Tre SSID per domarli tutti: guida alla configurazione del WiFi per ospiti, personale e IoT

SCENEGGIATURA DEL PODCAST: 'Tre SSID per domarli tutti: guida alla configurazione del WiFi per ospiti, personale e IoT' [INTRODUZIONE E CONTESTO - 1 min] Sei un consulente di rete senior che presenta un briefing sicuro e autorevole a un cliente. Parla in inglese britannico con un tono chiaro, misurato e professionale. Autorevolezza calma, non accademica. Conversazionale ma preciso. Il ritmo è costante e deliberato: Benvenuti alla serie di briefing tecnici di Purple WiFi Intelligence. Oggi parleremo del design WiFi a tre SSID: l'architettura che separa il traffico di ospiti, personale e IoT in reti distinte e isolate utilizzando un'unica infrastruttura wireless. Se gestisci il WiFi per un hotel, un'area commerciale, un centro congressi, uno stadio o qualsiasi altra struttura in cui gestisci sia reti pubbliche che operative, questo briefing ti riguarda direttamente. [APPROFONDIMENTO TECNICO - 5 min] Lasciatemi innanzitutto inquadrare il contesto. La maggior parte delle strutture aziendali oggi gestisce almeno cinque o sei SSID. Ce n'è uno per gli ospiti, uno per il personale, uno per i terminali punto vendita, uno per i dispositivi IoT, forse uno nascosto per i collaboratori esterni e spesso uno legacy di cui nessuno ricorda bene il motivo dell'esistenza. Ognuno di questi SSID trasmette un frame di beacon ogni 100 millisecondi alla velocità dati più bassa sulla radio. In una struttura densa con 50 access point sullo stesso canale, si tratta di centinaia di frame di gestione al secondo che consumano tempo di trasmissione prima ancora che venga trasmesso un singolo byte di dati utente. Il consenso del settore è chiaro: non trasmettere più di tre SSID per radio. Tre è il numero che bilancia la segmentazione della sicurezza con le prestazioni wireless. Quindi il design a tre SSID è questo. SSID uno: una rete Guest WiFi aperta con un Captive Portal per l'accesso dei visitatori. SSID due: una rete WPA2 o WPA3-Enterprise per il personale e gli ospiti protetti, che utilizza l'autenticazione 802.1X e RADIUS. SSID tre: una rete xPSK per dispositivi IoT, terminali POS, segnaletica digitale e stampanti, che utilizza chiavi precondivise per dispositivo per assegnare dinamicamente le VLAN in base all'identità del dispositivo. Tre SSID. Tre segmenti di rete completamente isolati. Un'unica infrastruttura wireless fisica. Esaminiamoli singolarmente nel dettaglio. Esaminiamoli singolarmente nel dettaglio. Il primo SSID è il tuo Guest WiFi. Lo configuri come una rete aperta: nessuna chiave precondivisa, nessuna password WPA2-Personal. L'access point trasmette l'SSID senza crittografia a livello di associazione. Quando un visitatore si connette, il suo dispositivo ottiene un indirizzo IP da un server DHCP sulla tua VLAN guest, solitamente la VLAN 10. Ogni query DNS e richiesta HTTP viene intercettata dal controller wireless o da un'appliance Captive Portal dedicata, che reindirizza il browser del visitatore alla pagina del tuo portale.È qui che la piattaforma di Purple si integra. Il Captive Portal gestisce l'autenticazione del visitatore, che si tratti di un login social, registrazione via e-mail, verifica tramite SMS o un codice coupon. Acquisisce il consenso ai sensi del GDPR, registra i dati del visitatore come dati di prima parte e poi segnala al controller di concedere l'accesso a Internet. La sessione del visitatore viene taggata sulla VLAN 10 e il firewall applica una policy rigorosa: solo accesso a Internet, con una regola esplicita di negazione totale che blocca qualsiasi percorso verso lo spazio di indirizzi interno RFC 1918. Il walled garden rappresenta un passaggio di configurazione fondamentale. Prima che un visitatore completi l'accesso al portale, il suo dispositivo deve raggiungere la pagina stessa del portale. È necessario configurare un walled garden, ovvero una whitelist di indirizzi IP e domini accessibili senza autenticazione. Questa deve includere l'IP o l'hostname del server del Captive Portal, tutti gli endpoint CDN utilizzati e gli endpoint dei provider di social login come i server OAuth di Facebook o gli endpoint di autenticazione di Google. Il secondo