Autenticação WiFi Microsoft Entra ID (Azure AD): Guia de integração Enterprise

Resumo Executivo

À medida que as organizações de TI corporativas migram a identidade corporativa do Active Directory Domain Services (AD DS) local para o Microsoft Entra ID (anteriormente Azure Active Directory), os arquitetos de rede enfrentam um desafio fundamental de rede: o Microsoft Entra ID não suporta autenticação de protocolo RADIUS nativa.

As redes sem fio empresariais herdadas dependem do IEEE 802.1X com PEAP-MSCHAPv2, consultando instâncias locais do Windows Server Network Policy Server (NPS) que validam hashes de senha NT LAN Manager (NTLM) em controladores de domínio locais. O Entra ID nativo da nuvem não expõe portas de escuta LDAP (TCP 389) ou RADIUS (UDP 1812), nem armazena hashes de senha NTLM reversíveis ou em texto simples para contas exclusivamente na nuvem.

Para proteger o WiFi empresarial com o Microsoft Entra ID, as organizações precisam modernizar sua camada de acesso. Este guia técnico descreve os três padrões de arquitetura comprovados para conectar o Entra ID a redes sem fio empresariais:

1. EAP-TLS nativo da nuvem via Microsoft Cloud PKI & SCEP (Recomendado): Autenticação mútua de certificado, sem senha, implantada via Microsoft Intune.
2. Cloud RADIUS com Entra ID OAuth / SCIM Directory Sync: Serviço de autenticação em nuvem gerenciado que consulta a Microsoft Graph API.
3. NPS local híbrido com Extensão Azure MFA: Arquitetura de ponte para ambientes que mantêm a infraestrutura local do Active Directory.

Comparação de Arquitetura: Métodos de Autenticação WiFi do Entra ID

Antes de selecionar um caminho de integração, avalie os recursos técnicos, a postura de segurança e os requisitos administrativos de cada modelo:

+----------------------------------------------------------------------------------------------------+
|                               Matriz de Arquitetura WiFi do Microsoft Entra ID                      |
+----------------------------------------------------------------------------------------------------+
| Método               | Protocolo| Tipo de Credencial| Infraestrutura Local  | Nível de Segurança (0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | CA Digital X.509 | Zero (100% Nuvem)     | 98/100 (Zero Trust)   |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | Zero (100% Nuvem)     | 88/100 (Enterprise)   |
| 3. Hybrid NPS + MFA  | PEAPv0   | Usuário/Senha    | Windows Server & NDES | 68/100 (Risco Herdado)|
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth  | Zero (100% Nuvem)     | 85/100 (Guest/BYOD)   |
+----------------------+----------+------------------+-----------------------+-----------------------+

Método 1: EAP-TLS nativo da nuvem via Microsoft Intune SCEP (Recomendado)

O EAP-TLS baseado em certificado (RFC 5216) representa o padrão de ouro para a segurança de redes sem fio empresariais. Ao emitir certificados digitais exclusivos para endpoints gerenciados, as organizações eliminam senhas compartilhadas, derrotam campanhas de phishing de coleta de credenciais e cumprem com os padrões do NIST SP 800-207 Zero Trust Architecture.

+------------------+          +------------------------+          +------------------------+
|Dispositivo Gerenc|          | Ponto de Acesso Sem Fio|          | Servidor Cloud RADIUS  |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |    (Multi-Região)      |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. Assoc 802.1X EAP-TLS        |                                    |
         |------------------------------->|                                    |
         |                                | 2. RADIUS Access-Request (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. Validar Cadeia Cert
         |                                |                                    |    e Consultar Graph API
         |                                |                                    |    para Status da Conta
         |                                | 4. RADIUS Access-Accept            |
         |                                |    (Atributos VLAN RFC 2868)       |
         |                                |<-----------------------------------|
         | 5. Handshake 802.11 de 4 Vias  |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ Sessão Criptografada Estabelecida (WPA3-Enterprise 192-bit) ]

Fluxo de trabalho de implantação do Intune SCEP

1. Configuração da Autoridade de Certificação: Estabeleça uma CA emissora usando o Microsoft Cloud PKI no Microsoft Intune ou uma CA de nuvem integrada (como SCEPman, EZCA ou Cloud RADIUS PKI).
2. Perfil de Certificado Confiável: Implante os certificados públicos da CA Raiz e CA Intermediária para todos os grupos de dispositivos Windows 11, macOS, iOS e Android de destino.
3. Configuração do Perfil SCEP:
   • Tipo de Certificado: Certificado de Usuário ou Dispositivo.
   • Formato do Nome do Assunto: CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • Nome Alternativo do Assunto (SAN): UserPrincipalName = {{UserPrincipalName}} e DNS = {{AADDeviceId}}
   • Uso da Chave: Assinatura Digital, Criptografia de Chave.
   • Provedor de Armazenamento de Chave (KSP): Preferência por TPM (força chaves privadas protegidas por hardware).
4. Perfil de Configuração de WiFi:
   • Tipo de WiFi: Enterprise.
   • Tipo de EAP: EAP-TLS.
   • Confiança do Servidor: Selecione o certificado da CA Raiz Confiável implantado.
   • Nomes de Servidor: Insira o nome de domínio totalmente qualificado (FQDN) do servidor Cloud RADIUS (ex. radius.purple.ai).
   • Identidade de Autenticação: Certificado de Usuário ou Máquina.

