Sophos AP6: accesso Wi-Fi con Microsoft Entra ID

Molte aziende gestiscono già i propri utenti in Microsoft Entra ID. Per la rete Wi-Fi aziendale, tuttavia, mantengono ancora un server di autenticazione dedicato, talvolta insieme a un Active Directory locale che ormai serve a poco altro. È proprio qui che interviene il nuovo accesso Wi-Fi con Microsoft Entra ID per Sophos AP6: le identità cloud esistenti possono essere utilizzate anche per accedere alla rete wireless.

Sophos ha introdotto la funzione con AP6 MR10, versione 1.10.3192. La configurazione avviene in Sophos Fusion Wireless, la piattaforma di gestione precedentemente chiamata Sophos Central. Il nostro approfondimento su Sophos Fusion spiega il cambio di nome e il rapporto con i prodotti esistenti.

La novità può ridurre l’infrastruttura locale necessaria. La possibilità di sostituire un sistema di autenticazione Wi-Fi esistente dipende però dai dispositivi utilizzati, dai criteri di identità e dalle funzioni di rete richieste. In particolare, in presenza di autenticazione dei dispositivi tramite certificati o di VLAN dinamiche, è opportuno esaminare attentamente questi aspetti prima della migrazione.

Cosa cambia nell’accesso Wi-Fi

Una password Wi-Fi condivisa è facile da distribuire, ma difficile da gestire nell’uso quotidiano. Quando una persona lascia l’azienda, la password rimane memorizzata sui suoi dispositivi. Cambiarla coinvolge invece tutti gli altri dispositivi. Una rete Wi-Fi Enterprise consente l’accesso in base alle singole identità.

Nella nuova integrazione AP6, Microsoft Entra ID viene collegato come provider di identità, abbreviato IdP. Per questo flusso non è necessario un server RADIUS o NPS locale dedicato. RADIUS è il servizio spesso utilizzato dalle reti Wi-Fi Enterprise tradizionali per verificare le credenziali e assegnare le regole di accesso.

L’annuncio di MR10 di Sophos presenta espressamente l’integrazione come un modo per evitare un’infrastruttura di autenticazione locale. È un’opzione interessante per un’azienda che utilizza identità cloud e ha esigenze Wi-Fi relativamente semplici. Un account Entra, tuttavia, non garantisce da solo un accesso riuscito su ogni dispositivo.

Requisiti per Sophos AP6 e Microsoft Entra ID

Gestione, firmware e licenza

Servono access point AP6 gestiti in Sophos Fusion e un firmware che supporti l’integrazione con Entra. MR10 è la versione con cui Sophos ha introdotto la funzione. Per una nuova installazione è opportuno verificare la versione del firmware attualmente approvata, anziché scegliere una versione precedente soltanto per questa funzione. La guida agli aggiornamenti del firmware AP6 descrive la preparazione e la verifica di un rollout graduale.

Ogni AP6 gestito centralmente richiede una AP6 Support and Services Subscription valida. Questa comprende, tra le altre cose, la gestione tramite Sophos Fusion e gli aggiornamenti del firmware. L’interfaccia web locale di un AP6 non sostituisce questa integrazione cloud. La panoramica sulla gestione e sulle licenze AP6 spiega le differenze.

I provider di identità creati centralmente per questo flusso sono destinati agli SSID AP6. Il supporto per AP6 non implica un supporto equivalente per APX o per una rete Wi-Fi gestita da Sophos Firewall. Sophos documenta questo ambito nella pagina dedicata a RADIUS.

Tenant Entra e registrazione dell’app

Gli utenti previsti devono essere presenti in Entra ID. Occorrono inoltre una registrazione dell’app per il proprio tenant, un dominio personalizzato verificato e l’autorizzazione a concedere il consenso amministratore richiesto.

Per la connessione servono Client ID, Tenant ID, nome di dominio e Client Secret. Sophos indica le autorizzazioni Microsoft Graph Domain.Read.All di tipo Application e User.Read di tipo Delegated. La guida alla configurazione esaminata non specifica un ulteriore obbligo di licenza Entra ID P1 o P2; i requisiti di licenza dei propri criteri di identità devono essere verificati separatamente.