SSID è la WiFi del personale. Questo utilizza WPA2-Enterprise o WPA3-Enterprise, il che significa autenticazione 802.1X. Quando un membro del personale si connette, il suo dispositivo avvia uno scambio EAP con l'access point, che funge da autenticatore e inoltra le credenziali al server RADIUS. Il server RADIUS convalida l'identità rispetto all'identity provider e restituisce un messaggio Access-Accept. La chiave per l'assegnazione dinamica della VLAN risiede in tre attributi RADIUS specifici presenti in quel messaggio Access-Accept. L'Attributo 64, Tunnel-Type, deve essere impostato sul valore 13, che significa VLAN. L'Attributo 65, Tunnel-Medium-Type, deve essere impostato sul valore 6, che significa IEEE 802. E l'Attributo 81, Tunnel-Private-Group-ID, contiene l'effettivo ID della VLAN come stringa. Quando l'access point riceve questi attributi, tagga dinamicamente la sessione con la VLAN specificata. Un membro del team finanziario si autentica e finisce sulla VLAN 20. Un collaboratore esterno si autentica con credenziali diverse e finisce sulla VLAN 30 con un accesso più limitato. Stesso SSID, stessa rete fisica, segmenti logici completamente diversi. Il servizio Cloud RADIUS di Purple gestisce il livello di autenticazione RADIUS per la WiFi del personale, integrandolo con l'identity provider e restituendo gli attributi dinamici della VLAN corretti per ciascun utente. Il terzo SSID è la WiFi IoT. L'xPSK risolve un problema che né le reti aperte né lo standard 802.1X possono affrontare in modo pulito. I dispositivi IoT, i terminali POS, i lettori di digital signage e le stampanti non possono autenticarsi con lo standard 802.1X. Tuttavia, non è possibile inserirli in una rete piatta WPA2-Personal con una singola password condivisa, perché un dispositivo compromesso avrebbe accesso a ogni altro dispositivo su quel segmento. xPSK gestisce un database di password univoche, una per dispositivo o gruppo di dispositivi. Il dispositivo si connette utilizzando la sua chiave univoca. Il controller convalida la chiave e restituisce gli attributi VLAN dinamici. Un terminale POS si connette e viene instradato sulla VLAN 50, la tua rete di pagamento isolata conforme a PCI DSS. Un termostato intelligente si connette e viene instradato sulla VLAN 40, la tua rete IoT con instradamento limitato. La terminologia dei fornitori varia. Cisco Meraki lo chiama iPSK. HPE Aruba lo chiama MPSK. Ruckus lo chiama DPSK. Juniper Mist e Ubiquiti UniFi lo chiamano entrambi PPSK. L'architettura sottostante è identica per tutti e cinque i fornitori. [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE - 2 min] Sei un consulente di rete senior che presenta un briefing sicuro e autorevole a un cliente. Parla con un tono chiaro, misurato e professionale. Autorevolezza calma, non accademica. Colloquiale ma preciso. Il ritmo è costante e deliberato: Parliamo ora delle trappole dell'implementazione e degli scenari reali. La prima trappola sono le porte trunk configurate in modo errato. Le porte dello switch che trasportano più VLAN devono essere configurate come porte trunk 802.1Q, non come porte di accesso. Se una porta trunk viene accidentalmente impostata come porta di accesso, tutto il traffico collassa su una singola VLAN e la segmentazione scompare silenziosamente. Controlla sempre la configurazione dello switch dopo qualsiasi modifica. La seconda trappola è un walled garden incompleto. Se la pagina del Captive Portal non si carica perché non hai inserito nella whitelist gli endpoint corretti, i visitatori vedranno una schermata vuota e penseranno che il WiFi non funzioni. Testa il tuo walled garden da un nuovo dispositivo senza DNS memorizzato nella cache prima di andare online. La terza trappola è la randomizzazione dell'indirizzo MAC. I moderni dispositivi iOS e Android utilizzano un indirizzo MAC randomizzato per ogni rete a cui si connettono. Se il tuo sistema xPSK si affida all'associazione dell'indirizzo MAC per collegare un dispositivo alla sua chiave univoca, si verificheranno errori di autenticazione quando un dispositivo cambia il proprio indirizzo. Utilizza le implementazioni dei fornitori che associano la sessione alla chiave stessa anziché al MAC. Lascia che