Como configurar WPA2-Enterprise em plataformas comuns de Access Point (Cisco, Aruba, Ubiquiti)

Como configurar WPA2-Enterprise em plataformas comuns de Access Point — Cisco, Aruba e Ubiquiti Um Informativo de Inteligência da Purple WiFi [INTRO — aproximadamente 1 minuto] Bem-vindo à Série de Inteligência da Purple WiFi. Sou o seu anfitrião e hoje vamos direto ao ponto em um dos tópicos mais solicitados pelos nossos clientes corporativos: como configurar o WPA2-Enterprise nas três plataformas de access point mais implantadas — Cisco, Aruba e Ubiquiti. Seja você o diretor de TI de um grupo hoteleiro de 500 quartos, o arquiteto de rede de uma rede varejista nacional ou o CTO de uma operadora de centro de convenções, este informativo é para você. Não vamos abordar a teoria pela teoria. Vamos detalhar o que você precisa saber para tomar uma decisão de implantação, executá-la corretamente e evitar as armadilhas que atrapalham até mesmo equipes experientes. Vamos começar. [MERGULHO TÉCNICO PROFUNDO — aproximadamente 5 minutos] Primeiro, um rápido alinhamento sobre o que realmente é o WPA2-Enterprise, porque ainda há uma quantidade surpreendente de confusão no mercado entre WPA2-Personal e WPA2-Enterprise — e a distinção importa enormemente para a conformidade e a postura de risco. O WPA2-Personal — a versão com a qual a maioria das pessoas está familiarizada — usa uma única chave pré-compartilhada. Todos na rede usam a mesma senha. Isso é adequado para uma rede doméstica. É categoricamente inaceitável para um ambiente de negócios onde você precisa de autenticação por usuário, trilhas de auditoria e a capacidade de revogar o acesso instantaneamente. O WPA2-Enterprise, definido sob o padrão IEEE 802.1X, substitui essa chave compartilhada por uma troca de autenticação individual. Cada usuário ou dispositivo apresenta suas próprias credenciais — seja um nome de usuário e senha, um certificado digital ou um token — e essas credenciais são validadas por um servidor RADIUS antes que o acesso à rede seja concedido. O access point em si nunca vê as credenciais. Ele atua puramente como um autenticador, passando a troca EAP — Extensible Authentication Protocol — entre o cliente e o servidor RADIUS. Esta é uma arquitetura fundamentalmente mais segura e é o requisito básico para a conformidade com o PCI-DSS em qualquer ambiente que lide com dados de cartões de pagamento, além de ser fortemente recomendada sob a GDPR para organizações que processam dados pessoais em redes sem fio. Agora, vamos falar sobre as três plataformas. Começando com a Cisco. O portfólio de WiFi corporativo da Cisco - principalmente as linhas Catalyst e Meraki - é a escolha padrão para implantações de grande escala. O Cisco DNA Center oferece gerenciamento centralizado de políticas, e o painel Meraki oferece simplicidade gerenciada em nuvem para propriedades distribuídas. Para configurar WPA2-Enterprise em um ponto de acesso Cisco Catalyst, você trabalhará por meio do WLC - Wireless LAN Controller - ou do DNA Center. As etapas principais são: definir seu servidor RADIUS em Security, depois AAA, depois RADIUS Authentication Servers; criar um novo perfil de WLAN; definir a política de segurança como WPA2 com 802.1X como o método de gerenciamento de chaves; e vincular o servidor RADIUS a essa WLAN. Um ponto crítico na Cisco: certifique-se de configurar a contabilização RADIUS, bem como a autenticação. A contabilização fornece a trilha de auditoria por sessão que as estruturas de conformidade exigem. Na Meraki, o processo é ainda mais simples - navegue até Wireless, depois SSIDs, selecione seu SSID de destino, defina a segurança como WPA2-Enterprise com meu servidor RADIUS e insira o IP do seu servidor RADIUS, porta - normalmente 1812 para autenticação e 1813 para contabilização - e a chave secreta compartilhada. A Meraki também oferece suporte a testes de RADIUS diretamente do painel, o que é inestimável durante o comissionamento. Passando para a Aruba. A Aruba Networks, agora parte da HPE, é a escolha dominante em hotelaria e ensino superior. O Aruba Central oferece gerenciamento em nuvem, e o ArubaOS é a plataforma subjacente. Na Aruba, a configuração WPA2-Enterprise reside no perfil do SSID. Você definirá