Domande e risposte su RADIUSaaS
Tutte le domande presenti in questo sito, organizzate per argomento. Ogni risposta ha un proprio link, così puoi inviare direttamente a un collega quella che gli serve.
Cosa richiede la tua rete
01RADIUSaaS sostituisce NPS?
Sì. RADIUSaaS è il server RADIUS per il tuo Wi-Fi, 802.1X cablato e VPN: i tuoi access point, switch e gateway VPN inviano le loro richieste alla tua istanza invece che a NPS, e i dispositivi si autenticano con il certificato distribuito dal tuo MDM, senza alcun account Active Directory sottostante. È quello di cui hanno bisogno i dispositivi Entra-joined, dato che NPS verifica il certificato di un dispositivo rispetto a un account computer in Active Directory. I dispositivi hybrid-joined con device writeback possono funzionare con NPS, ma il writeback può essere in ritardo e il provisioning con Windows Autopilot incontra un problema di timing, quindi sconsigliamo di appoggiarsi a questa soluzione. I dispositivi che non possono gestire un certificato ricevono un account in RADIUSaaS.
02Serve un server, un appliance o un agente da qualche parte?
No. RADIUSaaS gira nei nostri cluster, e i tuoi access point e switch lo raggiungono via internet, direttamente tramite RadSec o attraverso un proxy RADIUSaaS. Sui dispositivi non è necessario nulla oltre al certificato e al profilo di rete che il tuo MDM distribuisce già.
03Su cosa dobbiamo confrontare i servizi cloud RADIUS?
Verifica se ottieni un'istanza dedicata, come si connette l'hardware senza RadSec, come viene verificata la revoca e cosa conta la licenza. RADIUSaaS offre a ogni cliente un'istanza dedicata con il proprio server RadSec su un IP pubblico dedicato, il proprio portale e uno spazio di log separato, e connette i dispositivi che supportano solo RADIUS tramite proxy con IP fissi. Verifica la revoca per CA tramite OCSP o CRL; con SCEPman come CA, i certificati dei dispositivi disabilitati vengono revocati automaticamente. La licenza è per utente, a partire da 50 utenti.
04I nostri access point supportano solo RADIUS. È abbastanza sicuro?
Sì. Tra access point e proxy, RADIUS protegge la richiesta con lo shared secret, e la parte che trasporta il certificato o la password si trova all'interno di un tunnel EAP cifrato con TLS. Dal proxy in poi, tutto viaggia su RadSec. Con i certificati, nessun segreto attraversa la rete in nessuna delle due parti.
05Possiamo usare il MAC authentication bypass per i dispositivi vecchi?
Sì, come MAB-to-EAP: lo switch si autentica per conto del dispositivo tramite PEAP-MSCHAPv2 o EAP-TTLS-PAP, usando l'indirizzo MAC come username e password. Assegna a questi dispositivi una VLAN di fallback con accesso minimo tramite una regola. Il MAB classico su PAP o CHAP non funziona.
Sign-in e revoca
01Gli utenti possono accedere al Wi-Fi con la loro password Entra ID?
No, e questa è una scelta deliberata. L'accesso con password funziona solo con account creati in RADIUSaaS, per i dispositivi che non possono gestire un certificato. Instradare le password di directory attraverso la rete amplia la superficie d'attacco; con i certificati, nessun segreto transita affatto.
02Cosa succede se il nostro responder OCSP non è disponibile?
Con il soft fail attivo, l'impostazione predefinita, gli utenti continuano ad autenticarsi, e i certificati che RADIUSaaS sa già essere revocati restano rifiutati. Disattiva il soft fail per una CA se preferisci bloccare l'accesso piuttosto che ammettere richieste non verificate. Le liste di revoca non richiedono affatto un responder attivo.
RADIUSaaS con Microsoft Cloud PKI
01RADIUSaaS funziona con un Cloud PKI che utilizza una root propria (BYOCA)?
Sì. RADIUSaaS considera attendibile qualsiasi CA che emette certificati client: puoi quindi rendere attendibili la tua root e la issuing CA di Cloud PKI ad essa ancorata, ciascuna con il relativo controllo di revoca. La nostra guida presuppone che Cloud PKI ospiti entrambe le CA; gli altri passaggi rimangono invariati.
02Perché CRL e non OCSP?
