Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns (Cisco, Aruba, Ubiquiti)

Como Configurar WPA2-Enterprise em Plataformas de Access Point Comuns — Cisco, Aruba e Ubiquiti Um Briefing de Informação da Purple WiFi [INTRO — aproximadamente 1 minuto] Bem-vindo à Série de Informação da Purple WiFi. Eu sou o seu anfitrião e hoje vamos directos ao assunto num dos tópicos mais solicitados pelos nossos clientes empresariais: como configurar WPA2-Enterprise nas três plataformas de access point mais amplamente implementadas — Cisco, Aruba e Ubiquiti. Quer seja o director de TI de um grupo hoteleiro de 500 quartos, o arquitecto de rede de uma cadeia de retalho nacional ou o CTO de um operador de centros de conferências, este briefing é para si. Não vamos abordar a teoria apenas por abordar. Vamos analisar o que precisa de saber para tomar uma decisão de implementação, executá-la correctamente e evitar as armadilhas que afectam até as equipas mais experientes. Vamos a isso. [ANÁLISE TÉCNICA DETALHADA — aproximadamente 5 minutos] Primeiro, um rápido alinhamento sobre o que é realmente o WPA2-Enterprise, porque ainda existe uma quantidade surpreendente de confusão no mercado entre o WPA2-Personal e o WPA2-Enterprise — e a distinção é extremamente importante para a conformidade e a postura de risco. O WPA2-Personal — a versão com que a maioria das pessoas está familiarizada — utiliza uma única chave pré-partilhada. Todos na rede utilizam a mesma palavra-passe. Isso é aceitável para uma rede doméstica. É categoricamente inaceitável para um ambiente empresarial onde necessita de autenticação por utilizador, registos de auditoria e a capacidade de revogar o acesso instantaneamente. O WPA2-Enterprise, definido sob a norma IEEE 802.1X, substitui essa chave partilhada por uma troca de autenticação individual. Cada utilizador ou dispositivo apresenta as suas próprias credenciais — seja um nome de utilizador e palavra-passe, um certificado digital ou um token — e essas credenciais são validadas por um servidor RADIUS antes de ser concedido o acesso à rede. O próprio access point nunca vê as credenciais. Actua puramente como um autenticador, transmitindo a troca EAP — Extensible Authentication Protocol — entre o cliente e o servidor RADIUS. Esta é uma arquitectura fundamentalmente mais segura e é o requisito de base para a conformidade com o PCI DSS em qualquer ambiente que lide com dados de cartões de pagamento, além de ser fortemente recomendada ao abrigo do GDPR para organizações que processam dados pessoais através de redes sem fios. Agora, vamos falar sobre as três plataformas. Começando pela Cisco. O portefólio de WiFi empresarial da Cisco — principalmente as gamas Catalyst e Meraki — é a escolha de referência para implementações em grande escala. O Cisco DNA Center fornece uma gestão de políticas centralizada, e o painel da Meraki oferece a simplicidade da gestão na nuvem para propriedades distribuídas. Para configurar o WPA2-Enterprise num ponto de acesso Cisco Catalyst, irá trabalhar através do WLC — Wireless LAN Controller — ou do DNA Center. Os passos principais são: definir o seu servidor RADIUS em Security, depois AAA e, em seguida, RADIUS Authentication Servers; criar um novo perfil de WLAN; definir a política de segurança para WPA2 com 802.1X como método de gestão de chaves; e associar o servidor RADIUS a essa WLAN. Um ponto crítico na Cisco: certifique-se de que configura a monitorização (accounting) do RADIUS, bem como a autenticação. A monitorização fornece o registo de auditoria por sessão que os quadros de conformidade exigem. Na Meraki, o processo é ainda mais simples — navegue até Wireless, depois SSIDs, selecione o seu SSID de destino, defina a segurança para WPA2-Enterprise com o meu servidor RADIUS e introduza o IP do seu servidor RADIUS, a porta — normalmente 1812 para autenticação e 1813 para monitorização — e o segredo partilhado. A Meraki também suporta testes de RADIUS diretamente a partir do painel, o que é extremamente valioso durante a colocação em funcionamento. Passando para a Aruba. A Aruba Networks, agora parte da HPE, é a escolha dominante na hotelaria e no ensino superior. O Aruba Central fornece gestão na nuvem, e o ArubaOS é a plataforma subjacente. Na Aruba, a