O que é RADIUS? Como os servidores RADIUS protegem redes WiFi
Este guia de referência técnica autoritativo explica como o RADIUS (Remote Authentication Dial-In User Service) sustenta a segurança de redes WiFi corporativas por meio do framework IEEE 802.1X, abrangendo arquitetura, implantação e conformidade. Desenvolvido para gerentes de TI, arquitetos de rede e diretores de operações de locais físicos, ele fornece orientações práticas sobre a transição de Chaves Pré-Compartilhadas (PSKs) para a autenticação por usuário com aplicação de políticas dinâmicas. O guia também mapeia os pontos de integração do RADIUS com a plataforma de WiFi para visitantes e analytics da Purple, com estudos de caso concretos de ambientes de hotelaria e varejo.
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: Enterprise WiFi Security Guide →
Resumo Executivo
Para arquitetos de rede corporativa e diretores de TI, garantir o acesso sem fio seguro em locais distribuídos exige mais do que uma senha compartilhada. À medida que a densidade de dispositivos aumenta nos setores de hospitalidade, varejo e público, as limitações de Pre-Shared Keys (PSK) e Captive Portals básicos tornam-se vulnerabilidades críticas. O Remote Authentication Dial-In User Service (RADIUS) fornece a arquitetura fundamental para uma segurança de WiFi robusta e escalável.
Este guia de referência técnica detalha como o RADIUS opera dentro da estrutura 802.1X para fornecer autenticação por usuário, aplicação dinâmica de políticas e trilhas de auditoria abrangentes. Ao centralizar o gerenciamento de identidade, o RADIUS permite o acesso à rede zero-trust, mitigando os riscos de compartilhamento de credenciais e acesso não autorizado, ao mesmo tempo em que garante a conformidade com padrões rigorosos de proteção de dados. Exploramos os componentes principais, as metodologias de implantação e como a integração do RADIUS com plataformas como a infraestrutura de Guest WiFi da Purple simplifica as operações enquanto aprimora a postura de segurança.
Análise Técnica Detalhada: Arquitetura RADIUS e 802.1X
O RADIUS é um protocolo de camada de aplicação que opera sobre UDP (tradicionalmente a porta 1812 para autenticação e 1813 para tarifação/accounting) que fornece gerenciamento centralizado de Autenticação, Autorização e Tarifação (AAA) para usuários que se conectam a um serviço de rede.
Ao proteger o WiFi corporativo, o RADIUS atua como o servidor de autenticação dentro da estrutura IEEE 802.1X. Essa arquitetura consiste em três componentes principais:
O Supplicant é o dispositivo do usuário final — laptop, smartphone ou dispositivo IoT — que solicita acesso à rede. O Authenticator é o Network Access Server (NAS), normalmente o ponto de acesso sem fio ou switch, que bloqueia todo o tráfego até que a autenticação seja bem-sucedida. O Authentication Server é o próprio servidor RADIUS, que valida as credenciais em um repositório de identidade, como Active Directory, LDAP ou um provedor de identidade em nuvem.
O Fluxo de Autenticação
Quando um dispositivo se associa a um SSID habilitado para 802.1X, o ponto de acesso restringe todo o tráfego, exceto as mensagens do Extensible Authentication Protocol (EAP). O Authenticator envia um pacote EAP-Request/Identity para o Supplicant. O Supplicant responde com um EAP-Response/Identity, que o Authenticator encapsula em um pacote RADIUS Access-Request e encaminha para o servidor RADIUS. O servidor RADIUS negocia um método EAP — como EAP-TLS ou PEAP-MSCHAPv2 — com o Supplicant para trocar credenciais de forma segura. Após a validação bem-sucedida no repositório de identidade, o servidor RADIUS retorna um pacote RADIUS Access-Accept. Esse pacote geralmente contém Vendor-Specific Attributes (VSAs) que instruem o Authenticator a aplicar políticas específicas, como atribuir o usuário a uma VLAN específica ou aplicar limites de largura de banda.