um perfil AAA que faz referência ao seu servidor RADIUS e, em seguida, anexará esse perfil AAA ao seu perfil de AP virtual. O ClearPass Policy Manager da Aruba merece uma menção específica aqui - é o mecanismo de políticas e RADIUS próprio da Aruba, e adiciona capacidade significativa em termos de perfil de dispositivos, controle de acesso baseado em funções e integração de convidados. Se você estiver executando um ambiente misto com funcionários, contratados e convidados, todos se conectando à mesma infraestrutura, o ClearPass oferece a granularidade de políticas para segmentá-los adequadamente. Para um hotel que implanta WPA2-Enterprise em redes de funcionários e de retaguarda enquanto executa uma solução separada de WiFi para convidados por meio de uma plataforma como a Purple, a segmentação de SSID da Aruba combinada com o ClearPass para autenticação de funcionários é uma arquitetura muito limpa. Agora a Ubiquiti. A plataforma UniFi da Ubiquiti ganhou uma tração significativa no mercado de pequenas e médias empresas e no mercado médio - e cada vez mais no setor de hotelaria boutique e varejo - devido ao seu preço competitivo e à sua interface de gerenciamento genuinamente capaz. O UniFi Network Controller é onde você fará o trabalho pesado. Para configurar WPA2-Enterprise no UniFi, navegue até Configurações, depois WiFi, crie ou edite seu SSID, defina a segurança como WPA2 Enterprise e configure seu perfil RADIUS - novamente, endereço IP, porta de autenticação 1812, porta de tarifação 1813 e segredo compartilhado. Uma consideração importante com a Ubiquiti: ela não vem com um servidor RADIUS integrado da mesma forma que algumas plataformas corporativas. Você precisará de um servidor RADIUS externo - seja o Windows Server NPS, FreeRADIUS ou um serviço de RADIUS em nuvem. Isso não é uma limitação em si, mas é uma dependência que precisa ser planejada. Para implantações menores, o UniFi Network Application inclui um servidor RADIUS básico, mas para ambientes de produção eu sempre recomendaria uma instância RADIUS dedicada. Em todas as três plataformas, a seleção do método EAP merece atenção. O PEAP com MSCHAPv2 é o método mais amplamente implantado porque funciona com credenciais do Active Directory sem exigir certificados do lado do cliente. O EAP-TLS é mais seguro - ele usa autenticação mútua de certificados - mas exige uma infraestrutura de PKI e implantação de certificados em cada dispositivo cliente, o que adiciona sobrecarga operacional. Para a maioria das implantações corporativas, o PEAP-MSCHAPv2 com um servidor RADIUS configurado corretamente e validação de certificado no lado do cliente é o equilíbrio certo entre segurança e capacidade de gerenciamento operacional. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aproximadamente 2 minutos] Agora deixe-me apresentar os três modos de falha mais comuns que vejo em implantações de WPA2-Enterprise e como evitá-los. Número um: disponibilidade do servidor RADIUS. Seu servidor RADIUS agora está no caminho crítico para cada autenticação sem fio. Se ele cair, ninguém conseguirá se conectar. Isso significa que você precisa de redundância de RADIUS - no mínimo um servidor RADIUS primário e secundário configurado em cada ponto de acesso. A maioria das plataformas suporta isso nativamente. No Cisco, você pode configurar grupos de servidores RADIUS com failover. No Aruba, o perfil AAA suporta múltiplos servidores RADIUS com valores configuráveis de repetição e tempo limite. No Ubiquiti, você pode especificar um servidor RADIUS secundário no perfil RADIUS. Não pule esta etapa. Número dois: validação de certificado. Uma proporção assustadoramente alta de implantações que analiso tem dispositivos de cliente configurados para aceitar qualquer certificado de servidor RADIUS. Isso prejudica completamente o modelo de segurança - abre as portas para ataques de evil twin (gêmeo maligno), onde um ponto de acesso invasor se passa pela sua rede e coleta credenciais. Configure o certificado do seu servidor RADIUS a partir de uma CA confiável e configure os suplicantes do cliente para validar esse certificado. No Windows, isso é feito por meio de Diretiva de Grupo. No iOS e Android, é gerenciado por meio de perfis de