Configurando 802.1X no Juniper Mist com cloud RADIUS

Para configurar o 802.1X no Juniper Mist, crie uma WLAN com segurança WPA2 ou WPA3-Enterprise. Adicione seus servidores cloud RADIUS para autenticação e contabilidade, e habilite o RadSec se o serviço oferecer suporte. Defina a VLAN como dinâmica para que as respostas do RADIUS coloquem cada dispositivo no segmento correto. A linha do tempo de insights de clientes do Mist e o Marvis mostram, em seguida, onde qualquer falha de autenticação ocorreu.

O que o 802.1X no Juniper Mist realmente faz?

O IEEE 802.1X é um controle de acesso à rede baseado em porta. Em uma rede sem fio, ele bloqueia o tráfego de um dispositivo até que o dispositivo comprove sua identidade para um servidor de autenticação. O ponto de acesso atua como o autenticador. Ele retransmite mensagens do Extensible Authentication Protocol (EAP) entre o dispositivo e um servidor RADIUS. O RADIUS é o protocolo de autenticação definido na RFC 2865.

O servidor RADIUS verifica a credencial e retorna Access-Accept ou Access-Reject. Um Accept pode conter atributos, como a VLAN à qual o dispositivo deve se conectar. Cada dispositivo gera suas próprias chaves de criptografia, garantindo que dois funcionários nunca compartilhem um segredo.

No Juniper Mist, cada ponto de acesso é um cliente RADIUS. O Mist mantém a configuração da WLAN em sua nuvem e a envia para cada AP em todos os locais. Ele também registra cada etapa de cada tentativa de conexão, o que torna o Mist muito útil quando uma autenticação falha.

O método EAP decide o que o dispositivo apresenta:

• EAP-TLS: o dispositivo e o servidor apresentam certificados. Não há senha para sofrer phishing, ser compartilhada ou expirar.
• PEAP com MSCHAPv2: o Protected EAP envolve uma troca de senhas dentro de um túnel TLS. É mais fácil de implantar, mas é menos seguro. A Microsoft documenta que o Credential Guard, ativado por padrão em compilações recentes do Windows 11, bloqueia o logon único para autenticação baseada em MSCHAPv2.
• EAP-TTLS: um método tunelado semelhante, comum onde o repositório de identidades não é da Microsoft.

O Mist não negocia o método. O dispositivo e o servidor RADIUS entram em acordo entre si, e o AP retransmite a troca. Isso significa que você escolhe o método EAP no lado do RADIUS e em seus perfis de dispositivo, e não no console do Mist.

Do que você precisa antes de configurar o 802.1X no Mist?

Reúna estes itens antes de abrir o console. A maioria das implantações malsucedidas é causada por um item ausente nesta lista, e não pela configuração do Mist.

• Acesso ao Mist. Direitos de administrador da organização, com APs resgatados e atribuídos aos locais.
• Detalhes do cloud RADIUS. Hostnames ou endereços IP do servidor, portas, o segredo compartilhado e detalhes do RadSec se o seu provedor der suporte.
• Uma fonte de identidade. Microsoft Entra ID, Okta ou Google Workspace, conectados ao serviço RADIUS, com grupos que se mapeiam para funções de rede.
• Certificados. Um certificado de servidor RADIUS no qual seus dispositivos confiem. Para EAP-TLS, certificados de cliente emitidos por meio do seu MDM ou PKI.
• Rede cabeada. As portas de switch para APs devem fazer trunking de cada VLAN que o RADIUS possa retornar. Cada VLAN precisa de um escopo DHCP.
• Egress de firewall. UDP 1812 e 1813 para RADIUS padrão, ou TCP 2083 para RadSec, as portas que a IANA atribui a cada um.
• Capacidade do dispositivo. O WPA3-Enterprise exige Protected Management Frames (PMF, IEEE 802.11w). Scanners, impressoras e coletores de dados mais antigos podem não suportá-lo.
• Cobertura. A autenticação empresarial adiciona idas e voltas (round trips), portanto, uma cobertura fraca se manifesta como timeouts de autenticação. Se você não validou a cobertura recentemente, nosso guia de surveys de site WiFi explica o método.

Qual back-end RADIUS uma WLAN da Mist deve apontar?

