Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns (Cisco, Aruba, Ubiquiti)

Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns - Cisco, Aruba e Ubiquiti Um Briefing de Inteligência Purple WiFi [INTRO - aproximadamente 1 minuto] Bem-vindo à Série de Inteligência Purple WiFi. Sou o seu anfitrião e hoje vamos direto ao assunto num dos temas mais solicitados pelos nossos clientes empresariais: como configurar WPA2-Enterprise nas três plataformas de access point mais amplamente implementadas - Cisco, Aruba e Ubiquiti. Quer seja o diretor de TI de um grupo hoteleiro de 500 quartos, o arquiteto de rede de uma cadeia de retalho nacional ou o CTO de um operador de centros de conferências, este briefing é para si. Não vamos abordar a teoria apenas por abordar. Vamos analisar o que precisa de saber para tomar uma decisão de implementação, executá-la corretamente e evitar as armadilhas que baralham até as equipas experientes. Vamos a isso. [ANÁLISE TÉCNICA DETALHADA - aproximadamente 5 minutos] Primeiro, um rápido ponto de situação sobre o que é realmente o WPA2-Enterprise, porque ainda existe uma quantidade surpreendente de confusão no mercado entre WPA2-Personal e WPA2-Enterprise - e a distinção é extremamente importante para a conformidade e a postura de risco. O WPA2-Personal - a versão com que a maioria das pessoas está familiarizada - utiliza uma única chave pré-partilhada. Todos na rede utilizam a mesma palavra-passe. Isso é aceitável para uma rede doméstica. É categoricamente inaceitável para um ambiente empresarial onde necessita de autenticação por utilizador, registos de auditoria e a capacidade de revogar o acesso instantaneamente. O WPA2-Enterprise, definido sob a norma 802.1X, substitui essa chave partilhada por uma troca de autenticação individual. Cada utilizador ou dispositivo apresenta as suas próprias credenciais - quer seja um nome de utilizador e palavra-passe, um certificado digital ou um token - e essas credenciais são validadas por um servidor RADIUS antes de o acesso à rede ser concedido. O próprio access point nunca vê as credenciais. Funciona puramente como um autenticador, passando a troca EAP - Extensible Authentication Protocol - entre o cliente e o servidor RADIUS. Esta é uma arquitetura fundamentalmente mais segura e é o requisito básico para a conformidade com PCI-DSS em qualquer ambiente que lide com dados de cartões de pagamento, além de ser fortemente recomendada ao abrigo do GDPR para organizações que processam dados pessoais em redes sem fios. Agora, vamos falar sobre as três plataformas. Começando com a Cisco. O portefólio de WiFi empresarial da Cisco - principalmente as linhas Catalyst e Meraki - é a escolha habitual para implementações em grande escala. O Cisco DNA Center oferece uma gestão centralizada de políticas, e o dashboard Meraki proporciona simplicidade gerida na cloud para propriedades distribuídas. Para configurar WPA2-Enterprise num ponto de acesso Cisco Catalyst, irá trabalhar através do WLC - Wireless LAN Controller - ou do DNA Center. Os passos principais são: definir o seu servidor RADIUS em Security, depois AAA, e depois RADIUS Authentication Servers; criar um novo perfil de WLAN; definir a política de segurança para WPA2 com 802.1X como método de gestão de chaves; e associar o servidor RADIUS a essa WLAN. Um ponto crítico na Cisco: certifique-se de que está a configurar a monitorização (accounting) RADIUS, bem como a autenticação. A monitorização fornece-lhe o registo de auditoria por sessão que as normas de conformidade exigem. Na Meraki, o processo é ainda mais simples - navegue até Wireless, depois SSIDs, selecione o seu SSID de destino, defina a segurança para WPA2-Enterprise com "my RADIUS server", e introduza o IP do seu servidor RADIUS, a porta - tipicamente 1812 para autenticação e 1813 para monitorização - e o segredo partilhado. A Meraki também suporta testes RADIUS diretamente a partir do dashboard, o que é inestimável durante o comissionamento. Passando para a Aruba. A Aruba Networks, agora parte da HPE, é a escolha dominante na hotelaria e no ensino superior. O Aruba Central oferece gestão na cloud, e o ArubaOS é a plataforma subjacente. Na Aruba, a configuração