Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns (Cisco, Aruba, Ubiquiti)

Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns — Cisco, Aruba e Ubiquiti Um Informativo de Inteligência Purple WiFi [INTRO — aproximadamente 1 minuto] Bem-vindo à Série de Inteligência Purple WiFi. Eu sou o seu anfitrião e hoje vamos direto ao ponto em um dos tópicos mais solicitados pelos nossos clientes corporativos: como configurar o WPA2-Enterprise nas três plataformas de access point mais implantadas — Cisco, Aruba e Ubiquiti. Seja você o diretor de TI de um grupo de hotéis de 500 quartos, o arquiteto de rede de uma rede de varejo nacional ou o CTO de uma operadora de centro de convenções, este informativo é para você. Não vamos cobrir teoria apenas por cobrir. Vamos analisar o que você precisa saber para tomar uma decisão de implantação, executá-la corretamente e evitar as armadilhas que atrapalham até mesmo equipes experientes. Vamos começar. [DEEP-DIVE TÉCNICO — aproximadamente 5 minutos] Primeiro, um rápido alinhamento sobre o que o WPA2-Enterprise realmente é, porque ainda há uma quantidade surpreendente de confusão no mercado entre WPA2-Personal e WPA2-Enterprise — e a distinção importa enormemente para a postura de conformidade e risco. O WPA2-Personal — a versão com a qual a maioria das pessoas está familiarizada — usa uma única chave pré-compartilhada. Todos na rede usam a mesma senha. Isso funciona bem para uma rede doméstica. Mas categoricamente não é aceitável para um ambiente de negócios onde você precisa de autenticação por usuário, trilhas de auditoria e a capacidade de revogar o acesso instantaneamente. O WPA2-Enterprise, definido sob o IEEE 802.1X, substitui essa chave compartilhada por uma troca de autenticação individual. Cada usuário ou dispositivo apresenta suas próprias credenciais — seja um nome de usuário e senha, um certificado digital ou um token — e essas credenciais são validadas por um servidor RADIUS antes que o acesso à rede seja concedido. O access point em si nunca vê as credenciais. Ele atua puramente como um autenticador, passando a troca EAP — Extensible Authentication Protocol — entre o cliente e o servidor RADIUS. Esta é uma arquitetura fundamentalmente mais segura e é o requisito básico para a conformidade com o PCI DSS em qualquer ambiente que lide com dados de cartões de pagamento, além de ser fortemente recomendada sob a GDPR para organizações que processam dados pessoais em redes sem fio. Agora, vamos falar sobre as três plataformas. Começando com a Cisco. O portfólio de WiFi corporativo da Cisco — principalmente as linhas Catalyst e Meraki — é a escolha tradicional para implantações em larga escala. O Cisco DNA Center fornece gerenciamento centralizado de políticas, e o painel do Meraki oferece a simplicidade do gerenciamento em nuvem para propriedades distribuídas. Para configurar o WPA2-Enterprise em um access point Cisco Catalyst, você trabalhará por meio do WLC — Wireless LAN Controller — ou do DNA Center. As etapas principais são: definir seu servidor RADIUS em Security, depois AAA, depois RADIUS Authentication Servers; criar um novo perfil de WLAN; definir a política de segurança como WPA2 com 802.1X como o método de gerenciamento de chaves; e vincular o servidor RADIUS a essa WLAN. Um ponto crítico na Cisco: certifique-se de configurar o RADIUS accounting, bem como a autenticação. O accounting fornece a trilha de auditoria por sessão que as estruturas de conformidade exigem. No Meraki, o processo é ainda mais simples — navegue até Wireless, depois SSIDs, selecione o SSID de destino, defina a segurança como WPA2-Enterprise com meu servidor RADIUS e insira o IP do servidor RADIUS, a porta — normalmente 1812 para autenticação e 1813 para accounting — e o segredo compartilhado. O Meraki também suporta testes de RADIUS diretamente do painel, o que é inestimável durante o comissionamento. Passando para a Aruba. A Aruba Networks, agora parte da HPE, é a escolha dominante em hotelaria e ensino superior. O Aruba Central fornece gerenciamento em nuvem, e o ArubaOS é a plataforma subjacente. Na Aruba, a configuração do WPA2-Enterprise reside no perfil do SSID. Você definirá um perfil AAA