Como configurar um servidor RADIUS para autenticação WiFi: Guia 802.1X passo a passo

Resumo executivo

As redes sem fio empresariais exigem gerenciamento centralizado de identidade, segmentação baseada em funções e forte proteção criptográfica. Depender de Pre-Shared Keys (PSKs) compartilhadas expõe as organizações a vazamentos de credenciais, acesso não autorizado a dispositivos e pesadelos administrativos sempre que um funcionário se desliga da empresa.

A configuração de um servidor RADIUS (Remote Authentication Dial-In User Service) permite a autenticação corporativa 802.1X. Cada dispositivo e usuário conectado se autentica individualmente em um diretório central - como Microsoft Entra ID, Google Workspace, Okta ou Active Directory local.

Este guia técnico fornece instruções passo a passo de implantação para configurar um servidor RADIUS para WiFi corporativo. Abordamos a configuração do FreeRADIUS no Linux, a configuração do Network Policy Server (NPS) no Windows Server, arquiteturas modernas de Cloud RADIUS, atribuição dinâmica de VLAN e endurecimento de segurança contra o BlastRADIUS.

Visão geral da arquitetura 802.1X e RADIUS

O framework 802.1X divide o acesso à rede em três entidades distintas:

1. O Supplicant: O endpoint do cliente (laptop, smartphone ou tablet) que executa o software cliente 802.1X que apresenta as credenciais de identidade.
2. O Authenticator: O ponto de acesso sem fio (AP) ou controladora de LAN sem fio (WLC) que controla o acesso físico à rede e retransmite as mensagens de autenticação.
3. O servidor de autenticação: O servidor RADIUS que valida as credenciais em um diretório de identidade e retorna as políticas de autorização de rede.

+---------------+        EAP over LAN (EAPoL)        +-------------------+
|  Supplicant   | <================================> |   Authenticator   |
| (Disp. Cliente)|                                    | (AP / Controladora)|
+---------------+                                    +-------------------+
                                                               ||
                                                               || Protocolo RADIUS
                                                               || (UDP 1812 / TCP 2083)
                                                               \/
                                                     +-------------------+
                                                     |  Servidor RADIUS  |
                                                     |  (FreeRADIUS/NPS) |
                                                     +-------------------+
                                                               ||
                                                               || Consulta de Identidade
                                                               \/
                                                     +-------------------+
                                                     | Provedor Identid. |
                                                     | (Entra ID / LDAP) |
                                                     +-------------------+

Fluxo de comunicação RADIUS

1. Associação: O cliente se associa ao SSID corporativo (WPA2-Enterprise ou WPA3-Enterprise).
2. Início do EAP: O AP bloqueia todo o tráfego de dados e envia um quadro EAP-Request/Identity para o cliente.
3. Resposta de identidade: O cliente responde com um quadro EAP-Response/Identity.
4. Encapsulamento RADIUS: O AP encapsula a carga útil do EAP em um pacote RADIUS Access-Request e o encaminha para o servidor RADIUS.
5. Negociação EAP: O cliente e o servidor RADIUS negociam o método de autenticação criptográfica (como EAP-TLS ou PEAP).
6. Autorização & Access-Accept: Após a validação bem-sucedida, o servidor RADIUS emite um pacote RADIUS Access-Accept contendo a Pairwise Master Key (PMK) e atributos opcionais de atribuição dinâmica de VLAN.
7. Abertura de porta: O AP desbloqueia a porta virtual e inicia o handshake de 4 vias para criptografar o tráfego sem fio pelo ar.

Para conceitos de arquitetura mais aprofundados, explore nosso Enterprise WiFi Security Guide e Captive Portal Guide.

Configuração passo a passo: FreeRADIUS no Linux

O FreeRADIUS é o padrão mundial de suíte RADIUS de código aberto. Abaixo está a sequência de configuração para o Ubuntu 24.04 LTS / Debian 12.

Passo 1: Instalar os pacotes FreeRADIUS

sudo apt update
sudo apt install -y freeradius freeradius-utils freeradius-ldap ssl-cert

Passo 2: Definir clientes Network Access Server (NAS)

Edite /etc/freeradius/3.0/clients.conf para autorizar seus pontos de acesso sem fio e configurar um segredo compartilhado:

client enterprise_wlan {
  ipaddr: 192.168.10.0/24
  secret: Str0ngSh@redSecr3t2026!
  shortname: branch-aps
  nas_type: other
  require_message_authenticator: yes
}

Nota: Sempre force os atributos Message-Authenticator da RFC 2869 para se defender contra ataques de falsificação BlastRADIUS.