Perché Microsoft Cloud PKI pubblica le revoche esclusivamente come CRL e non gestisce un OCSP responder. OCSP sarebbe la scelta migliore, poiché risponde per ogni certificato al momento dell'accesso, ma questa CA non lo offre. Intune ospita un distribution point per ogni CA e aggiorna il rispettivo CRL a ogni revoca. RADIUSaaS consulta quei CRL ogni ora e riscarica ciascuno alla sua scadenza oppure quando la copia ha raggiunto tre ore di età.
03Abbiamo ancora bisogno di SCEPman?
In parte. Cloud PKI copre i certificati client per i dispositivi gestiti da Intune: se è tutto ciò di cui hai bisogno per Wi-Fi, LAN o VPN, Intune emette i certificati e RADIUSaaS li verifica. SCEPman, disponibile come Service nel portale RADIUSaaS o come Enterprise Edition, copre il resto: i dispositivi in Jamf Pro o in un altro MDM, i certificati client RadSec per gli access point e gli switch, il certificato server di RADIUSaaS emesso dalla tua CA e rinnovato automaticamente, nonché i certificati per web server, TLS inspection e domain controller. Il suo OCSP responder consente inoltre a RADIUSaaS di rilevare una revoca al successivo accesso, senza attendere il prossimo CRL.
04Possiamo assegnare le VLAN per reparto?
Sì. Una regola può leggere la VLAN da un campo del certificato, ad esempio dall'OU nel subject, e ricorrere a una VLAN predefinita quando nessun valore corrisponde.
Security e disponibilità
01RADIUSaaS è vulnerabile a Blast-RADIUS?
No. RADIUSaaS accetta solo l'autenticazione basata su EAP, e l'attacco (CVE-2024-3596) non funziona contro EAP implementato correttamente da ogni componente. Vale comunque la pena verificare con il tuo vendor di rete che il tuo hardware sia aggiornato.
02Dove risiedono i nostri dati?
Nella località di hosting che scegli per la tua istanza: Australia, Unione Europea, Regno Unito o Stati Uniti. I proxy girano nelle regioni che selezioni per ciascuno, senza influire sulla località di hosting della tua istanza. I log sono conservati per 75 giorni; la configurazione e i segreti sono archiviati in Azure Key Vault.
03Dove può essere ospitata la nostra istanza?
Nella località di hosting che scegli: Australia, Unione Europea, Regno Unito o Stati Uniti. I proxy, per gli access point che supportano solo RADIUS, girano in 19 regioni su sei continenti, e per ciascuno scegli tu la regione.
04Cosa succede se la nostra istanza non è raggiungibile?
L'obiettivo di disponibilità è 99,5% al mese. Per maggiore ridondanza, aggiungi un secondo endpoint RadSec con il proprio IP, a costo extra: i tuoi proxy passeranno autonomamente all'endpoint più vicino e in buona salute, e gli access point che usano RadSec direttamente passeranno al secondo indirizzo che configuri.
Come viene concesso in licenza RADIUSaaS
01Come è licenziato RADIUSaaS?
Per utente che può autenticarsi su almeno un dispositivo, da 50 utenti. Ogni utente può connettere fino a cinque dispositivi fissi e cinque mobili. I dettagli sono sulla pagina dei prezzi.
02Chi conta come utente?
Chiunque sia abilitato ad autenticarsi tramite RADIUSaaS su almeno un dispositivo, sia che quel dispositivo sia in uso sia che sia spento. Nella maggior parte dei casi corrisponde al numero di utenti assegnati al tuo profilo Wi-Fi o cablato nel tuo MDM.
03Quanti dispositivi può connettere un utente?
Fino a cinque dispositivi fissi e cinque mobili.
04È previsto un minimo?
Sì, 50 utenti per organizzazione. Un abbonamento utente è associato a un singolo utente per almeno un mese di calendario.
05RADIUSaaS conta gli utenti al posto nostro?
No. RADIUSaaS non mostra il consumo delle licenze, quindi tieni d'occhio le assegnazioni dei profili nel tuo MDM.
06È possibile usare un abbonamento per più organizzazioni?
No. Un abbonamento copre gli utenti e i dispositivi di una sola organizzazione e non può essere suddiviso né rivenduto.
07Cosa è incluso?
Tutte le funzionalità, tutti gli aggiornamenti, supporto per incidenti e domande tecniche, e due RADIUS proxy. Un secondo endpoint RadSec per maggiore ridondanza e SCEPman as a Service sono disponibili come opzioni aggiuntive.