 30, isolato da tutte le risorse aziendali. Questa assegnazione dinamica della VLAN è il meccanismo che consente una corretta segmentazione della rete, un controllo obbligatorio per la conformità PCI DSS negli ambienti retail .

L'Accounting è il terzo pilastro: registrare ciò che è effettivamente accaduto. Il server RADIUS registra gli orari di inizio e fine sessione, la durata della sessione, i dati trasferiti e l'indirizzo MAC di ciascun dispositivo. Ai sensi dello standard PCI DSS v4.0, questa registrazione è un requisito rigoroso. In caso di incidente di sicurezza, questi log costituiscono la base di qualsiasi indagine informatica forense.

Selezione del metodo EAP

La sicurezza dell'implementazione del server RADIUS dipende fortemente dal metodo EAP selezionato. I tre metodi più comuni nelle reti WiFi aziendali sono PEAP, EAP-TTLS ed EAP-TLS.

PEAP-MSCHAPv2 è il metodo più diffuso. Crea un tunnel TLS crittografato utilizzando un certificato lato server, all'interno del quale l'utente si autentica con nome utente e password. È relativamente semplice da implementare poiché è necessario gestire un solo certificato, quello del server. Tuttavia, se i dispositivi client non sono configurati esplicitamente per convalidare il certificato del server, sono vulnerabili ad attacchi di rogue access point. Un malintenzionato può presentare un certificato fraudolento e intercettare le credenziali. Si tratta di una minaccia reale e documentata, non teorica. Imponi una convalida rigorosa del certificato tramite Group Policy Objects o profili MDM senza eccezioni.

EAP-TLS è il gold standard. Richiede certificati digitali sia sul server RADIUS che su ogni dispositivo client, eliminando completamente le password. Anche se un malintenzionato intercettasse l'intero scambio di autenticazione, non ci sarebbero credenziali da estrarre. Il compromesso è il sovraccarico amministrativo: la distribuzione e la gestione dei certificati client richiedono un'infrastruttura a chiave pubblica (PKI) e una piattaforma MDM come Microsoft Intune o Jamf. Per i dispositivi aziendali, EAP-TLS è il metodo di autenticazione a cui tendere. Il Cloud RADIUS di Purple supporta EAP-TLS in modo nativo, con gestione automatizzata del ciclo di vita dei certificati.

Guida all'implementazione: cloud vs on-premises

Quando si implementa un'architettura server RADIUS, i team IT devono scegliere tra l'implementazione ospitata in cloud e quella on-premises. Questa è la decisione architetturale più importante del progetto.

Il RADIUS on-premises, che utilizza piattaforme come FreeRADIUS o Microsoft Network Policy Server (NPS), offre un controllo completo sull'infrastruttura. Per una singola sede di grandi dimensioni - uno stadio, un ospedale o una struttura governativa - questa può essere la scelta giusta. Le richieste di autenticazione viaggiano sulla LAN locale, offrendo tempi di risposta inferiori al millisecondo. Se la directory delle identità è un Active Directory on-premises che non può essere esposto a Internet per motivi di sovranità dei dati, un server RADIUS on-premises è spesso l'unica opzione praticabile.

Tuttavia, per le organizzazioni multi-sede, il RADIUS on-premises introduce un sovraccarico operativo significativo. È necessario gestire istanze server separate in ogni sede, gestire i rinnovi dei certificati manualmente e rispondere ai disservizi alle due di notte quando un certificato scade. Per una catena di negozi con 50 punti vendita, ciò significa 50 istanze RADIUS separate da aggiornare, monitorare e mantenere.

Cloud RADIUS cambia completamente questo scenario. L'infrastruttura è ospitata a livello globale in più zone di disponibilità. Quando un utente si connette in una filiale, la richiesta viene instradata al nodo edge cloud più vicino. L'elevata disponibilità è integrata di default. La rotazione dei certificati è automatizzata, eliminando la causa più comune di interruzioni dell'autenticazione nelle distribuzioni on-premises. Per le organizzazioni multi-sede con provider di identità cloud-native come Microsoft Entra ID, Okta o Google Workspace, Cloud RADIUS è quasi sempre la scelta operativamente superiore.

