Configurar 802.1X no Juniper Mist com RADIUS na nuvem

Para configurar 802.1X no Juniper Mist, crie uma WLAN com segurança WPA2 ou WPA3-Enterprise. Adicione os seus servidores RADIUS na nuvem para autenticação e contabilidade, e ative o RadSec se o serviço o suportar. Defina a VLAN para dinâmica para que as respostas RADIUS coloquem cada dispositivo no segmento correto. A linha do tempo de estatísticas de clientes do Mist e o Marvis mostram onde é que qualquer falha de autenticação ocorreu.

O que é que o 802.1X no Juniper Mist realmente faz?

O IEEE 802.1X é um controlo de acesso à rede baseado em portas. Numa rede sem fios, bloqueia o tráfego de um dispositivo até que este prove a sua identidade a um servidor de autenticação. O ponto de acesso atua como o autenticador. Ele retransmite mensagens do Extensible Authentication Protocol (EAP) entre o dispositivo e um servidor RADIUS. O RADIUS é o protocolo de autenticação definido no RFC 2865.

O servidor RADIUS verifica a credencial e devolve Access-Accept ou Access-Reject. Um Accept pode transportar atributos, tais como a VLAN à qual o dispositivo se deve juntar. Cada dispositivo deriva então as suas próprias chaves de encriptação, garantindo que dois colaboradores não partilham um segredo.

No Juniper Mist, cada ponto de acesso é um cliente RADIUS. O Mist mantém a configuração da WLAN na sua nuvem e envia-a para todos os AP em todos os locais. Também regista cada etapa de todas as tentativas de ligação, o que torna o Mist útil quando uma autenticação falha.

O método EAP decide o que o dispositivo apresenta:

• EAP-TLS: o dispositivo e o servidor apresentam ambos certificados. Não existe palavra-passe para ser alvo de phishing, partilhada ou expirada.
• PEAP com MSCHAPv2: o PEAP protegido envolve uma troca de palavras-passe dentro de um túnel TLS. É mais fácil de implementar, mas mais fraco. A Microsoft documenta que o Credential Guard, ativado por predefinição em versões recentes do Windows 11, bloqueia o single sign-on para autenticações baseadas em MSCHAPv2.
• EAP-TTLS: um método tunelado semelhante, comum quando o repositório de identidades não é da Microsoft.

O Mist não negocia o método. O dispositivo e o servidor RADIUS acordam-no entre si, e o AP retransmite a troca. Isso significa que escolhe o método EAP do lado do RADIUS e nos seus perfis de dispositivo, não na consola do Mist.

Do que precisa antes de configurar o 802.1X no Mist?

Reúna estes elementos antes de abrir a consola. A maioria das implementações mal-sucedidas deve-se a um item em falta nesta lista, e não à configuração do Mist.

• Acesso ao Mist. Direitos de administração da organização, com APs associados e atribuídos a locais.
• Detalhes do RADIUS na nuvem. Nomes de anfitrião ou endereços IP do servidor, portas, o segredo partilhado e detalhes de RadSec se o seu fornecedor o suportar.
• Uma fonte de identidade. Microsoft Entra ID, Okta ou Google Workspace, ligados ao serviço RADIUS, com grupos que se mapeiam para funções de rede.
• Certificados. Um certificado de servidor RADIUS em que os seus dispositivos confiam. Para EAP-TLS, certificados de cliente emitidos através do seu MDM ou PKI.
• Rede com fios. As portas do switch para os APs devem ter trunking para todas as VLANs que o RADIUS possa retornar. Cada VLAN precisa de um escopo DHCP.
• Saída de firewall. UDP 1812 e 1813 para RADIUS padrão, ou TCP 2083 para RadSec, as portas que a IANA atribui a cada um.
• Capacidade do dispositivo. O WPA3-Enterprise exige Protected Management Frames (PMF, IEEE 802.11w). Lectores de códigos de barras, impressoras e terminais portáteis mais antigos podem não suportar.
• Cobertura. A autenticação empresarial adiciona idas e voltas adicionais, pelo que uma cobertura fraca manifesta-se sob a forma de timeouts de autenticação. Se não validou a cobertura recentemente, o nosso guia para WiFi site surveys explica o método.

A que back-end RADIUS deve apontar uma WLAN Mist?

