Sophos AP6: logowanie do Wi-Fi przez Microsoft Entra ID

Wiele firm zarządza już swoimi użytkownikami w Microsoft Entra ID. Do firmowej sieci Wi-Fi nadal jednak utrzymuje osobny serwer uwierzytelniania, czasem wraz z lokalnym Active Directory, które poza tym jest już rzadko potrzebne. Właśnie ten problem rozwiązuje nowa możliwość logowania do Wi-Fi przez Microsoft Entra ID w Sophos AP6: istniejące tożsamości w chmurze można wykorzystać także do dostępu do sieci bezprzewodowej.

Sophos wprowadził tę funkcję w AP6 MR10, wersja 1.10.3192. Konfiguruje się ją w Sophos Fusion Wireless, czyli na platformie zarządzania, która wcześniej nosiła nazwę Sophos Central. Omówienie Sophos Fusion wyjaśnia zmianę nazwy i relację z istniejącymi produktami.

Nowa funkcja może ograniczyć potrzebę utrzymywania lokalnej infrastruktury. To, czy zastąpi dotychczasowe uwierzytelnianie Wi-Fi, zależy jednak od używanych urządzeń, zasad zarządzania tożsamościami i wymaganych funkcji sieciowych. Szczególnie przy uwierzytelnianiu urządzeń za pomocą certyfikatów lub dynamicznym przypisywaniu sieci VLAN warto dokładnie przeanalizować sytuację przed zmianą.

Co zmienia się w dostępie do Wi-Fi

Wspólne hasło do Wi-Fi można szybko udostępnić, ale trudno nim zarządzać w codziennej pracy. Gdy pracownik odchodzi z firmy, hasło nadal pozostaje znane jego urządzeniom. Zmiana hasła dotyczy z kolei wszystkich pozostałych urządzeń. Sieć Wi-Fi w trybie Enterprise umożliwia natomiast dostęp na podstawie indywidualnych tożsamości.

W nowej integracji AP6 Microsoft Entra ID pełni rolę dostawcy tożsamości, w skrócie IdP. Ten mechanizm nie wymaga własnego lokalnego serwera RADIUS ani NPS. RADIUS to usługa, której klasyczne sieci Wi-Fi Enterprise często używają do sprawdzania danych logowania i przypisywania reguł dostępu.

Komunikat Sophos o MR10 wyraźnie przedstawia tę integrację jako sposób na uniknięcie lokalnej infrastruktury uwierzytelniania. To interesująca opcja dla firmy korzystającej z tożsamości w chmurze i mającej niezbyt rozbudowane wymagania wobec Wi-Fi. Samo konto Entra nie gwarantuje jednak poprawnego logowania na każdym urządzeniu.

Wymagania dla Sophos AP6 i Microsoft Entra ID

Zarządzanie, firmware i licencja

Potrzebne są punkty dostępowe AP6 zarządzane w Sophos Fusion oraz firmware obsługujący integrację z Entra. MR10 to wersja, w której Sophos wprowadził tę funkcję. Przy nowej instalacji należy sprawdzić aktualnie dopuszczoną wersję firmware, zamiast wybierać starszą wersję wyłącznie ze względu na tę funkcję. Instrukcja aktualizacji firmware AP6 opisuje przygotowanie i weryfikację etapowego wdrożenia.

Każdy centralnie zarządzany AP6 wymaga ważnej AP6 Support and Services Subscription. Obejmuje ona między innymi zarządzanie przez Sophos Fusion i aktualizacje firmware. Lokalny interfejs WWW AP6 nie zastępuje tej integracji z chmurą. Przegląd zarządzania AP6 i licencjonowania wyjaśnia te różnice.

Dostawcy tożsamości utworzeni centralnie w ramach tego mechanizmu są przeznaczeni dla SSID na AP6. Obsługa AP6 nie stanowi potwierdzenia analogicznego wsparcia dla APX ani sieci Wi-Fi zarządzanej przez Sophos Firewall. Sophos dokumentuje ten zakres na stronie dotyczącej RADIUS.

Tenant Entra i rejestracja aplikacji

Użytkownicy, którzy mają korzystać z tego rozwiązania, muszą istnieć w Entra ID. Potrzebna jest też rejestracja aplikacji dla własnego tenantu, zweryfikowana domena niestandardowa oraz uprawnienie do udzielenia wymaganej zgody administratora, czyli Admin Consent.

Do połączenia potrzebne są Client ID, Tenant ID, nazwa domeny i Client Secret. Sophos wskazuje uprawnienia Microsoft Graph Domain.Read.All typu Application i User.Read typu Delegated. Analizowana instrukcja konfiguracji nie wymienia dodatkowego wymogu posiadania Entra ID P1 lub P2; wymagania licencyjne wynikające z własnych zasad zarządzania tożsamościami należy sprawdzić osobno.

