Sophos AP6: autenticação Wi-Fi com Microsoft Entra ID

Muitas empresas já gerem os seus utilizadores no Microsoft Entra ID. No entanto, continuam a manter um servidor de autenticação próprio para o Wi-Fi empresarial, por vezes em conjunto com um Active Directory local que já quase não é necessário para outros fins. É precisamente neste cenário que surge a nova autenticação Wi-Fi com Microsoft Entra ID para Sophos AP6: as identidades existentes na cloud também podem ser utilizadas para aceder à rede sem fios.

A Sophos introduziu esta função com o AP6 MR10, versão 1.10.3192. A configuração é feita no Sophos Fusion Wireless, a plataforma de gestão anteriormente denominada Sophos Central. O artigo de contextualização do Sophos Fusion explica a mudança de nome e a relação com os produtos existentes.

Esta novidade pode reduzir a infraestrutura local. Mas a possibilidade de substituir uma solução de autenticação Wi-Fi existente depende dos dispositivos utilizados, das políticas de identidade e das funções de rede necessárias. Sobretudo quando se utilizam certificados para autenticar dispositivos ou VLANs dinâmicas, vale a pena analisar os requisitos antes da migração.

O que muda no acesso Wi-Fi

Uma palavra-passe Wi-Fi partilhada é fácil de distribuir, mas difícil de gerir no dia a dia. Quando alguém sai da empresa, a palavra-passe continua guardada nos seus dispositivos. Por sua vez, uma alteração afeta todos os restantes dispositivos. Uma rede Wi-Fi Enterprise permite, em alternativa, o acesso com base em identidades individuais.

Na nova integração AP6, o Microsoft Entra ID é integrado como fornecedor de identidade, ou IdP. Este processo não exige um servidor RADIUS ou NPS local próprio. O RADIUS é o serviço frequentemente utilizado nas redes Wi-Fi Enterprise tradicionais para verificar credenciais e atribuir regras de acesso.

O anúncio do MR10 da Sophos apresenta expressamente esta integração como uma forma de evitar infraestrutura de autenticação local. É uma opção interessante para empresas com identidades na cloud e requisitos Wi-Fi relativamente simples. Contudo, uma conta Entra, por si só, não garante uma autenticação bem-sucedida em todos os dispositivos.

Requisitos do Sophos AP6 e do Microsoft Entra ID

Gestão, firmware e licença

São necessários pontos de acesso AP6 geridos no Sophos Fusion, bem como firmware que suporte a integração Entra. O MR10 é a versão com que a Sophos introduziu a função. Para uma instalação nova, deve verificar-se a versão de firmware atualmente aprovada, em vez de escolher uma versão mais antiga apenas por causa desta função. O guia de atualizações de firmware AP6 descreve a preparação e a verificação de uma implementação faseada.

Cada AP6 gerido centralmente necessita de uma AP6 Support and Services Subscription válida. Esta inclui, entre outras funcionalidades, a gestão através do Sophos Fusion e as atualizações de firmware. A interface Web local de um AP6 não substitui esta integração na cloud. A visão geral da gestão e do licenciamento AP6 explica as diferenças.

Os fornecedores de identidade criados centralmente para este processo destinam-se a SSIDs AP6. O suporte AP6 não permite concluir que existe suporte equivalente para APX ou para uma rede Wi-Fi gerida pelo Sophos Firewall. A Sophos documenta este âmbito na página RADIUS.

Tenant Entra e registo de aplicação

Os utilizadores previstos têm de existir no Entra ID. Além disso, são necessários um registo de aplicação para o próprio tenant, um domínio personalizado verificado e permissão para conceder o consentimento de administrador necessário.

A ligação requer Client ID, Tenant ID, nome de domínio e Client Secret. A Sophos indica as permissões Microsoft Graph Domain.Read.All do tipo Application e User.Read do tipo Delegated. O guia de configuração consultado não menciona a obrigatoriedade de uma licença adicional Entra ID P1 ou P2; os requisitos de licenciamento das políticas de identidade da própria organização têm de ser verificados separadamente.

