Autenticação WiFi com Google Workspace: Integração com Chromebook e LDAP
Uma referência técnica definitiva para administradores de TI que implantam WiFi seguro em ambientes Google Workspace. Este guia aborda a implantação de certificados 802.1X em Chromebooks gerenciados por meio do Google Admin Console, a integração do Google Secure LDAP como um backend RADIUS e decisões de arquitetura para ambientes educacionais, de mídia e corporativos. Ele fornece etapas práticas de implementação, estudos de caso do mundo real e uma comparação direta de métodos EAP para ajudar as equipes a migrarem de PSKs compartilhadas vulneráveis para um controle de acesso à rede robusto e baseado em identidade.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: Guia de Segurança de WiFi Corporativo →
Resumo Executivo
Para locais corporativos, instituições de ensino e provedores de hospitalidade padronizados no Google Workspace, a implementação de autenticação WiFi segura e contínua historicamente apresentou um desafio em comparação com ambientes Microsoft Active Directory. Este guia detalha a arquitetura e a implantação da autenticação WiFi do Google Workspace, focando especificamente na implantação de certificados Chromebook 802.1X e na integração do Google Secure LDAP para backends RADIUS.
Gerentes de TI e arquitetos de rede devem equilibrar a segurança (WPA3-Enterprise, IEEE 802.1X) com a fricção do usuário. Enquanto chaves pré-compartilhadas (PSKs) são facilmente comprometidas e difíceis de rotacionar, a autenticação baseada em certificado (EAP-TLS) ou a autenticação baseada em credenciais (PEAP-MSCHAPv2) vinculada diretamente à identidade do Google Workspace do usuário fornece controle de acesso robusto, aplicação de políticas granulares e roaming contínuo em redes corporativas e de Guest WiFi.
Esta referência técnica descreve as etapas exatas para configurar o Google Admin Console para distribuição automatizada de certificados, implantar o Google Secure LDAP e integrar essas fontes de identidade com servidores RADIUS corporativos. Ao seguir estas melhores práticas neutras de fornecedor, as organizações podem mitigar o roubo de credenciais, reduzir chamados de suporte e garantir a conformidade com o GDPR e PCI-DSS.
Análise Técnica Detalhada
A Arquitetura de Autenticação WiFi do Google Workspace
A autenticação de clientes sem fio no Google Workspace exige a ponte entre a identidade nativa da nuvem (SAML/OAuth) e os protocolos de rede legados (RADIUS/802.1X). Ao contrário do Active Directory, que fala nativamente LDAP e se integra perfeitamente com o Network Policy Server (NPS), o Google Workspace requer uma camada intermediária deliberada.
Existem duas arquiteturas principais para conseguir isso:
Arquitetura 1 - Google Secure LDAP (Cloud Identity Premium / Google Workspace Enterprise): O Google fornece uma interface LDAP gerenciada para o seu diretório na nuvem. O seu servidor RADIUS (por exemplo, FreeRADIUS, Cisco ISE, Aruba ClearPass) conecta-se de forma segura ao ldap.google.com usando certificados de cliente. Quando um usuário tenta se conectar ao WiFi, o servidor RADIUS valida suas credenciais em relação ao serviço LDAP do Google.
Arquitetura 2 - Captive Portals Baseados em SAML / RadSec: Para cenários de BYOD (Traga Seu Próprio Dispositivo) ou convidados, os usuários se conectam a uma rede aberta ou PSK, que os redireciona para um Captive Portal. O portal autentica o usuário via Google SSO (SAML/OAuth). Uma vez autenticado, o sistema pode provisionar dinamicamente uma credencial exclusiva (por exemplo, uma PSK dinâmica ou um certificado temporário) para conexões subsequentes.
Figura 1: O fluxo de autenticação 802.1X para ambientes Google Workspace, mostrando o servidor RADIUS como o intermediário entre o ponto de acesso e o Google Secure LDAP.
Tipos de EAP e Suporte a Chromebook
Os Chromebooks suportam nativamente vários tipos de Extensible Authentication Protocol (EAP) para 802.1X. A escolha do tipo de EAP dita a postura de segurança e a complexidade de implantação. Para uma visão geral abrangente dos fundamentos do 802.1X, consulte 802.1X Authentication: Securing Network Access on Modern Devices.