Należy wyznaczyć osobę odpowiedzialną za Client Secret i zaplanować termin jego odnowienia. Poprawna konfiguracja pierwszego dnia nie wystarczy, jeśli później nikt nie monitoruje daty wygaśnięcia. Pełną konfigurację opisuje instrukcja KB uwierzytelniania AP6 przez Entra ID.

Odpowiednie profile Wi-Fi na urządzeniach końcowych

W tej integracji Sophos obsługuje wyłącznie EAP-TTLS z PAP jako wewnętrzną metodą uwierzytelniania. Dla Windows i Android producent wymaga trybu SSID WPA2/WPA3 Enterprise, ponieważ udokumentowana kombinacja TTLS/PAP nie jest tam obsługiwana w trybie wyłącznie WPA3 Enterprise. Urządzenia Apple wymagają zainstalowanego profilu Wi-Fi z TTLS i PAP; Sophos wskazuje w tym celu Apple Configurator.

Wymagania te pochodzą z instrukcji Sophos dotyczącej konfiguracji Entra ID. Przy zróżnicowanej flocie urządzeń warto wcześniej przygotować niewielką tabelę zgodności: urządzenie, wersja systemu operacyjnego, profil Wi-Fi i wynik testowego logowania. Udany test na Windows nie mówi jeszcze nic o telefonie z Androidem ani o komputerze Mac.

EAP-TTLS/PAP: dlaczego zaufanie do certyfikatu jest ważne

EAP-TTLS tworzy tunel TLS. Wewnątrz tego chronionego tunelu hasło jest sprawdzane za pomocą PAP. Bezpieczeństwo zależy więc w istotnym stopniu od tego, czy klient wiarygodnie weryfikuje tożsamość serwera uwierzytelniania.

Jeśli sprawdzanie certyfikatu jest wyłączone lub nieznany certyfikat zostaje zaakceptowany bez weryfikacji, urządzenie może przekazać dane logowania fałszywemu serwerowi. Microsoft wyjaśnia to ryzyko w dokumentacji EAP i weryfikacji certyfikatów serwera.

W zarządzanym środowisku profile Wi-Fi powinny określać zatwierdzony łańcuch zaufania oraz oczekiwaną tożsamość serwera. Wartości muszą odpowiadać rzeczywistemu środowisku i zostać ustalone przed wdrożeniem. Powracające monity o akceptację certyfikatu nie oznaczają prawidłowego zakończenia konfiguracji, lecz są powodem do sprawdzenia profilu.

Nie należy też zakładać automatycznego użycia danych logowania do Windows. Microsoft dokumentuje odpowiednią opcję EAP-TTLS dla MS-CHAP v2, ale nie dla PAP. Ta integracja nie daje więc automatycznie potwierdzonej gwarancji SSO do Wi-Fi na urządzeniu Windows dołączonym do Entra.

Ograniczenia istotne przed migracją

Hasło użytkownika zamiast uwierzytelniania urządzenia certyfikatem

Udokumentowany mechanizm TTLS/PAP wykorzystuje hasło. Nie zastępuje istniejącego uwierzytelniania EAP-TLS za pomocą certyfikatów urządzeń. Jeżeli obecnie urządzenia są uwierzytelniane niezależnie od logowania użytkownika, różnicę tę należy potraktować jako decyzję architektoniczną.

Zarządzany notebook może na przykład potrzebować dostępu do sieci jeszcze przed zalogowaniem użytkownika. Również drukarki i inne urządzenia bez odpowiedniej tożsamości użytkownika nie pasują automatycznie do tego samego mechanizmu. Przy takich wymaganiach odpowiednie rozwiązanie RADIUS lub NAC pozostaje możliwą alternatywą. Instrukcja AP6 dotycząca zewnętrznego RADIUS i Wi-Fi Enterprise opisuje osobną ścieżkę konfiguracji.

MFA i Conditional Access nie są automatycznymi funkcjami Wi-Fi

Konto Entra, które wywołuje żądanie MFA w Microsoft 365, nie potwierdza takiej obsługi w TTLS/PAP. Mechanizm logowania do Wi-Fi nie udostępnia interaktywnego okna Microsoft w przeglądarce. Poprawne sprawdzenie hasła nie jest więc równoznaczne z potwierdzonym logowaniem z MFA.