WPA2-Enterprise reside dentro do perfil de SSID. Irá definir um perfil AAA que referencia o seu servidor RADIUS, e depois associar esse perfil AAA ao seu perfil de AP virtual. O ClearPass Policy Manager da Aruba merece uma menção específica aqui - é o motor de RADIUS e políticas próprio da Aruba, e adiciona uma capacidade significativa em termos de criação de perfis de dispositivos, controlo de acessos baseado em funções e integração de convidados. Se estiver a gerir um ambiente misto com funcionários, subcontratados e convidados a ligarem-se todos à mesma infraestrutura, o ClearPass oferece-lhe a granularidade de políticas para os segmentar adequadamente. Para um hotel que implemente WPA2-Enterprise nas redes de funcionários e de suporte (back-of-house), enquanto executa uma solução de WiFi para convidados separada através de uma plataforma como a Purple, a segmentação de SSID da Aruba combinada com o ClearPass para a autenticação de funcionários é uma arquitetura muito limpa. Agora a Ubiquiti. A plataforma UniFi da Ubiquiti tem ganho um mediatismo significativo no espaço de PME e médio mercado - e cada vez mais na hotelaria boutique e retalho - devido ao seu preço competitivo e a uma interface de gestão genuinamente capaz. O UniFi Network Controller é onde fará o trabalho mais pesado. Para configurar WPA2-Enterprise no UniFi, navegue até Definições, depois WiFi, crie ou edite o seu SSID, defina a segurança para WPA2 Enterprise e configure o seu perfil RADIUS - mais uma vez, endereço IP, porta de autenticação 1812, porta de accounting 1813 e segredo partilhado. Uma consideração importante com a Ubiquiti: não inclui um servidor RADIUS integrado da mesma forma que algumas plataformas empresariais fazem. Precisará de um servidor RADIUS externo - quer seja o Windows Server NPS, FreeRADIUS ou um serviço de cloud RADIUS. Isto não é uma limitação em si, mas é uma dependência que precisa de ser planeada. Para implementações mais pequenas, a UniFi Network Application inclui um servidor RADIUS básico, mas para ambientes de produção eu recomendaria sempre uma instância RADIUS dedicada. Em todas as três plataformas, a seleção do método EAP merece atenção. O PEAP com MSCHAPv2 é o método mais amplamente implementado porque funciona com credenciais do Active Directory sem exigir certificados do lado do cliente. O EAP-TLS é mais seguro - utiliza autenticação mútua por certificado - mas requer uma infraestrutura PKI e a implementação de certificados em cada dispositivo cliente, o que adiciona custos operacionais. Para a maioria das implementações empresariais, o PEAP-MSCHAPv2 com um servidor RADIUS corretamente configurado e validação de certificado do lado do cliente é o equilíbrio certo entre segurança e facilidade de gestão operacional. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS - aproximadamente 2 minutos] Agora deixe-me dar-lhe os três modos de falha mais comuns que vejo nas implementações WPA2-Enterprise, e como evitá-los. Número um: disponibilidade do servidor RADIUS. O seu servidor RADIUS está agora no caminho crítico para cada autenticação sem fios. Se ele falhar, ninguém se consegue ligar. Isto significa que precisa de redundância RADIUS - no mínimo um servidor RADIUS primário e secundário configurado em cada ponto de acesso. A maioria das plataformas suporta isto nativamente. Na Cisco, pode configurar grupos de servidores RADIUS com failover. Na Aruba, o perfil AAA suporta múltiplos servidores RADIUS com valores configuráveis de tentativa e tempo limite. Na Ubiquiti, pode especificar um servidor RADIUS secundário no perfil RADIUS. Não salte este passo. Número dois: validação de certificados. Uma proporção surpreendentemente alta de implementações que analiso tem dispositivos cliente configurados para aceitar qualquer certificado de servidor RADIUS. Isto mina completamente o modelo de segurança - abre as portas a ataques do tipo "evil twin", onde um ponto de acesso malicioso se faz passar pela sua rede e recolhe credenciais. Configure o seu certificado de servidor RADIUS a partir de uma CA de confiança e configure os suplicantes do cliente para validarem esse certificado. Em Windows, isto é feito através de Política de Grupo. Em iOS e