Como Configurar um Servidor RADIUS para Autenticação WiFi

Resumo Executivo

Para ambientes corporativos — seja um campus universitário em expansão, um estádio de alta densidade ou uma rede de varejo distribuída — depender de uma Chave Pré-Compartilhada (PSK) para acesso WiFi é uma vulnerabilidade de segurança significativa. Uma única credencial comprometida expõe toda a rede, e revogar o acesso exige a alteração da senha de todos os dispositivos do local. A implementação da autenticação 802.1X por meio de um servidor RADIUS (Remote Authentication Dial-In User Service) elimina esse problema por completo: cada usuário se autentica individualmente, o acesso pode ser revogado instantaneamente e a segmentação de rede é aplicada de forma dinâmica.

Este guia fornece um roteiro definitivo para gerentes de TI e arquitetos de rede implantarem a autenticação RADIUS. Abordamos as compensações arquitetônicas entre implantações locais e hospedadas em nuvem, a configuração de métodos do Extensible Authentication Protocol (EAP) e a integração com serviços de diretório como o Active Directory. Também demonstramos como uma camada de autenticação robusta se integra com soluções de Guest WiFi para fornecer acesso contínuo aos visitantes, enquanto captura os dados de WiFi Analytics que transformam sua rede em um ativo de inteligência de negócios.

Aprofundamento Técnico

A Arquitetura 802.1X

O padrão IEEE 802.1X define o Controle de Acesso à Rede baseado em porta (PNAC). No contexto sem fio, ele envolve três funções principais trabalhando em conjunto:

Quando um suplicante se associa a um ponto de acesso, o AP bloqueia todo o tráfego de dados, exceto as mensagens EAP (Extensible Authentication Protocol). O AP encapsula essas mensagens EAP em pacotes RADIUS e as encaminha para o servidor RADIUS. O servidor verifica as credenciais em um banco de dados de back-end — normalmente LDAP ou Active Directory — e retorna uma mensagem Access-Accept ou Access-Reject. Se aceito, o AP desbloqueia a porta e o tráfego do cliente flui livremente.

Escolhendo um Método EAP

A segurança da sua implantação RADIUS depende muito do método EAP selecionado. Os dois mais predominantes em implantações corporativas são: EAP-TLS (Transport Layer Security) é o padrão ouro. Ele exige certificados digitais tanto no servidor RADIUS quanto em cada dispositivo cliente, eliminando completamente as senhas. Mesmo que um invasor capture a troca de autenticação completa, não há credenciais para extrair. O contraponto é a sobrecarga administrativa: implantar e gerenciar certificados de cliente requer uma Infraestrutura de Chaves Públicas (ICP) em funcionamento e uma solução de MDM (por exemplo, Microsoft Intune, Jamf) para distribuir os certificados aos endpoints.

PEAP-MSCHAPv2 (PEAP Protegido) é o método mais amplamente implantado na prática. Ele usa um certificado do lado do servidor para estabelecer um túnel TLS criptografado, dentro do qual o cliente se autentica com um nome de usuário e senha. Isso é significativamente mais fácil de implantar do que o EAP-TLS porque apenas um certificado — o do servidor — precisa ser gerenciado. No entanto, traz uma ressalva crítica: se os dispositivos clientes não forem configurados explicitamente para validar o certificado do servidor RADIUS, eles ficarão vulneráveis a ataques de Man-in-the-Middle (MitM) por meio de pontos de acesso falsos.

> Nota de Segurança Crítica: Deixar de impor uma validação estrita de certificado nos dispositivos clientes anula efetivamente os benefícios de segurança do PEAP-MSCHAPv2. Um invasor pode implantar um AP falso, apresentar um certificado fraudulento e capturar as credenciais do usuário em texto simples. Isso não é um risco teórico — é um vetor de ataque bem documentado que tem sido explorado em ambientes reais.

Guia de Implementação

Passo 1: Decisão Arquitetônica — RADIUS On-Premise vs. Cloud

A primeira decisão é onde hospedar a infraestrutura RADIUS. Esta é principalmente uma questão operacional e de custo, não de segurança — ambos os modelos podem ser implantados de forma segura.