Figura 2: Uma comparação direta dos métodos EAP suportados por Chromebooks, destacando as compensações entre segurança e complexidade.
| Método EAP | Tipo de Autenticação | Certificado de Cliente Necessário | Risco de Phishing | Recomendado Para |
|---|---|---|---|---|
| EAP-TLS | Certificado | Sim | Nenhum | Chromebooks Gerenciados |
| PEAP-MSCHAPv2 | Senha | Não | Médio | Implantações BYOD / PMEs |
| EAP-TTLS | Senha | Não | Médio | Ambientes Mistos |
EAP-TLS (Transport Layer Security): O padrão ouro para WiFi corporativo. Ele requer um certificado de servidor (no servidor RADIUS) e um certificado de cliente (no Chromebook). Isso elimina a necessidade de senhas, mitigando riscos de phishing. O Google Admin Console pode enviar automaticamente certificados de cliente para Chromebooks gerenciados por meio do Google Cloud Certificate Connector ou de integrações SCEP/EST de terceiros.
PEAP-MSCHAPv2 / EAP-TTLS: Esses protocolos usam um certificado de servidor para estabelecer um túnel seguro, dentro do qual o nome de usuário e a senha do usuário são trocados. Embora sejam mais fáceis de implantar para dispositivos não gerenciados, eles são vulneráveis ao roubo de credenciais se o dispositivo cliente não validar estritamente o certificado do servidor.
Ao projetar a rede, considere como esses eventos de autenticação se correlacionam com sistemas downstream, como plataformas de WiFi Analytics, que dependem de endereços MAC estáveis ou nomes de usuário autenticados para rastrear as jornadas dos usuários e a presença de visitantes.
Google Workspace vs. Microsoft e Okta: Uma Avaliação Comparativa
Organizações que avaliam plataformas de identidade para autenticação de WiFi corporativo devem compreender as compensações inerentes. O Microsoft Active Directory continua sendo a opção mais perfeitamente integrada, devido ao seu suporte nativo a LDAP e à forte integração com o NPS. A Okta fornece uma capacidade robusta de RADIUS-as-a-Service por meio de seu RADIUS Agent, eliminando a necessidade de infraestrutura RADIUS autogerenciada. O Google Workspace, via Secure LDAP, é uma opção sólida, mas requer uma arquitetura mais deliberada - você sempre precisa de um servidor RADIUS intermediário, e o serviço Secure LDAP só está disponível em licenças de nível superior.
| Capacidade | Google Workspace | Microsoft AD/Entra | Okta |
|---|---|---|---|
| Suporte Nativo a RADIUS | Não (requer servidor RADIUS) | Via NPS | Via RADIUS Agent |
| Interface LDAP | Google Secure LDAP | LDAP AD Nativo | LDAP Interface Agent |
| Suporte a EAP-TLS | Sim (via integração de PKI) | Sim (nativo) | Sim |
| Envio de Certificado de Dispositivo Gerenciado | Google Admin Console | Intune / GPO | Integração de MDM |
| Requisito de Licença | Enterprise / Cloud Identity Premium | Incluído no AD | Workforce Identity |
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.
Guia de Implementação
Implantando 802.1X em Chromebooks Gerenciados
A implantação de WiFi seguro em Chromebooks gerenciados envolve a configuração do Google Admin Console para enviar os perfis de rede e certificados necessários. Isso garante que os dispositivos se conectem automaticamente, sem a intervenção do usuário.
Passo 1: Configurar o Servidor RADIUS
Implante um servidor RADIUS (por exemplo, FreeRADIUS) compatível com EAP-TLS ou PEAP. Instale um certificado de servidor confiável no servidor RADIUS. Se estiver usando uma CA privada, certifique-se de que o certificado da CA Raiz seja exportado para implantação nos clientes. Configure o servidor RADIUS para consultar o Google Secure LDAP (se estiver usando autenticação baseada em credenciais) ou validar certificados de cliente em sua CA (se estiver usando EAP-TLS).