O back-end decide como os APs alcançam o RADIUS, o que a sua firewall deve permitir e como o servidor identifica cada local.

Opção	Transporte do AP	Hardware no local	Saída de firewall	Como o RADIUS identifica o local	Mais adequado para
RADIUS no local (Microsoft NPS, FreeRADIUS)	RADIUS sobre UDP, através de LAN ou VPN	Servidor na sede, mais VPN para cada local	UDP 1812 e 1813 para a sede	IP de origem mais segredo partilhado	Um campus único com uma sala de servidores existente
Cloud RADIUS sobre UDP	RADIUS sobre UDP, através da internet	Nenhum	UDP 1812 e 1813 de saída	IP público do local mais segredo partilhado	Locais com endereços IP públicos estáticos
Cloud RADIUS sobre RadSec	RADIUS dentro de TLS sobre TCP (RFC 6614)	Nenhum	TCP 2083 de saída	Autenticação mútua por certificado	Redes com vários locais em banda larga ou IPs dinâmicos
Cloud RADIUS via proxy Mist Edge	Do AP para o Mist Edge, depois do Mist Edge para o RADIUS	Dispositivo Mist Edge ou máquina virtual	Portas RADIUS apenas a partir do Mist Edge	IP de origem do Mist Edge	Grandes campus que pretendem um único ponto de saída

A Juniper também vende o Mist Access Assurance, o seu próprio serviço cloud de controlo de acessos à rede. Este guia aborda um serviço cloud RADIUS externo, que mantém a sua política de autenticação independente do fabricante do AP.

Como configurar o 802.1X no Juniper Mist com cloud RADIUS?

A consola Mist muda com frequência, pelo que deve consultar a documentação do Mist da Juniper para obter os passos atualizados campo a campo. A sequência abaixo mostra o que cada etapa faz e as decisões por trás de cada uma.

Passo 1: criar a WLAN WPA2 ou WPA3-Enterprise

Crie a WLAN num modelo de WLAN ao nível da organização se gerir mais do que um local. Os modelos aplicam-se a locais ou grupos de locais, pelo que uma alteração chega a toda a rede. Crie-a ao nível do local para um projeto piloto num único local.

Dê um nome ao SSID e selecione o tipo de segurança empresarial (802.1X). Em seguida, escolha WPA2 ou WPA3.

• WPA3-Enterprise torna o PMF obrigatório e é a única opção empresarial em rádios de 6 GHz. Escolha-o para portáteis geridos e telemóveis atuais.
• WPA2-Enterprise ainda liga dispositivos mais antigos. Mantenha-o num SSID separado se uma frota legada ainda não puder ser migrada, em vez de enfraquecer o seu SSID principal.

Considere ativar o roaming rápido com IEEE 802.11r (Fast BSS Transition). Reduz o tempo de reautenticação quando um dispositivo se desloca entre APs. Teste a funcionalidade com dispositivos de voz e clientes mais antigos antes de a ativar em toda a infraestrutura.

Passo 2: apontar a WLAN para o seu serviço RADIUS na nuvem

Nas definições do servidor de autenticação da WLAN, adicione os servidores RADIUS do seu fornecedor.

• Servidores de autenticação. Introduza o host, a porta e o segredo partilhado para pelo menos dois servidores. O Mist faz o failover para o servidor seguinte quando um deixa de responder.
• Servidores de contabilização (accounting). Adicione-os separadamente. A contabilização regista as horas de início e fim da sessão, dados que as suas equipas de auditoria e incidentes irão necessitar.
• Identificador NAS. Defina um valor que o serviço RADIUS possa utilizar para diferenciar os locais. O seu fornecedor poderá então aplicar políticas específicas por local.

Com o RADIUS padrão sobre UDP, os pedidos saem de cada local a partir do respetivo endereço IP público após o NAT. O seu fornecedor de RADIUS na nuvem deve registar esse endereço como cliente. Um local com um IP dinâmico perderá a autenticação sempre que o seu endereço mudar. O RadSec no Passo 3 elimina essa dependência.

Trate o segredo partilhado como uma credencial. Crie um segredo longo e aleatório, e guarde-o no seu cofre de palavras-passe. Em julho de 2024, investigadores divulgaram a vulnerabilidade BlastRADIUS (CVE-2024-3596), um ataque de falsificação contra o RADIUS sobre UDP. Confirme se o seu fornecedor exige o atributo Message-Authenticator, conforme recomendado no aviso de segurança, ou migre para o RadSec.

