RADIUS e 802.1X: autenticazione di rete per PMI

La password Wi-Fi condivisa è il punto debole di quasi ogni rete aziendale. È scritta su un post-it, la conosce anche il fornitore che è passato due anni fa, e cambiarla significa riconfigurare cinquanta dispositivi. 802.1X con RADIUS elimina il problema alla radice: ogni utente e ogni dispositivo ha la propria credenziale, revocabile singolarmente.

I tre attori di 802.1X

Lo standard IEEE 802.1X definisce il controllo dell'accesso alla porta di rete, sia cablata sia wireless. Coinvolge tre ruoli:

• Supplicant: il client che chiede di entrare (laptop, telefono, stampante).
• Authenticator: lo switch o l'access point che controlla la porta. Fino ad autenticazione avvenuta lascia passare solo traffico EAPOL, bloccando tutto il resto.
• Authentication server: il server RADIUS che verifica le credenziali e risponde Access-Accept o Access-Reject.

Il client parla EAP con l'authenticator sul link locale (EAPOL), l'authenticator incapsula lo stesso EAP dentro RADIUS verso il server. L'authenticator non conosce le credenziali e non deve conoscerle: è un semplice inoltro, il che riduce parecchio la superficie di attacco.

Quale metodo EAP scegliere

EAP è un contenitore, non un metodo. Le varianti che contano in pratica:

Per una PMI senza PKI interna, PEAP-MSCHAPv2 è il compromesso ragionevole. Attenzione a un dettaglio che viene sempre trascurato: se i client non validano il certificato del server RADIUS, un access point fasullo può raccogliere gli hash MSCHAPv2 e sottoporli a cracking offline. La validazione del certificato va imposta via policy di gruppo o profilo MDM, non lasciata alla scelta dell'utente.

Il server: FreeRADIUS o soluzioni integrate

FreeRADIUS resta lo standard di fatto in ambiente Linux. La configurazione minima per una PMI richiede:

• Definizione dei client RADIUS in clients.conf, con un secret condiviso diverso per ogni switch e access point.
• Un backend utenti: LDAP verso Active Directory o Samba, oppure SQL per un'anagrafica autonoma.
• Il modulo eap configurato con il certificato server e il metodo desiderato in mods-enabled/eap.

Molti firewall e controller Wi-Fi includono un RADIUS integrato sufficiente per decine di utenti. La scelta tra soluzione integrata e server dedicato dipende dal numero di apparati da servire e dalla necessità di logica di autorizzazione personalizzata.

Da tenere presente: RADIUS è un single point of failure. Se il server non risponde, nessuno entra in rete. Vanno sempre configurati almeno due server sugli authenticator, e va deciso in anticipo cosa deve succedere in caso di irraggiungibilità totale (accesso negato oppure fallback su una VLAN limitata).

VLAN dinamiche

La parte davvero interessante di RADIUS non è dire sì o no, ma dire dove. Nella risposta Access-Accept il server può includere attributi che istruiscono lo switch su come configurare la porta:

• Tunnel-Type = VLAN
• Tunnel-Medium-Type = IEEE-802
• Tunnel-Private-Group-Id = 30

Il risultato è che lo stesso punto rete, senza alcuna modifica fisica, mette il portatile dell'amministrazione nella VLAN 10 e il tablet di un ospite nella VLAN 30. L'utente si sposta tra sedi e uffici portandosi dietro il proprio profilo di rete. Combinato con la segmentazione, è il modo più pulito per separare IoT, VoIP, ospiti e postazioni di lavoro senza mappare manualmente le porte.

MAC Authentication Bypass

Stampanti, telecamere IP, termostati e buona parte dei dispositivi industriali non supportano 802.1X. Per questi esiste il MAB: dopo il timeout del tentativo 802.1X, lo switch invia il MAC address del dispositivo al RADIUS come username e password. Se il MAC è in whitelist, la porta si apre, tipicamente su una VLAN ristretta.

Il MAC address è banalmente falsificabile, quindi il MAB non è un controllo di sicurezza forte: è un modo per censire e confinare i dispositivi legacy. Va sempre abbinato a una VLAN con ACL restrittive, non usato come scorciatoia per evitare 802.1X sulle postazioni.

Ordine di rollout consigliato

1. Installare il RADIUS e testarlo con radtest prima di toccare gli apparati di rete.
2. Attivare 802.1X sul solo Wi-Fi aziendale, lasciando temporaneamente attiva la vecchia SSID con PSK.
3. Migrare i client, verificando che i profili impongano la validazione del certificato server.
4. Spegnere la SSID legacy.
5. Passare al cablato in modalità monitor (autenticazione registrata ma non applicata) per almeno due settimane, così da individuare i dispositivi che non superano il test.
6. Attivare l'enforcement sulle porte, con MAB configurato per i dispositivi censiti.

Saltare la fase di monitor sul cablato è l'errore più costoso: significa scoprire alle otto di lunedì mattina che il muletto del magazzino e il centralino non parlano 802.1X.