Passo 3: Configurar módulos de autenticação EAP

Abra /etc/freeradius/3.0/mods-available/eap e configure o método EAP padrão:

eap {
  default_eap_type: tls
  timer_expire: 60
  ignore_unknown_eap_types: no
  cisco_accounting_username_bug: no
  max_sessions: 4096

  tls-config tls-common {
    certdir: ${confdir}/certs
    cadir: ${confdir}/certs
    private_key_file: ${certdir}/radius-server.key
    certificate_file: ${certdir}/radius-server.crt
    ca_file: ${cadir}/ca.crt
    cipher_list: HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH
    tls_min_version: 1.2
  }
}

Passo 4: Testar no modo de depuração

Antes de executar como um serviço de sistema, pare o daemon e inicie no modo de depuração em primeiro plano:

sudo systemctl stop freeradius
sudo freeradius -X

Teste a autenticação local usando radtest:

radtest testuser Password123 127.0.0.1 0 testing123

Uma resposta bem-sucedida retorna Received Access-Accept Id 1.

Configuração passo a passo: Windows Server NPS

O Microsoft Network Policy Server (NPS) é a função de servidor RADIUS integrada para ambientes Windows Server conectados ao Active Directory Domain Services (AD DS).

+-------------------------------------------------------------------------+
|                  Windows Server Network Policy Server                   |
|                                                                         |
|  [Clientes RADIUS (AP / WLC)] ---> [Políticas de Solicitação de Conexão] |
|                                                  |                      |
|                                                  v                      |
|  [Active Directory DS / PKI] <--- [Políticas de Rede (VLAN / EAP-TLS)]   |
+-------------------------------------------------------------------------+

Passo 1: Instalar os Serviços de Acesso e Diretiva de Rede

Abra o PowerShell como Administrador:

Install-WindowsFeature NPAS -IncludeManagementTools
Register-ActiveDirectoryServer -Server nps01.corp.local

Passo 2: Registrar clientes RADIUS (pontos de acesso)

1. Abra o Servidor de Diretivas de Rede (nps.msc).
2. Expanda Clientes e Servidores RADIUS > Clique com o botão direito em Clientes RADIUS > Novo.
3. Insira o Nome Amigável: Cisco-Catalyst-AP-Cluster.
4. Insira o Endereço IP ou CIDR de Sub-rede (ex: 10.50.0.0/24).
5. Gere e insira um Segredo Compartilhado forte (mínimo de 24 caracteres alfanuméricos).

Passo 3: Criar política de rede para autenticação WiFi

1. Em Diretivas > Diretivas de Rede, clique com o botão direito e selecione Nova.
2. Nome da Diretiva: Staff-WiFi-802.1X-Policy. Tipo de servidor de acesso à rede: Não especificado.
3. Condições:
   • Adicione Grupos do Windows: CORP\WiFi-Authorised-Users
   • Adicione Tipo de Porta NAS: Sem fio - IEEE 802.11 ou Sem fio - Outro
4. Permissão de Acesso: Selecione Acesso concedido.
5. Métodos de Autenticação:
   • Desmarque os métodos menos seguros.
   • Em Tipos de EAP, adicione Microsoft: Cartão inteligente ou outro certificado (EAP-TLS).
   • Edite o método e selecione o Certificado de Servidor RADIUS emitido pela sua CA Corporativa do Active Directory Certificate Services (AD CS).
6. Restrições: Defina o Limite de Tempo Ocioso para 30 minutos e o Limite de Tempo de Sessão para 8 horas.

Cloud RADIUS: Arquitetura zero-trust moderna

Os servidores RADIUS locais tradicionais apresentam grandes desafios operacionais:

• Alto custo de licenciamento de servidores e manutenção de patches.
• Sem APIs de autenticação nativas para diretórios de identidade em nuvem como Microsoft Entra ID ou Google Workspace.
• Vulnerabilidade a interrupções de WAN em filiais.

As redes empresariais modernas implantam o Cloud RADIUS para centralizar a autenticação com zero infraestrutura de servidor local.