Il Cloud RADIUS di Purple si integra direttamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. L'implementazione avviene sull'intero parco hardware senza dover sostituire un singolo access point.

Implementazione passo dopo passo

Passo 1: Scegli il modello di implementazione. Analizza tre fattori: il provider di identità attuale e se è cloud-native; la resilienza della WAN in ciascuna sede; e la capacità del team di gestire la manutenzione ordinaria. Questi tre fattori determinano se il percorso corretto è il cloud o l'on-premises.

Passo 2: Integra la sorgente di identità. Connetti il server RADIUS alla directory delle identità dell'organizzazione. La maggior parte delle piattaforme Cloud RADIUS supporta l'integrazione diretta con Microsoft Entra ID, Okta e Google Workspace tramite LDAP o SAML. Per Active Directory on-premises, utilizza LDAP tramite un connettore sicuro.

Fase 3: Configura l'hardware di rete. Crea un nuovo SSID configurato per WPA2-Enterprise o WPA3-Enterprise e indirizzalo al tuo server RADIUS. Configura il segreto condiviso, ovvero la password che crittografa la comunicazione tra l'access point e il server RADIUS. Questo segreto condiviso deve corrispondere esattamente su entrambi i lati. Una mancata corrispondenza è una delle cause più comuni di errore di autenticazione durante la distribuzione iniziale.

Fase 4: Definisci i criteri di autorizzazione. Associa i gruppi di utenti dalla tua directory di identità ai criteri di rete. Il personale ottiene l'accesso completo sulla VLAN 10. Gli ospiti ottengono l'accesso solo a Internet sulla VLAN 20. I dispositivi IoT ottengono una VLAN limitata con regole di firewall che bloccano i movimenti laterali.

Fase 5: Integra i tuoi utenti. Per il personale aziendale, distribuisci i profili WiFi tramite la tua piattaforma MDM. Per gli ospiti, utilizza un captive portal. La piattaforma Guest WiFi di Purple automatizza il flusso di onboarding degli ospiti, supportando il social login, i moduli di registrazione e i codici voucher. Il personale e i dispositivi aziendali si autenticano silenziosamente tramite 802.1X mentre gli ospiti vengono indirizzati a un portale personalizzato: un modello di accesso a più livelli che offre sia sicurezza che WiFi Analytics .

Per un esame più approfondito dell'architettura SSID tra reti ospiti, personale e IoT, consulta Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi .

Best practice

Applica una convalida rigorosa dei certificati su ogni dispositivo client. Utilizza gli oggetti Criteri di gruppo per i dispositivi Windows e i profili MDM per macOS e i dispositivi mobili. Il profilo deve specificare esattamente di quale Autorità di certificazione fidarsi e qual è il nome del server previsto. Non lasciare questa configurazione manuale all'utente. La mancata applicazione di questa misura è il principale vettore di attacco per il furto di credenziali sulle distribuzioni PEAP.

Distribuisci almeno due istanze del server RADIUS. Configura tutti gli access point per il failover sul secondario se il primario diventa irraggiungibile. Per Cloud RADIUS, questa ridondanza è integrata e gestita dal provider. Per le installazioni on-premises, distribuisci un cluster active-active in due sedi geograficamente distinte.

Utilizza il MAC Authentication Bypass (MAB) per i dispositivi IoT headless. Stampanti, sensori e segnaletica digitale non possono presentare credenziali 802.1X. Il MAB consente l'autenticazione basata sull'indirizzo MAC. Poiché gli indirizzi MAC sono facilmente falsificabili, associa sempre i dispositivi autenticati tramite MAB a una VLAN restrittiva e a regole di firewall che bloccano l'accesso alle risorse aziendali.

Ruota regolarmente i segreti condivisi. Il segreto condiviso tra i tuoi access point e il tuo server RADIUS deve essere lungo, casuale e ruotato periodicamente. Un segreto condiviso debole o predefinito compromette l'intera catena di autenticazione.

Convalida la segmentazione con i penetration test. La sola configurazione non è una prova. Commissiona un penetration test che includa esplicitamente l'ambiente wireless e la convalida della segmentazione VLAN. Un tester dovrebbe tentare attivamente di accedere alle risorse aziendali dalla VLAN ospiti e documentare che ogni tentativo viene bloccato. Questa è la prova di cui il tuo Qualified Security Assessor PCI DSS ha bisogno.

