O que é Cloud RADIUS? Um Guia Completo sobre RADIUS como Serviço

O que é Cloud RADIUS? Um guia completo sobre RADIUS como serviço. Bem-vindo ao Purple WiFi Intelligence Podcast. Eu sou o seu anfitrião e hoje faremos uma análise aprofundada sobre o Cloud RADIUS — o que é, como funciona nos bastidores e, crucialmente, como avaliar se esta é a decisão certa para a sua organização neste trimestre. Não importa se você gerencia um grupo de hotéis, uma rede de varejo, um estádio ou uma rede do setor público, este conteúdo é para você. Introdução e contexto. Se você já teve que explicar a uma diretoria por que o seu servidor de autenticação de rede caiu às 2h da manhã — e por que levou três horas para restabelecê-lo —, você já entende o problema central que o Cloud RADIUS resolve. A infraestrutura RADIUS local (on-premises) tradicional é poderosa, mas traz uma carga operacional significativa. Hardwares para adquirir, ciclos de patches para gerenciar, redundância para projetar manualmente e um ponto único de falha localizado na sua sala de servidores. O Cloud RADIUS, ou RADIUS como serviço, move essa camada de autenticação para um ambiente de nuvem gerenciado e de alta disponibilidade. O protocolo em si — Remote Authentication Dial-In User Service — não mudou. Ele continua sendo a espinha dorsal do controle de acesso à rede IEEE 802.1X, o mecanismo que seus pontos de acesso usam para validar quem entra na sua rede. Mas a infraestrutura que o executa agora é responsabilidade de terceiros. E, no TI corporativo, essa é uma mudança significativa. Então, vamos nos aprofundar nos detalhes técnicos. Análise técnica detalhada. O RADIUS foi originalmente definido na RFC 2865, publicada no ano 2000, e permaneceu incrivelmente durável. O protocolo opera em um modelo cliente-servidor. O seu dispositivo de acesso à rede — seja um ponto de acesso WiFi, um concentrador VPN ou um switch cabeado — age como o cliente RADIUS, também chamado de Network Access Server ou NAS. Quando um usuário tenta se conectar, o NAS encaminha um pacote Access-Request para o servidor RADIUS, que valida as credenciais em um diretório de usuários — normalmente Active Directory, LDAP ou um provedor de identidade na nuvem — e retorna um Access-Accept ou um Access-Reject. Essa é a troca principal. Mas a verdadeira complexidade está no que acontece ao redor dela: métodos EAP, atribuição de VLAN, aplicação de políticas, registros de bilhetagem (accounting) e gerenciamento de certificados. Em uma implantação local tradicional, você executa o FreeRADIUS ou o Microsoft NPS em hardware dedicado, gerenciando seus próprios certificados, configurando seu próprio failover e mantendo a sincronização do seu próprio banco de dados de usuários. Para uma implantação em um único local com uma equipe de TI competente, isso é gerenciável. Para uma rede de varejo de 50 lojas ou um grupo de hotéis com propriedades em vários países, isso se torna um fardo operacional significativo. O Cloud RADIUS abstrai tudo isso. A lógica de autenticação, a infraestrutura de certificados, a redundância e o mecanismo de políticas são fornecidos como um serviço gerenciado. Seus pontos de acesso apontam para endpoints RADIUS hospedados na nuvem — normalmente um endereço IP primário e secundário — e o serviço lida com tudo por trás disso. Agora, vamos falar sobre os métodos de autenticação, porque é aqui que as decisões técnicas realmente importam. O método EAP mais comum em WiFi corporativo é o PEAP — Protected EAP — que tunela MSCHAPv2 dentro de uma sessão TLS. Ele é amplamente suportado, funciona nativamente com o Active Directory e é o padrão para a maioria dos dispositivos Windows e Android. No entanto, o PEAP possui vulnerabilidades conhecidas, especialmente em relação à validação de certificados. Se os dispositivos dos seus clientes não estiverem configurados para verificar o certificado do servidor, você estará exposto a ataques de coleta de credenciais por meio de pontos de acesso falsos. O EAP-TLS é o padrão ouro. Ele usa autenticação mútua de certificados — tanto o servidor quanto o cliente apresentam certificados —, o que elimina totalmente a superfície de ataque de senhas. A desvantagem é a implantação de certificados de clientes, que exige uma infraestrutura PKI e integração com MDM. Para frotas de dispositivos gerenciados, esta é absolutamente a escolha certa. Para ambientes BYOD, é mais complexo. O EAP-TTLS