Configurando Autenticação RADIUS para Redes WiFi de Convidados e Funcionários

Resumo Executivo

Em ambientes corporativos modernos, a segurança das redes sem fio é um requisito operacional crítico. Métodos de segurança legados, como chaves pré-compartilhadas (PSKs), introduzem vulnerabilidades de segurança significativas. Se um único funcionário deixa a organização, ou se um visitante compromete uma senha compartilhada, toda a postura de segurança da rede é comprometida. Este guia detalha como implementar o Remote Authentication Dial-In User Service (RADIUS) para centralizar o controle de acesso, impor políticas de segurança granulares e segmentar o tráfego de visitantes e funcionários.

Ao fazer a transição para uma arquitetura RADIUS centralizada, as organizações podem implementar a autenticação 802.1X para funcionários - garantindo que cada dispositivo se autentique com credenciais exclusivas e revogáveis - enquanto utilizam Captive Portals seguros e MAC Authentication Bypass (MAB) para usuários visitantes. Esta referência técnica fornece os projetos de arquitetura, as etapas de configuração e as estruturas de solução de problemas necessárias para implantar uma infraestrutura de autenticação sem fio resiliente e de classe corporativa.

Aprofundamento Técnico

O Framework AAA

O RADIUS opera no framework AAA, que define as fases principais do controle de acesso:

1. Autenticação: Verificar a identidade do usuário ou dispositivo que tenta se conectar à rede WiFi. Isso é feito por meio de credenciais, certificados digitais ou tokens.
2. Autorização: Determinar o nível de acesso à rede concedido à entidade autenticada. Isso inclui a atribuição de VLANs específicas, a aplicação de Listas de Controle de Acesso (ACLs) ou a imposição de limites de largura de banda.
3. Contabilidade (Accounting): Rastrear o consumo de recursos de rede, incluindo a duração da sessão, dados transferidos e horários de login/logout. Esses dados são críticos para auditoria, conformidade e planejamento de rede.
4. Auditoria: Revisar os dados de contabilidade coletados para identificar anomalias, violações de segurança ou violações de políticas.

Componentes da Arquitetura RADIUS

Uma implantação corporativa padrão do RADIUS consiste em três componentes principais:

• O Suplicante (Supplicant): O software cliente em execução no dispositivo do usuário (por exemplo, laptop, smartphone) que solicita acesso à rede e fornece credenciais ou certificados.
• O Autenticador (Network Access Server / NAS): O dispositivo de rede físico ou virtual - normalmente um Wireless LAN Controller (WLC) ou um Access Point (AP) - que controla o acesso físico à rede. O autenticador não decide se as credenciais são válidas; ele age como um proxy, empacotando a solicitação de autenticação em pacotes RADIUS e encaminhando-os para o servidor RADIUS.
• O Servidor de Autenticação: O servidor central (como FreeRADIUS, Cisco ISE, Aruba ClearPass ou o mecanismo RADIUS em nuvem da Purple) que valida as credenciais em um repositório de identidades (por exemplo, Active Directory, LDAP ou um provedor de identidade em nuvem) e retorna uma mensagem de Access-Accept ou Access-Reject para o autenticador.

Métodos EAP para WiFi de Funcionários

Para redes corporativas (staff networks), o Extensible Authentication Protocol (EAP) é usado dentro da estrutura do 802.1X para negociar a autenticação. Os dois métodos de EAP corporativos mais comuns são:

• PEAP-MSCHAPv2 (Protected EAP): Este método estabelece um túnel TLS seguro e criptografado entre o solicitante e o servidor RADIUS usando o certificado digital do servidor. Dentro deste túnel seguro, o nome de usuário e a senha do usuário são autenticados usando o protocolo MSCHAPv2. É muito popular devido à sua facilidade de implantação, pois não exige que os certificados sejam instalados nos dispositivos dos clientes.
• EAP-TLS: O método de autenticação mais seguro disponível. Ele exige autenticação mútua, o que significa que tanto o servidor RADIUS quanto o dispositivo cliente devem apresentar certificados digitais válidos. Isso elimina ataques baseados em senhas, mas requer uma infraestrutura de chaves públicas (PKI) robusta para gerenciar a distribuição e revogação de certificados.

Fluxo de Autenticação de WiFi de Visitantes

As redes de visitantes normalmente usam um fluxo diferente para equilibrar a segurança com a conveniência do usuário. Em vez do 802.1X, as redes de visitantes geralmente utilizam um SSID aberto combinado com um Captive Portal.

Quando um visitante se conecta, o autenticador usa o MAC Authentication Bypass (MAB) ou uma política de redirecionamento para enviar o usuário a um Captive Portal hospedado por uma plataforma como a Purple. Assim que o usuário conclui o processo de registro ou login no portal, a plataforma do portal se comunica com o servidor RADIUS, que então envia uma mensagem de Access-Accept para o WLC/AP, autorizando o endereço MAC do visitante para acesso à rede por um período de sessão específico.

