RADIUS server per WiFi enterprise: setup pratico

Un server RADIUS è il cuore dell'autenticazione 802.1X in azienda: gestisce login, autorizzazione e accounting (le famose AAA) per ogni utente che si collega al WiFi, alla VPN o alla rete cablata. Vediamo come scegliere il software giusto, configurarlo correttamente e integrarlo con Active Directory o LDAP.

Quale RADIUS scegliere

Le opzioni più diffuse in azienda sono: Windows NPS integrato in Windows Server, gratuito e perfetto per ambienti AD; FreeRADIUS opensource Linux, estremamente flessibile, gestisce milioni di richieste/secondo; Aruba ClearPass commerciale di alto livello, con profilazione device e NAC integrato; Cisco ISE piattaforma enterprise completa. Per PMI fino a 200 utenti, NPS e FreeRADIUS sono più che sufficienti.

Architettura logica

Il client (computer, smartphone) si collega all'AP. L'AP fa da NAS (Network Access Server) e inoltra le credenziali al RADIUS via protocollo dedicato (porta 1812 auth, 1813 accounting). Il RADIUS verifica le credenziali consultando AD/LDAP o un database interno, poi risponde con Access-Accept (eventualmente con attributi come VLAN ID, ACL) o Access-Reject. L'AP applica le regole e fa partire la sessione.

Procedura passo-passo

1. Installa il ruolo NPS su Windows Server o pacchetti freeradius su Linux.
2. Configura il RADIUS per fidarsi degli AP/switch come client RADIUS (con shared secret robusto).
3. Crea le policy di accesso: chi può autenticarsi (gruppo AD), con quale metodo (EAP-TLS, PEAP), con quali condizioni (orario, tipo di dispositivo).
4. Configura attributi di ritorno: VLAN ID (Tunnel-Type=VLAN, Tunnel-Private-Group-Id=10), ACL nominale.
5. Sugli AP/switch configura il RADIUS come server di autenticazione 802.1X.
6. Abilita accounting per tracciare login, logout e durata sessioni.
7. Configura logging dettagliato e ruota i log periodicamente.
8. Per HA configura due RADIUS (primario+secondario) sugli AP.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• Shared secret debole: una stringa corta è bucabile in poche ore. Usa 32+ caratteri random.
• UDP perso: RADIUS usa UDP che non garantisce consegna. Configura retry e timeout corretti.
• Certificato RADIUS autofirmato: i client moderni rifiutano. Usa certificato firmato dalla CA aziendale.
• Mancanza ridondanza: un solo RADIUS = downtime di tutta la WiFi quando si riavvia. Sempre due in HA.
• Account servizio AD con password che scade: l'autenticazione si rompe inaspettatamente. Usa MSA o gMSA.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con server RADIUS per WiFi enterprise, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per server RADIUS per WiFi enterprise questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: NPS supporta EAP-TLS?
R: Sì nativamente, con integrazione AD CS.

D: Posso fare RADIUS senza AD?
R: Sì con FreeRADIUS e database locale o LDAP standalone.

D: Quanto traffico genera RADIUS?
R: Pochi KB per autenticazione, accounting può crescere a 1-10 MB/h con tanti client.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.