que faz referência ao seu servidor RADIUS e, em seguida, anexará esse perfil AAA ao seu perfil de AP virtual. O Aruba ClearPass Policy Manager merece uma menção específica aqui — é o mecanismo de RADIUS e políticas próprio da Aruba, e adiciona recursos significativos em termos de perfil de dispositivos, controle de acesso baseado em funções e integração de convidados. Se você estiver executando um ambiente misto com funcionários, prestadores de serviços e convidados, todos se conectando à mesma infraestrutura, o ClearPass oferece a granularidade de política para segmentá-los adequadamente. Para um hotel que implanta WPA2-Enterprise nas redes de funcionários e internas enquanto executa uma solução de WiFi de convidados separada por meio de uma plataforma como a Purple, a segmentação de SSID da Aruba combinada com o ClearPass para autenticação de funcionários é uma arquitetura muito limpa. Agora, a Ubiquiti. A plataforma UniFi da Ubiquiti ganhou força significativa no espaço de PMEs e no mercado intermediário — e cada vez mais em hotéis boutique e varejo — devido ao seu preço competitivo e interface de gerenciamento genuinamente capaz. O UniFi Network Controller é onde você fará o trabalho pesado. Para configurar o WPA2-Enterprise no UniFi, navegue até Settings, depois WiFi, crie ou edite seu SSID, defina a segurança como WPA2 Enterprise e configure seu perfil de RADIUS — novamente, endereço IP, porta de autenticação 1812, porta de accounting 1813 e segredo compartilhado. Uma consideração importante com a Ubiquiti: ela não vem com um servidor RADIUS integrado da mesma forma que algumas plataformas corporativas. Você precisará de um servidor RADIUS externo — seja o Windows Server NPS, FreeRADIUS ou um serviço de RADIUS na nuvem. Isso não é uma limitação por si só, mas é uma dependência que precisa ser planejada. Para implantações menores, o UniFi Network Application inclui um servidor RADIUS básico, mas para ambientes de produção eu sempre recomendaria uma instância de RADIUS dedicada. Em todas as três plataformas, a seleção do método EAP merece atenção. O PEAP com MSCHAPv2 é o método mais amplamente implantado porque funciona com credenciais do Active Directory sem exigir certificados no lado do cliente. O EAP-TLS é mais seguro — usa autenticação mútua por certificado — mas exige uma infraestrutura de PKI e implantação de certificados em cada dispositivo cliente, o que adiciona sobrecarga operacional. Para a maioria das implantações corporativas, o PEAP-MSCHAPv2 com um servidor RADIUS configurado corretamente e validação de certificado no lado do cliente é o equilíbrio certo entre segurança e capacidade de gerenciamento operacional. [RECOMENDAÇÕES DE IMPLANTAÇÃO E ARMADILHAS — aproximadamente 2 minutos] Agora, deixe-me apresentar os três modos de falha mais comuns que vejo em implantações de WPA2-Enterprise e como evitá-los. Número um: disponibilidade do servidor RADIUS. Seu servidor RADIUS agora está no caminho crítico para cada autenticação sem fio. Se ele cair, ninguém conseguirá se conectar. Isso significa que você precisa de redundância de RADIUS — no mínimo, um servidor RADIUS primário e secundário configurado em cada access point. A maioria das plataformas suporta isso nativamente. Na Cisco, você pode configurar grupos de servidores RADIUS com failover. Na Aruba, o perfil AAA suporta múltiplos servidores RADIUS com valores configuráveis de repetição e tempo limite. No Ubiquiti, você pode especificar um servidor RADIUS secundário no perfil de RADIUS. Não pule esta etapa. Número dois: validação de certificado. Uma proporção assustadoramente alta de implantações que analiso tem dispositivos clientes configurados para aceitar qualquer certificado de servidor RADIUS. Isso compromete totalmente o modelo de segurança — abrindo margem para ataques de evil twin, onde um access point invasor se passa pela sua rede e coleta credenciais. Configure o certificado do seu servidor RADIUS a partir de uma CA confiável e configure seus supplicants clientes para validar esse certificado. No Windows, isso é feito por meio de Diretiva de Grupo. No iOS e Android, é gerenciado por meio de perfis de MDM. Isso é inegociável para qualquer