RADIUS On-Premise (por exemplo, Microsoft NPS, FreeRADIUS, Cisco ISE) é adequado para organizações com equipe de TI dedicada, infraestrutura de diretório local existente e requisitos rigorosos de soberania de dados ou conformidade. Ele não depende de conectividade com a internet para autenticação, o que é uma vantagem significativa para ambientes onde o tempo de atividade da internet não pode ser garantido.

Cloud RADIUS é cada vez mais o modelo preferido para ambientes distribuídos — redes de Varejo , grupos de Hospitalidade e hubs de Transporte onde a implantação de servidores em cada local é operacionalmente inviável. O Cloud RADIUS integra-se nativamente com provedores de identidade em nuvem (Azure AD, Google Workspace, Okta) e oferece alta disponibilidade integrada e escalabilidade global.

Passo 2: Instalar e Configurar o Servidor RADIUS

Para uma implantação on-premise usando o Microsoft NPS (a escolha mais comum em ambientes centrados em Windows):

1. Instale a função de Servidor de Políticas de Rede (NPS) através do Gerenciador de Servidores.
2. Registre o servidor NPS no Active Directory para permitir que ele leia as propriedades de discagem do usuário.
3. Crie uma entrada de Cliente RADIUS para cada ponto de acesso ou controladora sem fio, especificando o endereço IP do AP e um Shared Secret forte e exclusivo.
4. Configure uma Política de Rede definindo as condições (ex: associação a grupos de usuários) e restrições (ex: método EAP, tempo limite da sessão) para o acesso.
5. Configure a Política de Solicitação de Conexão para processar as solicitações localmente.

Para FreeRADIUS no Linux:

1. Instale via gerenciador de pacotes: sudo apt-get install freeradius freeradius-ldap.
2. Configure /etc/freeradius/3.0/clients.conf para definir os clientes RADIUS (APs) e seus secrets compartilhados.
3. Configure o módulo LDAP em /etc/freeradius/3.0/mods-available/ldap para apontar para o seu Active Directory ou servidor LDAP.
4. Habilite o módulo LDAP: sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/.
5. Defina os métodos EAP em /etc/freeradius/3.0/mods-available/eap.

Passo 3: Configurar os Pontos de Acesso

Na sua controladora sem fio ou nos pontos de acesso individuais:

1. Defina o(s) endereço(s) IP do servidor RADIUS e a porta de autenticação (padrão: UDP 1812).
2. Configure o Shared Secret — use no mínimo 22 caracteres, mesclando caracteres alfanuméricos e especiais. Use um secret exclusivo por local ou grupo de APs.
3. Configure o SSID para usar o modo de segurança WPA2-Enterprise ou WPA3-Enterprise com gerenciamento de chaves 802.1X.
4. Configure um servidor RADIUS secundário para failover.

Passo 4: Integração de Diretório

Para integração com AD local, o servidor RADIUS deve estar associado ao domínio ou ter acesso de leitura LDAP. Certifique-se de que as contas de serviço usadas para vinculação LDAP tenham as permissões mínimas necessárias. Para RADIUS em nuvem, configure a sincronização baseada em API ou a integração SAML/OIDC com seu IdP.

Defina grupos de usuários claros em seu diretório, pois eles direcionarão as políticas de autorização. Estrutura de grupo recomendada:

Passo 5: Configuração do Cliente e Validação de Certificado

Este é o passo operacionalmente mais crítico. Use a Diretiva de Grupo (GPO) para Windows e perfis MDM para macOS/iOS/Android para enviar silenciosamente as configurações de WiFi para os dispositivos gerenciados. O perfil deve especificar:

• A CA Raiz que emitiu o certificado do servidor RADIUS.
• O nome do servidor esperado (CN ou SAN do certificado do servidor).
• O método EAP e o protocolo de autenticação interna.

Para dispositivos BYOD não gerenciados, forneça instruções claras de autoatendimento para integração, idealmente por meio de um portal de Controle de Acesso à Rede (NAC).

Passo 6: Implementar Atribuição Dinâmica de VLAN

Configure o servidor RADIUS para retornar os atributos de atribuição de VLAN na resposta Access-Accept:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = IEEE-802 (6)
• Tunnel-Private-Group-Id = ``

O ponto de acesso lê esses atributos e coloca o cliente autenticado na VLAN especificada — sem a necessidade de reconfiguração manual à medida que os usuários mudam de função ou local.