Transporte Seguro: RadSec

O tráfego RADIUS tradicional é enviado por UDP (portas 1812 para autenticação e 1813 para tarifação) em texto não criptografado, com apenas o campo de senha do usuário ofuscado usando um segredo compartilhado (shared secret). Isso introduz riscos de segurança ao rotear o tráfego de autenticação por conexões WAN públicas ou pela internet.

Para mitigar isso, o RadSec (RADIUS sobre TLS) deve ser implementado. O RadSec envolve pacotes RADIUS padrão dentro de um túnel TLS seguro (normalmente usando a porta TCP 2083). Isso garante que todos os dados de autenticação e tarifação, incluindo nomes de usuário, endereços MAC e atributos de sessão, sejam totalmente criptografados durante o trânsito entre a rede local e os servidores RADIUS baseados em nuvem.

Guia de Implantação

Passo 1: Definir Clientes RADIUS no Servidor

Antes que qualquer dispositivo de rede possa se comunicar com o servidor RADIUS, ele deve ser registrado como um cliente.

1. Faça login no console de administração do seu servidor RADIUS.
2. Navegue até a seção de Clientes ou Dispositivos de Rede.
3. Adicione uma nova entrada de cliente para cada WLC ou AP.
4. Insira o endereço IP ou sub-rede do autenticador.
5. Gere um Segredo Compartilhado (Shared Secret) de alta entropia. Este segredo deve ter pelo menos 22 caracteres, contendo uma mistura de letras maiúsculas, letras minúsculas, números e caracteres especiais. Evite usar palavras simples do dicionário.

Passo 2: Configurar o Wireless LAN Controller (WLC) / Access Points

Configure seu hardware sem fio para apontar para o servidor RADIUS para autenticação e bilhetagem.

1. Faça login na interface de gerenciamento do seu WLC ou AP.
2. Navegue até Segurança > AAA > RADIUS > Autenticação.
3. Adicione um novo Servidor de Autenticação RADIUS:
   • Endereço IP do Servidor: Insira o endereço IP do seu servidor RADIUS primário.
   • Segredo Compartilhado: Insira exatamente o segredo compartilhado configurado na Etapa 1.
   • Porta: 1812 (ou 2083 se estiver usando RadSec).
   • Tempo Limite (Timeout): Defina para 5 segundos para permitir a latência da rede.
   • Contagem de Tentativas: Defina para 3.
4. Navegue até Bilhetagem RADIUS (RADIUS Accounting) e adicione uma nova entrada de servidor usando a porta 1813 (ou 2083 para RadSec).
5. Repita estas etapas para adicionar um servidor RADIUS secundário (de backup) para alta disponibilidade.

Etapa 3: Configurar o SSID dos Funcionários (802.1X)

1. Crie um novo SSID chamado Staff_Enterprise.
2. Defina o Tipo de Segurança como WPA3-Enterprise (ou modo de transição WPA2/WPA3-Enterprise se o suporte a dispositivos legados for necessário).
3. Selecione 802.1X como o protocolo de gerenciamento de chaves.
4. Associe o SSID aos servidores de autenticação e bilhetagem RADIUS configurados na Etapa 2.
5. Mapeie o SSID para a VLAN segura dos funcionários (ex: VLAN 10).

Etapa 4: Configurar o SSID de Visitantes com Captive Portal

1. Crie um novo SSID chamado Guest_WiFi.
2. Defina o Tipo de Segurança como Aberto (ou Enhanced Open / OWE para criptografia sem fio oportunista).
3. Habilite a Filtragem MAC ou Autenticação MAC e aponte para o servidor RADIUS.
4. Habilite o redirecionamento de Captive Portal / Web Portal.
5. Configure a URL de redirecionamento para apontar para a página de login do Captive Portal da Purple.
6. Configure o Jardim Murado (ACLs de Pré-Autenticação) para permitir o tráfego para o domínio do Captive Portal, servidores DNS e recursos de CDN necessários antes que a autenticação seja concluída.
7. Mapeie o SSID para uma VLAN de visitantes isolada (ex: VLAN 20).

Melhores Práticas

Alta Disponibilidade e Redundância

Sempre implante servidores RADIUS em pares redundantes (primário e secundário). Certifique-se de que esses servidores estejam localizados em hardwares físicos diferentes ou em diferentes zonas de disponibilidade na nuvem. Configure seus WLCs para fazer failover de forma transparente para o servidor secundário caso o servidor primário pare de responder. Implemente o balanceamento de carga onde apropriado para distribuir o tráfego de autenticação de maneira uniforme.

Gerenciamento de Certificados

Para implantações PEAP e EAP-TLS, a validade e a confiança do certificado do servidor RADIUS são primordiais.

• Use um certificado emitido por uma Autoridade Certificadora (CA) pública confiável para portais de visitantes e implantações PEAP para evitar avisos de segurança de certificado nos dispositivos dos usuários.
• Para EAP-TLS, estabeleça uma CA privada interna dedicada para emitir e gerenciar certificados de cliente e servidor.
• Monitore de perto as datas de expiração dos certificados e implemente processos de renovação automatizados (como SCEP ou ACME) para evitar falhas repentinas de autenticação em toda a rede.