configuração do WPA2-Enterprise reside no perfil do SSID. Irá definir um perfil AAA que referencia o seu servidor RADIUS e, em seguida, associar esse perfil AAA ao seu perfil de AP virtual. O ClearPass Policy Manager da Aruba merece uma menção específica aqui — é o motor de políticas e RADIUS próprio da Aruba, e adiciona capacidades significativas em termos de criação de perfis de dispositivos, controlo de acessos baseado em funções e integração de convidados. Se estiver a gerir um ambiente misto com funcionários, prestadores de serviços e convidados, todos a ligarem-se à mesma infraestrutura, o ClearPass oferece-lhe a granularidade de políticas necessária para os segmentar adequadamente. Para um hotel que implemente WPA2-Enterprise nas redes de funcionários e de apoio ao cliente, enquanto executa uma solução de WiFi para convidados separada através de uma plataforma como a Purple, a segmentação de SSID da Aruba combinada com o ClearPass para autenticação de funcionários é uma arquitetura extremamente limpa. Agora a Ubiquiti. A plataforma UniFi da Ubiquiti tem ganho uma tração significativa no mercado das PMEs e de média dimensão — e cada vez mais na hotelaria de charme e no retalho — devido ao seu preço competitivo e a uma interface de gestão genuinamente capaz. O UniFi Network Controller é onde fará o trabalho mais pesado. Para configurar o WPA2-Enterprise no UniFi, navegue até Settings, depois WiFi, crie ou edite o seu SSID, defina a segurança para WPA2 Enterprise e configure o seu perfil RADIUS — novamente, endereço IP, porta de autenticação 1812, porta de accounting 1813 e segredo partilhado. Uma consideração importante com a Ubiquiti: não inclui um servidor RADIUS integrado da mesma forma que algumas plataformas empresariais fazem. Precisará de um servidor RADIUS externo — seja o Windows Server NPS, o FreeRADIUS ou um serviço de RADIUS na nuvem. Isto não é uma limitação em si, mas é uma dependência que precisa de ser planeada. Para implementações mais pequenas, a UniFi Network Application inclui um servidor RADIUS básico, mas para ambientes de produção recomendaria sempre uma instância RADIUS dedicada. Nas três plataformas, a seleção do método EAP merece atenção. O PEAP com MSCHAPv2 é o método mais amplamente implementado porque funciona com credenciais do Active Directory sem exigir certificados do lado do cliente. O EAP-TLS é mais seguro — utiliza autenticação mútua por certificado — mas requer uma infraestrutura PKI e a implementação de certificados em todos os dispositivos clientes, o que adiciona sobrecarga operacional. Para a maioria das implementações empresariais, o PEAP-MSCHAPv2 com um servidor RADIUS devidamente configurado e validação de certificado no lado do cliente é o equilíbrio certo entre segurança e capacidade de gestão operacional. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS — aproximadamente 2 minutos] Agora deixe-me apresentar-lhe os três modos de falha mais comuns que vejo em implementações WPA2-Enterprise, e como evitá-los. Número um: disponibilidade do servidor RADIUS. O seu servidor RADIUS está agora no caminho crítico para cada autenticação sem fios. Se ele falhar, ninguém se consegue ligar. Isto significa que precisa de redundância RADIUS — no mínimo, um servidor RADIUS primário e secundário configurado em cada ponto de acesso. A maioria das plataformas suporta isto nativamente. Na Cisco, pode configurar grupos de servidores RADIUS com failover. Na Aruba, o perfil AAA suporta múltiplos servidores RADIUS com valores configuráveis de repetição e tempo limite. Na Ubiquiti, pode especificar um servidor RADIUS secundário no perfil RADIUS. Não salte este passo. Número dois: validação de certificados. Uma proporção surpreendentemente elevada de implementações que analiso tem os dispositivos dos clientes configurados para aceitar qualquer certificado de servidor RADIUS. Isto compromete totalmente o modelo de segurança — expõe a sua rede a ataques de "evil twin", onde um ponto de acesso malicioso se faz passar pela sua rede e recolhe credenciais. Configure o certificado do seu servidor RADIUS a partir de uma CA fidedigna e configure os suplicantes dos clientes para validarem esse certificado. No Windows, isto é feito através de Política de Grupo. No iOS e Android, é