Métodos EAP e Postura de Segurança
A segurança de uma implantação RADIUS depende muito do método EAP escolhido. O EAP-TLS (Transport Layer Security) é o padrão ouro para segurança corporativa. Ele exige certificados de servidor e cliente, eliminando a dependência de senhas e mitigando o roubo de credenciais. No entanto, exige uma infraestrutura de chave pública (PKI) robusta e gerenciamento de dispositivos móveis (MDM) para o provisionamento de certificados. O PEAP (Protected EAP) cria um túnel TLS criptografado entre o Supplicant e o servidor RADIUS, dentro do qual ocorre a autenticação interna — normalmente MSCHAPv2 usando um nome de usuário e senha. Embora seja mais fácil de implantar do que o EAP-TLS, ele é vulnerável à coleta de credenciais se os usuários ignorarem os avisos de validação de certificado do servidor.
A Função de Tarifação (Accounting)
Além da autenticação e autorização, o RADIUS fornece registros detalhados de tarifação. Cada início, término e atualização provisória de sessão é registrado — capturando a identidade do usuário, o endereço MAC do dispositivo, a duração da sessão e os dados transferidos. Essa trilha de auditoria é um requisito de conformidade sob o PCI DSS para ambientes de Varejo e apoia as obrigações de controle de acesso do GDPR. A integração desses dados com plataformas de WiFi Analytics estende seu valor para a inteligência operacional.
Guia de Implementação: Implantando RADIUS para WiFi Corporativo
A implantação do RADIUS requer um planejamento cuidadoso para garantir alta disponibilidade, baixa latência e uma experiência de usuário perfeita.
Arquitetura e Dimensionamento
O RADIUS é um caminho crítico para o acesso à rede. Implante servidores RADIUS redundantes em data centers ou zonas de disponibilidade geograficamente diversas. Configure os Authenticators com endereços IP de servidores RADIUS primários e secundários para permitir o failover automático. A autenticação RADIUS é sensível à latência — a alta latência pode causar timeouts de EAP, resultando em conexões com falha. Posicione os servidores RADIUS próximos à borda da rede sempre que possível ou utilize soluções de RADIUS em nuvem com pontos de presença globais.
Integração com Repositórios de Identidade
O servidor RADIUS deve se comunicar com sua fonte de verdade para a identidade do usuário. Para implantações locais, a integração com o Active Directory da Microsoft via Network Policy Server (NPS) ou FreeRADIUS com vinculações LDAP é o padrão. As implantações modernas aproveitam cada vez mais os provedores de identidade (IdPs) em nuvem, como Azure AD, Okta ou Google Workspace. Isso geralmente requer a implantação de um proxy RADIUS ou a utilização de serviços de RADIUS em nuvem que conectam nativamente o protocolo RADIUS às APIs SAML e OIDC.
Aplicação de Políticas e Segmentação
Aproveite os atributos do RADIUS para atribuir dinamicamente políticas de rede com base na identidade do usuário ou na associação a grupos. Em vez de transmitir múltiplos SSIDs para diferrent user groups — Staff, Management, IoT — transmitem um único SSID 802.1X. O servidor RADIUS retorna o atributo Tunnel-Private-Group-ID para atribuir o usuário à VLAN apropriada dinamicamente. Aplique Listas de Controle de Acesso (ACLs) com base nas respostas do RADIUS para restringir o acesso a recursos internos confidenciais, implementando o Controle de Acesso Baseado em Função (RBAC) na camada de rede.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.
Melhores Práticas e Conformidade
A implementação do RADIUS é um componente fundamental para o alinhamento com os padrões do setor e frameworks regulatórios.
Protegendo a Infraestrutura RADIUS
O RADIUS usa um segredo compartilhado para criptografar a comunicação entre o Autenticador e o servidor RADIUS. Use segredos compartilhados fortes e gerados aleatoriamente — com no mínimo 32 caracteres — e alterne-os periodicamente. Posicione os servidores RADIUS em uma VLAN de gerenciamento segura e isolada. Restrinja o acesso usando regras rígidas de firewall, permitindo apenas UDP 1812 e 1813 a partir de Autenticadores conhecidos. Se estiver usando EAP-TLS ou PEAP, certifique-se de que o certificado do servidor RADIUS seja emitido por uma Autoridade Certificadora (CA) confiável para os dispositivos clientes e monitore rigorosamente as datas de expiração dos certificados.