Android, é gerido através de perfis de MDM. Isto é inegociável para qualquer ambiente que lide com dados sensíveis. Número três: atribuição de VLAN. O WPA2-Enterprise permite a atribuição dinâmica de VLAN - o servidor RADIUS pode retornar um atributo VLAN na mensagem Access-Accept, colocando cada utilizador autenticado no segmento de rede adequado com base na sua identidade ou função. Esta é uma das funcionalidades mais poderosas da arquitetura 802.1X, e é frequentemente deixada por configurar. Se gere um espaço com pessoal, administração e dispositivos IoT, todos na mesma infraestrutura física, a atribuição dinâmica de VLAN é a forma de impor a segmentação de rede sem gerir múltiplos SSIDs. Do lado da integração com a Purple: se está a implementar WPA2-Enterprise para o seu pessoal e redes operacionais, e a correr a plataforma de guest WiFi da Purple para a conectividade de visitantes, estes dois sistemas coexistem de forma limpa. A Purple lida com a autenticação de convidados, captura de dados e camada de analítica - incluindo a analítica de WiFi e inteligência de tráfego que os operadores do espaço utilizam para decisões operacionais - enquanto a sua infraestrutura WPA2-Enterprise protege a rede corporativa. A chave é uma separação limpa de SSID e VLAN ao nível do ponto de acesso, o que todas as três plataformas suportam. [P&R RÁPIDAS - aproximadamente 1 minuto] Deixe-me passar por algumas perguntas que surgem regularmente. Posso correr WPA2-Enterprise e uma rede de convidados nos mesmos pontos de acesso? Sim, absolutamente. Todas as três plataformas suportam múltiplos SSIDs por rádio, cada um com políticas de segurança independentes. O seu SSID corporativo corre WPA2-Enterprise; o seu SSID de convidados pode correr através do Captive Portal da Purple com o isolamento adequado. Preciso de substituir os meus pontos de acesso existentes para implementar WPA2-Enterprise? Quase de certeza que não. O WPA2-Enterprise é suportado em pontos de acesso de classe empresarial há bem mais de uma década. Se o seu hardware tem menos de oito anos e corre firmware atual, suportará 802.1X. Qual é a diferença entre WPA2-Enterprise e WPA3-Enterprise? O WPA3-Enterprise adiciona o modo de segurança de 192 bits utilizando criptografia Suite B, que é relevante para ambientes governamentais e de defesa. Para a maioria das implementações comerciais, o WPA2-Enterprise com métodos EAP robustos continua a ser o padrão. Vale a pena planear a transição para WPA3 para novas implementações, mas não é uma migração urgente para a maioria das organizações. O RADIUS na nuvem é uma opção viável? Sim, e cada vez mais. Serviços como o Cisco ISE na nuvem, o Aruba ClearPass como serviço, ou opções de terceiros como o JumpCloud e o Foxpass fornecem RADIUS como um serviço gerido (RADIUS-as-a-Service), o que elimina a sobrecarga de infraestrutura. Para instalações distribuídas - pense numa cadeia de retalho com 200 localizações - o RADIUS na nuvem pode reduzir significativamente a complexidade operacional. [RESUMO E PRÓXIMOS PASSOS — aproximadamente 1 minuto] Para concluir: o WPA2-Enterprise é a base não negociável para qualquer implementação de rede sem fios empresarial. O processo de configuração no Cisco, Aruba e Ubiquiti segue o mesmo padrão fundamental - definir o seu servidor RADIUS, criar o seu SSID com gestão de chaves 802.1X, selecionar o seu método EAP e testar antes de entrar em produção. As diferenças residem nas interfaces de gestão e nas ferramentas do ecossistema de cada plataforma. As três coisas a acertar: redundância RADIUS, validação de certificados nos clientes e atribuição dinâmica de VLAN. Acerte nestas três e terá uma postura de segurança sem fios sólida, em conformidade e auditável. Para os seus próximos passos: se estiver a avaliar plataformas, utilize a estrutura de comparação de fornecedores no guia em anexo. Se estiver pronto para implementar, os guias passo a passo de configuração para cada plataforma estão na secção de implementação. E se estiver a pensar em como o WiFi de convidados se integra na sua rede empresarial, a documentação da plataforma Purple abrange a arquitetura de integração em detalhe. Obrigado por ouvir. Vemo-nos no próximo briefing.