MDM. Isso é inegociável para qualquer ambiente que lide com dados confidenciais. Número três: atribuição de VLAN. O WPA2-Enterprise permite a atribuição dinâmica de VLAN - o servidor RADIUS pode retornar um atributo de VLAN na mensagem Access-Accept, colocando cada usuário autenticado no segmento de rede apropriado com base em sua identidade ou função. Esse é um dos recursos mais poderosos da arquitetura 802.1X e frequentemente não é configurado. Se você estiver gerenciando um local com funcionários, gerência e dispositivos IoT, todos na mesma infraestrutura física, a atribuição dinâmica de VLAN é como você impõe a segmentação de rede sem gerenciar múltiplos SSIDs. Do lado da integração com a Purple: se você estiver implantando WPA2-Enterprise para seus funcionários e redes operacionais, e executando a plataforma de guest WiFi da Purple para conectividade de visitantes, esses dois sistemas coexistem perfeitamente. A Purple lida com a autenticação de convidados, captura de dados e camada de análise - incluindo a análise de WiFi e inteligência de fluxo de pessoas que os operadores de locais usam para decisões operacionais - enquanto sua infraestrutura WPA2-Enterprise protege a rede corporativa. A chave é uma separação limpa de SSID e VLAN no nível do ponto de acesso, o que todas as três plataformas suportam. [PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto] Deixe-me passar por algumas perguntas que surgem regularmente. Posso executar WPA2-Enterprise e uma rede de convidados nos mesmos pontos de acesso? Sim, absolutamente. Todas as três plataformas suportam múltiplos SSIDs por rádio, cada uma com políticas de segurança independentes. Seu SSID corporativo executa WPA2-Enterprise; seu SSID de convidado pode ser executado através do Captive Portal da Purple com o isolamento apropriado. Preciso substituir meus pontos de acesso existentes para implantar WPA2-Enterprise? Quase certamente não. O WPA2-Enterprise é compatível com pontos de acesso de nível corporativo há mais de uma década. Se o seu hardware tiver menos de oito anos e estiver executando o firmware atual, ele suportará 802.1X. Qual é a diferença entre WPA2-Enterprise e WPA3-Enterprise? O WPA3-Enterprise adiciona o modo de segurança de 192 bits usando a criptografia Suite B, relevante para ambientes governamentais e de defesa. Para a maioria das implantações comerciais, o WPA2-Enterprise com métodos EAP fortes continua sendo o padrão. Vale a pena planejar a transição para o WPA3 para novas implantações, mas não é uma migração urgente para a maioria das organizações. O RADIUS em nuvem é uma opção viável? Sim, e cada vez mais. Serviços como Cisco ISE na nuvem, Aruba ClearPass como serviço ou opções de terceiros como JumpCloud e Foxpass fornecem RADIUS como um serviço gerenciado, o que elimina a sobrecarga de infraestrutura. Para propriedades distribuídas - pense em uma rede de varejo com 200 locais - o RADIUS em nuvem pode reduzir significativamente a complexidade operacional. [RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto] Para encerrar: WPA2-Enterprise é a linha de base inegociável para qualquer implantação corporativa de rede sem fio. O processo de configuração na Cisco, Aruba e Ubiquiti segue o mesmo padrão fundamental - definir seu servidor RADIUS, criar seu SSID com gerenciamento de chaves 802.1X, selecionar seu método EAP e testar antes de entrar no ar. As diferenças estão nas interfaces de gerenciamento e nas ferramentas de ecossistema em torno de cada plataforma. As três coisas para acertar: redundância RADIUS, validação de certificado em clientes e atribuição dinâmica de VLAN. Acerte essas três e você terá uma postura de segurança de rede sem fio sólida, em conformidade e auditável. Para seus próximos passos: se você estiver avaliando plataformas, use a estrutura de comparação de fornecedores no guia que acompanha. Se você estiver pronto para implantar, os tutoriais de configuração passo a passo para cada plataforma estão na seção de implementação. E se você estiver pensando em como o WiFi de visitantes se encaixa ao lado de sua rede corporativa, a documentação da plataforma Purple cobre a arquitetura de integração em detalhes. Obrigado por ouvir. Vejo você no próximo briefing.