Sophos AP6: acceso Wi-Fi con Microsoft Entra ID

Muchas empresas ya gestionan sus usuarios en Microsoft Entra ID. Sin embargo, para el Wi-Fi corporativo siguen manteniendo un servidor de autenticación propio, a veces junto con un Active Directory local que apenas se utiliza para otros fines. La nueva autenticación Wi-Fi con Microsoft Entra ID para Sophos AP6 responde precisamente a esta situación: las identidades existentes en la nube también pueden utilizarse para acceder a la red inalámbrica.

Sophos introdujo esta función con AP6 MR10, versión 1.10.3192. Se configura en Sophos Fusion Wireless, la plataforma de gestión que antes se llamaba Sophos Central. El artículo sobre qué es Sophos Fusion explica el cambio de nombre y su relación con los productos existentes.

La novedad puede reducir la infraestructura local necesaria. Pero que pueda sustituir a la autenticación Wi-Fi existente depende de los dispositivos utilizados, las políticas de identidad y las funciones de red requeridas. Especialmente cuando se utilizan certificados para autenticar dispositivos o VLAN dinámicas, conviene examinar estos aspectos antes del cambio.

Qué cambia en el acceso Wi-Fi

Una contraseña Wi-Fi compartida se distribuye rápidamente, pero resulta difícil de gestionar en el día a día. Cuando alguien deja la empresa, sus dispositivos siguen conociendo la contraseña. Cambiarla afecta, a su vez, a todos los demás dispositivos. Una red Wi-Fi Enterprise permite, en cambio, acceder mediante identidades individuales.

La nueva integración de AP6 incorpora Microsoft Entra ID como proveedor de identidad, o IdP. Este proceso no requiere un servidor RADIUS o NPS local propio. RADIUS es el servicio que las redes Wi-Fi Enterprise tradicionales suelen utilizar para comprobar las credenciales y asignar reglas de acceso.

El anuncio de MR10 de Sophos presenta expresamente la integración como una forma de prescindir de la infraestructura de autenticación local. Es una opción interesante para empresas con identidades en la nube y requisitos Wi-Fi relativamente sencillos. Sin embargo, disponer de una cuenta de Entra no garantiza por sí solo que la autenticación funcione en todos los dispositivos.

Requisitos para Sophos AP6 y Microsoft Entra ID

Gestión, firmware y licencia

Se necesitan puntos de acceso AP6 gestionados en Sophos Fusion y un firmware compatible con la integración de Entra. MR10 es la versión en la que Sophos introdujo esta función. Para una nueva instalación conviene comprobar la versión de firmware actualmente aprobada, en lugar de elegir una versión antigua solo por esta función. La guía de actualizaciones de firmware de AP6 describe cómo preparar y verificar un despliegue por fases.

Cada AP6 gestionado de forma centralizada necesita una AP6 Support and Services Subscription válida. Esta incluye, entre otras prestaciones, la gestión mediante Sophos Fusion y las actualizaciones de firmware. La interfaz web local de un AP6 no sustituye a esta integración en la nube. La guía de gestión y licencias de AP6 explica las diferencias.

Los proveedores de identidad creados de forma centralizada para este proceso están destinados a SSID de AP6. La compatibilidad con AP6 no implica que también se admita APX o una red Wi-Fi gestionada por Sophos Firewall. Sophos documenta este alcance en la página de RADIUS.

Tenant de Entra y registro de la aplicación

Los usuarios previstos deben existir en Entra ID. Además, se necesita un registro de aplicación para el propio tenant, un dominio personalizado verificado y permisos para otorgar el Admin Consent necesario.

La conexión requiere Client ID, Tenant ID, nombre de dominio y Client Secret. Sophos especifica los permisos de Microsoft Graph Domain.Read.All de tipo Application y User.Read de tipo Delegated. La guía de configuración consultada no indica que se necesite adicionalmente Entra ID P1 o P2; los requisitos de licencia de las propias políticas de identidad deben revisarse por separado.