O back-end decide como os APs alcançam o RADIUS, o que seu firewall deve permitir e como o servidor identifica cada local.

Opção	Transporte do AP	Hardware no local	Egress de firewall	Como o RADIUS identifica o local	Mais adequado para
RADIUS local (Microsoft NPS, FreeRADIUS)	RADIUS sobre UDP, via LAN ou VPN	Servidor na matriz, além de VPN para cada local	UDP 1812 e 1813 para a matriz	IP de origem mais segredo compartilhado	Um único campus com uma sala de servidores existente
Cloud RADIUS sobre UDP	RADIUS sobre UDP, via internet	Nenhum	UDP 1812 e 1813 de saída	IP público do local mais segredo compartilhado	Locais com endereços IP públicos estáticos
Cloud RADIUS sobre RadSec	RADIUS dentro de TLS sobre TCP (RFC 6614)	Nenhum	TCP 2083 de saída	Autenticação mútua por certificado	Redes com vários locais em banda larga ou IPs dinâmicos
Cloud RADIUS via proxy Mist Edge	AP para Mist Edge, depois Mist Edge para RADIUS	Aparelho Mist Edge ou máquina virtual	Portas RADIUS apenas a partir do Mist Edge	IP de origem do Mist Edge	Grandes campus que desejam um único ponto de egress

A Juniper também vende o Mist Access Assurance, seu próprio serviço de controle de acesso à rede em nuvem. Este guia cobre um serviço externo de cloud RADIUS, que mantém sua política de autenticação independente do fornecedor do AP.

Como configurar o 802.1X no Juniper Mist com cloud RADIUS?

O console do Mist muda regularmente, portanto, use a documentação do Mist da Juniper para as etapas atuais campo a campo. A sequência abaixo mostra o que cada etapa faz e as decisões por trás dela.

Etapa 1: criar a WLAN WPA2 ou WPA3-Enterprise

Crie a WLAN em um modelo de WLAN em nível de organização se você gerencia mais de um local. Os modelos se aplicam a locais ou grupos de locais, para que uma única alteração alcance toda a infraestrutura. Crie no nível do local para um piloto em um único local.

Nomeie o SSID e selecione o tipo de segurança empresarial (802.1X). Em seguida, escolha WPA2 ou WPA3.

• WPA3-Enterprise torna o PMF obrigatório e é a única opção empresarial em rádios de 6 GHz. Escolha essa opção para notebooks gerenciados e smartphones atuais.
• WPA2-Enterprise ainda conecta dispositivos mais antigos. Mantenha-o em um SSID separado se uma frota legado ainda não puder ser migrada, em vez de enfraquecer seu SSID principal.

Considere habilitar o roaming rápido com IEEE 802.11r (Fast BSS Transition). Ele encurta a reautenticação quando um dispositivo se desloca entre APs. Teste-o com telefones sem fio e clientes mais antigos antes de habilitá-lo em toda a propriedade.

Passo 2: aponte a WLAN para o seu serviço RADIUS em nuvem

Nas configurações do servidor de autenticação da WLAN, adicione os servidores RADIUS do seu provedor.

• Servidores de autenticação. Insira o host, a porta e o segredo compartilhado para pelo menos dois servidores. O Mist faz o failover para o próximo servidor quando um para de responder.
• Servidores de accounting. Adicione-os separadamente. O accounting registra os horários de início e término da sessão, o que suas equipes de auditoria e incidentes vão exigir.
• Identificador NAS. Defina um valor que o serviço RADIUS possa usar para diferenciar os locais. O seu provedor poderá, então, aplicar políticas específicas para cada local.

Com o RADIUS padrão sobre UDP, as solicitações saem de cada local a partir do seu endereço IP público após o NAT. Seu provedor de RADIUS em nuvem deve registrar esse endereço como um cliente. Um local com IP dinâmico perderá a autenticação sempre que seu endereço mude. O RadSec no Passo 3 remove essa dependência.

Trate o segredo compartilhado como uma credencial. Crie-o de forma longa e aleatória e armazene-o em seu cofre de senhas. Em julho de 2024, pesquisadores divulgaram o BlastRADIUS (CVE-2024-3596), um ataque de falsificação contra o RADIUS sobre UDP. Confirme se o seu provedor exige o atributo Message-Authenticator, conforme recomendado no comunicado, ou mude para o RadSec.