Passo 3: ativar o RadSec

Sim, o Juniper Mist suporta RadSec. O RadSec, definido na RFC 6614, transporta o RADIUS dentro de uma sessão TLS sobre TCP. Os APs Mist podem abrir essa sessão diretamente para o seu serviço RADIUS na nuvem.

Ative o RadSec nas definições de RADIUS da WLAN e introduza o hostname do servidor. O hostname deve corresponder ao nome constante no certificado do servidor. Em seguida, configure a confiança em ambas as direções:

• O AP confia no servidor. Adicione a autoridade de certificação que assinou o certificado do seu servidor RadSec nas definições da organização no Mist.
• O servidor confia no AP. O seu servidor RadSec deve confiar no certificado que os APs Mist apresentarem. A documentação da Juniper explica onde o obter.

Abra a porta TCP 2083 de saída em todos os locais. O RadSec oferece três vantagens práticas:

1. Encriptação. Encripta todo o pacote RADIUS, incluindo a identidade e o endereço MAC contidos no mesmo. O RADIUS padrão esconde apenas a palavra-passe.
2. Sem necessidade de registo de IP. O certificado autentica o AP, e não o endereço de origem. Os IPs dinâmicos de banda larga deixam de ser um problema.
3. Entrega fiável. As mensagens EAP-TLS transportam cadeias de certificados e excedem frequentemente a capacidade de um único pacote. Sobre UDP na internet, os fragmentos são descartados. O TCP, em contrapartida, retransmite os dados.

Passo 4: mapear atributos RADIUS para VLANs dinâmicas

A atribuição dinâmica de VLANs coloca todas as funções num único SSID e deixa que o RADIUS decida o segmento. Nas definições de VLAN da WLAN, selecione VLAN dinâmica. Liste cada ID ou nome de VLAN que o AP possa receber e defina um valor predefinido para respostas que não transportem qualquer VLAN.

A sua política de RADIUS devolve então três atributos de túnel, definidos na RFC 2868 e aplicados ao 802.1X na RFC 3580.

Atributo	Valor	O que faz
Tunnel-Type	13 (VLAN)	Indica ao AP que o túnel é uma VLAN
Tunnel-Medium-Type	6 (IEEE-802)	Especifica um meio IEEE 802
Tunnel-Private-Group-ID	O ID ou nome da VLAN listado na WLAN	Seleciona a VLAN para esta sessão

Construa a política em torno de grupos de identidade. Os dispositivos de limpeza ficam na VLAN de limpeza. Os terminais de pagamento ficam num segmento isolado. O PCI-DSS considera a segmentação adequada como uma forma de reduzir o âmbito do ambiente de dados de titulares de cartões. O mesmo padrão isola dispositivos clínicos do tráfego de visitantes nos cuidados de saúde.

Passo 5: realize um piloto e, em seguida, escale através do modelo

Atribua primeiro o modelo a um site. Execute as verificações da secção seguinte. Assim que forem concluídas com sucesso, atribua o modelo aos restantes sites ou grupos de sites. Cada novo site herda automaticamente a WLAN, os servidores RADIUS, as definições de RadSec e a lista de VLAN.

Como verificar se o 802.1X funciona no Juniper Mist?

Testo todas as funções, não apenas uma conta. Um aceite com sucesso para um grupo não prova nada sobre o mapeamento de VLAN para outro.

1. Ligue um dispositivo de teste por função. Na lista de clientes do Juniper Mist, confirme o SSID, a identidade utilizada, a VLAN e um endereço IP na sub-rede esperada.
2. Leia os registos do RADIUS. Confirme um Access-Accept que contenha os atributos de túnel esperados, seguido de um registo de início de contabilização (accounting start).
3. Faça roaming. Desloque o dispositivo entre APs e confirme que a sessão se mantém, especialmente se ativou o 802.11r.
4. Revogue. Desative uma conta de teste no seu fornecedor de identidade. Confirme que a próxima autenticação é rejeitada.
5. Acompanhe os níveis de serviço. A expectativa de nível de serviço (SLE) de Ligações com Sucesso do Juniper Mist inclui um classificador de autorização. O Tempo para Ligar mostra se a autenticação está a desacelerar as ligações.