Segmentação de VLAN

Segmente rigorosamente o tráfego da sua rede usando VLANs. O tráfego de convidados deve ser completamente isolado dos recursos corporativos. Implemente regras de firewall no switch principal ou gateway para evitar o roteamento inter-VLAN entre a VLAN de convidados e as VLANs de funcionários/gerenciamento. Permita apenas que o tráfego de convidados seja roteado diretamente para a internet.

Limite de Tempo de Sessão e Intervalos de Contabilidade

Configure limites de tempo de sessão adequados para evitar que sessões inativas consumam endereços IP e recursos de rede.

• Para redes de funcionários, defina um limite de tempo de sessão de 8 a 12 horas, alinhando-se a um turno de trabalho padrão.
• Para redes de convidados, defina um limite de tempo de sessão mais curto, de 2 a 4 horas.
• Configure o intervalo de atualização intermediária de contabilidade RADIUS (interim-update) para 10 ou 15 minutos. Isso garante que o servidor RADIUS receba atualizações regulares sobre a conectividade do dispositivo e o uso de dados, sem sobrecarregar o servidor com pacotes de contabilidade.

Solução de Problemas e Mitigação de Riscos

Modos de Falha Comuns e Soluções

1. Divergência de Segredo Compartilhado

• Sintoma: Os logs da WLC mostram "servidor RADIUS não respondendo" e os logs do servidor RADIUS mostram "Pacote descartado - autenticador inválido" ou "Autenticador incorreto na solicitação".
• Causa Raiz: O segredo compartilhado configurado na WLC não corresponde ao segredo compartilhado configurado no servidor RADIUS.
• Mitigação: Insira novamente o segredo compartilhado em ambos os dispositivos, garantindo que nenhum espaço extra ou caractere oculto seja copiado.

2. Problemas de Confiança de Certificado

• Sintoma: Os dispositivos clientes não conseguem se conectar ao SSID de funcionários, exibindo erros como "Certificado de Servidor Não Confiável" ou "Conexão Rejeitada".
• Causa Raiz: O dispositivo cliente não confia na AC que assinou o certificado do servidor RADIUS, ou o certificado expirou.
• Mitigação: Certifique-se de que os certificados da AC raiz e intermediária estejam instalados no repositório de raiz confiável do dispositivo cliente. Para dispositivos gerenciados pela empresa, envie esses certificados via MDM ou Diretiva de Grupo.

3. Bloqueios de Firewall

• Sintoma: Nenhum tráfego é recebido pelo servidor RADIUS a partir da WLC, embora o roteamento seja verificado.
• Causa Raiz: Firewalls intermediários estão bloqueando as portas UDP 1812 e 1813.
• Mitigação: Crie regras de firewall explícitas para permitir UDP 1812 e 1813 (ou TCP 2083 para RadSec) entre o IP de gerenciamento da WLC e o IP do servidor RADIUS.

4. Limites de Tempo Induzidos por Latência

• Sintoma: Falhas de autenticação intermitentes, particularmente durante horários de pico ou ao usar servidores RADIUS baseados em nuvem.
• Causa Raiz: A latência da rede excede o limite de tempo do RADIUS da WLC, fazendo com que ela assuma que o servidor está offline.
• Mitigação: Aumente a configuração de limite de tempo do RADIUS da WLC do padrão (normalmente 2 segundos) para 5 ou 7 segundos. Otimize o roteamento WAN ou implemente proxies RADIUS locais para armazenar em cache as solicitações de autenticação.

ROI e Impacto nos Negócios

A transição para um modelo de autenticação RADIUS centralizado oferece valor comercial mensurável em diversas áreas importantes:

• Redução de Sobrecarga Operacional: Elimina o esforço manual necessário para rotacionar senhas de WiFi compartilhadas quando os funcionários deixam a organização. As contas de usuário podem ser desativadas instantaneamente no Active Directory ou no seu provedor de identidade, revogando imediatamente o acesso à rede.
• Postura de Segurança Aprimorada: Mitiga o risco de violações de dados causadas por roubo de credenciais ou acesso não autorizado à rede. Ao impor 802.1X e autenticação baseada em certificados, as organizações garantem que apenas dispositivos autorizados e em conformidade possam acessar recursos corporativos confidenciais.
• Operações de Espaço Otimizadas: Ao integrar o WiFi de visitantes com a plataforma RADIUS em nuvem da Purple, os operadores de espaços capturam dados demográficos e comportamentais valiosos. Esses dados podem ser usados para criar campanhas de marketing direcionadas, melhorar o engajamento dos visitantes e otimizar a utilização do espaço físico com base em análises de fluxo de pessoas.
• Conformidade Regulatória: Os logs centralizados de contabilização RADIUS fornecem uma trilha de auditoria de acesso à rede, ajudando as organizações a atender aos requisitos de conformidade para padrões como PCI-DSS, ISO 27001 e GDPR.