Melhores Práticas

A redundância é inegociável. Implante no mínimo dois servidores RADIUS (primário e secundário) e configure todos os pontos de acesso para failover automático. Para implantações locais (on-premise), considere colocar o servidor secundário em um local físico ou zona de disponibilidade diferente. Uma interrupção do RADIUS significa que ninguém pode se autenticar, o que representa uma queda total de rede para SSIDs protegidos por 802.1X.

Monitore a expiração de certificados proativamente. A expiração do certificado do servidor RADIUS é uma das causas mais comuns de falhas de autenticação repentinas e generalizadas. Implemente o monitoramento para alertar os administradores pelo menos 30 dias antes da expiração. Isso se aplica tanto ao certificado do servidor quanto a quaisquer certificados de CA intermediária na cadeia.

Trate o Segredo Compartilhado como uma credencial crítica. O segredo compartilhado entre o AP e o servidor RADIUS criptografa os pacotes RADIUS. Use segredos exclusivos por local ou grupo de APs, armazene-os em um gerenciador de segredos e faça a rotação periodicamente. Consulte nosso guia sobre Proteja sua Rede com DNS Forte e Segurança para recomendações mais amplas de higiene de segurança de rede.

Alinhe-se com frameworks de conformidade. Para ambientes sujeitos ao PCI DSS (por exemplo, redes de pagamento de varejo), a autenticação 802.1X oferece suporte direto aos requisitos de controle de acesso à rede e registro de auditoria. Para conformidade com a GDPR, os logs de contabilidade do RADIUS (porta 1813) fornecem uma trilha de auditoria detalhada de quem acessou a rede, de onde e quando — valiosa para resposta a incidentes. Para ambientes de Saúde , a segmentação de rede via atribuição dinâmica de VLAN oferece suporte aos requisitos da HIPAA para proteger informações eletrônicas de saúde protegidas (ePHI).

Resolução de Problemas e Mitigação de Riscos

For a deeper dive into the 802.1X configuration process itself, the How to Configure 802.1X WiFi Authentication: A Step-by-Step Guide provides granular, vendor-specific configuration walkthroughs.

ROI & Impacto nos Negócios

A transição de PSK para 802.1X baseado em RADIUS exige um investimento inicial em configuração e, potencialmente, licenciamento para soluções em nuvem ou hardware para implantações locais. O caso de ROI é direto:

Mitigação de riscos: O custo médio de uma violação de dados no Reino Unido ultrapassa os £3 milhões (Relatório do Custo de uma Violação de Dados da IBM). Uma PSK comprometida pode expor toda a rede. O 802.1X limita o raio de impacto a uma única conta de usuário comprometida, que pode ser desativada em segundos por meio do diretório.

Eficiência operacional: A atribuição dinâmica de VLAN elimina a reconfiguração manual da rede conforme os funcionários mudam de função. Integrar um novo funcionário significa adicioná-lo ao grupo correto do AD — o acesso à rede é concedido de forma automática.

Postura de conformidade: Para organizações sujeitas a PCI DSS, ISO 27001 ou Cyber Essentials Plus, o 802.1X é um controle direto que os auditores esperam ver. Implementá-lo fortalece sua postura de conformidade e reduz os custos de remediação de auditoria.

Experiência do visitante e análise de dados: Para operadores de locais físicos, a integração do RADIUS para autenticação de funcionários com a plataforma Guest WiFi da Purple cria um modelo de acesso unificado e em camadas. Os funcionários se autenticam silenciosamente via 802.1X; os visitantes se conectam por meio de um Captive Portal personalizado. A plataforma WiFi Analytics da Purple fornece visibilidade em tempo real sobre o tempo de permanência dos visitantes, taxas de retorno e métricas de engajamento — dados que influenciam diretamente nos investimentos de marketing e nas decisões operacionais do local.

For further reading, see the Como Configurar a Autenticação 802.1X WiFi: Um Guia Passo a Passo for Portuguese-language implementation guidance, and What Is a Leased Line? Dedicated Business Internet for guidance on ensuring the underlying connectivity meets enterprise requirements.