Método 2: Cloud RADIUS com Entra ID OAuth e Sincronização de Diretório SCIM

Para organizações que buscam gerenciamento de diretório centralizado sem gerenciar CAs privadas, o Cloud RADIUS fornece uma ponte gerenciada entre os controladores sem fio e a Microsoft Graph API.

Como o Cloud RADIUS se integra com o Microsoft Entra ID

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Cloud RADIUS Engine|        | Microsoft Entra ID |
|   Access Points    |        | (Plataforma Purple)|        |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Consulta Graph API      |
          |                             |     (Verificar se usuário   |
          |                             |      está ativo, grupos e   |
          |                             |      acesso condicional)    |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. Resposta JSON           |
          |                             |     (Status: Ativo,         |
          |                             |      Grupos: [SG-Finance])  |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Principais vantagens do Cloud RADIUS

• Zero Hardware On-Premises: Elimina a aquisição de servidores físicos, licenciamento de Windows Server e manutenção anual de patches do SO.
• Sincronização de Diretório em Tempo Real: Se um funcionário sai da empresa ou é desativado no Entra ID, seu acesso sem fio é revogado imediatamente em todos os sites globais.
• Redundância Multirregião: O roteamento IP Anycast encaminha as solicitações de autenticação para o data center geográfico de menor latência com failover automático.

Atribuição Dinâmica de VLAN via Grupos de Segurança Entra ID

A atribuição dinâmica de VLAN permite que os administradores de rede transmitam um SSID corporativo único, enquanto posicionam os dispositivos automaticamente em segmentos de rede isolados com base nas funções dos usuários e afiliações de departamento.

+-----------------------------------------------------------------------------------+
|                    Grupo de Segurança do Microsoft Entra ID                       |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ Política Cloud RADIUS ]      [ Política Cloud RADIUS ]          [ Política Cloud RADIUS ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868:               RADIUS RFC 2868:                   RADIUS RFC 2868:
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (Executivo Corp VLAN 10)       (Sub-rede Engenharia VLAN 20)      (DMZ Terceirizados VLAN 30)

Atributos padrão RADIUS obrigatórios (RFC 2868)

Quando o servidor Cloud RADIUS aprova uma solicitação de autenticação, ele inclui três atributos padrão no pacote Access-Accept:

Captive Portal Single Sign-On (SSO) para Visitantes, BYOD e Terceirizados

Para visitantes, fornecedores e dispositivos pessoais não gerenciados de funcionários (BYOD), a implantação de certificados 802.1X costuma ser inviável. Nesses cenários, um Captive Portal gerenciado na nuvem e integrado ao Microsoft Entra ID via SAML 2.0 ou OpenID Connect (OIDC) oferece um fluxo de integração seguro e auditado.

+--------------------+        +--------------------+        +--------------------+
|  Navegador do      |        | Purple Captive     |        | Gateway de Login   |
| Visitante / BYOD   |        | Splash Portal      |        | Microsoft Entra ID |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. Requisição Web HTTP      |                             |
          |---------------------------->|                             |
          | 2. Redirecionar para Splash Page                          |
          |<----------------------------|                             |
          |                             |                             |
          | 3. Clicar em "Entrar com M365"                            |
          |---------------------------->|                             |
          | 4. Req. de Autenticação SAML / OAuth                      |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. Desafio MFA e Verificação de Identidade (Entra ID)     |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. Emissão de Asserção SAML / Token de ID                 |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. Enviar Token (POST) para Splash Engine                 |
          |---------------------------->|                             |
          |                             | 8. Autorizar MAC no WLC     |
          | 9. Acesso à Internet Concedido|<---------------------------|
          |<----------------------------|

Benefícios de segurança de SSO do Captive Portal

• Impor Acesso Condicional: Exija Autenticação Multifator (MFA) do Microsoft Entra ID e aceitação dos Termos de Uso antes de conceder acesso à rede.
• Expiração Automatizada: Restrinja a duração do acesso de visitantes (ex. 8 horas) automaticamente com base nos perfis de identidade de convidados.
• Registro de Auditoria (Audit Logging): Mantenha registros de conexão imutáveis vinculando endereços MAC físicos a endereços de e-mail corporativos do Microsoft Entra ID para auditorias de conformidade.

