Como Configurar WPA2-Enterprise em Plataformas Comuns de Access Point (Cisco, Aruba, Ubiquiti)

Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns - Cisco, Aruba e Ubiquiti Um Informativo de Inteligência da Purple WiFi [INTRO - aproximadamente 1 minuto] Boas-vindas à Série de Inteligência da Purple WiFi. Eu sou o seu apresentador e, hoje, vamos direto ao ponto em um dos tópicos mais solicitados por nossos clientes corporativos: como configurar WPA2-Enterprise nas três plataformas de access point mais amplamente implantadas - Cisco, Aruba e Ubiquiti. Quer você seja o diretor de TI de um grupo de hotéis de 500 quartos, o arquiteto de rede de uma cadeia de varejo nacional ou o CTO do operador de um centro de convenções, este informativo é para você. Não vamos cobrir teoria por cobrir. Vamos detalhar o que você precisa saber para tomar uma decisão de implantação, executá-la corretamente e evitar as armadilhas que prejudicam até mesmo equipes experientes. Vamos começar. [ANÁLISE TÉCNICA DETALHADA - aproximadamente 5 minutos] Primeiro, um rápido alinhamento sobre o que realmente é o WPA2-Enterprise, pois ainda há uma quantidade surpreendente de confusão no mercado entre WPA2-Personal e WPA2-Enterprise - e a distinção importa enormemente para a conformidade e a postura de risco. O WPA2-Personal - a versão com a qual a maioria das pessoas está familiarizada - usa uma única chave pré-compartilhada. Todos na rede usam a mesma senha. Isso serve para uma rede doméstica. É categoricamente inaceitável para um ambiente de negócios onde você precisa de autenticação por usuário, trilhas de auditoria e a capacidade de revogar o acesso instantaneamente. O WPA2-Enterprise, definido sob a norma 802.1X, substitui essa chave compartilhada por uma troca de autenticação individual. Cada usuário ou dispositivo apresenta suas próprias credenciais - seja um nome de usuário e senha, um certificado digital ou um token - e essas credenciais são validadas por um servidor RADIUS antes que o acesso à rede seja concedido. O access point em si nunca vê as credenciais. Ele age puramente como um autenticador, passando a troca EAP - Extensible Authentication Protocol - entre o cliente e o servidor RADIUS. Esta é uma arquitetura fundamentalmente mais segura e é o requisito básico para conformidade PCI-DSS em qualquer ambiente que lide com dados de cartões de pagamento, além de ser fortemente recomendada sob a GDPR para organizações que processam dados pessoais em redes sem fio. Agora, vamos falar sobre as três plataformas. Começando com a Cisco. O portfólio de WiFi corporativo da Cisco - composto principalmente pelas linhas Catalyst e Meraki - é a escolha padrão para implantações de grande escala. O Cisco DNA Center oferece gerenciamento centralizado de políticas, e o painel do Meraki oferece a simplicidade gerenciada em nuvem para propriedades distribuídas. Para configurar o WPA2-Enterprise em um ponto de acesso Cisco Catalyst, você trabalhará por meio do WLC - Wireless LAN Controller - ou do DNA Center. As etapas principais são: definir seu servidor RADIUS em Security, depois AAA e RADIUS Authentication Servers; criar um novo perfil de WLAN; definir a política de segurança como WPA2 com 802.1X como o método de gerenciamento de chaves; e vincular o servidor RADIUS a essa WLAN. Um ponto crítico na Cisco: certifique-se de configurar o RADIUS accounting, além da autenticação. O accounting oferece a trilha de auditoria por sessão exigida pelas estruturas de conformidade. No Meraki, o processo é ainda mais simples - navegue até Wireless, depois SSIDs, selecione o SSID de destino, defina a segurança como WPA2-Enterprise com my RADIUS server e insira o IP do seu servidor RADIUS, a porta - normalmente 1812 para autenticação e 1813 para accounting - e o segredo compartilhado. O Meraki também suporta testes de RADIUS diretamente do painel, o que é inestimável durante o comissionamento. Passando para a Aruba. A Aruba Networks, agora parte da HPE, é a escolha dominante nos setores de hotelaria e ensino superior. O Aruba Central oferece gerenciamento em nuvem, e o ArubaOS é a plataforma subjacente. Na Aruba, a configuração do WPA2-Enterprise fica dentro do perfil do SSID. Você definirá