gerido através de perfis de MDM. Isto é inegociável para qualquer ambiente que lide com dados sensíveis. Número três: atribuição de VLAN. O WPA2-Enterprise permite a atribuição dinâmica de VLAN — o servidor RADIUS pode devolver um atributo de VLAN na mensagem Access-Accept, colocando cada utilizador autenticado no segmento de rede adequado com base na sua identidade ou função. Esta é uma das funcionalidades mais poderosas da arquitetura 802.1X e é frequentemente deixada sem configuração. Se gere um espaço com funcionários, equipa de gestão e dispositivos IoT, todos na mesma infraestrutura física, a atribuição dinâmica de VLAN é a forma de impor a segmentação de rede sem gerir múltiplos SSIDs. Do lado da integração com a Purple: se está a implementar WPA2-Enterprise para os seus funcionários e redes operacionais, e a correr a plataforma de guest WiFi da Purple para a conectividade dos visitantes, estes dois sistemas coexistem de forma limpa. A Purple lida com a autenticação de convidados, captura de dados e camada de analítica — incluindo a WiFi analytics e inteligência de tráfego pedonal que os operadores de espaços utilizam para decisões operacionais — enquanto a sua infraestrutura WPA2-Enterprise protege a rede corporativa. A chave é uma separação limpa de SSID e VLAN ao nível do ponto de acesso, algo que as três plataformas suportam. [Q&A RÁPIDO — aproximadamente 1 minuto] Deixe-me passar por algumas perguntas que surgem regularmente. Posso correr WPA2-Enterprise e uma rede de convidados nos mesmos pontos de acesso? Sim, absolutamente. As três plataformas suportam múltiplos SSIDs por rádio, cada um com políticas de segurança independentes. O seu SSID corporativo corre WPA2-Enterprise; o seu SSID de convidados pode correr através do Captive Portal da Purple com o isolamento adequado. Preciso de substituir os meus pontos de acesso existentes para implementar WPA2-Enterprise? Quase de certeza que não. O WPA2-Enterprise é suportado em pontos de acesso de classe empresarial há bem mais de uma década. Se o seu hardware tiver menos de oito anos e estiver a correr firmware atual, suportará 802.1X. Qual é a diferença entre WPA2-Enterprise e WPA3-Enterprise? O WPA3-Enterprise adiciona um modo de segurança de 192 bits utilizando criptografia Suite B, o que é relevante para ambientes governamentais e de defesa. Para a maioria das implementações comerciais, o WPA2-Enterprise com métodos EAP fortes continua a ser o padrão. Vale a pena planear a transição para o WPA3 para novas implementações, mas não é uma migração urgente para a maioria das organizações. O RADIUS na nuvem é uma opção viável? Sim, e cada vez mais. Serviços como o Cisco ISE na nuvem, o Aruba ClearPass como serviço ou opções de terceiros como o JumpCloud e o Foxpass fornecem o RADIUS como um serviço gerido, o que elimina os custos indiretos de infraestrutura. Para propriedades distribuídas — pense numa cadeia de retalho com 200 localizações — o RADIUS na nuvem pode reduzir significativamente a complexidade operacional. [RESUMO E PRÓXIMOS PASSOS — aproximadamente 1 minuto] Para concluir: o WPA2-Enterprise é a base não negociável para qualquer implementação de rede sem fios empresarial. O processo de configuração na Cisco, Aruba e Ubiquiti segue o mesmo padrão fundamental — definir o seu servidor RADIUS, criar o seu SSID com gestão de chaves 802.1X, selecionar o seu método EAP e testar antes de entrar em produção. As diferenças residem nas interfaces de gestão e nas ferramentas do ecossistema em torno de cada plataforma. As três coisas a acertar: redundância RADIUS, validação de certificados nos clientes e atribuição dinâmica de VLAN. Acerte nestas três e terá uma postura de segurança de rede sem fios sólida, em conformidade e auditável. Para os seus próximos passos: se estiver a avaliar plataformas, utilize a estrutura de comparação de fornecedores no guia complementar. Se estiver pronto para implementar, os tutoriais de configuração passo a passo para cada plataforma encontram-se na secção de implementação. E se estiver a pensar em como o WiFi de convidados se enquadra ao lado da sua rede empresarial, a documentação da plataforma Purple aborda a arquitetura de integração em detalhe. Obrigado por ouvir. Vemo-nos no próximo briefing.