Passo 3: habilite o RadSec

Sim, o Juniper Mist é compatível com RadSec. O RadSec, definido no RFC 6614, transporta o RADIUS dentro de uma sessão TLS sobre TCP. Os APs Mist podem abrir essa sessão diretamente para o seu serviço RADIUS em nuvem.

Habilite o RadSec nas configurações de RADIUS da WLAN e insira o hostname do servidor. O hostname deve corresponder ao nome no certificado do servidor. Em seguida, configure a confiança em ambas as direções:

• O AP confia no servidor. Adicione a autoridade certificadora que assinou o certificado do seu servidor RadSec nas configurações da organização do Mist.
• O servidor confia no AP. Seu servidor RadSec deve confiar no certificado que os APs Mist apresentam. A documentação da Juniper explica onde obtê-lo.

Abra a porta TCP 2083 de saída em todos os locais. O RadSec traz três ganhos práticos:

1. Criptografia. Criptografa todo o pacote RADIUS, incluindo a identidade e o endereço MAC contidos nele. O RADIUS padrão oculta apenas a senha.
2. Sem necessidade de registro de IP. O certificado autentica o AP, não o endereço de origem. IPs de banda larga dinâmicos deixam de ser um problema.
3. Entrega confiável. As mensagens EAP-TLS transportam cadeias de certificados e geralmente excedem o tamanho de um pacote. Sobre UDP através da internet, os fragmentos são descartados. O TCP faz a retransmissão.

Passo 4: mapeie atributos RADIUS para VLANs dinâmicas

A atribuição dinâmica de VLAN coloca cada função em um único SSID e deixa a decisão do segmento para o RADIUS. Nas configurações de VLAN da WLAN, selecione VLAN dinâmica. Liste cada ID ou nome de VLAN que o AP pode receber e defina um padrão para respostas que não transportem nenhuma VLAN.

Sua política RADIUS retorna três atributos de túnel, definidos no RFC 2868 e aplicados ao 802.1X no RFC 3580.

Atributo	Valor	O que faz
Tunnel-Type	13 (VLAN)	Informa ao AP que o túnel é uma VLAN
Tunnel-Medium-Type	6 (IEEE-802)	Especifica um meio IEEE 802
Tunnel-Private-Group-ID	O ID da VLAN ou nome listado na WLAN	Seleciona a VLAN para esta sessão

Construa a política em torno dos grupos de identidade. Dispositivos de governança vão para a VLAN de governança. Terminais de pagamento vão para um segmento isolado. O PCI-DSS trata a segmentação adequada como uma forma de reduzir o escopo do ambiente de dados de titulares de cartão. O mesmo padrão isola dispositivos clínicos do tráfego de visitantes em healthcare.

Passo 5: faça um piloto e escale usando o modelo

Atribua o modelo a um site primeiro. Execute as verificações na próxima seção. Assim que forem aprovadas, atribua o modelo aos sites restantes ou grupos de sites. Cada novo site herda automaticamente a WLAN, os servidores RADIUS, as configurações RadSec e a lista de VLANs.

Como verificar se o 802.1X funciona no Juniper Mist?

Teste cada função, não apenas uma conta. Um aceite bem-sucedido para um grupo não prova nada sobre o mapeamento de VLAN para outro.

1. Conecte um dispositivo de teste por função. Na lista de clientes do Juniper Mist, confirme o SSID, a identidade usada, a VLAN e um endereço IP na sub-rede esperada.
2. Leia os logs do RADIUS. Confirme um Access-Accept contendo os atributos de túnel esperados, seguido por um registro de início de contabilização (accounting start).
3. Faça roaming. Desloque o dispositivo entre APs e confirme se a sessão se mantém, especialmente se você ativou o 802.11r.
4. Revogue. Desative uma conta de teste no seu provedor de identidade. Confirme se a próxima autenticação é rejeitada.
5. Acompanhe os níveis de serviço. A expectativa de nível de serviço (SLE) de Conexões Bem-sucedidas do Juniper Mist inclui um classificador de autorização. O Tempo para Conectar mostra se a autenticação está desacelerando as associações.