O passo 4 tem uma particularidade. Desativar uma conta interrompe a próxima autenticação, não a sessão atual. Para terminar sessões ativas, verifique se o seu serviço RADIUS e a WLAN suportam Alteração de Autorização (CoA, RFC 5176). A CoA permite que o servidor desligue uma sessão a pedido.

Onde mostra o Juniper Mist o motivo pelo qual uma autenticação falhou?

Ler a cronologia de estatísticas do cliente

Abra o cliente com falha e aceda à respetiva página de Insights. O Juniper Mist lista cada evento de ligação por ordem: associação, a troca de EAP, o resultado do RADIUS e, em seguida, o DHCP. Leia da esquerda para a direita. O último evento bem-sucedido indica qual a camada que falhou.

• Falha antes de qualquer evento RADIUS: um problema de rádio ou de associação, não de 802.1X.
• Tempo limite (timeout) do RADIUS: um problema de acessibilidade ou de confiança entre o AP e o servidor.
• Rejeição do RADIUS: o servidor tomou uma decisão. O motivo encontra-se nos registos do seu fornecedor RADIUS.
• Autenticado, mas o DHCP falha: um problema de VLAN ou de rede com fios.

A captura dinâmica de pacotes do Juniper Mist regista automaticamente as tramas em torno das falhas de ligação. Transfira a captura e abra-a no Wireshark para ver a mensagem EAP exata onde a troca foi interrompida.

Consultas Marvis que simplificam a triagem

O Marvis, o assistente conversacional da Mist, aceita perguntas em linguagem natural e requer uma subscrição do Marvis. As consultas deste género poupam mais tempo:

• "Resolver problemas de [nome do cliente ou endereço MAC]" devolve o ponto de falha e a causa provável para um dispositivo.
• "Resolver problemas de [nome do local]" mostra se as falhas se concentram num único local, o que aponta para problemas na firewall ou na WAN.
• "Quais os clientes que falharam a ligação em [local] hoje?" delimita o alcance do problema antes de abrir cronologias individuais.

O alcance vem em primeiro lugar. Um dispositivo a falhar é normalmente um perfil de dispositivo. Todos os dispositivos num local é normalmente o caminho de rede. Todos os dispositivos em todo o lado é normalmente o serviço RADIUS ou um certificado.

Falhas 802.1X comuns no Mist e respetivas resoluções

O que o Mist mostra	Causa provável	Resolução
Tempo limite do RADIUS, sem resposta	A firewall bloqueia UDP 1812 ou TCP 2083, o IP de origem não está registado ou existe divergência no segredo partilhado	Abra a saída, registe o IP do local ou mude para RadSec, introduza novamente o segredo em ambos os lados
Access-Reject	Credenciais erradas, conta desativada ou dispositivo fora de qualquer grupo de políticas	Leia o motivo da rejeição nos registos do RADIUS e corrija a política ou a conta
O EAP para após o certificado do servidor	O dispositivo não confia na CA do servidor ou o nome do servidor não coincide	Envie a CA e o nome do servidor para os dispositivos através do seu perfil MDM
Autenticado, sem endereço IP	VLAN devolvida sem trunk para o AP, escopo DHCP em falta ou VLAN fora da lista da WLAN	Faça o trunk da VLAN, adicione o escopo, coincida o nome da VLAN exatamente
A sessão RadSec nunca se estabelece	CA não fiável em qualquer um dos lados, certificado expirado ou erro de relógio	Verifique novamente ambos os certificados, datas de expiração e NTP
Falhas intermitentes de EAP-TLS sobre UDP	Pacotes fragmentados descartados através da internet	Mude para RadSec ou encurte a cadeia de certificados
Dispositivos WPA3 ligam-se, dispositivos mais antigos falham	Dispositivos mais antigos não têm suporte WPA3 ou PMF	Mova os dispositivos legados para um SSID WPA2-Enterprise separado

Como é que isto se parece num local real?

Estes dois cenários são ilustrativos. Mostram como a configuração altera resultados operacionais mensuráveis.

Cenário prático: um hotel de 200 quartos descontinua chaves de funcionários partilhadas

Situação. Um hotel de 200 quartos utilizava quatro SSIDs de funcionários: receção, governança, direção e manutenção. Cada um usava uma palavra-passe partilhada. Quando um funcionário da governança saía, a equipa mudava a chave em dezenas de dispositivos ou deixava-a inalterada. Os hóspedes utilizavam um quinto SSID.