um perfil AAA que faz referência ao seu servidor RADIUS e, em seguida, anexará esse perfil AAA ao seu perfil de AP virtual. O ClearPass Policy Manager da Aruba merece uma menção específica aqui - ele é o próprio mecanismo de política e RADIUS da Aruba e adiciona recursos significativos em torno do perfil de dispositivos, controle de acesso baseado em funções e integração de convidados. Se você estiver executando um ambiente misto com funcionários, terceiros e convidados, todos se conectando à mesma infraestrutura, o ClearPass oferece a granularidade de política para segmentá-los adequadamente. Para um hotel que implanta o WPA2-Enterprise em redes de funcionários e de backoffice enquanto executa uma solução separada de WiFi para convidados por meio de uma plataforma como a Purple, a segmentação de SSID da Aruba combinada com o ClearPass para autenticação de funcionários é uma arquitetura extremamente limpa. Agora sobre a Ubiquiti. A plataforma UniFi da Ubiquiti ganhou um espaço significativo no mercado de PMEs e médio porte - e cada vez mais em hospitalidade boutique e varejo - devido ao seu preço competitivo e uma interface de gerenciamento genuinamente capaz. O UniFi Network Controller é onde você fará o trabalho pesado. Para configurar o WPA2-Enterprise no UniFi, navegue até Configurações, depois WiFi, crie ou edite o seu SSID, defina a segurança como WPA2 Enterprise e configure o seu perfil RADIUS - novamente, endereço IP, porta de autenticação 1812, porta de bilhetagem (accounting) 1813 e segredo compartilhado. Uma consideração importante com a Ubiquiti: ela não vem com um servidor RADIUS integrado da mesma forma que algumas plataformas corporativas. Você precisará de um servidor RADIUS externo - seja ele o Windows Server NPS, FreeRADIUS ou um serviço RADIUS em nuvem. Isso não é uma limitação em si, mas é uma dependência que precisa ser planejada. Para implantações menores, o UniFi Network Application inclui um servidor RADIUS básico, mas para ambientes de produção eu sempre recomendo uma instância RADIUS dedicada. Em todas as três plataformas, a seleção do método EAP merece atenção. O PEAP com MSCHAPv2 é o método mais amplamente implantado porque funciona com credenciais do Active Directory sem exigir certificados no lado do cliente. O EAP-TLS é mais seguro - ele usa autenticação mútua por certificado - mas exige uma infraestrutura PKI e implantação de certificados em cada dispositivo cliente, o que adiciona sobrecarga operacional. Para a maioria das implantações corporativas, o PEAP-MSCHAPv2 com um servidor RADIUS configurado corretamente e validação de certificado no lado do cliente é o equilíbrio ideal entre segurança e capacidade de gerenciamento operacional. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS - aproximadamente 2 minutos] Agora, permita-me apresentar os três modos de falha mais comuns que vejo em implantações WPA2-Enterprise e como evitá-los. Número um: disponibilidade do servidor RADIUS. Seu servidor RADIUS agora está no caminho crítico para cada autenticação sem fio. Se ele falhar, ninguém conseguirá se conectar. Isso significa que você precisa de redundância de RADIUS - no mínimo um servidor RADIUS primário e um secundário configurados em cada ponto de acesso. A maioria das plataformas suporta isso nativamente. No Cisco, você pode configurar grupos de servidores RADIUS com failover. No Aruba, o perfil AAA suporta múltiplos servidores RADIUS com valores configuráveis de repetição e tempo limite (timeout). No Ubiquiti, você pode especificar um servidor RADIUS secundário no perfil RADIUS. Não pule esta etapa. Número dois: validação de certificado. Uma proporção assustadoramente alta de implantações que analiso tem dispositivos de clientes configurados para aceitar qualquer certificado de servidor RADIUS. Isso compromete totalmente o modelo de segurança - abrindo margem para ataques de "evil twin", onde um ponto de acesso malicioso se passa pela sua rede e captura credenciais. Configure o certificado do seu servidor RADIUS a partir de uma CA confiável e configure os suplicantes dos clientes para validar esse certificado. No Windows, isso é feito via Diretiva de Grupo. No iOS e Android, é gerenciado por meio