ti presenti due scenari reali. Scenario uno: un hotel da 200 camere. L'hotel deve fornire WiFi per gli ospiti in tutte le camere e le aree comuni, WiFi per il personale per la reception, le pulizie e la direzione, e connettività IoT per termostati intelligenti, sistemi IPTV e controller per serrature. Distribuiscono tre SSID sui loro access point Cisco Meraki. La prima SSID, la rete ospiti, utilizza il captive portal di Purple con registrazione tramite e-mail e acquisizione del consenso conforme al GDPR. Gli ospiti si autenticano, accedono alla VLAN 10 e ottengono l'accesso solo a Internet con un limite di larghezza di banda di 20 megabit al secondo per client. La seconda SSID, la rete del personale, utilizza WPA3-Enterprise con autenticazione RADIUS rispetto a Microsoft Entra ID. Il personale della reception accede alla VLAN 20 con accesso al sistema di gestione della struttura. Il personale addetto alle pulizie accede alla VLAN 21 con accesso esclusivo all'applicazione di housekeeping. La terza SSID, la rete IoT, utilizza Meraki iPSK. Ogni termostato intelligente ha una chiave univoca mappata sulla VLAN 40. Ogni controller per serrature ha una chiave univoca mappata sulla VLAN 41. I sistemi IPTV hanno chiavi mappate sulla VLAN 42. Tutte le VLAN IoT non hanno accesso a Internet e presentano regole di firewall rigorose che limitano la comunicazione ai rispettivi server di gestione specifici. [DOMANDE E RISPOSTE RAPIDE - 1 min] Passiamo ora ad alcune domande rapide. Ho bisogno di un server RADIUS separato per xPSK? Dipende dal fornitore e dalle dimensioni. Per distribuzioni di piccole dimensioni, Cisco Meraki iPSK e HPE Aruba MPSK-Local possono memorizzare le chiavi direttamente sul controller senza un server RADIUS. Per le distribuzioni aziendali, è necessario un server RADIUS centrale: la propria istanza FreeRADIUS o NPS, oppure un servizio RADIUS cloud come quello di Purple. WPA3-Enterprise è obbligatorio? Non ancora, ma è consigliabile distribuirlo laddove i dispositivi client lo supportino. La modalità di sicurezza a 192 bit e i Protected Management Frames di WPA3 eliminano diversi vettori di attacco presenti in WPA2. Esegui WPA3 in modalità di transizione per mantenere la retrocompatibilità. Come gestisco il BYOD sull'SSID del personale? Utilizza PEAP-MSCHAPv2 per l'autenticazione basata su credenziali, che funziona con i dispositivi personali senza richiedere la distribuzione di certificati. Se hai bisogno di una sicurezza maggiore, distribuisci EAP-TLS con certificati inviati tramite il tuo MDM. Qual è la configurazione minima praticabile per una struttura di piccole dimensioni? Tre SSID, tre VLAN, un firewall con regole inter-VLAN e un captive portal per gli ospiti. Questo è il punto di partenza. Potrai aggiungere RADIUS e xPSK man mano che il parco dispositivi cresce. [RIASSUNTO E PROSSIMI PASSI - 1 min] In sintesi: il design a tre SSID offre la segmentazione necessaria senza il sovraccarico di tempo di trasmissione dovuto alla gestione di cinque o sei reti separate. Il WiFi per gli ospiti con captive portal gestisce l'accesso dei visitatori e la conformità al GDPR. Il WiFi per il personale con 802.1X e assegnazione dinamica della VLAN gestisce il controllo degli accessi basato sull'identità. Il WiFi IoT con xPSK gestisce i dispositivi headless con isolamento per singolo dispositivo. I tuoi prossimi passi: verifica il numero attuale di SSID. Se ne stai trasmettendo più di tre, pianifica un consolidamento. Esamina il design delle tue VLAN e le regole del firewall inter-VLAN. E se non stai già utilizzando un Captive Portal gestito con acquisizione dati conforme al GDPR, questo è il cambiamento di maggior valore che puoi apportare oggi alla tua rete ospiti. La piattaforma di Purple supporta questa architettura a tre SSID in oltre 80.000 sedi attive in tutto il mondo. Forniamo il Captive Portal per Guest WiFi, il cloud RADIUS per Staff WiFi e le integrazioni con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi per far funzionare l'intero design come un unico sistema gestito. Grazie per aver ascoltato questo briefing tecnico di Purple. I link alla guida scritta completa e ai diagrammi di architettura si trovano nelle note dell'episodio.