Passo 2: Configurar o Google Secure LDAP (Para PEAP/EAP-TTLS)
No Google Admin Console, navegue até Apps > LDAP. Adicione um novo cliente LDAP (por exemplo, "Enterprise RADIUS"). Configure as permissões de acesso (ler informações do usuário, verificar senhas). Faça o download do certificado do cliente e da chave gerados. Instale essas credenciais no seu servidor RADIUS e configure-o para se conectar a ldap.google.com:636.
Passo 3: Implantar Certificados nos Chromebooks (Para EAP-TLS)
No Google Admin Console, navegue até Dispositivos > Redes > Certificados. Faça o upload do seu certificado Root CA e marque-o como uma "Autoridade de Certificação Confiável". Configure um mecanismo para emitir certificados de cliente para os dispositivos através do Google Cloud Certificate Connector ou de um provedor de PKI baseado em nuvem que suporte integração SCEP/EST.
Passo 4: Criar o Perfil de WiFi no Google Admin Console
Navegue até Dispositivos > Redes > WiFi. Crie um novo perfil de rede WiFi. Defina o SSID e selecione WPA/WPA2/WPA3-Enterprise como o Tipo de Segurança. Selecione o tipo de EAP apropriado. Se estiver usando EAP-TLS, selecione o certificado de cliente implantado. Se estiver usando PEAP, configure-o para usar as credenciais de login do usuário. Fundamentalmente, selecione o certificado Root CA confiável para garantir que o Chromebook valide o servidor RADIUS. Aplique o perfil às Unidades Organizacionais (OUs) apropriadas.
Melhores Práticas
Validação Estrita de Certificado do Servidor: Sempre force a validação do certificado do servidor nos dispositivos de clientes. A não realização disso expõe os usuários a ataques de Evil Twin, onde um invasor transmite o mesmo SSID e captura credenciais. Esta decisão única de configuração é a diferença entre uma implantação segura e uma vulnerável. Para uma exploração mais profunda da arquitetura de segurança 802.1X, consulte 802.1X Authentication: Securing Network Access on Modern Devices.
Segmente Redes por Função: Use atributos RADIUS (por exemplo, Filter-Id, Tunnel-Private-Group-Id) retornados do Google LDAP para atribuir dinamicamente usuários a diferentes VLANs com base em sua associação a grupos do Google Workspace (por exemplo, Funcionários vs. Alunos). Isso limita o movimento lateral e melhora significativamente a postura de segurança.
Monitore e Audite: Revise regularmente os logs de autenticação RADIUS e os logs de auditoria do Google Workspace. Integre esses logs a um sistema SIEM para detectar padrões de autenticação anômalos ou tentativas de força bruta. Considere como esses dados alimentam plataformas mais amplas de inteligência de rede.
Planeje para BYOD: Embora Chromebooks gerenciados possam usar EAP-TLS, dispositivos não gerenciados (telefones pessoais de funcionários, dispositivos de convidados) precisam de uma abordagem diferente. Implemente um portal de integração seguro ou use PSKs dinâmicos para esses dispositivos. Para áreas de acesso público em ambientes de Hospitality ou Retail, considere soluções padrão de Guest WiFi com Captive Portals que capturam o consentimento e garantem a conformidade com a GDPR. Redundância de Infraestrutura: Implante múltiplos servidores RADIUS e configure os pontos de acesso para fazer failover automaticamente. Um único servidor RADIUS é um ponto crítico de falha única - se ele cair, nenhum dispositivo gerenciado poderá se conectar à rede.
Solução de Problemas e Mitigação de Riscos
Modos de Falha Comuns
A Expiração de Certificado é a causa mais comum de falha de EAP-TLS em ambientes de produção. Implemente monitoramento automatizado e alertas para períodos de validade de certificados a 90, 30 e 7 dias antes da expiração. Isso se aplica tanto ao certificado do servidor RADIUS quanto a quaisquer certificados de CA intermediários.
O Desvio de Relógio (Clock Skew) é uma causa frequentemente negligenciada de falhas de autenticação intermitentes. O EAP-TLS depende de uma marcação de tempo precisa para a validação do certificado. Certifique-se de que o servidor RADIUS, a Autoridade Certificadora e os Chromebooks sincronizem via NTP. Um desvio de mais de alguns minutos pode fazer com que certificados válidos sejam rejeitados.