Il Client Secret deve avere un responsabile e una data di rinnovo pianificata. Una configurazione funzionante il primo giorno non basta se poi nessuno ne controlla la scadenza. La procedura completa è descritta nella guida KB all’autenticazione AP6 con Entra ID.

Profili Wi-Fi adeguati sui dispositivi

Per questa integrazione Sophos supporta esclusivamente EAP-TTLS con PAP come autenticazione interna. Per Windows e Android, il produttore richiede la modalità SSID WPA2/WPA3 Enterprise, poiché la combinazione TTLS/PAP documentata non è supportata su questi sistemi con la sola modalità WPA3 Enterprise. I dispositivi Apple richiedono un profilo Wi-Fi installato con TTLS e PAP; a questo scopo Sophos rimanda ad Apple Configurator.

Queste indicazioni provengono dalla guida Sophos alla configurazione di Entra ID. In un parco dispositivi eterogeneo è quindi opportuno preparare in anticipo una piccola matrice di compatibilità: dispositivo, versione del sistema operativo, profilo Wi-Fi ed esito dell’accesso di prova. Un test riuscito su Windows non dimostra che funzioneranno anche uno smartphone Android o un Mac.

EAP-TTLS/PAP: perché è importante la verifica del certificato

EAP-TTLS stabilisce un tunnel TLS. All’interno di questo tunnel protetto, la password viene verificata tramite PAP. La sicurezza dipende quindi in misura sostanziale dalla capacità del client di verificare in modo affidabile l’identità del server di autenticazione.

Se la verifica del certificato viene disattivata o un certificato sconosciuto viene accettato senza controlli, il dispositivo potrebbe trasmettere le credenziali a un server falso. Microsoft illustra questo rischio nella documentazione su EAP e sulla verifica del certificato del server.

In un ambiente gestito, i profili Wi-Fi dovrebbero specificare la catena di attendibilità approvata e l’identità del server prevista. I valori devono corrispondere all’ambiente reale ed essere definiti prima del rollout. Le richieste ricorrenti di conferma dei certificati non indicano una configurazione completata correttamente: sono un motivo per verificare il profilo.

Non va data per scontata neppure l’acquisizione automatica delle credenziali di accesso a Windows. Microsoft documenta la relativa opzione EAP-TTLS per MS-CHAP v2, ma non per PAP. Questa integrazione non fornisce quindi automaticamente a un dispositivo Windows aggiunto a Entra una garanzia confermata di SSO per il Wi-Fi.

I limiti da valutare prima di una migrazione

Password utente anziché autenticazione dei dispositivi tramite certificati

Il flusso TTLS/PAP documentato utilizza una password. Non sostituisce un’autenticazione esistente EAP-TLS con certificati dei dispositivi. Chi attualmente autentica i dispositivi indipendentemente dall’accesso di un utente dovrebbe considerare questa differenza una decisione architetturale.

Un notebook gestito, ad esempio, può aver bisogno dell’accesso alla rete già prima dell’accesso dell’utente. Anche stampanti o altri dispositivi privi di un’identità utente adeguata non rientrano automaticamente nello stesso flusso. Per queste esigenze, una soluzione RADIUS o NAC adatta rimane una possibile alternativa. La guida AP6 per RADIUS esterno e Wi-Fi Enterprise descrive il percorso di configurazione separato.

MFA e Conditional Access non sono funzioni Wi-Fi automatiche

Un account Entra che richiede MFA per Microsoft 365 non dimostra che la stessa funzionalità sia supportata per TTLS/PAP. Il flusso Wi-Fi non offre una finestra Microsoft interattiva nel browser. Una verifica riuscita della password non equivale quindi a un’autenticazione MFA confermata.

Per MFA, Conditional Access, account senza password, account guest e identità federate, la guida Sophos esaminata non contiene una garanzia completa di compatibilità. I casi previsti devono essere verificati con i criteri effettivamente applicati nel tenant. Se l’accesso fallisce a causa di un requisito di sicurezza, occorre prima chiarire con Sophos quale flusso sia supportato, anziché allentare indiscriminatamente il criterio di protezione.