O passo 4 tem uma ressalva. Desativar uma conta interrompe a próxima autenticação, mas não a sessão atual. Para encerrar sessões ativas, verifique se o seu serviço RADIUS e a WLAN suportam Alteração de Autorização (CoA, RFC 5176). A CoA permite que o servidor desconecte uma sessão sob demanda.

Onde o Juniper Mist mostra o motivo de uma falha de autenticação?

Lendo a linha do tempo de insights do cliente

Abra o cliente com falha e acesse a página Insights. O Juniper Mist lista cada evento de conexão em ordem: associação, a troca de EAP, o resultado do RADIUS e, em seguida, o DHCP. Leia da esquerda para a direita. O último evento bem-sucedido indica qual camada falhou.

• Falha antes de qualquer evento RADIUS: um problema de rádio ou associação, não de 802.1X.
• Timeout de RADIUS: um problema de alcance ou confiança entre o AP e o servidor.
• Rejeição de RADIUS: o servidor tomou uma decisão. O motivo está nos logs do seu provedor RADIUS.
• Autenticado, mas o DHCP falha: um problema de VLAN ou de rede cabeada.

A captura dinâmica de pacotes do Juniper Mist grava quadros em torno das falhas de conexão automaticamente. Baixe a captura e abra no Wireshark para ver a mensagem EAP exata onde a troca parou.

Consultas do Marvis que agilizam a triagem

O Marvis, assistente de conversação da Mist, aceita perguntas em linguagem natural e exige uma assinatura do Marvis. Consultas desta forma são as que economizam mais tempo:

• "Solucionar problemas de [nome do cliente ou endereço MAC]" retorna o ponto de falha e a causa provável para um único dispositivo.
• "Solucionar problemas de [nome do local]" mostra se as falhas estão concentradas em um único local, o que indica problemas de firewall ou WAN.
• "Quais clientes falharam ao conectar em [local] hoje?" delimita o escopo do problema antes que você abra os históricos individuais.

O escopo vem em primeiro lugar. Um dispositivo com falha geralmente é um perfil de dispositivo. Todos os dispositivos em um mesmo local geralmente é o caminho de rede. Todos os dispositivos em qualquer lugar geralmente é o serviço RADIUS ou um certificado.

Falhas comuns de 802.1X no Mist e suas correções

O que o Mist mostra	Causa provável	Correção
Tempo limite do RADIUS, sem resposta	O firewall bloqueia UDP 1812 ou TCP 2083, IP de origem não registrado ou divergência de segredo compartilhado	Abra a saída, registre o IP do local ou migre para RadSec, insira novamente o segredo em ambos os lados
Access-Reject	Credenciais incorretas, conta desativada ou dispositivo fora de qualquer grupo de políticas	Leia o motivo da rejeição nos logs do RADIUS e corrija a política ou a conta
O EAP para após o certificado do servidor	O dispositivo não confia na CA do servidor ou o nome do servidor não coincide	Envie a CA e o nome do servidor para os dispositivos por meio do seu perfil MDM
Autenticado, sem endereço IP	VLAN retornada não está em trunk para o AP, escopo DHCP ausente ou VLAN fora da lista da WLAN	Faça o trunk da VLAN, adicione o escopo, faça o nome da VLAN corresponder exatamente
A sessão RadSec nunca é estabelecida	CA não confiável em um dos lados, certificado expirado ou erro de relógio	Verifique novamente ambos os certificados, as datas de expiração e o NTP
Falhas intermitentes de EAP-TLS via UDP	Pacotes fragmentados descartados na internet	Migre para RadSec ou reduza a cadeia de certificados
Dispositivos WPA3 conectam, dispositivos antigos falham	Dispositivos antigos não têm suporte a WPA3 ou PMF	Mova os dispositivos legados para um SSID WPA2-Enterprise separado

Como isso se parece em um local real?

Estes dois cenários são ilustrativos. Eles mostram como a configuração altera os resultados operacionais mensuráveis.

Cenário prático: um hotel de 200 quartos elimina chaves compartilhadas de funcionários

Situação. Um hotel de 200 quartos operava quatro SSIDs de funcionários: recepção, governança, gerência e manutenção. Cada um usava uma senha compartilhada. Quando um funcionário da governança saía, a equipe alterava a chave em dezenas de dispositivos ou a mantinha inalterada. Os hóspedes usavam um quinto SSID.