Problemas de Conectividade LDAP: Se estiver usando o Google Secure LDAP, certifique-se de que o servidor RADIUS possa alcançar ldap.google.com na porta TCP 636 e que o certificado de cliente usado para autenticação não tenha expirado ou sido revogado no Google Admin Console.
Aplicação Incorreta de OU: Certifique-se de que o perfil de WiFi e os certificados sejam aplicados às Unidades Organizacionais corretas no Google Admin Console. Um erro comum é aplicar um perfil de certificado de dispositivo a uma OU de usuário, o que significa que o certificado nunca é enviado para o dispositivo.
Estratégias de Mitigação de Riscos
Uma implantação em fases é essencial. Nunca implante uma nova configuração 802.1X para toda a organização de uma só vez. Comece com um pequeno grupo de pilotos (por exemplo, a equipe de TI) e, em seguida, expanda para um único departamento ou local antes de uma implantação global. Mantenha um SSID de backup oculto e altamente restrito que a equipe de TI possa usar para solucionar problemas de dispositivos que falham ao autenticar via 802.1X.
Para organizações em setores regulamentados, certifique-se de que sua implantação de 802.1X esteja alinhada com as estruturas de conformidade relevantes. Em ambientes de Saúde, a segmentação de rede via atribuição dinâmica de VLAN apoia diretamente os requisitos da HIPAA para isolar sistemas clínicos. No varejo, o PCI-DSS exige a separação de rede entre ambientes de dados de portadores de cartão e redes corporativas gerais - um requisito que a atribuição dinâmica de VLAN atende com elegância.
ROI e Impacto no Negócio
A transição de redes baseadas em PSK para 802.1X integrado ao Google Workspace oferece benefícios significativos e mensuráveis que justificam o investimento na implementação.
Redução de Sobrecarga do Helpdesk: A implantação automatizada de certificados via Google Admin Console elimina a configuração manual de WiFi em dispositivos gerenciados. As organizações geralmente relatam uma redução de 40 a 60% nos chamados de suporte relacionados a WiFi após uma implantação de EAP-TLS, pois não há senhas para esquecer ou rotacionar.
Postura de Segurança Aprimorada: O EAP-TLS elimina a autenticação baseada em senha, neutralizando ataques de phishing e credential-stuffing. Isso reduz o risco de violações de dados e os custos financeiros e de reputação associados. O custo médio de uma violação de dados em 2024 ultrapassou US$ 4,8 milhões - um valor que torna o investimento em uma arquitetura de autenticação adequada simples de justificar.
Desligamento Simplificado: Quando um funcionário se desliga, a desativação de sua conta do Google Workspace revoga imediatamente seu acesso WiFi. Não há necessidade de alternar um PSK compartilhado em toda a organização, eliminando a janela de vulnerabilidade que existe entre a saída de um funcionário e a rotação do PSK.
Análise e Inteligência Aprimoradas: Ao vincular a autenticação de rede a uma identidade exclusiva, os locais podem aproveitar plataformas como Wayfinding e WiFi Analytics para entender a utilização do espaço e o comportamento do usuário com maior precisão. Esses dados podem informar investimentos em infraestrutura e otimizar o uso do espaço físico em ambientes complexos, como hubs de Transport ou grandes centros de convenções. Para organizações que estão explorando como a inteligência de rede apoia objetivos operacionais mais amplos, o artigo Modern Hospitality WiFi Solutions Your Guests Deserve fornece o contexto relevante.
Para organizações que consideram o contexto mais amplo da arquitetura de rede, o Wireless Access Points Definition Your Ultimate 2026 Guide e o The Core SD WAN Benefits for Modern Businesses fornecem orientações complementares sobre decisões de infraestrutura que sustentam uma implantação 802.1X bem-sucedida.
Definições principais
802.1X
Um padrão IEEE para Controle de Acesso à Rede baseado em porta (PNAC). Ele fornece um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN, exigindo que cada dispositivo se autentique antes de receber acesso à rede.
