¿Qué es la autenticación 802.1X?
802.1X es un estándar para controlar el acceso a una red. Garantiza que solo los dispositivos autorizados puedan conectarse, lo que hace que su red sea más segura. Este protocolo se utiliza tanto en redes cableadas (ethernet) como inalámbricas.
Cómo funciona la autenticación 802.1X
Hay tres partes principales involucradas en la autenticación 802.1X:
Suplicante : este es el dispositivo (como la Mac de su usuario) que desea unirse a la red. Proporciona credenciales al autenticador.
Autenticador : es un dispositivo de red, como un conmutador o un punto de acceso, que controla el acceso a la red. Comprueba las credenciales y decide si permitir que el dispositivo se conecte.
Servidor de autenticación: generalmente un servidor RADIUS, verifica las credenciales proporcionadas por el solicitante y le dice al autenticador si debe otorgar acceso.
Kandji utiliza MDM controles para configurar los ordenadores Mac con las credenciales necesarias para proporcionar al autenticador y a los servidores de autenticación. Trabaje con su equipo de red internamente para determinar los requisitos de su red antes de configurar e implementar este Library Item.
Agregar una Library Item Wi-Fi
Vaya a Biblioteca en la barra de navegación de la izquierda.
Haz clic en Agregar nuevo en la parte superior derecha y elige Wi-Fi.
Haga clic en Agregar y configurar para crear y mostrar una nueva Library Item Wi-Fi para editarla.
Dale un título al nuevo Library Item de Wi-Fi. Utilice el título para diferenciar este Library Item de otros Library ItemsWi-Fi . Use un nombre que identifique el elemento, por ejemplo, el título puede incluir el SSID o la ubicación donde se usa la configuración de Wi-Fi.
Asigne este Library Item a Blueprints que contenga dispositivos en los que desee implementarlo.
Configurar los ajustes generales
La configuración general describe el comportamiento de la red y del dispositivo no relacionado con la autenticación.
Especifique el identificador de conjunto de servicios (SSID), también conocido como el nombre de la red.
Si desea que los dispositivos se unan automáticamente a esta red cuando esté disponible, seleccione Unión automática a la red. Si no selecciona Unirse automáticamente a la red, los dispositivos sabrán cómo conectarse a la red, pero el usuario tendrá que elegir hacerlo.
Si la red está oculta, es decir, no transmite su SSID, seleccione Red oculta. Las redes ocultas no cumplen con los estándares y no se recomiendan.
Para usar IPv6 en esta red, seleccione IPv6.
Si no desea utilizar el Asistente de red cautiva de Apple en esta red, seleccione Deshabilitar la detección de red cautiva.
Si desea desactivar la aleatorización de direcciones MAC, seleccione Deshabilitar la aleatorización de direcciones MAC.
Configurar los ajustes de autenticación
El Library Item Wi-Fi admite la autenticación de clave previamente compartida (PSK, "personal") y la autenticación del Protocolo de autenticación extensible (EAP) 802.1X (a menudo denominada "Wi-Fi empresarial"). La mayoría de los tipos de EAP tienen opciones adicionales que debe configurar. Esta configuración está disponible al seleccionar un tipo de EAP. Una red puede admitir varios tipos de autenticación, por lo que puede elegir más de un tipo de EAP al configurar la autenticación empresarial.
Muchos protocolos de cifrado antiguos ya no se consideran seguros. Utilice la autenticación y el cifrado más actualizados compatibles con su red.
Ninguno
Utilice el tipo de autenticación Ninguno cuando no sea necesaria ninguna contraseña para unirse a la red. Si una red con el SSID especificado está disponible y no requiere autenticación, el dispositivo intentará unirse a ella.
Cualquiera puede unirse a una red sin contraseña.
Clave previamente compartida
La autenticación PSK se usa comúnmente en entornos domésticos y de pequeñas empresas. Cualquiera que tenga la contraseña compartida de la red puede unirse a ella.
En Authentication type (Tipo de autenticación), elija WEP, WPA Personal, WPA2 Personal, WPA3 Personal o Any Personal. Cualquier Personal funcionará con cualquiera de los métodos anteriores, y es útil cuando algunas ubicaciones usan WPA2 y otras usan WPA3.
Especifique la contraseña. Si no introduce una contraseña, el dispositivo solicitará al usuario que introduzca una contraseña al conectarse a la red.
Autenticación empresarial
La autenticación empresarial utiliza 802.1X para proporcionar opciones de autenticación más seguras al conectarse a redes Wi-Fi. Los tipos de autenticación empresarial incluyen WEP dinámico, WPA Enterprise, WPA2 Enterprise y WPA3 Enterprise.
En Authentication type (Tipo de autenticación), elija Dynamic WEP, WPA Enterprise, WPA2 Enterprise o WPA3 Enterprise.