O que foi feito. A equipa criou um SSID de funcionários WPA3-Enterprise num modelo de WLAN do Mist. Os dispositivos geridos usaram EAP-TLS, com certificados enviados via MDM. O RADIUS em nuvem leu a pertença aos grupos a partir do Microsoft Entra ID e devolveu uma VLAN por departamento. Um SSID WPA2-Enterprise separado foi mantido para tablets de serviço de quarto mais antigos. Os hóspedes permaneceram no WiFi de convidados.

Resultado. Quatro SSIDs de colaboradores passaram a ser apenas um, juntamente com um SSID legado, fazendo com que o hotel transmitisse três redes em vez de cinco. Menos SSIDs significam menos tramas de beacon a competir por tempo de antena. As chaves partilhadas de colaboradores passaram de quatro para zero. O acesso de quem sai da empresa termina agora quando os RH desativam a conta, sem necessidade de rotação de chaves. A mesma abordagem adapta-se à maioria dos hotéis que utilizam redes PSK departamentais.

Cenário prático: uma cadeia de retalho com 120 lojas muda para RadSec

Situação. Uma cadeia com 120 lojas utilizava APs Mist sobre banda larga empresarial. A autenticação era feita num servidor RADIUS local na sede através de uma VPN site-to-site. Quando a VPN de uma loja falhava, os dispositivos dos colaboradores e os scanners portáteis não conseguiam autenticar-se.

O que foi feito. A cadeia mudou para um serviço RADIUS na nuvem e ativou o RadSec no modelo WLAN da Mist. A confiança no certificado foi configurada uma única vez nas definições da organização Mist. As lojas abriram a porta TCP 2083 de saída. Os terminais de pagamento receberam uma VLAN isolada através de atribuição dinâmica, garantindo a segmentação exigida pelo PCI-DSS.

Resultado. O servidor RADIUS deixou de monitorizar 120 entradas de IP de clientes por loja; os certificados substituíram-nas a todas. A autenticação deixou de depender da VPN. Uma nova loja passa a ter 802.1X assim que o seu local adere ao modelo. O modelo adequa-se a redes de retalho onde a conetividade das lojas é feita por banda larga com endereços IP dinâmicos.

Quanto custa e qual é o retorno?

Não precisa de novos pontos de acesso. O 802.1X, o RadSec e as VLANs dinâmicas funcionam nos APs Mist que já possui. O nosso artigo sobre por que razão a sua próxima atualização de WiFi não precisa de novo hardware aborda esse modelo de sobreposição na nuvem com maior detalhe.

O custo divide-se em quatro áreas:

• Subscrições Juniper. As expectativas de nível de serviço e o Marvis dependem do nível de subscrição Mist. Confirme a cobertura com o seu parceiro Juniper.
• O serviço RADIUS. O RADIUS local implica custos com servidores, licenças, atualizações e VPNs. O RADIUS na nuvem é uma subscrição sem qualquer hardware.
• Certificados. O EAP-TLS necessita de uma PKI e de um MDM para emitir certificados. A maioria das organizações já utiliza ambos.
• Tempo de engenharia. A configuração do Mist é a parte rápida. A distribuição de certificados pelos dispositivos determina o ritmo.

O retorno é mensurável. As chaves partilhadas passam a zero. A revogação segue o fornecedor de identidade, em vez de um projeto de rotação de chaves. O número de SSIDs diminui. A segmentação reduz o âmbito do PCI-DSS. A resolução de problemas começa a partir de uma linha do tempo e de uma consulta no Marvis em vez de uma visita ao local.

O RADIUS-as-a-Service da Purple é uma opção de RADIUS na nuvem para a Mist. É agnóstico em termos de hardware para Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Vincula o acesso à rede à identidade no Microsoft Entra ID, Okta ou Google Workspace, para que as entradas, alterações e saídas de colaboradores sejam atualizadas automaticamente. A Purple tem certificação ISO 27001 e Cyber Essentials e está em conformidade com o GDPR. Os nossos próprios dados mostram um tempo de atividade de 99,999% e 440 milhões de inícios de sessão em 2024 em mais de 80 000 locais ativos. Verifique o suporte RadSec em qualquer fornecedor que selecione, incluindo a Purple. Se também estiver a calcular os custos da rede de convidados, consulte a nossa comparação de modelos de preços de Captive Portal.