e o EAP-FAST também merecem destaque. O TTLS é particularmente comum em ambientes onde você precisa oferecer suporte a uma ampla variedade de dispositivos clientes, incluindo sistemas Linux. O EAP-FAST foi desenvolvido pela Cisco como uma alternativa ao PEAP que evita a dependência de validação de certificado, usando Protected Access Credentials em seu lugar. Um serviço Cloud RADIUS bem arquitetado suporta todos esses métodos e permite configurar políticas por SSID — para que seu SSID corporativo use EAP-TLS com validação de certificado, seu SSID de funcionários use PEAP com Active Directory e sua rede de convidados use um Captive Portal ou fluxo de login social totalmente separado da pilha RADIUS. Por falar nisso — o RADIUS e o WiFi de convidados costumam ser confundidos, mas servem a propósitos diferentes. O RADIUS é a sua camada de autenticação e autorização para usuários e dispositivos conhecidos. O WiFi de convidados normalmente usa um fluxo de Captive Portal, que é um mecanismo totalmente diferente. A plataforma da Purple, por exemplo, lida com a autenticação de convidados por meio de uma camada de identidade separada, capturando dados proprietários e permitindo a automação de marketing, enquanto o RADIUS gerencia o controle de acesso à rede corporativa e de funcionários. Esses são sistemas complementares, não concorrentes. Agora, vamos falar sobre o que "hospedado na nuvem" realmente significa na prática. Um serviço Cloud RADIUS adequadamente arquitetado é executado em várias zonas de disponibilidade, com failover automático. As solicitações de autenticação são balanceadas em termos de carga entre os nós, e o serviço mantém tempos de resposta inferiores a 100 milissegundos, mesmo sob carga máxima. Para um estádio que lida com 40.000 conexões simultâneas durante um evento, esse perfil de latência e taxa de transferência é crítico. Um único servidor local simplesmente não consegue igualar essa elasticidade. Do ponto de vista de conformidade, os provedores de Cloud RADIUS que operam no Reino Unido e na UE precisam ser compatíveis com o GDPR na forma como lidam com logs de autenticação e dados de usuários. Para ambientes de varejo e hospitalidade que também processam dados de cartões de pagamento, os requisitos do PCI DSS sobre segmentação de rede e controle de acesso são diretamente relevantes — o RADIUS faz parte do seu ambiente de controle, e seu QSA vai querer ver evidências de configuração adequada e registro de auditoria. O WPA3 também merece atenção. A transição do WPA2 para o WPA3 introduz a Autenticação Simultânea de Iguais — SAE — para redes pessoais, e o WPA3-Enterprise para ambientes corporativos. O WPA3-Enterprise exige o modo de segurança de 192 bits para a classificação mais alta, o que requer métodos EAP e suítes de criptografia específicos. Um serviço Cloud RADIUS precisa suportar essas configurações para ser preparado para o futuro. Recomendações de Implementação e Armadilhas. Certo, vamos ser práticos. Se você estiver avaliando o Cloud RADIUS para implantação neste trimestre, aqui está no que eu focaria. Primeiro, a integração com seu provedor de identidade. Seu serviço Cloud RADIUS precisa sincronizar com onde quer que seus usuários realmente residam — seja o Microsoft Entra ID (antigo Azure AD), Google Workspace, Okta ou um Active Directory local via proxy LDAP. A qualidade dessa integração determina sua sobrecarga operacional. O provisionamento nativo via SAML ou SCIM é muito preferível a importações manuais de CSV. Segundo, gerenciamento de certificados. Se você estiver implantando o EAP-TLS, precisa de uma resposta clara sobre como os certificados de cliente são emitidos, renovados e revogados. Os melhores serviços Cloud RADIUS incluem uma PKI integrada ou se integram perfeitamente com sua autoridade de certificação existente. A expiração de certificados é uma das causas mais comuns de falhas de autenticação em WiFi corporativo — o que é totalmente evitável com a automação adequada. Terceiro, compatibilidade com dispositivos de rede. Seus pontos de acesso precisam suportar autenticação RADIUS — praticamente todos os APs de nível empresarial suportam —, mas você precisa verificar os métodos EAP específicos e atributos RADIUS que o serviço escolhido suporta em relação à implementação do fornecedor do seu AP. Cisco, Aruba, Juniper Mist e Ruckus têm suas próprias nuances na forma como lidam com atributos