En macOS, si desea autenticarse en la red como el usuario que inicia sesión en la ventana de inicio de sesión, seleccione Usar como configuración de ventana de inicio de sesión. De lo contrario, la configuración se considera una configuración del sistema y los sistemas Mac podrán autenticarse en la red cuando un usuario no haya iniciado sesión. También puede usar esta opción junto con EAP-TLS, de modo que se use una identidad de certificado para autenticar el sistema antes de iniciar sesión, pero luego se usan las credenciales de la ventana de inicio de sesión para autenticar al usuario.
El uso de esta configuración requiere la integración con un servicio de directorio. Consulta este artículo de soporte de Apple para obtener más información.
Seleccione los tipos de EAP aceptados que admite su red. Puede seleccionar más de uno y deberá establecer todas las configuraciones necesarias para los tipos de EAP seleccionados. Para obtener más información sobre la configuración de tipos específicos de EAP, consulte Configuración de protocolos de autenticación Wi-Fi empresarial.
Configurar un certificado de identidad
Puede configurar un certificado de identidad mediante AD CS, SCEP o cargando un archivo PKCS #12. Para obtener instrucciones sobre cómo configurar certificados de identidad, consulte nuestro artículo de soporte Uso de certificados de identidad para la autenticación 802.1X .
Configurar las opciones de confianza de certificados
No se recomienda especificar certificados de confianza en el Library Item Wi-Fi. Si se renuevan o cambian los certificados, deberá volver a implementar todo el perfil de Wi-Fi, lo que podría provocar que los dispositivos se desconecten de la red Wi-Fi. En su lugar, instale la cadena de certificados de confianza para sus servidores RADIUS mediante un elemento de biblioteca de certificados independiente. A continuación, especifique el nombre de esos certificados en el elemento Biblioteca Wi-Fi en Especificar nombres de certificados de servidor. Consulta Implementación de la plataforma Apple para obtener más información.
La mayoría de los entornos Wi-Fi empresariales requieren que los dispositivos confíen en los servidores de autenticación 802.1X, normalmente un servidor de usuario de acceso remoto (RADIUS). La configuración de confianza de certificados le permite configurar en qué certificados presentados por los dispositivos de servidor confiarán. Si un dispositivo no confía en los servidores de autenticación, se le pedirá al usuario que confíe en él.
Seleccione Especificar certificados de confianza si desea proporcionar certificados para que los dispositivos configurados confíen. A continuación, cargue los certificados en formato .cer o .crt.
Seleccione Especificar nombres de certificado de servidor si desea proporcionar nombres DNS de certificados en los que los dispositivos deben confiar. A continuación, introduzca sus nombres DNS: se aceptan comodines.
Seleccione Permitir excepciones de confianza si desea preguntar al usuario si desea confiar en el servidor de autenticación si el certificado presentado falla en la validación. Esta opción está en desuso en las versiones más recientes de macOS y iOS.
.png)
Configurar los ajustes de proxy
Configure los dispositivos para que usen un proxy de red mediante la configuración de los ajustes de la sección Proxy .
Para configurar los ajustes del proxy de red, cambie la sección Proxy a Administrado.
Para configurar dispositivos para que usen un archivo de configuración automática de proxy (PAC), seleccione Automático en Tipo de proxy.
Especifique la URL de PAC de proxy donde los dispositivos pueden encontrar el archivo PAC.
Si desea que los dispositivos intenten conectarse directamente a destinos cuando el archivo PAC no esté disponible, seleccione Reserva de PAC de proxy permitida.
.png)
Para configurar dispositivos para que usen un proxy específico, elija Manual para Tipo de proxy.
Proporcione el servidor proxy y el puerto.
Si el proxy requiere autenticación, proporcione el nombre de usuario y la contraseña del proxy.
Configurar la señalización de carril rápido
Utilice Fast Lane en redes y dispositivos que admitan el marcado de calidad de servicio (QoS) para priorizar el tráfico de las aplicaciones en los dispositivos conectados como voz, video o datos en tiempo real. Para obtener más información sobre Fast Lane, consulte iOS Compatibilidad con Cisco QoS Fastlane y Adaptive 802.11r.
Fast Lane no es compatible con todas las redes o dispositivos.
Si desea administrar el marcado de carril rápido, cambie la sección de marcado de carril rápido a Administrado.
Para desactivar Fast Lane, elige Desactivar Fast Lane para todas las aplicaciones.
Para activar Fast Lane, elige Allow specific apps (Permitir aplicaciones específicas).
Fast Lane se aplica al tráfico de red de aplicaciones específicas. Haga clic en Agregar aplicación para agregar aplicaciones a la lista de permitidos.
Para agregar aplicaciones de la biblioteca de Kandji , escribe el nombre de la aplicación en Buscar por nombre. Seleccione las aplicaciones a las que desea permitir el uso de Fast Lane.
También puede especificar aplicaciones por ID de paquete. Haga clic en Agregar ID de paquete
Proporcione el nombre de la aplicación y el ID del paquete y haga clic en Agregar. Puede agregar varios ID de paquete.
Haga clic en Listo.