Autenticazione 802.1X nelle infrastrutture digitali: il vantaggio poco sfruttato per fermare gli accessi non autorizzati

Da anni metto in piedi reti per aziende che vivono di produzione e velocità. Ho costruito una dorsale VPN in piena emergenza locale per tenere aperti magazzini e contabilità, e oggi passo molto del mio tempo a collegare piccoli uffici in distretti diversi. La lezione che mi porto dietro è semplice: il modo più veloce per bucare una difesa perfetta è un punto d’accesso fisico non controllato. Qui entra in gioco l’autenticazione 802.1X, lo strumento più pratico e meno sfruttato per chiudere la porta in faccia agli accessi non autorizzati.

Perché 802.1X fa la differenza oggi

In LAN reali convivono dipendenti interni, consulenti, dispositivi IoT e stampanti “testarde”. Spegni un firewall e ti accorgi subito; lasci una presa di rete non protetta in sala riunioni e nessuno se ne accorge finché è tardi. Con IEEE 802.1X sposto la difesa direttamente alla porta dello switch: niente identità, niente rete. Non è filosofia, è un controllo binario che taglia fuori laptop sconosciuti e dispositivi non conformi.

La spinta arriva anche dalla conformità: sapere chi si collega, quando e con quale livello di autorizzazione semplifica audit e responsabilità. In molte revisioni di sicurezza che ho seguito, il passaggio a 802.1X ha risolto discussioni infinite su “chi ha fatto cosa”, e ha reso più lineari le verifiche legate a GDPR.

Potrebbe interessarti anche

Come rilevare dispositivi non autorizzati sulla LAN: la scansione intelligente che anticipa le minaccePhishing tramite dispositivi IoT: come prevenire l’accesso non autorizzato nei network moderniChe vantaggi porta IPv6 per dispositivi IoT? Semplifichi la scalabilità senza complicare la gestioneRete domestica in case a più piani: la configurazione che elimina punti ciechi

Come l’ho messo a terra: il metodo in tre mosse

Parto sempre dall’identità. Un RADIUS affidabile (NPS in ambienti Microsoft o FreeRADIUS in contesti misti) e certificati per EAP-TLS. Le password sono comode, ma i certificati eliminano il problema del riutilizzo e degli strumenti di brute force. Su Windows distribuisco certificati via Active Directory; su macOS e mobile uso MDM. Nei piccoli uffici, uno script di enrollment guidato risolve in mezz’ora.

La seconda mossa è la politica dinamica: l’utente si autentica e il RADIUS assegna una VLAN o un set di regole. Se sei dipendente, finisci nella VLAN interna; se sei ospite, vieni dirottato su una rete isolata con sola uscita Internet; se sei un dispositivo IoT autorizzato, passi su una VLAN dedicata e molto ristretta. Questa granularità è l’arma vera: lo stesso cavo di rete fa cose diverse in base a chi sei e a quanto ti fido.

Terzo: rollout graduale. Attivo 802.1X prima in “monitor” sugli switch, registro cosa succede, individuo i dispositivi che non hanno supplicant o che richiedono eccezioni, e solo dopo forzo l’autenticazione. In un’azienda di 120 persone ho completato il passaggio in quattro settimane senza downtime, iniziando proprio dalle sale riunioni e dalle aree comuni.

Il caso: la sala riunioni che non perdona

Mi è capitato di recente in un sito con molti visitatori esterni. Prima del mio arrivo, chiunque poteva collegarsi a una presa libera e “vedere” metà rete. Ho introdotto 802.1X con EAP-TLS per i dipendenti e una VLAN ospiti per chi non aveva certificato. Un consulente ha provato a usare il proprio laptop personale collegandosi sotto il tavolo della sala riunioni: niente accesso alla LAN, solo Internet filtrata. La log del RADIUS ha registrato il tentativo, e l’IT ha potuto risalire all’orario e alla porta. Nessun dramma, nessun allarme: semplicemente la rete ha fatto il suo mestiere.

