Sieć Wi-Fi z loginem i hasłem (WPA3-Enterprise)
Ten artykuł jest kontynuacją serii o tworzeniu sieci Wi-Fi w oparciu o rozwiązania Aruby. Pokażę, jak skonfigurować sieć Wi-Fi zabezpieczoną WPA3-Enterprise z uwierzytelnianiem nazwą użytkownika i hasłem. Tego typu sieć nazywa się również pracowniczą albo firmową/korporacyjną, jeśli trafisz na takie nazwy, to z pewnością chodzi o uwierzytelnianie nazwą użytkownika i hasłem, albo automatycznie certyfikatem z karty inteligentnej, bo taki scenariusz w sieciach korporacyjnych też jest możliwy. Tutaj skupimy się w najprostszym podstawowym scenariuszu, czyli loginie i haśle.
Jeśli chcesz obejrzeć instrukcję video – kliknij 🙂
Co już musisz mieć
- Środowisko kontrolerowe Aruby, czyli Mobility Conductor z Mobility Controllerem
- Serwer RADIUS, np. Aruba ClearPass
- Access Point działający w trybie CAP lub RAP
Ze względu na wymagania stawiane przez WPA3-Enterprise nie można autoryzować się wykorzystując lokalną bazę użytkowników na kontrolerze, tak jak to było w WPA2-Enterprise. Wymagany jest w tym przypadku zewnętrzny RADIUS.
Konfiguracja ClearPass Policy Managera
- Przejdź do pozycji Configuration > Service Templates & Wizards.
- W oknie po prawej stronie wybierz Aruba 802.1X Wireless
- Otworzy się kreator dodawania usługi na podstawie szablonu. Podaj dowolną, ale łatwą do późniejszego znalezienia nazwę prefiksu usługi i naciśnij Next.
- W kolejnym kroku, z listy rozwijanej wybierz [Local User Repository] i naciśnij Next. Ta pozycja oznacza, że autoryzacja będzie się odbywać z wykorzystaniem poświadczeń w bazie użytkowników zlokalizowanej na ClearPassie.
- Kolejnym etapem będzie ograniczenie urządzeń sieci jakie mają mieć możliwość korzystania z tworzonej usługi. Wystarczy zaznaczyć Enable RADIUS Dynamic Authorization i nacisnąć Next.
- Pomiń zakładkę Posture Settings naciskając ponownie Next.
- W zakładce Enforcement Details wypełnij dowolnie pierwszy wiersz i jako domyślną politykę wpisz deny. Po wypełnieniu formularza naciśnij Add Service.
- Wyświetli się lista usług. Dodana przed chwilą usługa będzie ostatnia na liście i na początku nazwy będzie miała zdefiniowany prefiks. Kliknij na tę nazwę.
- Przejdź do zakładki Enforcement. Na liście rozwijanej Enforcement Policy wybierz politykę [Sample Allow Access Policy] i naciśnij Save.
- Dodaj użytkowników sieci w ustawieniach Configuration > Identity > Local Users.
- Przejdź do ustawień Configuration > Network > Devices w celu dodania Mobility Controllera do listy urządzeń sieciowych mogących kontaktować się z ClearPassem.
- Naciśnij Add i wypełnij formularz według wzoru
W formularzu podaj dowolną nazwę urządzenia, wskaż komunikacyjny adres IP urządzenia (interfejs management), podaj klucz współdzielony do komunikacji RADIUS i włącz dynamiczną autoryzację RADIUS.
Konfiguracja kontrolera
- Przejdź do katalogu konfiguracyjnego kontrolera, następnie do ustawień Configuration > Authentication.
- Pozostając w karcie Auth Servers kliknij symbol
znajdujący się w tabeli Server Groups.
- W wyświetlonym oknie wpisz dowolną nazwę grupy serwerów i naciśnij
.
- Zaznacz utworzoną przed chwilą grupę serwerów i naciśnij w tabeli poniżej w celu dodania nowego serwera do grupy.
- Wyświetli się formularz dodawania serwera do grupy. Wybierz Add new server, podaj nazwę widoczną na kontrolerze, podaj jego adres IP i naciśnij .
- W tabeli poniżej wybierz dodany przed chwilą serwer w celu zdefiniowania klucza współdzielonego RADIUS.
- W polach Shared key i Retype key wprowadź klucz, który został dodany na ClearPassie w puncie 12 konfiguracji ClearPassa i naciśnij .
- Naciśnij
a następnie 
. - Będąc nadal w kontekście katalogu konfiguracyjnego kontrolera przejdź do ustawień Configuration > WLANs i naciśnij w celu dodania nowej sieci WLAN.
- W wyświetlonym kreatorze podaj nazwę sieci Wi-Fi pod jaką się będzie rozgłaszała, wybierz AP grupy w jakich ma być rozgłaszana i naciśnij
.
- W kolejnym kroku wskaż VLAN do jakiego ma zostać przypisany klient po poprawnym zalogowaniu się do sieci. Instrukcję dodawania VLANu znajdziesz w artykule Sieć Wi-Fi z hasłem współdzielonym (WPA3-SAE). Po wybraniu VLANu naciśnij .
- Kolejnym etapem będzie ustawienie zabezpieczeń. Domyślnie jest już wybrany poziom Enterprise z zabezpieczeniem WPA3-Enterprise. Pozostaje nacisnąć tylko ikonę i wybrać dodany w kroku 5 serwer autoryzacji RADIUS. Po dokonaniu wyboru naciśnij .
- W ostatnim kroku kreatora wybierz rolę domyślną authenticated i naciśnij
.
- Wyświetli się ostrzeżenie dotyczące kompatybilności z WPA3. Naciśnij OK.
- Pozostaje tylko zastosować zmiany klikając na i .
Test połączenia
Przy próbie połączenia z siecią Wi-Fi powinien wyświetlić się formularz z prośbą o uwierzytelnienie loginem i hasłem.
Przed ostatecznym zalogowaniem się do sieci i przekazaniem poświadczeń może zostać wyświetlona dodatkowa prośba o potwierdzenie połączenia. Dzieje się tak, gdy ClearPass lub inny serwer autoryzacji (RADIUS) ma samopodpisany certyfikat lub certyfikat z niezaufanego CA.