O protocolo fundamental para a segurança de WiFi corporativo, substituindo senhas compartilhadas (PSKs) por autenticação individual baseada em identidade. Compatível nativamente com Chromebooks e todos os pontos de acesso WiFi modernos.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
Um método EAP que usa PKI (Public Key Infrastructure) para autenticar tanto o cliente quanto o servidor usando certificados digitais. Nenhuma senha é trocada durante a autenticação.
O padrão ouro para autenticação WiFi de dispositivos gerenciados. Requer um certificado de cliente no Chromebook (implantado via Google Admin Console) e um certificado de servidor no servidor RADIUS.
Google Secure LDAP
Um serviço gerenciado do Google que expõe uma interface LDAP tradicional ao diretório em nuvem do Google Workspace, permitindo que sistemas legados como servidores RADIUS autentiquem usuários na plataforma de identidade do Google.
Essencial para organizações que desejam usar suas credenciais do Google para autenticação WiFi 802.1X. Disponível nas licenças Cloud Identity Premium e Google Workspace Enterprise.
RADIUS (Remote Authentication Dial-In User Service)
Um protocolo de rede que fornece gerenciamento centralizado de Autenticação, Autorização e Contabilização (AAA) para usuários que se conectam a um serviço de rede. Os pontos de acesso se comunicam com um servidor RADIUS para verificar as credenciais do usuário ou do dispositivo.
O servidor intermediário que faz a ponte entre os pontos de acesso WiFi e os provedores de identidade como o Google Workspace. Implementações comuns incluem FreeRADIUS, Cisco ISE e Aruba ClearPass.
PEAP-MSCHAPv2 (Protected Extensible Authentication Protocol)
Um método EAP que usa um certificado de servidor para criar um túnel TLS seguro, dentro do qual o nome de usuário e a senha do usuário são validados utilizando o protocolo MSCHAPv2.
Uma alternativa comum ao EAP-TLS para ambientes BYOD ou PMEs onde a implantação de certificados de cliente em cada dispositivo não é viável. Requer validação rigorosa de certificado de servidor para evitar o roubo de credenciais.
Atribuição Dinâmica de VLAN
O processo de colocar um usuário ou dispositivo em uma Virtual Local Area Network (VLAN) específica com base em sua identidade ou associação de grupo, determinada durante o processo de autenticação 802.1X via atributos RADIUS.
Permite que os administradores de rede segmentem o tráfego (por exemplo, mantendo alunos e funcionários em sub-redes diferentes) usando um único SSID, com base na associação de grupo do Google Workspace retornada via Secure LDAP.
SCEP (Simple Certificate Enrollment Protocol)
Um protocolo projetado para automatizar a emissão e revogação de certificados digitais em escala, comumente usado em plataformas de MDM e gerenciamento de dispositivos.
Utilizado em conjunto com o Google Admin Console para enviar automaticamente certificados de cliente para Chromebooks gerenciados para autenticação EAP-TLS, sem a necessidade de instalação manual de certificados.
Ataque Evil Twin
Um ponto de acesso WiFi fraudulento que parece ser legítimo ao transmitir o mesmo SSID que uma rede confiável, projetado para interceptar credenciais de usuários ou tráfego.
A principal ameaça mitigada ao impor uma validação rigorosa de certificado de servidor em configurações 802.1X. Sem a validação de certificado, as credenciais do Google de um usuário PEAP podem ser capturadas por um ponto de acesso não autorizado.
WPA3-Enterprise
A geração mais recente do protocolo de segurança WiFi Protected Access para redes corporativas, fornecendo criptografia mais forte (mínimo de 192 bits no modo WPA3-Enterprise de 192 bits) e melhor proteção contra ataques de dicionário offline.
O protocolo de segurança recomendado para todas as novas implantações de 802.1X. Totalmente compatível com Chromebooks e pontos de acesso modernos, e configurável através do perfil de WiFi do Google Admin Console.
Exemplos práticos
Um campus universitário com 2.000 alunos precisa implantar WiFi seguro para Chromebooks de propriedade da universidade (gerenciados via Google Admin) e dispositivos BYOD dos alunos (telefones, laptops). Eles usam o Google Workspace for Education como seu único provedor de identidade e não possuem Active Directory local.