Risoluzione dei problemi e mitigazione dei rischi

I più comuni scenari di errore nelle distribuzioni di server RADIUS rientrano in quattro categorie.

Mancata corrispondenza del segreto condiviso. Se il segreto condiviso configurato sull'access point non corrisponde a quello sul server RADIUS, ogni tentativo di autenticazione fallirà in modo silenzioso. Copia e incolla sempre i segreti condivisi anziché digitarli manualmente. Verifica la configurazione su entrambi i lati prima di eseguire il test.

Scadenza del certificato. Nelle distribuzioni on-premise, se il certificato del server scade, ogni dispositivo client rifiuterà la connessione. Ciò causa un'interruzione completa dell'autenticazione senza un degrado controllato delle prestazioni. I provider di Cloud RADIUS automatizzano la rotazione dei certificati, eliminando questo rischio. Per le distribuzioni on-premise, configura avvisi di monitoraggio a 60 giorni, 30 giorni e sette giorni prima della scadenza.

Validazione del certificato client non applicata. Se i client PEAP non sono configurati per convalidare il certificato del server, si connetteranno a qualsiasi server RADIUS che risponde, inclusi gli access point non autorizzati (rogue). Imponi la convalida del certificato tramite GPO o profili MDM su ogni dispositivo gestito.

Dipendenza dalla WAN per il Cloud RADIUS. Il Cloud RADIUS si affida interamente al collegamento WAN di ciascuna sede. Se la connessione Internet si interrompe, l'autenticazione fallisce. Implementa una strategia di sopravvivenza locale: configura gli access point per memorizzare nella cache le credenziali del personale critico, oppure utilizza l'SD-WAN per garantire l'alta disponibilità del collegamento Internet. Configura sempre una policy di fallback, impostando l'accesso aperto a una VLAN limitata o l'uso di credenziali memorizzate nella cache locale.

ROI e impatto aziendale

La distribuzione di un'architettura server RADIUS trasforma la rete wireless da una vulnerabilità a una risorsa gestita e sicura, con vantaggi operativi misurabili.

Per un gruppo alberghiero europeo con 45 strutture, la migrazione da 45 istanze FreeRADIUS on-premise a Cloud RADIUS ha consentito di recuperare circa il 40% del tempo di manutenzione del team IT centrale (dati interni Purple). Si tratta di capacità ingegneristica reindirizzata dal semplice mantenimento dell'operatività a iniziative strategiche.

Per una catena retail che si prepara a un audit PCI DSS, una corretta segmentazione della rete tramite l'assegnazione dinamica delle VLAN rimuove completamente la rete guest WiFi dall'ambito del Cardholder Data Environment. Piattaforme come il Guest WiFi di Purple operano sulla VLAN rivolta agli ospiti, completamente isolata dal traffico dei pagamenti. La piattaforma di analytics è fuori dall'ambito PCI e l'azienda mantiene la libertà di distribuire strumenti che generano entrate (analytics degli ospiti, programmi di fidelizzazione, coinvolgimento dei clienti) in modo sicuro e fiducioso.

Per le organizzazioni con più di 10 sedi e meno di cinque ingegneri di rete, la spesa operativa prevedibile di Cloud RADIUS offre tipicamente un ritorno sull'investimento positivo entro 18 mesi rispetto al mantenimento dell'infrastruttura on-premises (dati interni Purple). L'approvvigionamento dell'hardware, l'alimentazione, il raffreddamento e il tempo dedicato all'ingegnerizzazione per le distribuzioni on-premises su scala superano costantemente il costo di abbonamento di un servizio Cloud RADIUS gestito.

Purple opera in oltre 80.000 sedi attive con un uptime del 99,999%, certificazione ISO 27001, conformità GDPR e CCPA e certificazione Cyber Essentials. Per i team IT che devono dimostrare la dovuta diligenza al proprio consiglio di amministrazione o ai revisori dei conti, queste certificazioni forniscono quella convalida di terze parti che una distribuzione on-premises autogestita non può offrire.

Per un confronto dettagliato tra il Cloud RADIUS di Purple e le piattaforme alternative, consulta il confronto delle funzionalità e del co-deployment tra Aruba ClearPass e Purple WiFi .