Como Configurar WPA2-Enterprise em Plataformas Comuns de Access Points (Cisco, Aruba, Ubiquiti)

Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns - Cisco, Aruba, e Ubiquiti Um Briefing de Inteligência Purple WiFi [INTRO - aproximadamente 1 minuto] Bem-vindo à Série de Inteligência Purple WiFi. Sou o vosso anfitrião e hoje vamos direto ao assunto num dos temas mais solicitados pelos nossos clientes empresariais: como configurar WPA2-Enterprise nas três plataformas de access point mais amplamente implementadas - Cisco, Aruba, e Ubiquiti. Quer seja o diretor de TI de um grupo hoteleiro com 500 quartos, o arquiteto de rede de uma cadeia de retalho nacional ou o CTO de um operador de centros de conferências, este briefing é para si. Não vamos abordar a teoria apenas por abordar. Vamos analisar o que precisa de saber para tomar uma decisão de implementação, executá-la corretamente e evitar os erros comuns que prejudicam até as equipas mais experientes. Vamos a isso. [ANÁLISE TÉCNICA DETALHADA - aproximadamente 5 minutos] Primeiro, um rápido alinhamento sobre o que é realmente o WPA2-Enterprise, porque ainda existe uma quantidade surpreendente de confusão no mercado entre WPA2-Personal e WPA2-Enterprise - e a distinção é extremamente importante para a conformidade e a postura de risco. O WPA2-Personal - a versão com que a maioria das pessoas está familiarizada - utiliza uma única chave pré-partilhada. Todos na rede utilizam a mesma palavra-passe. Isso é aceitável para uma rede doméstica. É categoricamente inaceitável para um ambiente empresarial onde necessita de autenticação por utilizador, registos de auditoria e capacidade de revogar o acesso instantaneamente. O WPA2-Enterprise, definido sob a norma IEEE 802.1X, substitui essa chave partilhada por uma troca de autenticação individual. Cada utilizador ou dispositivo apresenta as suas próprias credenciais - quer seja um nome de utilizador e palavra-passe, um certificado digital ou um token - e essas credenciais são validadas por um servidor RADIUS antes de o acesso à rede ser concedido. O próprio access point nunca vê as credenciais. Atua puramente como um autenticador, transmitindo a troca EAP - Extensible Authentication Protocol - entre o cliente e o servidor RADIUS. Esta é uma arquitetura fundamentalmente mais segura e é o requisito básico para a conformidade PCI-DSS em qualquer ambiente que lide com dados de cartões de pagamento, sendo também fortemente recomendada ao abrigo do GDPR para organizações que processam dados pessoais em redes sem fios. Agora, vamos falar sobre as três plataformas. Começando com a Cisco. O portefólio de WiFi empresarial da Cisco - principalmente as gamas Catalyst e Meraki - é a escolha habitual para implementações em larga escala. O Cisco DNA Center fornece gestão centralizada de políticas, e o painel Meraki oferece simplicidade gerida na nuvem para infraestruturas distribuídas. Para configurar WPA2-Enterprise num ponto de acesso Cisco Catalyst, trabalhará através do WLC - Wireless LAN Controller - ou DNA Center. Os passos principais são: definir o seu servidor RADIUS em Security, depois AAA, e depois RADIUS Authentication Servers; criar um novo perfil WLAN; definir a política de segurança para WPA2 com 802.1X como método de gestão de chaves; e associar o servidor RADIUS a essa WLAN. Um ponto crítico na Cisco: certifique-se de que configura a monitorização RADIUS (accounting), bem como a autenticação. A monitorização fornece o registo de auditoria por sessão que as normas de conformidade exigem. Na Meraki, o processo é ainda mais simples - navegue até Wireless, depois SSIDs, selecione o seu SSID de destino, defina a segurança para WPA2-Enterprise com o meu servidor RADIUS, e introduza o IP do seu servidor RADIUS, a porta - normalmente 1812 para autenticação e 1813 para monitorização - e o segredo partilhado. A Meraki também suporta testes RADIUS diretamente a partir do painel, o que é inestimável durante a colocação em funcionamento. Passando para a Aruba. A Aruba Networks, agora parte da HPE, é a escolha dominante na hotelaria e no ensino superior. O Aruba Central fornece gestão na nuvem, e o ArubaOS é a plataforma subjacente. Na Aruba, a configuração WPA2-Enterprise reside no