El Client Secret debe tener un responsable y una fecha de renovación prevista. Que la configuración funcione el primer día no es suficiente si después nadie controla su caducidad. La configuración completa se describe en la guía de la KB sobre la autenticación de AP6 con Entra ID.

Perfiles Wi-Fi adecuados en los dispositivos

Para esta integración, Sophos admite exclusivamente EAP-TTLS con PAP como método de autenticación interna. Para Windows y Android, el fabricante exige el modo de SSID WPA2/WPA3 Enterprise, ya que la combinación TTLS/PAP documentada no es compatible en esos sistemas con un modo exclusivamente WPA3 Enterprise. Los dispositivos Apple necesitan un perfil Wi-Fi instalado con TTLS y PAP; Sophos remite a Apple Configurator para ello.

Estos requisitos proceden de la guía de configuración de Entra ID de Sophos. Por tanto, en un entorno con dispositivos variados conviene elaborar previamente una pequeña matriz de compatibilidad: dispositivo, versión del sistema operativo, perfil Wi-Fi y resultado de la autenticación de prueba. Que una prueba en Windows funcione no permite sacar conclusiones sobre un teléfono Android o un Mac.

EAP-TTLS/PAP: por qué importa la confianza en el certificado

EAP-TTLS establece un túnel TLS. Dentro de este túnel protegido se comprueba la contraseña mediante PAP. Por ello, la seguridad depende en gran medida de que el cliente verifique de forma fiable la identidad del servidor de autenticación.

Si se desactiva la validación del certificado o se acepta un certificado desconocido sin comprobarlo, el dispositivo podría enviar las credenciales a un servidor falso. Microsoft explica este riesgo en su documentación sobre EAP y la validación de certificados de servidor.

En un entorno gestionado, los perfiles Wi-Fi deben especificar la cadena de confianza aprobada y la identidad de servidor esperada. Estos valores deben corresponder al entorno real y quedar definidos antes del despliegue. Los avisos de certificado recurrentes no indican que la configuración se haya completado correctamente, sino que es necesario revisar el perfil.

Tampoco debe darse por supuesta la reutilización automática de las credenciales de inicio de sesión de Windows. Microsoft documenta la opción correspondiente de EAP-TTLS para MS-CHAP v2, pero no para PAP. Por tanto, esta integración no garantiza automáticamente SSO para el Wi-Fi en un dispositivo Windows unido a Entra.

Limitaciones que deben valorarse antes de una migración

Contraseña de usuario en lugar de autenticación de dispositivos mediante certificados

El proceso TTLS/PAP documentado utiliza una contraseña. No sustituye a una autenticación EAP-TLS existente con certificados de dispositivo. Si actualmente se autentican dispositivos con independencia del inicio de sesión del usuario, esta diferencia debe tratarse como una decisión de arquitectura.

Por ejemplo, un portátil gestionado puede necesitar acceso a la red antes de que el usuario inicie sesión. Las impresoras y otros dispositivos sin una identidad de usuario adecuada tampoco encajan automáticamente en el mismo proceso. Para estos requisitos, una solución RADIUS o NAC apropiada sigue siendo una posible alternativa. La guía de AP6 para RADIUS externo y Wi-Fi Enterprise describe esta vía de configuración independiente.

MFA y Conditional Access no son funciones Wi-Fi automáticas

Que una cuenta de Entra active una solicitud de MFA en Microsoft 365 no demuestra que TTLS/PAP admita ese mismo comportamiento. El proceso Wi-Fi no ofrece un diálogo interactivo de Microsoft en el navegador. Por tanto, una comprobación correcta de la contraseña no equivale a una autenticación MFA confirmada.

La guía de Sophos consultada no ofrece una garantía completa de compatibilidad para MFA, Conditional Access, cuentas sin contraseña, cuentas de invitado e identidades federadas. Los casos previstos deben probarse con las políticas realmente aplicadas en el tenant. Si la autenticación falla debido a un requisito de seguridad, conviene aclarar primero con Sophos qué proceso se admite, en lugar de relajar de forma general la política de protección.

