Accesso guest, BYOD e contractor senza rimpianti

Il Wi-Fi guest è il luogo dove le buone architetture di sicurezza vanno a essere silenziosamente smantellate. Lo schema è familiare: una rete guest isolata ottiene una piccola eccezione per una stampante, poi una cartella condivisa, poi il portatile di un fornitore, e diciotto mesi dopo è una rete piatta con un nome amichevole.

Gli irrinunciabili

Il traffico guest termina sulla propria VLAN e raggiunge solo internet. Nessuna eccezione, nessuna stampante, nessun "solo questa condivisione di file".
Isolamento client a livello 2 attivo, così i guest non si vedono tra loro.
Limitazione di velocità per client, dimensionata così che un visitatore che sincronizza una libreria di foto non affami la sala.
Scope DHCP separato con un lease breve, e DNS separato.
Nessun inoltro multicast o broadcast.

I portali captive, onestamente

I portali captive fanno tre cose: mostrano i termini d'uso, catturano un indirizzo email e infastidiscono le persone. Non offrono praticamente alcuna sicurezza.

Se ve ne serve uno per motivi legali o di marketing, siate consapevoli dei punti di attrito:

La randomizzazione MAC fa sì che i visitatori di ritorno siano ogni volta nuovi visitatori.
I sistemi operativi client moderni usano endpoint di rilevamento captive-portal che non vanno bloccati, o il portale non appare mai.
HSTS e certificate pinning rompono l'intercettazione HTTPS ingenua. Reindirizzate solo su HTTP.
I 6 GHz non possono ospitare affatto un BSS aperto, quindi una rete guest basata su portale è un servizio 2,4/5 GHz a meno che non usiate l'OWE.

Un'alternativa migliore: OWE

L'Enhanced Open (OWE) offre crittografia non autenticata con zero interazione utente. I guest si connettono esattamente come farebbero a una rete aperta, ma il loro traffico è crittografato via etere. Dove un portale non è legalmente richiesto, è semplicemente meglio.

Poiché i client più vecchi non supportano l'OWE, dispiegatelo in modalità di transizione OWE, che annuncia sia un BSS aperto che uno OWE e lascia che i client capaci usino automaticamente quello crittografato.

BYOD

La domanda che decide la vostra architettura: volete dispositivi personali sulla rete aziendale, o su una rete segregata con accesso a servizi specifici?

Segregata è quasi sempre la scelta giusta. Date ai dispositivi BYOD il proprio SSID o VLAN con accesso a un elenco definito di servizi — email, intranet, un broker VDI — e nient'altro. Usate PSK per dispositivo o un flusso di onboarding leggero che rilascia un certificato dispositivo.

Se dovete mettere il BYOD sull'SSID aziendale, richiedete l'iscrizione con un certificato dispositivo e un controllo della postura, e accettate l'onere di supporto che ne deriva.

Contractor e visitatori di lunga durata

La zona intermedia scomoda. Un contractor per sei mesi non è un guest e non è personale. Gestitelo con:

Un flusso di accesso sponsorizzato dove un dipendente nominato approva e possiede l'account, con una data di scadenza obbligatoria.
PSK per dispositivo o un certificato di breve durata piuttosto che una chiave condivisa.
La stessa segmentazione del BYOD, più accesso esplicito ai sistemi specifici di cui hanno bisogno.
Una scadenza automatica che scatta davvero. Il fallimento più comune qui è un account che doveva durare quindici giorni ed è ancora attivo tre anni dopo.

Eventi e spazi per conferenze

Se ospitate eventi, dimensionateli deliberatamente. Un all-hands da 300 persone in uno spazio progettato per 40 richiede un piano di canali diverso, non più potenza. Misure pratiche:

Prima dell'evento: riducete le larghezze di canale nello spazio, abilitate tutti i canali disponibili, verificate la dimensione del pool DHCP.
Durante: monitorate in tempo reale l'utilizzo del canale e il numero di client per radio.
Considerate un SSID temporaneo con limiti di velocità aggressivi per l'evento, mantenendo la capacità dell'SSID aziendale per il personale.
Testate il percorso AV e streaming sulla stessa rete, nello stesso momento, prima del giorno dell'evento.