perfil de SSID. Irá definir um perfil AAA que referencia o seu servidor RADIUS e, em seguida, associar esse perfil AAA ao seu perfil de AP virtual. O Aruba ClearPass Policy Manager merece uma menção específica aqui - é o motor de políticas e RADIUS próprio da Aruba, e adiciona uma capacidade significativa em termos de criação de perfis de dispositivos, controlo de acessos baseado em funções e integração de convidados. Se estiver a gerir um ambiente misto com funcionários, subcontratados e convidados, todos a ligarem-se à mesma infraestrutura, o ClearPass oferece-lhe a granularidade de políticas necessária para os segmentar adequadamente. Para um hotel que implemente WPA2-Enterprise nas redes de funcionários e de suporte administrativo (back-of-house), enquanto gere uma solução separada de WiFi para convidados através de uma plataforma como a Purple, a segmentação de SSID da Aruba combinada com o ClearPass para autenticação de funcionários constitui uma arquitetura muito limpa. Agora a Ubiquiti. A plataforma UniFi da Ubiquiti ganhou uma tração significativa no mercado das PME e no mercado médio - e cada vez mais na hotelaria de charme e no retalho - devido ao seu preço competitivo e a uma interface de gestão genuinamente capaz. O UniFi Network Controller é onde fará o trabalho mais pesado. Para configurar WPA2-Enterprise no UniFi, navegue até Definições, depois WiFi, crie ou edite o seu SSID, defina a segurança para WPA2 Enterprise e configure o seu perfil RADIUS - novamente, endereço IP, porta de autenticação 1812, porta de accounting 1813 e segredo partilhado. Uma consideração importante com a Ubiquiti: não inclui um servidor RADIUS integrado da mesma forma que algumas plataformas empresariais fazem. Precisará de um servidor RADIUS externo - quer seja o Windows Server NPS, o FreeRADIUS ou um serviço de RADIUS na nuvem. Isto não é uma limitação em si, mas é uma dependência que precisa de ser planeada. Para implementações mais pequenas, a UniFi Network Application inclui um servidor RADIUS básico, mas para ambientes de produção eu recomendaria sempre uma instância RADIUS dedicada. Em todas as três plataformas, a seleção do método EAP merece atenção. O PEAP com MSCHAPv2 é o método mais amplamente implementado porque funciona com credenciais do Active Directory sem exigir certificados do lado do cliente. O EAP-TLS é mais seguro - utiliza autenticação mútua por certificado - mas exige uma infraestrutura PKI e a implementação de certificados em cada dispositivo cliente, o que acrescenta custos operacionais. Para a maioria das implementações empresariais, o PEAP-MSCHAPv2 com um servidor RADIUS devidamente configurado e validação de certificado no lado do cliente é o equilíbrio certo entre segurança e facilidade de gestão operacional. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aproximadamente 2 minutos] Deixe-me agora apresentar-lhe os três modos de falha mais comuns que vejo em implementações WPA2-Enterprise e como evitá-los. Número um: disponibilidade do servidor RADIUS. O seu servidor RADIUS está agora no caminho crítico de cada autenticação sem fios. Se ele falhar, ninguém se consegue ligar. Isto significa que precisa de redundância RADIUS - no mínimo um servidor RADIUS primário e secundário configurado em cada ponto de acesso. A maioria das plataformas suporta isto nativamente. Na Cisco, pode configurar grupos de servidores RADIUS com failover. Na Aruba, o perfil AAA suporta múltiplos servidores RADIUS com valores de repetição e limite de tempo configuráveis. Na Ubiquiti, pode especificar um servidor RADIUS secundário no perfil RADIUS. Não salte este passo. Número dois: validação de certificados. Uma proporção surpreendentemente alta de implementações que analiso tem dispositivos cliente configurados para aceitar qualquer certificado de servidor RADIUS. Isto compromete totalmente o modelo de segurança - abre as portas a ataques de "evil twin", onde um ponto de acesso malicioso se faz passar pela sua rede e recolhe credenciais. Configure o certificado do seu servidor RADIUS a partir de uma CA de confiança e configure os suplicantes do cliente para validarem esse certificado. Em Windows, isto é feito através de Política de Grupo. Em iOS e Android, é gerido