Perguntas frequentes

O Juniper Mist suporta RadSec nativamente?

Sim. Os pontos de acesso Mist podem iniciar uma sessão RadSec diretamente para um serviço RADIUS na nuvem, transportando o RADIUS dentro do TLS sobre TCP conforme definido na norma RFC 6614. Ativa-o nas definições de RADIUS da WLAN e gere a confiança do certificado nas definições da organização. Os locais necessitam de TCP 2083 de saída. O RadSec encripta todo o pacote RADIUS e elimina a necessidade de registar o endereço IP público de cada local junto do seu fornecedor.

Preciso de um Mist Edge para utilizar o RADIUS na nuvem?

Não. Os APs Mist podem enviar RADIUS ou RadSec diretamente para um serviço na nuvem sem hardware adicional. Um proxy Mist Edge ajuda em grandes campus onde se pretende que todos os pedidos RADIUS saiam por um único ponto controlado. Também se adequa a locais onde os APs não conseguem aceder diretamente à internet. Para a maioria das propriedades multilocal, o RadSec direto a partir dos APs é a arquitetura mais simples.

Posso manter o Microsoft NPS a funcionar enquanto migro para o RADIUS na nuvem?

Sim, mas planeie a transição por grupo e não por ordem de servidor. O Mist apenas faz failover entre servidores de autenticação quando um deles deixa de responder, e não quando rejeita um pedido. Listar o NPS e um serviço na nuvem na mesma WLAN produz, portanto, resultados imprevisíveis. Execute um segundo SSID direcionado ao RADIUS na nuvem, migre um departamento de cada vez e, em seguida, desative o NPS.

O RADIUS-as-a-Service da Purple funciona com o Juniper Mist?

Sim. A Purple é agnóstica quanto ao hardware e é executada como uma sobreposição na nuvem no Juniper Mist, bem como na Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Vincula o acesso à rede ao Microsoft Entra ID, Okta ou Google Workspace, pelo que as alterações de acesso ocorrem quando uma conta é alterada. Mantém os seus APs Mist existentes, sem necessidade de substituição integral de equipamentos.

O WPA3-Enterprise é obrigatório para o 802.1X no Mist?

Não. O 802.1X funciona com WPA2-Enterprise ou WPA3-Enterprise. O WPA3 adiciona Protected Management Frames obrigatórios e é a única opção empresarial em rádios de 6 GHz. Utilize WPA3 para computadores portáteis e telemóveis recentes. Mantenha um SSID WPA2-Enterprise separado para leitores de código de barras, impressoras ou tablets mais antigos que não suportem PMF, em vez de reduzir a segurança no seu SSID principal.

O 802.1X no Mist necessita de uma licença extra da Juniper?

Nenhuma licença adicional é necessária para a própria WLAN. Apontar uma WLAN Mist para um servidor RADIUS externo é uma configuração padrão. As ferramentas de resolução de problemas diferem: o Marvis requer uma subscrição Marvis e as expectativas de nível de serviço dependem do seu nível de subscrição Mist. O Mist Access Assurance da própria Juniper é um produto separado. Confirme o seu nível com o seu parceiro Juniper antes de confiar no Marvis para a triagem.

Como é que o 802.1X afeta a conformidade com o GDPR?

O RADIUS e os registos de contabilização contêm dados pessoais: identidades, endereços MAC de dispositivos e tempos de sessão. Ao abrigo do GDPR, precisa de um fundamento jurídico, um período de retenção definido e um acordo de processamento de dados com o seu fornecedor RADIUS. O RadSec ajuda ao encriptar as identidades em trânsito. A Purple está em conformidade com o GDPR e possui certificação ISO 27001, processando os dados de autenticação ao abrigo de um acordo de processamento de dados.

Quanto tempo demora a implementação do 802.1X na Mist?

A configuração da Mist é o que demora menos tempo; a distribuição de certificados dita o ritmo. Criar a WLAN, adicionar servidores RADIUS e ativar o RadSec é uma alteração única num único modelo. A emissão de certificados para cada dispositivo gerido através de MDM, bem como a migração de dispositivos legados, demora mais tempo. Faça um piloto num local, teste cada função e, em seguida, atribua o modelo aos restantes locais.