Sin VLAN dinámicas, Accounting ni backend de portal cautivo

Sophos excluye tres funciones de este proceso Fusion RADIUS/Entra:

• RADIUS-assigned VLAN: No permite la asignación dinámica de VLAN mediante este servicio.
• RADIUS Accounting: No ofrece la función de Accounting mediante este servicio.
• Captive Portal backend authentication: No permite utilizarlo como backend de autenticación de un portal cautivo.

Si, por ejemplo, se asignan empleados a distintas VLAN mediante una política RADIUS, no es posible sustituir sin más el servicio existente por el IdP de Entra. La limitación afecta a la asignación dinámica, no al uso de una VLAN planificada de forma estática para un SSID. Sigue siendo necesario un diseño de SSID y VLAN específico para que el cliente autenticado solo pueda acceder a las redes previstas.

Varios SSID Enterprise requieren revisar las bandas de frecuencia

La interfaz gestiona las selecciones de RADIUS por SSID. Sin embargo, Sophos documenta una sola configuración de servidor RADIUS por banda de frecuencia en AP6. Otro SSID Enterprise con un servidor distinto puede sobrescribir la selección existente si utiliza una banda coincidente.

Por ello, un SSID de prueba adicional en un AP en producción no queda automáticamente aislado de la configuración existente. Antes de asignarlo, deben revisarse todos los SSID Enterprise, las bandas de frecuencia y las fuentes de autenticación. Para una primera prueba, un AP piloto independiente es una opción más fácil de controlar. Sophos describe este comportamiento y la interrupción que se produce al guardar en los ajustes de SSID.

Configuración y validación en la práctica

La configuración conecta tres elementos: la aplicación de Entra ID, el objeto IdP de Sophos Fusion y el perfil Wi-Fi del cliente. En Fusion, la ruta de acceso es My Products > Wireless > SSIDs > RADIUS > Add > Add external identity provider. Allí se introducen los valores de Entra preparados, se comprueban con Test connection y se guardan. A continuación, se asigna el IdP a un SSID Enterprise de AP6.

Test connection es una comprobación preliminar, no una validación completa del Wi-Fi. Solo una autenticación real de un cliente permite comprobar la interacción entre el perfil EAP y la identidad del usuario. Después también deben funcionar la asignación de direcciones IP, DHCP, DNS y el acceso permitido a la red.

Para una prueba piloto se recomiendan las siguientes comprobaciones:

1. Seleccionar un AP y un SSID cuya modificación no afecte a la autenticación existente.
2. Autenticarse con una cuenta de prueba normal y los perfiles de cliente previstos. La confianza en el servidor debe funcionar sin aceptar certificados que no se hayan verificado.
3. Probar todos los tipos de dispositivo y las políticas de identidad previstos, incluida una prueba negativa controlada con una cuenta de prueba desactivada. Bloquear una cuenta no necesariamente termina de inmediato una sesión Wi-Fi ya establecida; deben evaluarse por separado la nueva autenticación y la sesión en curso.
4. Comprobar la asignación de direcciones, DNS, los destinos permitidos y la separación de redes prevista. Volver a probar los SSID existentes después de los cambios.
5. Incorporar más AP solo después de documentar resultados satisfactorios. Incluir en el plan operativo la renovación del secreto, los cambios en las políticas de Entra y el comportamiento cuando no sea posible acceder a la nube.

Para las empresas que ya gestionan sus usuarios en Entra ID y no necesitan funciones RADIUS avanzadas, la integración de AP6 puede simplificar la infraestructura Wi-Fi. Pero la comparación decisiva es con el concepto de acceso existente: ¿Qué identidades se comprueban, qué dispositivos deben funcionar y qué reglas deben conservarse al realizar el cambio? Estas preguntas deben responderse antes de desactivar un servicio de autenticación local.

Preguntas frecuentes