Reforçando a Segurança de WiFi Corporativo: Modo WPA3-Enterprise de 192 bits

Ao configurar a autenticação de WiFi do Microsoft Entra ID, os arquitetos de rede devem configurar o WPA3-Enterprise para proteger contra vetores de ataque sofisticados pelo ar:

• Modo de Segurança de 192 bits (CNSA Suite): Implementa criptografia Galois/Counter Mode Protocol de 256 bits (GCMP-256) e derivação de chave HMAC-SHA-384 de 384 bits.
• Quadros de Gerenciamento Protegidos (PMF / IEEE 802.11w): Impede que agentes maliciosos falsifiquem endereços MAC de pontos de acesso para enviar quadros falsos de desautenticação e desassociação.
• Eliminação de Cifras Legadas: Deprecia completamente as suítes WEP, TKIP e WPA2-TKIP não reforçadas.

Solução de Problemas de Falhas de Autenticação de WiFi 802.1X do Entra ID

Quando os dispositivos clientes não conseguirem se autenticar, consulte este guia de diagnóstico sistemático:

1. Falha no handshake EAP-TLS: CA desconhecida ou certificado não confiável

• Sintoma: O cliente não consegue se conectar; o log do RADIUS exibe TLS Alert: unknown_ca (48).
• Causa Raiz: O dispositivo cliente não confia no certificado do servidor RADIUS, ou o servidor RADIUS não possui a CA Raiz que emitiu o certificado do cliente.
• Solução:
  1. Confirme se o perfil de Certificado Confiável do Intune implantou a CA Raiz no dispositivo cliente.
  2. No perfil de WiFi do Intune, verifique se o nome do servidor na lista de permissões Server Names corresponde exatamente ao Nome Comum (CN) ou Nome Alternativo do Assunto (SAN) do certificado do servidor RADIUS.
  3. Certifique-se de que a cadeia de certificados completa (CA Raiz + CAs Intermediárias) seja importada para o repositório de confiança de certificados do Cloud RADIUS.

2. RADIUS Access-Reject: Conta de usuário desativada ou incompatibilidade de grupo

• Sintoma: O servidor RADIUS recebe a solicitação, mas retorna Access-Reject com o erro User account not found or disabled.
• Causa Raiz: A conta do usuário está desativada no Microsoft Entra ID ou o usuário não é membro do grupo de segurança autorizado do Entra.
• Solução:
  1. Inspecione o objeto do usuário no centro de administração do Microsoft Entra (entra.microsoft.com) para verificar se o status da conta está ativo.
  2. Verifique as permissões do Aplicativo Empresarial do Cloud RADIUS no Entra ID (User.Read.All, GroupMember.Read.All).
  3. Verifique a latência de sincronização do diretório se o usuário foi adicionado recentemente a um novo grupo de segurança.

3. Atribuição de VLAN dinâmica não entra em vigor

• Sintoma: A autenticação é bem-sucedida, mas o cliente permanece na VLAN nativa padrão em vez da VLAN atribuída ao departamento.
• Causa Raiz: O controlador de LAN sem fio (WLC) não habilitou o AAA Override ou a porta de tronco do switch não possui o ID da VLAN de destino.
• Solução:
  1. Nos controladores Cisco Catalyst / Aruba, habilite AAA Override e Allow Dynamic VLANs na configuração da WLAN.
  2. Verifique se a porta do switch que se conecta ao ponto de acesso permite todos os IDs de VLAN dinâmicos no tronco 802.1Q (switchport trunk allowed vlan add 10,20,30,40).
  3. Confirme se o RADIUS retorna todos os três atributos obrigatórios: Tunnel-Type = 13, Tunnel-Medium-Type = 6 e Tunnel-Private-Group-ID = <VLAN_ID>.

Resumo e Próximos Passos

A integração do Microsoft Entra ID com WiFi corporativo cria uma camada de acesso à rede resiliente e sem senha. Ao associar o gerenciamento de certificados SCEP do Microsoft Intune com Cloud RADIUS e atribuição dinâmica de VLAN, as organizações de TI eliminam o endividamento da infraestrutura local ao mesmo tempo em que fortalecem sua postura de segurança de confiança zero (zero-trust).

Para organizações que gerenciam grandes volumes de visitantes convidados, prestadores de serviços ou hardware BYOD junto com frotas corporativas, a Purple oferece gerenciamento de acesso WiFi em nuvem pronto para uso, login único em Captive Portal nativo com SAML/OAuth do Entra ID e análises de rede em tempo real em todos os principais fornecedores de hardware sem fio corporativo.