Para modelar sua arquitetura, explore nosso Guia de WiFi Multilocatário e Soluções de WiFi para Funcionários.

Configuração de atribuição dinâmica de VLAN

A Atribuição Dinâmica de VLAN (definida sob RFC 2868 e RFC 3580) permite que um único SSID corporativo segmente usuários dinamicamente em sub-redes distintas com base em sua associação a grupos de diretório.

                          [Enterprise Staff SSID]
                                     |
              +----------------------+----------------------+
              |                      |                      |
              v                      v                      v
        [VLAN 10: Exec]       [VLAN 20: Engineering]  [VLAN 30: Contractors]
        (10.10.10.0/24)        (10.10.20.0/24)        (10.10.30.0/24)

Atributos RADIUS padrão exigidos

Quando o servidor RADIUS valida as credenciais, ele anexa estes atributos à resposta Access-Accept:

Tunnel-Type = 13 (VLAN)
Tunnel-Medium-Type = 6 (802 - inclui todas as mídias 802 mais formato canônico Ethernet)
Tunnel-Private-Group-ID = 20 (ou Nome da VLAN "CORP_ENG")

Exemplo de mapeamento dinâmico de VLAN no FreeRADIUS

Em /etc/freeradius/3.0/users:

DEFAULT Group == "Engineering-Team"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "20"

DEFAULT Group == "Contractors"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "30"

Regras de firewall de rede e configuração de portas

Certifique-se de que os firewalls de rede permitam a comunicação entre os pontos de acesso e os servidores RADIUS:

Reforço de segurança e mitigação de BlastRADIUS

Mitigando BlastRADIUS (CVE-2024-3596)

Em julho de 2024, pesquisadores divulgaram a vulnerabilidade BlastRADIUS, uma colisão de MD5 no protocolo RADIUS que permite a um invasor posicionado entre o ponto de acesso e o servidor RADIUS forjar respostas Access-Accept.

Para proteger sua implantação:

1. Exigir Message-Authenticator: Exija o atributo Message-Authenticator (RFC 2869) em todos os pacotes Access-Request e Access-Accept.
2. Transição para EAP-TLS: O EAP-TLS baseado em certificado é criptograficamente imune a falsificações de proxy porque as chaves criptográficas TLS são derivadas de ponta a ponta entre o cliente e o servidor RADIUS.
3. Implantar RadSec (RFC 6614): Encapsular o tráfego RADIUS dentro de túneis TLS para evitar a manipulação de pacotes por man-in-the-middle.

Solução de problemas de falhas de autenticação 802.1X

Perguntas frequentes

Qual porta um servidor RADIUS usa para autenticação WiFi?

A autenticação RADIUS padrão opera na porta UDP 1812, com a tarifação na porta UDP 1813. Implementações legadas usavam as portas UDP 1645 e 1646. Implantações modernas de Cloud RADIUS utilizam RadSec sobre a porta TCP 2083 com criptografia TLS.

Devo escolher FreeRADIUS ou Windows Server NPS?

Escolha o Windows Server NPS se a sua organização depender estritamente do Active Directory Domain Services local. Escolha o FreeRADIUS para alto desempenho, flexibilidade de código aberto e ambientes Linux. Se a sua organização usa provedores de identidade em nuvem como o Microsoft Entra ID ou o Google Workspace, escolha o Cloud RADIUS.

Como conecto o Microsoft Entra ID (Azure AD) a um servidor RADIUS?

O Microsoft Entra ID não suporta nativamente protocolos legados de autenticação local LDAP ou NTLM. Para conectar o Entra ID ao WiFi corporativo, implante o Cloud RADIUS em conjunto com a implantação de certificados Microsoft Intune SCEP para autenticar os dispositivos usando EAP-TLS.

Por que o EAP-TLS é preferível em relação ao PEAP-MSCHAPv2?

O EAP-TLS usa autenticação mútua de certificado X.509, onde tanto o cliente quanto o servidor validam identidades criptográficas. O PEAP-MSCHAPv2 depende de senhas de usuários dentro de um túnel TLS, deixando as redes vulneráveis a ataques de password spraying, phishing e roubo de credenciais por APs falsos.

Para uma arquitetura de segurança de WiFi corporativa personalizada, consulte o nosso Guia de Analytics de WiFi ou fale com um especialista em redes corporativas.