Nessuna VLAN dinamica, nessun accounting, nessun backend per captive portal

Sophos esclude tre funzioni per questo flusso Fusion RADIUS/Entra:

• RADIUS-assigned VLAN: nessuna assegnazione dinamica delle VLAN tramite questo servizio.
• RADIUS Accounting: nessuna funzione di accounting tramite questo servizio.
• Captive Portal backend authentication: nessun utilizzo come backend di autenticazione di un captive portal.

Chi, ad esempio, assegna i dipendenti a VLAN diverse in base a un criterio RADIUS non può semplicemente sostituire il servizio esistente con l’IdP Entra. Il limite riguarda l’assegnazione dinamica, non in generale una VLAN pianificata staticamente per un SSID. Rimane necessario un progetto separato per SSID e VLAN, affinché il client autenticato raggiunga soltanto le reti previste.

Più SSID Enterprise richiedono una verifica delle bande di frequenza

L’interfaccia gestisce la selezione RADIUS per ciascun SSID. Allo stesso tempo, Sophos documenta per AP6 una sola configurazione del server RADIUS per banda di frequenza. Un ulteriore SSID Enterprise con un server diverso può sovrascrivere la selezione esistente su una banda condivisa.

Un SSID di prova aggiuntivo su un AP in produzione non è quindi automaticamente isolato dalla configurazione esistente. Prima dell’assegnazione, occorre verificare tutti gli SSID Enterprise, le bande di frequenza e le fonti di autenticazione. Per una prima prova, un AP pilota separato è la scelta più semplice da gestire. Sophos descrive questo comportamento e l’interruzione durante il salvataggio nelle impostazioni SSID.

Configurazione e verifica operativa

La configurazione collega tre elementi: l’app in Entra ID, l’oggetto IdP in Sophos Fusion e il profilo Wi-Fi sul client. In Fusion, il punto di partenza è My Products > Wireless > SSIDs > RADIUS > Add > Add external identity provider. Qui si inseriscono i valori Entra preparati, si verificano con Test connection e si salvano. Successivamente, l’IdP viene assegnato a un SSID Enterprise AP6.

Test connection è una verifica preliminare, non un collaudo completo della rete Wi-Fi. Solo un accesso reale del client verifica l’interazione tra il profilo EAP e l’identità utente. Devono poi funzionare anche l’indirizzamento IP, DHCP, DNS e l’accesso consentito alla rete.

Per una prova pilota sono consigliate le seguenti verifiche:

1. Scegliere un AP e un SSID la cui modifica non interferisca con l’autenticazione esistente.
2. Accedere con un normale account di prova e i profili client previsti. La verifica dell’attendibilità del server deve funzionare senza accettare certificati non verificati.
3. Provare tutti i tipi di dispositivi e i criteri di identità previsti, includendo un test negativo controllato con un account di prova disabilitato. Il blocco di un account non interrompe necessariamente subito una sessione Wi-Fi già attiva; valutare separatamente un nuovo accesso e una sessione in corso.
4. Verificare l’indirizzamento, DNS, le destinazioni consentite e la separazione prevista delle reti. Ripetere i test sugli SSID esistenti dopo le modifiche.
5. Aggiungere altri AP soltanto dopo un esito positivo documentato. Includere nel piano operativo il rinnovo del secret, le modifiche ai criteri Entra e il comportamento in caso di mancata raggiungibilità del cloud.

Per le aziende che gestiscono già i propri utenti in Entra ID e non necessitano di funzioni RADIUS avanzate, l’integrazione AP6 può semplificare l’infrastruttura Wi-Fi. Il confronto decisivo riguarda però il modello di accesso attuale: quali identità vengono verificate, quali dispositivi devono funzionare e quali regole non devono andare perse durante la migrazione? Queste domande dovrebbero trovare risposta prima di disattivare un servizio di autenticazione locale.

Domande frequenti