O Client Secret precisa de um responsável e de uma data de renovação planeada. Uma configuração funcional no primeiro dia não é suficiente se, mais tarde, ninguém acompanhar a data de expiração. A configuração completa está descrita no guia da base de conhecimento para autenticação AP6 com Entra ID.

Perfis Wi-Fi adequados nos dispositivos

Para esta integração, a Sophos suporta exclusivamente EAP-TTLS com PAP como método de autenticação interna. Para Windows e Android, o fabricante exige o modo de SSID WPA2/WPA3 Enterprise, uma vez que a combinação TTLS/PAP documentada não é suportada nestes sistemas com WPA3 Enterprise puro. Os dispositivos Apple necessitam de um perfil Wi-Fi instalado com TTLS e PAP; a Sophos remete para o Apple Configurator para esse efeito.

Estas especificações constam do guia de configuração Entra ID da Sophos. Numa frota de dispositivos heterogénea, deve preparar-se uma pequena matriz de compatibilidade: dispositivo, versão do sistema operativo, perfil Wi-Fi e resultado do teste de autenticação. Um teste bem-sucedido em Windows não permite tirar conclusões sobre um telefone Android ou um Mac.

EAP-TTLS/PAP: porque é importante confiar no certificado

O EAP-TTLS estabelece um túnel TLS. Dentro deste túnel protegido, a palavra-passe é verificada através de PAP. Por isso, a segurança depende em grande medida de o cliente verificar de forma fiável a identidade do servidor de autenticação.

Se a verificação do certificado for desativada ou se um certificado desconhecido for aceite sem validação, o dispositivo poderá transmitir credenciais a um servidor falso. A Microsoft explica este risco na documentação sobre EAP e a verificação de certificados de servidor.

Numa operação gerida, os perfis Wi-Fi devem especificar a cadeia de confiança aprovada e a identidade esperada do servidor. Os valores têm de corresponder ao ambiente real e ser definidos antes da implementação. Pedidos recorrentes de confirmação de certificados não representam uma configuração concluída normalmente: são um motivo para rever o perfil.

Também não se deve pressupor a utilização automática das credenciais de início de sessão do Windows. A Microsoft documenta a opção correspondente de EAP-TTLS para MS-CHAP v2, mas não para PAP. Esta integração não garante, portanto, automaticamente SSO para o Wi-Fi num dispositivo Windows associado ao Entra ID.

Limitações a considerar antes da migração

Palavra-passe do utilizador em vez de autenticação de dispositivos por certificado

O processo TTLS/PAP documentado utiliza uma palavra-passe. Não substitui uma autenticação EAP-TLS existente com certificados de dispositivo. Quem atualmente autentica dispositivos independentemente do início de sessão do utilizador deve tratar esta diferença como uma decisão de arquitetura.

Por exemplo, um portátil gerido pode precisar de acesso à rede antes do início de sessão do utilizador. Impressoras e outros dispositivos sem uma identidade de utilizador adequada também não se enquadram automaticamente no mesmo processo. Para estes requisitos, uma solução RADIUS ou NAC adequada continua a ser uma alternativa possível. O guia AP6 para RADIUS externo e Wi-Fi Enterprise descreve esse caminho de configuração separado.

MFA e Conditional Access não são funções Wi-Fi automáticas

Uma conta Entra que desencadeia um pedido de MFA no Microsoft 365 não comprova esse suporte para TTLS/PAP. O processo Wi-Fi não apresenta uma janela interativa de autenticação Microsoft no browser. Uma verificação bem-sucedida da palavra-passe não equivale, por isso, a uma autenticação MFA confirmada.