através de perfis MDM. Isto é inegociável para qualquer ambiente que lide com dados sensíveis. Número três: atribuição de VLAN. O WPA2-Enterprise permite a atribuição dinâmica de VLAN - o servidor RADIUS pode retornar um atributo VLAN na mensagem Access-Accept, colocando cada utilizador autenticado no segmento de rede adequado com base na sua identidade ou função. Esta é uma das funcionalidades mais poderosas da arquitetura 802.1X, e é frequentemente deixada sem configuração. Se gere um espaço com funcionários, administração e dispositivos IoT na mesma infraestrutura física, a atribuição dinâmica de VLAN é a forma de impor a segmentação de rede sem gerir múltiplos SSIDs. Do lado da integração com a Purple: se está a implementar WPA2-Enterprise para os seus funcionários e redes operacionais, e a executar a plataforma de guest WiFi da Purple para a conectividade de visitantes, estes dois sistemas coexistem perfeitamente. A Purple gere a autenticação de convidados, captura de dados e a camada de analítica - incluindo a WiFi analytics e dados de afluência que os operadores do espaço utilizam para decisões operacionais - enquanto a sua infraestrutura WPA2-Enterprise protege a rede corporativa. A chave é uma separação limpa de SSID e VLAN ao nível do ponto de acesso, algo que as três plataformas suportam. [PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto] Deixe-me abordar algumas perguntas que surgem regularmente. Posso executar WPA2-Enterprise e uma rede de convidados nos mesmos pontos de acesso? Sim, absolutamente. As três plataformas suportam múltiplos SSIDs por rádio, cada um com políticas de segurança independentes. O seu SSID corporativo executa WPA2-Enterprise; o seu SSID de convidados pode funcionar através do Captive Portal da Purple com o isolamento adequado. Preciso de substituir os meus pontos de acesso existentes para implementar WPA2-Enterprise? Quase de certeza que não. O WPA2-Enterprise é suportado em pontos de acesso de classe empresarial há mais de uma década. Se o seu hardware tiver menos de oito anos e estiver a executar o firmware atual, irá suportar 802.1X. Qual é a diferença entre WPA2-Enterprise e WPA3-Enterprise? O WPA3-Enterprise adiciona um modo de segurança de 192 bits utilizando criptografia Suite B, o que é relevante para ambientes governamentais e de defesa. Para a maioria das implementações comerciais, o WPA2-Enterprise com métodos EAP robustos continua a ser o padrão. Vale a pena planear a transição para WPA3 para novas implementações, mas não é uma migração urgente para a maioria das organizações. O RADIUS na nuvem é uma opção viável? Sim, e cada vez mais. Serviços como o Cisco ISE na nuvem, Aruba ClearPass como serviço, ou opções de terceiros como o JumpCloud e Foxpass fornecem RADIUS como um serviço gerido, o que elimina a sobrecarga de infraestrutura. Para patrimónios distribuídos - pense numa cadeia de retalho com 200 locais - o RADIUS na nuvem pode reduzir significativamente a complexidade operacional. [RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto] Para resumir: o WPA2-Enterprise é a base não negociável para qualquer implementação sem fios empresarial. O processo de configuração na Cisco, Aruba e Ubiquiti segue o mesmo padrão fundamental - definir o seu servidor RADIUS, criar o seu SSID com gestão de chaves 802.1X, selecionar o seu método EAP e testar antes de entrar em produção. As diferenças residem nas interfaces de gestão e nas ferramentas do ecossistema em torno de cada plataforma. As três coisas a acertar: redundância RADIUS, validação de certificados nos clientes e atribuição dinâmica de VLAN. Acerte nestas três e terá uma postura de segurança sem fios sólida, em conformidade e auditável. Para os seus próximos passos: se estiver a avaliar plataformas, utilize a estrutura de comparação de fornecedores no guia que acompanha este documento. Se estiver pronto para implementar, os tutoriais de configuração passo a passo para cada plataforma encontram-se na secção de implementação. E se estiver a pensar em como o WiFi de convidados se enquadra ao lado da sua rede empresarial, a documentação da plataforma Purple aborda detalhadamente a arquitetura de integração. Obrigado por ouvir. Vemo-nos no próximo briefing.