ambiente que lide com dados confidenciais. Número três: atribuição de VLAN. O WPA2-Enterprise permite a atribuição dinâmica de VLAN — o servidor RADIUS pode retornar um atributo de VLAN na mensagem Access-Accept, colocando cada usuário autenticado no segmento de rede apropriado com base em sua identidade ou função. Este é um dos recursos mais poderosos da arquitetura 802.1X e frequentemente é deixado sem configuração. Se você gerencia um local com funcionários, gerência e dispositivos IoT na mesma infraestrutura física, a atribuição dinâmica de VLAN é como você aplica a segmentação de rede sem gerenciar múltiplos SSIDs. Do lado da integração com a Purple: se você estiver implantando o WPA2-Enterprise para suas redes corporativas e operacionais, e executando a plataforma de WiFi de convidados da Purple para conectividade de visitantes, esses dois sistemas coexistem perfeitamente. A Purple lida com a autenticação de convidados, captura de dados e camada de analytics — incluindo o WiFi analytics e inteligência de fluxo de visitantes que os operadores de locais usam para decisões operacionais — enquanto sua infraestrutura WPA2-Enterprise protege a rede corporativa. A chave é uma separação limpa de SSID e VLAN no nível do access point, o que as três plataformas suportam. [PERGUNTAS E RESPOSTAS RÁPIDAS — aproximadamente 1 minuto] Deixe-me passar por algumas perguntas que surgem regularmente. Posso executar o WPA2-Enterprise e uma rede de convidados nos mesmos access points? Sim, com certeza. Todas as três plataformas suportam múltiplos SSIDs por rádio, cada um com políticas de segurança independentes. Seu SSID corporativo executa o WPA2-Enterprise; seu SSID de convidados pode ser executado por meio do captive portal da Purple com o isolamento apropriado. Preciso substituir meus access points existentes para implantar o WPA2-Enterprise? Quase certamente não. O WPA2-Enterprise é suportado em access points de classe corporativa há mais de uma década. Se o seu hardware tiver menos de oito anos e estiver executando o firmware atual, ele suportará o 802.1X. Qual é a diferença entre WPA2-Enterprise e WPA3-Enterprise? O WPA3-Enterprise adiciona o modo de segurança de 192 bits usando criptografia Suite B, o que é relevante para ambientes governamentais e de defesa. Para a maioria das implantações comerciais, o WPA2-Enterprise com métodos EAP fortes continua sendo o padrão. Vale a pena planejar a transição para o WPA3 para novas implantações, mas não é uma migração urgente para a maioria das organizações. O RADIUS na nuvem é uma opção viável? Sim, e cada vez mais. Serviços como o Cisco ISE na nuvem, Aruba ClearPass como serviço ou opções de terceiros como JumpCloud e Foxpass fornecem RADIUS como um serviço gerenciado, o que elimina a sobrecarga de infraestrutura. Para propriedades distribuídas — pense em uma rede de varejo com 200 locais — o RADIUS na nuvem pode reduzir significativamente a complexidade operacional. [RESUMO E PRÓXIMOS PASSOS — aproximadamente 1 minuto] Para encerrar: o WPA2-Enterprise é a linha de base inegociável para qualquer implantação sem fio corporativa. O processo de configuração na Cisco, Aruba e Ubiquiti segue o mesmo padrão fundamental — definir seu servidor RADIUS, criar seu SSID com gerenciamento de chaves 802.1X, selecionar seu método EAP e testar antes de entrar em produção. As diferenças estão nas interfaces de gerenciamento e nas ferramentas do ecossistema em torno de cada plataforma. As três coisas que você precisa acertar: redundância de RADIUS, validação de certificado nos clientes e atribuição dinâmica de VLAN. Acerte essas três coisas e você terá uma postura de segurança sem fio sólida, em conformidade e auditável. Para os seus próximos passos: se você estiver avaliando plataformas, use a estrutura de comparação de fornecedores no guia complementar. Se estiver pronto para implantar, os passo a passos de configuração detalhados para cada plataforma estão na seção de implementação. E se você estiver pensando em como o WiFi de convidados se integra à sua rede corporativa, a documentação da plataforma Purple cobre a arquitetura de integração em detalhes. Obrigado por ouvir. Nos vemos no próximo informativo.