Um Guia do Administrador de Rede para Configurar a Autenticação RADIUS para WiFi de Convidados

Guia do Administrador de Rede para Configuração de Autenticação RADIUS para WiFi de Convidados - Roteiro de Podcast [INTRODUÇÃO - aproximadamente 1 minuto] Olá e boas-vindas. Vou orientar você em tudo o que precisa saber sobre a configuração de autenticação RADIUS para WiFi de convidados - desde a arquitetura subjacente até as etapas práticas que sua equipe precisa seguir, e as armadilhas que atrapalham a maioria das implantações. Isto não é uma palestra. Pense nisso como um briefing de um consultor sênior que já se sentou à mesa com gerentes de TI em hotéis, redes de varejo, estádios e centros de convenções, e os ajudou a acertar nisso. Vamos cobrir os fundamentos técnicos, padrões de implementação do mundo real e onde a plataforma RADIUS nativa em nuvem da Purple se encaixa no cenário. Vamos começar. [MERGULHO TÉCNICO PROFUNDO - aproximadamente 5 minutos] Então, o que é realmente o RADIUS? RADIUS significa Remote Authentication Dial-In User Service. É um protocolo de rede - definido na RFC 2865 - que fornece autenticação, autorização e contabilização centralizadas para acesso à rede. Em termos simples: é o sistema que decide se o dispositivo de um visitante tem permissão para entrar na sua rede, sob quais condições e por quanto tempo. Em seguida, ele registra toda a sessão. Especificamente para o WiFi de convidados, o RADIUS fica entre os seus pontos de acesso e a sua camada de identidade. Um visitante se conecta ao seu SSID, o dispositivo dele envia uma solicitação de autenticação para o ponto de acesso, o ponto de acesso encaminha isso para um Network Access Server - ou NAS - que então consulta o servidor RADIUS. O servidor RADIUS valida as credenciais, retorna um Access-Accept ou Access-Reject, e a sessão é iniciada ou bloqueada. Os pacotes de contabilização rastreiam a duração da sessão, os dados consumidos e o motivo do encerramento. As três funções principais são frequentemente chamadas de AAA: Autenticação, Autorização e Contabilização. A autenticação confirma a identidade. A autorização define o que essa identidade pode acessar - limites de largura de banda, atribuição de VLAN, duração da sessão. A contabilização cria a trilha de auditoria. Agora, para WiFi de convidados, o método de autenticação importa enormemente. Em um ambiente corporativo, você normalmente usaria 802.1X com EAP-TLS - baseado em certificado, muito seguro. Para convidados, isso é impraticável. Os convidados não possuem certificados em seus dispositivos pessoais. Portanto, o padrão comum é um Captive Portal combinado com RADIUS. O visitante chega a uma splash page, insere seus dados ou se autentica via login social, e o Captive Portal troca essas credenciais com o servidor RADIUS em seu nome. O servidor RADIUS então sinaliza ao ponto de acesso para conceder o acesso. Esta é exatamente a arquitetura que a Purple opera. Nosso serviço RADIUS nativo em nuvem lida com a troca de autenticação, enquanto o Captive Portal - que você personaliza com sua marca e configura por meio da plataforma Purple - gerencia a experiência voltada para o visitante. O ponto de acesso simplesmente precisa saber o endereço do servidor RADIUS, a porta e o segredo compartilhado. A Purple fornece os três. Vamos falar sobre portas e protocolos. O tráfego de autenticação RADIUS roda na porta UDP 1812. O registro de conexões (accounting) do RADIUS roda na porta UDP 1813. Você configurará ambos em seus pontos de acesso. O segredo compartilhado é uma chave pré-compartilhada entre o seu ponto de acesso e o servidor RADIUS - trate-o como uma senha. Use uma sequência longa e gerada aleatoriamente. Nunca a reutilize em outras implantações. No lado do hardware, a Purple é agnóstica em relação ao hardware. Trabalhamos com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet, entre outros. As etapas de configuração variam de acordo com o fornecedor, mas os parâmetros RADIUS subjacentes são consistentes: IP ou hostname do servidor, porta de autenticação 1812, porta de accounting 1813, segredo compartilhado e intervalo de accounting. Para pontos de acesso Avaya, por exemplo, você configura os atributos RADIUS na seção External RADIUS, define o formato do Called-Station-Id para o formato MAC com hífen UC, ativa o accounting e, em seguida, configura o SSID com redirecionamento de página web apontando para as URLs do Captive Portal da Purple. A documentação de suporte da Purple aborda as etapas exatas para Avaya no link fornecido no guia. Para dispositivos da série Pepwave MAX, você pode configurar tanto pelo InControl2 - a plataforma de gerenciamento em nuvem deles - quanto diretamente pela interface web local. De qualquer forma, você estará configurando um Captive Portal externo, apontando a autenticação e o accounting para os servidores RADIUS da Purple, e configurando o SSID com segurança aberta e o Captive Portal associado. Novamente, as etapas exatas estão nos documentos de suporte da Purple. Uma decisão de arquitetura que vale a pena destacar: servidores RADIUS primário e secundário. Sempre configure ambos. A Purple fornece dois endereços de servidor RADIUS para redundância. Se o primário estiver inacessível, o ponto de acesso faz o failover para o secundário automaticamente. Sem um secundário, uma oscilação no servidor RADIUS significa que seus convidados não conseguirão se conectar. Em um hotel com 300 quartos ou em um estádio com 40.000 torcedores, isso é um incidente grave. A segmentação de VLAN é o outro elemento crítico. O tráfego de WiFi de convidados nunca deve tocar na sua rede corporativa ou operacional. Atribua as sessões de convidados a uma VLAN dedicada, roteie essa VLAN para um link de internet separado ou, no mínimo, através de um firewall com regras de saída estritas. Este é um requisito do PCI-DSS se você processar pagamentos com cartão em qualquer lugar da mesma infraestrutura física, e é simplesmente uma boa prática, independentemente disso. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aproximadamente 2 minutos] Deixe-me apresentar as três coisas que mais costumam dar errado. Primeiro: divergências no segredo compartilhado. O segredo compartilhado no ponto de acesso deve corresponder exatamente ao que está registrado no servidor RADIUS. Diferencia maiúsculas de minúsculas, caractere por caractere. Um único caractere errado produz um Access-Reject sem nenhuma mensagem de erro útil. Sempre copie e cole do seu painel da Purple em vez de digitar manualmente. Segundo: lacunas na whitelist. Antes de o visitante se autenticar, seu dispositivo precisa alcançar o Captive Portal. Isso significa que determinados domínios devem estar na whitelist no ponto de acesso - as URLs de portal da Purple, endpoints de autenticação e quaisquer provedores de login social que você estiver usando. Se a whitelist estiver incompleta, os visitantes verão uma página em branco ou um tempo limite esgotado. A Purple mantém uma lista atualizada de domínios obrigatórios na documentação de suporte - use essa lista, não adivinhe. Terceiro: intervalo de accounting. Isso controla com que frequência o ponto de acesso envia atualizações provisórias de accounting para o servidor RADIUS. Definir um tempo muito longo faz com que você perca a granularidade da sessão. Definir um tempo muito curto gera tráfego desnecessário. Para a maioria das implantações, de 240 a 300 segundos é o intervalo correto. O intervalo recomendado pela Avaya é de 300 segundos; o da Pepwave é de 180 a 240 segundos. Siga as orientações específicas do fabricante. Do lado da conformidade: o GDPR exige que você tenha uma base legal para coletar dados de visitantes. Um Captive Portal bem configurado com caixas de seleção de consentimento explícito atende a isso. A plataforma da Purple é compatível com o GDPR e certificada com ISO 27001. Cada login através da Purple é uma opção de consentimento por escolha consciente - o visitante concorda ativamente com seus termos antes de se conectar. Essa trilha de auditoria é a sua evidência de conformidade. [PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto] Perguntas frequentes que recebo regularmente. "Preciso substituir meu hardware existente?" Não. A Purple opera em camadas sobre sua infraestrutura existente. Não é necessário remover e substituir nada. "Posso usar RADIUS para o WiFi da equipe na mesma plataforma?" Sim. A Purple suporta SSIDs separados para convidados e funcionários, com políticas de autenticação diferentes para cada um. "E se o meu local tiver várias unidades?" A Purple gerencia implantações em vários locais a partir de um único painel de controle. Você configura uma vez e replica para todos os locais. "O RADIUS em nuvem é menos seguro do que o local?" Não. O RADIUS em nuvem da Purple opera com 99,999% de tempo de atividade, certificação ISO 27001 e criptografia de ponta a ponta. A superfície de ataque é menor do que a de um servidor autogerenciado porque a aplicação de patches e o endurecimento de segurança são tratados centralmente. "Quanto tempo leva uma implantação completa?" Para um único local com hardware compatível, um administrador de rede pode concluir a configuração do RADIUS em menos de duas horas. A equipe de integração da Purple está disponível para ajudar. [RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto] Para resumir. A autenticação RADIUS para WiFi de convidados oferece controle de acesso centralizado, uma trilha de accounting completa e a base de conformidade necessária para GDPR e PCI-DSS. A arquitetura é simples: ponto de acesso para NAS para servidor RADIUS para a plataforma em nuvem da Purple. As três coisas que você deve acertar são o segredo compartilhado, a whitelist de domínios e o intervalo de accounting. A Purple opera RADIUS nativo em nuvem em mais de 80.000 locais em todo o mundo, processando 440 milhões de logins em 2024. A plataforma é independente de hardware, certificada com ISO 27001 e em conformidade com o GDPR.Seus próximos passos: verifique se o seu hardware está na lista de dispositivos compatíveis do Purple, obtenha as credenciais do servidor RADIUS no seu painel Purple e siga o guia de configuração específico do fornecedor na central de suporte do Purple. Se precisar de ajuda, a equipe técnica do Purple pode orientar você durante o processo. Obrigado por nos acompanhar. O guia prático completo com diagramas, exemplos práticos e referências de configuração está no link abaixo.