O guia Sophos consultado não contém uma garantia completa de compatibilidade para MFA, Conditional Access, contas sem palavra-passe, contas de convidado e identidades federadas. Os casos previstos têm de ser testados com as políticas efetivamente aplicáveis no tenant. Se a autenticação falhar devido a um requisito de segurança, deve primeiro esclarecer-se o processo suportado com a Sophos, em vez de flexibilizar indiscriminadamente a política de proteção.

Sem VLANs dinâmicas, Accounting ou backend de Captive Portal

A Sophos exclui três funções deste processo Fusion RADIUS/Entra:

• RADIUS-assigned VLAN: sem atribuição dinâmica de VLAN através deste serviço.
• RADIUS Accounting: sem função de Accounting através deste serviço.
• Captive Portal backend authentication: sem utilização como backend de autenticação de um Captive Portal.

Quem, por exemplo, atribui colaboradores a diferentes VLANs através de uma política RADIUS não pode simplesmente substituir o serviço existente pelo IdP Entra. A limitação diz respeito à atribuição dinâmica, não a uma VLAN estática planeada para uma SSID. Continua a ser necessário um desenho de SSIDs e VLANs específico, para garantir que o cliente autenticado só acede às redes previstas.

Várias SSIDs Enterprise exigem uma análise das bandas de frequência

A interface gere as seleções RADIUS por SSID. Ao mesmo tempo, a Sophos documenta apenas uma configuração de servidor RADIUS por banda de frequência para AP6. Uma SSID Enterprise adicional com outro servidor pode substituir a seleção existente numa banda sobreposta.

Uma SSID de teste adicional num AP de produção não está, por isso, automaticamente isolada da configuração existente. Antes da atribuição, devem verificar-se todas as SSIDs Enterprise, bandas de frequência e fontes de autenticação. Para o primeiro teste, um AP piloto separado é a opção mais clara. A Sophos descreve este comportamento e a interrupção ao guardar nas definições de SSID.

Configuração e validação na prática

A configuração liga três componentes: a aplicação no Entra ID, o objeto IdP no Sophos Fusion e o perfil Wi-Fi no cliente. No Fusion, o ponto de entrada encontra-se em My Products > Wireless > SSIDs > RADIUS > Add > Add external identity provider. Aí introduzem-se os valores Entra preparados, verifica-se a ligação com Test connection e guarda-se a configuração. Em seguida, atribui-se o IdP a uma SSID AP6 Enterprise.

Test connection é uma verificação preliminar, não uma validação completa do Wi-Fi. Só uma autenticação real de um cliente verifica a interação entre o perfil EAP e a identidade do utilizador. Depois, ainda têm de funcionar o endereçamento IP, DHCP, DNS e o acesso à rede permitido.

Para um projeto piloto, recomendam-se as seguintes verificações:

1. Escolher um AP e uma SSID cuja alteração não afete a autenticação existente.
2. Autenticar com uma conta de teste normal e os perfis de cliente previstos. A confiança no servidor tem de funcionar sem aceitar certificados sem validação.
3. Testar todos os tipos de dispositivo e políticas de identidade previstos, incluindo um teste negativo controlado com uma conta de teste desativada. O bloqueio de uma conta não termina necessariamente de imediato uma sessão Wi-Fi já estabelecida; devem avaliar-se separadamente a nova autenticação e a sessão em curso.
4. Verificar o endereçamento, DNS, destinos permitidos e a separação de redes pretendida. Voltar a testar as SSIDs existentes após alterações.
5. Adicionar mais APs apenas depois de documentar o sucesso dos testes. Incluir no plano de operação a renovação do Secret, as alterações às políticas Entra e o comportamento quando a cloud não está acessível.

Para empresas que já gerem os seus utilizadores no Entra ID e não necessitam de funções RADIUS avançadas, a integração AP6 pode simplificar a infraestrutura Wi-Fi. No entanto, a comparação decisiva é com o modelo de acesso existente: que identidades são verificadas, que dispositivos têm de funcionar e que regras não podem perder-se na migração? Estas questões devem estar respondidas antes de desativar um serviço de autenticação local.

Perguntas frequentes