de perfis de MDM. Isso é inegociável para qualquer ambiente que lide com dados confidenciais. Número três: atribuição de VLAN. O WPA2-Enterprise permite a atribuição dinâmica de VLAN - o servidor RADIUS pode retornar um atributo de VLAN na mensagem Access-Accept, colocando cada usuário autenticado no segmento de rede apropriado com base em sua identidade ou função. Este é um dos recursos mais poderosos da arquitetura 802.1X, e frequentemente é deixado sem configuração. Se você gerencia um local com funcionários, gerência e dispositivos IoT na mesma infraestrutura física, a atribuição dinâmica de VLAN é como você impõe a segmentação de rede sem gerenciar múltiplos SSIDs. Do lado da integração com a Purple: se você está implantando WPA2-Enterprise para seus funcionários e redes operacionais, e executando a plataforma de WiFi de visitantes da Purple para conectividade de visitantes, esses dois sistemas coexistem perfeitamente. A Purple lida com a autenticação de visitantes, captura de dados e camada de analytics - incluindo o WiFi analytics e inteligência de fluxo que os operadores do local usam para decisões operacionais - enquanto sua infraestrutura WPA2-Enterprise protege a rede corporativa. A chave é uma separação limpa de SSID e VLAN no nível do ponto de acesso, o que todas as três plataformas suportam. [P&R RÁPIDO - aproximadamente 1 minuto] Deixe-me passar por algumas perguntas que surgem regularmente. Posso executar WPA2-Enterprise e uma rede de visitantes nos mesmos pontos de acesso? Sim, com certeza. Todas as três plataformas suportam múltiplos SSIDs por rádio, cada um com políticas de segurança independentes. Seu SSID corporativo executa WPA2-Enterprise; seu SSID de visitantes pode rodar através do Captive Portal da Purple com o isolamento apropriado. Preciso substituir meus pontos de acesso existentes para implantar o WPA2-Enterprise? Quase certamente não. O WPA2-Enterprise é suportado em pontos de acesso de nível corporativo há mais de uma década. Se o seu hardware tiver menos de oito anos e estiver executando o firmware atual, ele suportará 802.1X. Qual é a diferença entre WPA2-Enterprise e WPA3-Enterprise? O WPA3-Enterprise adiciona um modo de segurança de 192 bits usando criptografia Suite B, o que é relevante para ambientes governamentais e de defesa. Para a maioria das implantações comerciais, o WPA2-Enterprise com métodos EAP fortes continua sendo o padrão. Vale a pena planejar a transição para o WPA3 para novas implantações, mas não é uma migração urgente para a maioria das organizações. O RADIUS em nuvem é uma opção viável? Sim, e cada vez mais. Serviços como o Cisco ISE na nuvem, Aruba ClearPass como serviço, ou opções de terceiros como JumpCloud e Foxpass fornecem RADIUS como serviço gerenciado, o que elimina a sobrecarga de infraestrutura. Para propriedades distribuídas - pense em uma rede de varejo com 200 locais - o RADIUS em nuvem pode reduzir significativamente a complexidade operacional. [RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto] Para resumir: o WPA2-Enterprise é a linha de base inegociável para qualquer implantação wireless corporativa. O processo de configuração em Cisco, Aruba e Ubiquiti segue o mesmo padrão fundamental - definir seu servidor RADIUS, criar seu SSID com gerenciamento de chaves 802.1X, selecionar seu método EAP e testar antes de entrar no ar. As diferenças estão nas interfaces de gerenciamento e nas ferramentas de ecossistema em torno de cada plataforma. As três coisas que você precisa acertar: redundância de RADIUS, validação de certificados nos clientes e atribuição dinâmica de VLAN. Acerte essas três coisas e você terá uma postura de segurança wireless sólida, em conformidade e auditável. Para seus próximos passos: se você estiver avaliando plataformas, use a estrutura de comparação de fornecedores no guia complementar. Se você estiver pronto para implantar, os tutoriais de configuração passo a passo para cada plataforma estão na seção de implementação. E se você estiver pensando em como o WiFi de convidados se integra à sua rede corporativa, a documentação da plataforma Purple cobre a arquitetura de integração em detalhes. Obrigado por ouvir. Vejo você no próximo briefing.