Gestire le eccezioni senza aprire falle

Le stampanti di vecchia data, i badge reader e alcune telecamere non parlano 802.1X. Qui uso la MAB (MAC Authentication Bypass): registro il loro MAC sul RADIUS e li parcheggio in una VLAN dedicata, con ACL minimali verso i soli server necessari. Una volta al mese esporto la lista, cerco MAC inattivi e li rimuovo. Così evito che la VLAN “IoT” diventi un parcheggio caotico.

Con i telefoni IP imposto il multi-auth o multi-domain: il telefono si autentica sulla voice VLAN, il PC alle sue spalle si autentica via 802.1X sulla data VLAN. Senza questa separazione, finiscono guai: telefoni muti o PC senza rete. Sui trunk tra switch e su uplink verso access point abilito 802.1X solo se il vendor lo supporta bene; altrimenti mantengo l’autenticazione a livello radio per il Wi-Fi e regole chiare sugli uplink.

Come non rompere la produttività

La preoccupazione più comune è: “e se i certificati scadono in pieno turno?” Programmo la scadenza a 12 mesi con rinnovo automatico a 60 giorni. Tengo un gruppo “Break-glass” con qualche porta temporaneamente in modalità monitor, documentata e legata a un ticket. È una via di fuga se qualcosa va storto, ma con un perimetro preciso e tempi stretti.

Un lettore mi ha chiesto come comportarsi con portatili di fornitori che arrivano all’ultimo minuto. La soluzione che funziona: un SSID ospiti o una presa etichettata “Guest” sulla VLAN esterna, con captive portal e tracciamento base. Se il fornitore deve entrare in LAN, chiedo un dispositivo gestito o gli assegno un profilo temporaneo con certificato a scadenza breve.

Errori tipici e come evitarli

• Partire a rete intera: meglio perimetri piccoli, monitor, poi enforcement progressivo.
• Basarsi su PEAP/MSCHAPv2 senza certificati: EAP-TLS riduce rischi e semplifica audit.
• Dimenticare le stampanti: mappare prima i MAC e creare la VLAN “IoT” con ACL strette.
• Saltare il test sulle porte con telefoni IP: provare accoppiata telefono+PC in laboratorio.
• Non loggare dal RADIUS: senza log è impossibile spiegare blocchi o investigare incidenti.

Checklist operativa per partire lunedì

• Inventario: elenca porte critiche (sale riunioni, aree comuni, reception) e dispositivi non 802.1X.
• RADIUS: prepara NPS o FreeRADIUS, integra con directory utenti e carica certificati server.
• Client: abilita supplicant 802.1X su Windows/macOS; per Linux usa wpa_supplicant; distribuisci EAP-TLS.
• Policy: definisci VLAN interna, VLAN ospiti, VLAN IoT; scrivi ACL minime per IoT e ospiti.
• Pilota: attiva 802.1X in monitor su un armadio di piano; raccogli log per una settimana.
• Enforcement: abilita l’obbligo su sale riunioni e open space; mantieni fallback monitor documentato.
• Manutenzione: revisione mensile dei MAC MAB e controllo scadenze certificati.

Cosa cambia in pratica

Con 802.1X smetti di inseguire cavi e chiavi di rete. Ogni porta diventa intelligente, ogni accesso lascia una traccia. Nelle piccole sedi distanti che seguo, è l’unico modo per avere lo stesso livello di disciplina senza presidio in loco. La rete “sa” chi far passare e cosa concedere, e lo fa in automatico, sempre uguale, anche quando non ci sei.

Non serve rivoluzionare tutto. Comincia dove il rischio è più alto e la superficie di attacco è più esposta: le sale riunioni, i corridoi, le prese “comode”. Metti a terra identità solide, regole chiare e un rollout controllato. Ti accorgerai che gli accessi non autorizzati smettono di essere un incubo ricorrente e tornano a essere un’eccezione gestita, documentata e, soprattutto, bloccata alla porta.