O que foi feito. A equipe criou um único SSID de funcionários com WPA3-Enterprise em um modelo de WLAN do Mist. Dispositivos gerenciados usaram EAP-TLS, com certificados enviados via MDM. O Cloud RADIUS leu a associação de grupo do Microsoft Entra ID e retornou uma VLAN por departamento. Um SSID WPA2-Enterprise separado foi mantido para tablets antigos do serviço de quarto. Os hóspedes permaneceram no Guest WiFi.

Resultado. Quatro SSIDs de funcionários se tornaram apenas um, além de um SSID legado, para que o hotel transmitisse três redes em vez de cinco. Menos SSIDs significam menos quadros de beacon competindo por tempo de transmissão. As chaves compartilhadas de funcionários caíram de quatro para zero. O acesso de quem se desliga agora termina quando o RH desativa a conta, sem necessidade de rotação de chaves. A mesma abordagem se adapta à maioria dos hotéis que executam redes PSK departamentais.

Cenário prático: uma rede de varejo de 120 lojas migra para o RadSec

Situação. Uma rede de 120 lojas executava APs Mist em banda larga comercial. A autenticação ia para um servidor RADIUS local na matriz por meio de VPN site-to-site. Quando a VPN de uma loja caía, os dispositivos da equipe e os leitores portáteis não conseguiam se autenticar.

O que foi feito. A rede migrou para um serviço de RADIUS na nuvem e ativou o RadSec no modelo de WLAN da Mist. A confiança do certificado foi configurada uma única vez nas configurações da organização da Mist. As lojas abriram a porta TCP 2083 de saída. Os terminais de pagamento receberam uma VLAN isolada por meio de atribuição dinâmica, oferecendo suporte à segmentação compatível com PCI-DSS.

Resultado. O servidor RADIUS parou de rastrear 120 entradas de clientes IP por loja; os certificados substituíram todas elas. A autenticação deixou de depender da VPN. Uma nova loja agora obtém 802.1X no momento em que seu local se une ao modelo. O modelo se adapta a redes do varejo onde a conectividade das lojas é feita por banda larga com endereços IP dinâmicos.

Quanto custa e qual é o retorno?

Você não precisa de novos pontos de acesso. O 802.1X, o RadSec e as VLANs dinâmicas funcionam nos APs Mist que você já possui. Nosso artigo sobre por que sua próxima atualização de WiFi não precisa de novos hardwares aborda esse modelo de sobreposição na nuvem com mais detalhes.

O custo está dividido em quatro pontos:

• Assinaturas da Juniper. As expectativas de nível de serviço e o Marvis dependem do seu nível de assinatura Mist. Confirme a cobertura com seu parceiro Juniper.
• O serviço RADIUS. O RADIUS local custa servidores, licenças, correções e VPNs. O RADIUS-as-a-Service na nuvem é uma assinatura sem nada de hardware.
• Certificados. O EAP-TLS precisa de uma PKI e um MDM para emitir certificados. A maioria das organizações já executa ambos.
• Tempo de engenharia. A configuração da Mist é a parte rápida. A distribuição de certificados para os dispositivos é o que dita o ritmo.

O retorno que você obtém é mensurável. As chaves compartilhadas caem para zero. A revogação segue o provedor de identidade, não um projeto de rotação de chaves. O número de SSIDs diminui. A segmentação reduz o escopo do PCI-DSS. A triagem começa a partir de uma linha do tempo e de uma consulta ao Marvis em vez de uma visita ao local.

O RADIUS-as-a-Service da Purple é uma opção de RADIUS em nuvem para Juniper Mist. Ele é agnóstico em relação ao hardware, funcionando com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Ele vincula o acesso à rede à identidade no Microsoft Entra ID, Okta ou Google Workspace, para que novas contratações, mudanças de cargo e desligamentos sejam atualizados automaticamente. A Purple possui certificação ISO 27001 e Cyber Essentials, além de estar em conformidade com o GDPR. Nossos próprios dados mostram 99,999% de tempo de atividade e 440 milhões de logins em 2024 em mais de 80.000 locais ativos. Verifique o suporte a RadSec com qualquer provedor que você selecionar, incluindo a Purple. Se você também estiver calculando os custos da rede de convidados, consulte nossa comparação de modelos de preços de Captive Portal.