Para os Chromebooks gerenciados, a universidade deve implantar EAP-TLS. Eles configuram uma PKI baseada em nuvem integrada ao Google Workspace via SCEP. O Google Admin Console envia a CA Raiz, o payload SCEP e o perfil de WiFi (WPA3-Enterprise, EAP-TLS) para as OUs do Chromebook. Os dispositivos se autenticam de forma silenciosa e segura, sem qualquer interação do usuário.
Para dispositivos BYOD, eles implantam um portal de onboarding seguro. Os alunos se conectam a um SSID de 'Onboarding' aberto, se autenticam via Google SAML SSO em um captive portal e, em seguida, recebem um certificado exclusivo e específico do dispositivo (ou PSK dinâmica) para o SSID principal 'Campus-Secure'. Isso separa o tráfego gerenciado e não gerenciado, aproveitando a mesma identidade do Google. O servidor RADIUS usa o Google Secure LDAP para validar as credenciais e atribui alunos e funcionários a VLANs separadas com base em sua associação ao grupo do Google Workspace.
Uma rede de varejo com 50 locais usa o Google Workspace. Eles desejam fornecer WiFi para funcionários em dispositivos corporativos e um WiFi de convidados separado para os clientes. Atualmente, eles usam uma única PSK para a equipe, que não é alterada há três anos. Sabe-se que um ex-funcionário possui essa PSK.
A rede de varejo deve implementar o Google Secure LDAP imediatamente. Eles implantam um servidor RADIUS central na nuvem, configurado para autenticar no Google Secure LDAP. No Google Admin Console, eles criam um perfil de WiFi usando PEAP-MSCHAPv2, exigindo validação estrita do certificado do servidor. Os pontos de acesso em todos os 50 locais apontam para esse servidor RADIUS central. A equipe se conecta usando suas credenciais do Google Workspace - sem novas senhas para distribuir.
Para os clientes, eles implantam uma solução de captive portal separada em uma VLAN segregada, que coleta o consentimento de marketing e garante a conformidade com a GDPR, totalmente isolada da rede da equipe. A conta do Google do ex-funcionário é desativada, revogando imediatamente seu acesso à rede sem exigir uma rotação de PSK em 50 locais.
Questões práticas
Q1. Sua organização está implantando 802.1X em 500 Chromebooks gerenciados. Você deseja o mais alto nível de segurança e quer evitar que os usuários precisem digitar uma senha para se conectar ao WiFi. Qual método EAP você deve configurar no Google Admin Console e qual componente de infraestrutura adicional deve implantar?
Dica: Qual método depende inteiramente de certificados em vez de credenciais, e o que deve ser implantado no dispositivo cliente?
Ver resposta modelo
EAP-TLS. Ele exige que um certificado de cliente seja enviado ao Chromebook por meio do Google Admin Console (usando SCEP ou o Google Cloud Certificate Connector) e um certificado de servidor no servidor RADIUS. Isso elimina completamente a autenticação baseada em senha. A infraestrutura adicional necessária é uma PKI (Autoridade Certificadora) para emitir e gerenciar certificados de cliente.
Q2. Você configurou o Google Secure LDAP e um servidor FreeRADIUS. Os usuários conseguem se autenticar com sucesso, mas todos estão sendo colocados na mesma VLAN padrão, independentemente de serem funcionários ou alunos. Você deseja que funcionários e alunos fiquem em VLANs separadas. Onde essa configuração deve ser aplicada e qual fonte de dados a viabiliza?
Dica: Qual componente faz a ponte entre os dados de identidade do Google e os equipamentos de rede, e quais atributos de protocolo transportam as informações de VLAN?
Ver resposta modelo
O servidor RADIUS deve ser configurado para consultar a associação de grupo do usuário a partir do Google Secure LDAP e, em seguida, retornar os atributos RADIUS apropriados (especificamente Tunnel-Private-Group-Id e Tunnel-Type) de volta ao ponto de acesso. O ponto de acesso usa esses atributos para colocar o cliente na VLAN correta. A fonte de dados que viabiliza isso é a associação de grupo do Google Workspace, recuperada por meio da consulta Secure LDAP.