Analizowana instrukcja Sophos nie zawiera pełnego potwierdzenia zgodności dla MFA, Conditional Access, kont bezhasłowych, kont gości ani tożsamości federacyjnych. Planowane scenariusze trzeba sprawdzić z faktycznie obowiązującymi zasadami tenantu. Jeżeli logowanie nie powiedzie się z powodu wymogu bezpieczeństwa, należy najpierw wyjaśnić z Sophos obsługiwany mechanizm, zamiast ogólnie łagodzić zasady ochrony.

Brak dynamicznych VLAN, Accounting i zaplecza Captive Portal

Sophos wyklucza trzy funkcje w tym mechanizmie Fusion RADIUS/Entra:

• RADIUS-assigned VLAN: brak dynamicznego przypisywania VLAN przez tę usługę.
• RADIUS Accounting: brak funkcji Accounting przez tę usługę.
• Captive Portal backend authentication: brak możliwości użycia jako zaplecza uwierzytelniania dla Captive Portal.

Jeżeli pracownicy są na przykład przypisywani do różnych VLAN na podstawie zasad RADIUS, istniejącej usługi nie można po prostu zastąpić dostawcą Entra IdP. Ograniczenie dotyczy dynamicznego przypisywania, a nie samej możliwości zaplanowania statycznego VLAN dla SSID. Nadal potrzebny jest osobny projekt SSID i VLAN, aby zalogowany klient mógł dotrzeć wyłącznie do przewidzianych sieci.

Wiele SSID Enterprise wymaga sprawdzenia pasm częstotliwości

Interfejs pozwala wybierać RADIUS dla poszczególnych SSID. Jednocześnie Sophos dokumentuje dla AP6 tylko jedną konfigurację serwera RADIUS na pasmo częstotliwości. Kolejny SSID Enterprise z innym serwerem może nadpisać istniejący wybór w pokrywającym się paśmie.

Dodatkowy testowy SSID na produkcyjnym AP nie jest więc automatycznie odizolowany od dotychczasowej konfiguracji. Przed przypisaniem należy sprawdzić wszystkie SSID Enterprise, pasma częstotliwości i źródła uwierzytelniania. Do pierwszego testu osobny pilotażowy AP będzie łatwiejszy do kontrolowania. Sophos opisuje to zachowanie i przerwę podczas zapisywania w ustawieniach SSID.

Konfiguracja i odbiór w praktyce

Konfiguracja łączy trzy elementy: aplikację w Entra ID, obiekt IdP w Sophos Fusion oraz profil Wi-Fi na kliencie. W Fusion punktem wyjścia jest My Products > Wireless > SSIDs > RADIUS > Add > Add external identity provider. W tym miejscu wprowadza się przygotowane wartości Entra, sprawdza je za pomocą Test connection i zapisuje. Następnie IdP przypisuje się do SSID Enterprise na AP6.

Test connection to weryfikacja wstępna, a nie pełny odbiór sieci Wi-Fi. Dopiero rzeczywiste logowanie klienta sprawdza współdziałanie profilu EAP i tożsamości użytkownika. Następnie muszą jeszcze działać adresacja IP, DHCP, DNS oraz dozwolony dostęp do sieci.

W pilotażu warto przeprowadzić następujące kontrole:

1. Wybrać AP i SSID, których zmiana nie wpłynie na istniejące uwierzytelnianie.
2. Zalogować się zwykłym kontem testowym i z użyciem przewidzianych profili klientów. Zaufanie do serwera musi działać bez akceptowania nieweryfikowanego certyfikatu.
3. Przetestować wszystkie przewidziane typy urządzeń i zasady zarządzania tożsamościami, w tym kontrolowany test negatywny z wyłączonym kontem testowym. Zablokowanie konta nie musi natychmiast kończyć istniejącej sesji Wi-Fi; nowe logowanie i trwającą sesję należy oceniać osobno.
4. Sprawdzić adresację, DNS, dozwolone cele oraz planowaną separację sieci. Po zmianach ponownie przetestować istniejące SSID.
5. Dodawać kolejne AP dopiero po udokumentowanym sukcesie. Uwzględnić w planie eksploatacji odnowienie Client Secret, zmiany zasad Entra i zachowanie przy braku łączności z chmurą.

Dla firm, które już zarządzają użytkownikami w Entra ID i nie potrzebują zaawansowanych funkcji RADIUS, integracja AP6 może uprościć infrastrukturę Wi-Fi. Najważniejsze jest jednak porównanie z dotychczasowym modelem dostępu: Jakie tożsamości są sprawdzane, które urządzenia muszą działać i których reguł nie wolno utracić podczas zmiany? Na te pytania należy odpowiedzieć przed wyłączeniem lokalnej usługi uwierzytelniania.

Częste pytania