Perguntas frequentes

O Juniper Mist suporta RadSec nativamente?

Sim. Os pontos de acesso Juniper Mist podem abrir uma sessão RadSec diretamente para um serviço RADIUS em nuvem, transportando RADIUS dentro do TLS sobre TCP conforme definido na RFC 6614. Você ativa isso nas configurações de RADIUS da WLAN e gerencia a confiança do certificado nas configurações da organização. Os locais precisam de saída TCP 2083. O RadSec criptografa todo o pacote RADIUS e elimina a necessidade de registrar o IP público de cada local com seu provedor.

Preciso de um Mist Edge para usar RADIUS em nuvem?

Não. Os APs Juniper Mist podem enviar RADIUS ou RadSec diretamente para um serviço em nuvem sem hardware adicional. Um proxy Mist Edge ajuda em grandes campi onde você deseja que todas as solicitações RADIUS saiam por um único ponto controlado. Ele também é adequado para locais onde os APs não conseguem acessar a internet diretamente. Para a maioria das propriedades com vários locais, o RadSec direto dos APs é o projeto mais simples.

Posso manter o Microsoft NPS funcionando enquanto me mudo para o RADIUS em nuvem?

Sim, mas planeje a transição por grupo e não por ordem de servidor. O Juniper Mist só faz failover entre servidores de autenticação quando um para de responder, não quando um rejeita uma solicitação. Portanto, listar o NPS e um serviço em nuvem na mesma WLAN gera resultados imprevisíveis. Execute um segundo SSID apontado para o RADIUS em nuvem, mova um departamento de cada vez e, em seguida, desative o NPS.

O RADIUS-as-a-Service da Purple funciona com o Juniper Mist?

Sim. A Purple é agnóstica em relação ao hardware e roda como uma sobreposição em nuvem no Juniper Mist, bem como no Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Ela vincula o acesso à rede ao Microsoft Entra ID, Okta ou Google Workspace, para que as alterações de acesso ocorram automaticamente quando uma conta muda. Você mantém seus APs Juniper Mist existentes, sem necessidade de substituir equipamentos.

O WPA3-Enterprise é obrigatório para 802.1X no Juniper Mist?

Não. O 802.1X funciona com WPA2-Enterprise ou WPA3-Enterprise. O WPA3 adiciona Protected Management Frames obrigatórios e é a única opção enterprise em rádios de 6 GHz. Use o WPA3 para notebooks e telefones atuais. Mantenha um SSID WPA2-Enterprise separado para scanners, impressoras ou tablets mais antigos que não possuem suporte a PMF, em vez de diminuir a segurança no seu SSID principal.

O 802.1X no Juniper Mist precisa de uma licença extra da Juniper?

Nenhuma licença adicional é necessária para a própria WLAN. Apontar uma WLAN Mist para um servidor RADIUS externo é uma configuração padrão. As ferramentas de solução de problemas diferem: o Marvis exige uma assinatura do Marvis, e as expectativas de nível de serviço dependem do seu nível de assinatura do Mist. O Mist Access Assurance da própria Juniper é um produto separado. Confirme seu nível com seu parceiro Juniper antes de confiar no Marvis para triagem.

Como o 802.1X afeta a conformidade com o GDPR?

Os logs de RADIUS e contabilização contêm dados pessoais: identidades, endereços MAC de dispositivos e horários de sessão. Sob o GDPR, você precisa de uma base legal, um período de retenção definido e um acordo de processamento de dados com seu provedor RADIUS. O RadSec ajuda criptografando identidades em trânsito. A Purple está em conformidade com o GDPR e possui certificação ISO 27001, processando dados de autenticação sob um acordo de processamento de dados.

Quanto tempo leva uma implementação do 802.1X no Mist?

A configuração do Mist é a parte mais rápida; a distribuição de certificados dita o ritmo. Criar a WLAN, adicionar servidores RADIUS e habilitar o RadSec é uma única alteração em um modelo. Emitir certificados para cada dispositivo gerenciado por meio do MDM e migrar dispositivos legados leva mais tempo. Faça um piloto em um local, teste todas as funções e, em seguida, atribua o modelo aos demais locais.