Q3. Um usuário relata que não consegue se conectar à nova rede 802.1X em seu telefone Android BYOD. Ele é solicitado a inserir um nome de usuário e senha (PEAP), mas a conexão falha silenciosamente após a inserção. Os logs do RADIUS mostram que nenhuma tentativa de autenticação foi recebida. Qual é a causa mais provável e como resolvê-la?
Dica: Pense no que o dispositivo cliente precisa fazer antes de enviar as credenciais do usuário e qual configuração é necessária no dispositivo.
Ver resposta modelo
O dispositivo cliente está falhando em validar o certificado do servidor RADIUS. Em versões modernas do Android, a validação estrita de certificado é exigida por padrão. Se o usuário não tiver instalado o certificado da CA Raiz em seu dispositivo, ou se o nome de domínio no certificado do servidor não corresponder ao que o dispositivo espera, o cliente encerrará a conexão antes de enviar as credenciais. Resolução: o usuário deve instalar o certificado da CA Raiz em seu dispositivo Android e configurar o perfil de WiFi para especificar a CA e o nome de domínio do servidor esperado.
Q4. Uma rede de varejo está considerando migrar de uma PSK estática para o 802.1X usando o Google Secure LDAP. O CFO pede o caso de negócios. Quais são os três argumentos operacionais e financeiros mais convincentes que você apresentaria?
Dica: Considere os custos associados ao gerenciamento de PSK, o risco de exposição de credenciais e a sobrecarga operacional do gerenciamento de sites distribuídos.
Ver resposta modelo
- Eliminação dos custos de rotação de PSK: com uma PSK estática, qualquer desligamento de funcionário exige uma rotação de chave em todos os sites - uma operação dispendiosa e disruptiva. Com a autenticação baseada em identidade, a desativação de uma conta do Google revoga instantaneamente o acesso em todos os locais. 2. Redução do risco de violação: uma PSK comprometida concede acesso à rede a qualquer pessoa com a chave. A autenticação baseada em identidade limita a exposição a contas individuais, que podem ser desativadas imediatamente. Como o custo médio de uma violação de dados supera US$ 4,8 milhões, o investimento em infraestrutura é facilmente justificado. 3. Redução da sobrecarga de suporte: o gerenciamento automatizado de credenciais por meio do Google Workspace elimina chamados de redefinição de senha relacionados ao WiFi e a configuração manual de dispositivos, reduzindo tipicamente o volume de suporte de WiFi de 40% a 60%.
Perguntas frequentes
O Google Workspace pode ser usado diretamente como um servidor RADIUS para autenticação WiFi?
O Google Workspace não oferece um endpoint de servidor RADIUS nativo. Para autenticar o WiFi corporativo 802.1X no Google Workspace, as organizações implantam um serviço RADIUS intermediário - como o Purple Cloud RADIUS - que consulta o Google Workspace via Google Secure LDAP (porta 636 LDAPS) ou emite certificados de cliente 802.1X via SCEP/PKCS. Isso permite que pontos de acesso e controladores sem fio da Cisco Meraki, HPE Aruba, Ruckus e Ubiquiti UniFi validem credenciais em diretórios de usuários do Google sem a necessidade de servidores locais.
Como implantar certificados de WiFi 802.1X em Chromebooks via Google Admin Console?
Para implantar certificados 802.1X em dispositivos ChromeOS, configure um perfil SCEP (Simple Certificate Enrollment Protocol) automatizado no Google Admin Console em Dispositivos > Redes > Certificados. O Google Admin emite uma Solicitação de Assinatura de Certificado (CSR) com um par de chaves gerado por hardware TPM para uma PKI em Nuvem confiável. Uma vez assinado pela sua CA emissora, o Google Admin envia um perfil de WiFi gerenciado em Dispositivos > Redes > WiFi com EAP-TLS e o certificado de cliente implantado para as Unidades Organizacionais de destino.
Qual é a diferença entre EAP-TLS e Google Secure LDAP para autenticação WiFi?
