WPA3-Enterprise y autenticación

WPA3-Enterprise mantiene la autenticación individual por 802.1X y un servidor RADIUS, igual que WPA2-Enterprise, pero endurece el resto. La Wi-Fi Alliance indica que las redes WPA3 exigen el uso de tramas de gestión protegidas (PMF, 802.11w): sin ellas, las tramas con las que un cliente se asocia o se desasocia pueden ser falsificadas por cualquiera que las oiga. Existe además un modo opcional de mayor fuerza criptográfica, pensado para redes con datos muy sensibles.

Para que un cliente antiguo siga conectándose se usa el modo de transición: un mismo SSID admite WPA2 y WPA3 a la vez. Es una concesión de compatibilidad, y en ese modo la protección de las tramas de gestión es opcional.

Un SSID en modo de transición con PMF opcional protege menos que uno WPA3 puro, y además puede dejar a la empresa con clientes viejos que nadie quiere reemplazar. La decisión correcta es temporal: medir qué equipos usan WPA2, fijar una fecha y pasar el SSID a WPA3 cuando ya no queden.

Compara perfiles_ssid buscando la protección de las tramas de gestión que no es obligatoria en un SSID corporativo de autenticación individual.

El registro del servidor de autenticación dice quién fue rechazado y por qué, y el motivo cambia por completo el diagnóstico. Una contraseña incorrecta es un error humano habitual (se corrige al tercer intento). Un certificado vencido pide reemplazo. Un certificado revocado pide otra cosa: alguien decidió que ese equipo ya no debe entrar, y que un dispositivo con ese certificado lo intente es información para quien investiga.

Revisa autenticaciones.

Con EAP-TLS o PEAP, el servidor se presenta con un certificado. Cuando vence, los clientes que lo validan dejan de conectarse, todos a la vez. Por eso la renovación se calendariza con margen y tiene un responsable.

certificado_servidor trae la fecha en que vence y la del informe. Cuenta los días que quedan entre una y otra, sin contar el día del informe.

En la columna valida_servidor_el_cliente hay un perfil que responde no. El cliente le entrega credenciales a quien responda con ese nombre de red, sin comprobar que sea el servidor de la empresa. Un punto de acceso ajeno que imitara el nombre podría recibir esas credenciales. La corrección es de configuración: el perfil debe indicar la autoridad certificadora de confianza y el nombre del servidor esperado.