RADIUS e mensagens CoA (Change of Authorisation). Quarto: configuração de redundância. Sempre configure um IP de servidor RADIUS primário e secundário. O tempo limite de failover em seus dispositivos NAS é importante — se for definido como muito alto, os usuários experimentarão um atraso de autenticação de 30 segundos quando o primário estiver inacessível. Um tempo limite de 3 a 5 segundos com failover imediato é a configuração correta para a maioria dos ambientes. Quinto — e este é o ponto que as pessoas esquecem — a bilhetagem (accounting). Os registros de bilhetagem do RADIUS são sua trilha de auditoria. Eles informam quem se conectou, de qual dispositivo, a que horas e por quanto tempo. Para fins de conformidade, especialmente em ambientes de saúde e do setor público, esses registros precisam ser retidos e acessíveis. Certifique-se de que seu provedor de Cloud RADIUS forneça acesso aos dados de bilhetagem, não apenas aos logs de autenticação. Erros comuns: complexidade do segredo compartilhado (shared secret). O seu segredo compartilhado do RADIUS — a chave pré-compartilhada entre seu NAS e o servidor RADIUS — precisa ser longo e aleatório. Segredos compartilhados curtos ou fáceis de adivinhar são um vetor de ataque real. Use pelo menos 32 caracteres, gerados aleatoriamente, e faça a rotação deles em um cronograma planejado. Fique atento também à lista de permissões de IP (IP whitelisting). Muitos serviços de Cloud RADIUS exigem que você inclua na lista de permissões os IPs de origem dos seus dispositivos NAS. Em um ambiente de nuvem dinâmico onde sua plataforma de gerenciamento de AP pode usar NAT, isso pode causar falhas de autenticação inesperadas. Confirme o comportamento do NAT da sua rede antes da implantação. Perguntas e Respostas Rápidas. Deixe-me passar por algumas perguntas que recebo regularmente. O Cloud RADIUS pode suportar ambientes multi-tenant? Sim — a maioria dos serviços de Cloud RADIUS corporativos suporta isolamento de tenants, de modo que um provedor de serviços gerenciados pode executar políticas RADIUS separadas para múltiplos clientes a partir de uma única plataforma. Qual é a latência típica para uma autenticação Cloud RADIUS? Menos de 100 milissegundos para um serviço bem arquitetado. O próprio handshake 802.1X adiciona alguma sobrecarga, mas para a maioria dos métodos EAP, o tempo total de autenticação deve ser inferior a 500 milissegundos de ponta a ponta. O Cloud RADIUS funciona com o OpenRoaming? Sim. O OpenRoaming — o framework de roaming da Wireless Broadband Alliance — usa a federação RADIUS em seu núcleo. Um serviço Cloud RADIUS que suporta Hotspot 2.0 e OpenRoaming permite que seus usuários se autentiquem automaticamente em redes participantes globalmente. A Purple suporta o OpenRoaming sob sua licença Connect, atuando como um provedor de identidade na federação. O Cloud RADIUS é adequado para ambientes de alta segurança? Para a maioria dos ambientes corporativos, sim. Para ambientes com dados confidenciais ou classificações de segurança governamentais específicas, pode ser necessário avaliar se um serviço de nuvem gerenciado atende aos seus requisitos de credenciamento específicos. Resumo e Próximos Passos. Para resumir: o Cloud RADIUS é uma abordagem madura e pronta para produção para o controle de acesso à rede que elimina a carga operacional da infraestrutura RADIUS local sem comprometer a segurança ou a capacidade. Para organizações com vários locais, o caso de ROI é direto — você elimina o capex de hardware, reduz os custos operacionais de TI, obtém redundância integrada e conta com um serviço que se dimensiona de acordo com suas instalações. As principais decisões são: qual método EAP é o ideal para a sua frota de dispositivos, como integrar com o seu provedor de identidade existente e se o serviço escolhido oferece os recursos de conformidade e auditoria que sua organização exige. Se você gerencia um grupo hoteleiro, uma rede de varejo ou administra redes do setor público, recomendo começar com uma prova de conceito em um único local — ajuste sua configuração RADIUS, valide a integração com seu provedor de identidade e meça a latência de autenticação antes de implementar em todas as suas instalações. Para saber mais sobre WiFi analytics, gerenciamento de redes de convidados e como a plataforma da Purple se integra à autenticação baseada em RADIUS, visite purple.ai. Obrigado por ouvir.