O EAP-TLS é um protocolo 802.1X baseado em certificados, no qual os dispositivos se autenticam criptograficamente usando certificados digitais exclusivos armazenados em TPMs de hardware. Ele exige zero digitação de senha por parte do usuário e elimina o roubo de credenciais. O Google Secure LDAP, disponível nas edições Enterprise e Education Plus, consulta os serviços de diretório do Google diretamente pela porta TLS 636 usando certificados de cliente. Embora o Secure LDAP permita o 802.1X baseado em senha via PEAP ou EAP-TTLS, o EAP-TLS é o padrão do setor para Chromebooks gerenciados devido à segurança superior e à fricção zero para o usuário.
Como funciona a atribuição dinâmica de VLAN com o Google Workspace e Cloud RADIUS?
Quando um Chromebook ou usuário se autentica, o Cloud RADIUS inspeciona a Unidade Organizacional (OU) do usuário ou a associação ao Google Group via Secure LDAP ou sincronização de diretório. O servidor RADIUS retorna os atributos RFC 2868 e RFC 3580 (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) no pacote Access-Accept. O ponto de acesso sem fio coloca o usuário dinamicamente em sua sub-rede autorizada - como VLAN 20 para Funcionários, VLAN 30 para Estudantes ou VLAN 40 para Prestadores de Serviços - em um único SSID.
O que acontece quando um funcionário ou estudante é suspenso no Google Workspace?
Como o Cloud RADIUS consulta o Google Workspace em tempo real via Secure LDAP ou valida certificados em relação a um respondedor OCSP/CRL ativo, o desligamento é instantâneo. Assim que uma conta de usuário é suspensa ou movida para uma OU desativada no Google Admin Console, as solicitações subsequentes de reautenticação 802.1X recebem um RADIUS Access-Reject. Além disso, a Alteração Dinâmica de Autorização do RADIUS (CoA, RFC 3576 / RFC 5176) pode encerrar imediatamente a sessão sem fio ativa.
Como a Purple se integra com ambientes de WiFi do Google Workspace e Chromebook?
O Purple Cloud RADIUS se conecta diretamente ao Google Workspace sem exigir Active Directory local ou controladores de domínio. A Purple automatiza o provisionamento de certificados SCEP para Chromebooks gerenciados, faz a ponte com o Google Secure LDAP para autenticação BYOD e fornece atribuição dinâmica de VLAN com base em Google Groups. As equipes de TI ganham visibilidade centralizada, telemetria de fluxo de visitantes nos locais e integração de rede sem toque em mais de 80.000 locais em todo o mundo.
Fontes
- Google Workspace Admin Help - Set up Secure LDAP service
- Google Chrome Enterprise Help - Manage certificates on ChromeOS devices
- IETF RFC 5216 - The EAP-TLS Authentication Protocol
- IETF RFC 3580 - IEEE 802.1X RADIUS Usage Guidelines & Dynamic VLANs
- IETF RFC 8894 - Simple Certificate Enrolment Protocol (SCEP)
Continue a ler esta série
Como revogar o acesso WiFi quando um funcionário sai da empresa
Este guia mostra às equipes de TI e operações de locais físicos como remover o acesso de funcionários ao WiFi quando um colaborador se desliga, sem interromper o restante da força de trabalho. Ele compara 802.1X baseado em certificados, iPSK específico por identidade e desprovisionamento direcionado por SCIM, fornecendo em seguida um roteiro de execução para o mesmo dia, método de teste e modelo de evidência de auditoria.
Secure BYOD WiFi: Integração de certificados Passpoint vs xPSK (iPSK)
Um guia técnico abrangente para equipes de TI sobre como proteger dispositivos não gerenciados de funcionários e estudantes (BYOD) usando certificados Passpoint EAP-TLS zero-touch vs xPSK específico do fornecedor (iPSK/easyPSK, DPSK, PPSK, MPSK).
WPA2 Personal vs Enterprise: qual é a diferença e qual você deve usar?
Este guia de referência técnica oferece uma comparação abrangente dos protocolos de segurança WPA2 Personal e WPA2 Enterprise em ambientes de WiFi corporativo. Ele descreve as diferenças arquitetônicas, metodologias de implantação e implicações de segurança de cada padrão para ajudar arquitetos de rede e líderes de TI a tomarem decisões de implantação informadas.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.