Vai al contenuto

Server RADIUS

In questa lezione impari a

  • spiegare il modello AAA
  • descrivere il funzionamento di un'autenticazione RADIUS
  • configurare il servizio AAA su un server di Packet Tracer
  • configurare access point e client in WPA2-Enterprise

Perché serve RADIUS

Con WPA2-Personal tutti usano la stessa password: se uno studente se ne va o la diffonde, bisogna cambiarla a tutti. Nelle aziende e nelle scuole si usa WPA2-Enterprise: ognuno entra con le proprie credenziali, verificate da un server centrale, il server RADIUS (Remote Authentication Dial-In User Service).

Se un utente non deve più accedere, si disattiva solo il suo account.

Le tre A: il modello AAA

Domanda Esempio
Authentication (autenticazione) Chi sei? utente e password
Authorization (autorizzazione) Cosa puoi fare? accesso alla rete docenti o solo a quella studenti
Accounting (registrazione) Cosa hai fatto? quando ti sei collegato, per quanto, quanti dati

Come funziona, passo dopo passo

  1. Il notebook si collega all'SSID e invia utente e password.
  2. L'access point non decide nulla: inoltra le credenziali al server RADIUS.
  3. Il server controlla nel suo elenco di utenti.
  4. Risponde Accept (accesso consentito) o Reject (rifiutato).
  5. L'access point fa entrare il notebook oppure no.

Access point e server si fidano l'uno dell'altro grazie a un segreto condiviso (shared secret), configurato su entrambi.

Configurazione in Packet Tracer

1. Il server RADIUS

  1. Server con IP statico, ad esempio 192.168.1.5.
  2. Services → AAA: Service On.
  3. Network Configuration: aggiungete l'access point come client:
    • Client Name: AP-LAB
    • Client IP: l'indirizzo dell'access point o del router wireless
    • Secret: segreto123
    • Server Type: Radius
  4. User Setup: aggiungete gli utenti, ad esempio alunno01 / password01.

2. L'access point o il router wireless

Nella sezione Wireless: sicurezza WPA2-Enterprise (o WPA2), indirizzo del RADIUS Server 192.168.1.5 e lo stesso segreto segreto123.

L'access point deve avere un indirizzo IP per parlare con il server: su un AccessPoint-PT semplice non si può impostare, per questo in Packet Tracer si usa spesso un Home Router o un router wireless, che un indirizzo ce l'ha.

3. Il client

Sul notebook: Config → Wireless0, stesso SSID, sicurezza WPA2-Enterprise, e le credenziali dell'utente (alunno01 / password01).

Rete Wi-Fi con autenticazione su server RADIUS in Packet Tracer
Rete Wi-Fi con server RADIUS.
Server RADIUS, spiegazione completa

Esercizi

⭐ Facile

Esercizio 1 – La prima rete RADIUS. Home router, server RADIUS e un notebook. Configurate un utente e verificate che il notebook si colleghi solo con le credenziali giuste. Provate anche con una password sbagliata.

⭐⭐ Medio

Esercizio 2 – Più utenti, più dispositivi. Create 5 utenti e collegate 5 notebook, ciascuno con il suo account. Poi "licenziate" un utente cancellandolo dal server: il suo notebook riesce ancora a collegarsi dopo un riavvio?

⭐⭐ Medio

Esercizio 3 – Server in un'altra rete. Il server RADIUS sta in una rete diversa da quella del Wi-Fi, collegata da due router con routing statico. Verificate che l'autenticazione funzioni comunque: il traffico RADIUS viaggia come qualunque altro pacchetto IP.

⭐⭐⭐ Avanzato

Esercizio 4 – Azienda multi-sede. Due sedi, ciascuna con il suo Wi-Fi Enterprise, un unico server RADIUS centrale nella sede principale. Ogni access point (o router wireless) è registrato sul server come client distinto, con il proprio segreto.

⭐⭐⭐ Avanzato

Esercizio 5 – Rete completa. Unite tutto quello che sapete: Wi-Fi Enterprise con RADIUS, DHCP per i client, un server web interno e un server DNS che risolve il suo nome (lo vedrete nella prossima lezione).