Considerações de Conformidade
Para ambientes de Varejo que lidam com dados de cartões de pagamento, o RADIUS atende aos requisitos do PCI DSS para identificação exclusiva de usuário e criptografia forte para redes sem fio. Para ambientes de Saúde, o RADIUS fornece o controle de acesso e a trilha de auditoria exigidos pelos frameworks de proteção de dados. Ao fornecer responsabilidade individual, o RADIUS apoia os requisitos do GDPR para segurança de dados e controle de acesso. A integração do RADIUS com uma plataforma de WiFi Analytics permite políticas de coleta e retenção de dados em conformidade. Compreender a interação entre o RADIUS e os padrões de criptografia sem fio também é fundamental — nosso guia WPA, WPA2 and WPA3: What's the Difference and Which Should You Use? aborda a camada de criptografia em detalhes.
Solução de Problemas e Mitigação de Riscos
Quando a autenticação RADIUS falha, o impacto é imediato: os usuários não conseguem se conectar. Uma abordagem sistemática de solução de problemas é essencial.
Incompatibilidade de Segredo Compartilhado é o erro de configuração mais comum. Se o segredo compartilhado no AP não corresponder ao do servidor, o servidor RADIUS descartará silenciosamente os pacotes Access-Request. O sintoma é o tempo limite de conexão do cliente sem logs correspondentes no servidor RADIUS. Tempos Limite de EAP são causados por latência de rede entre o AP e o servidor RADIUS, ou por um servidor RADIUS sobrecarregado. O sintoma são usuários sendo solicitados repetidamente por credenciais ou falhas de conexão durante horários de pico. Problemas de Confiança de Certificado ocorrem quando o dispositivo cliente não confia na CA que assinou o certificado do servidor RADIUS, fazendo com que a negociação EAP seja encerrada. O sintoma é um aviso de certificado no cliente ou uma falha silenciosa de conexão. Falhas de Conectividade com o Repositório de Identidades ocorrem quando o servidor RADIUS não consegue alcançar o Active Directory ou LDAP para validar as credenciais, resultando em falhas de autenticação apesar das credenciais estarem corretas.
Para mitigar esses riscos, agregue os logs do RADIUS em um SIEM ou plataforma de gerenciamento centralizado de logs para monitoramento e alertas em tempo real. Implante sondas sintéticas que simulam continuamente autenticações 802.1X para detectar problemas de latência ou disponibilidade antes que afetem os usuários. Para organizações com filiais distribuídas, entender como o RADIUS se encaixa na arquitetura WAN mais ampla é valioso — The Core SD WAN Benefits for Modern Businesses fornece um contexto relevante sobre princípios de design de rede.
ROI e Impacto nos Negócios
A transição para uma arquitetura 802.1X baseada em RADIUS exige investimento em infraestrutura e configuração, mas o retorno é significativo para ambientes corporativos.
Eficiência Operacional
O RADIUS elimina a necessidade de atualizar e distribuir manualmente as Chaves Pré-Compartilhadas (PSK) quando um funcionário sai ou uma chave é comprometida. A integração com plataformas MDM permite o provisionamento automatizado (zero-touch) de certificados ou perfis, simplificando a ativação de novos dispositivos. Para operadores de Hospitalidade que gerenciam centenas de dispositivos de funcionários em várias propriedades, essa simplificação operacional se traduz diretamente na redução de custos de TI. Para hubs de Transporte que gerenciam milhares de conexões simultâneas, a escalabilidade do RADIUS é indispensável.
Segurança e Analytics Aprimorados
O controle de acesso granular e a atribuição dinâmica de VLAN reduzem o raio de alcance de uma possível violação, limitando o movimento lateral. Os dados de bilhetagem (accounting) do RADIUS fornecem insights valiosos sobre a utilização da rede e o comportamento do usuário. Quando integrados à plataforma da Purple, esses dados aprimoram os recursos de analytics, impulsionando melhores decisões operacionais em diferentes tipos de locais. A combinação de autenticação segura e analytics acionável representa a proposta de valor completa da infraestrutura de WiFi corporativa.
Definições principais
RADIUS (Remote Authentication Dial-In User Service)
Um protocolo de rede que fornece gerenciamento centralizado de Autenticação, Autorização e Contabilização (AAA) para usuários que se conectam a um serviço de rede. Opera nas portas UDP 1812 (autenticação) e 1813 (contabilização).
A infraestrutura principal necessária para migrar de senhas compartilhadas para identidades de usuários individuais em uma rede WiFi corporativa.
802.1X
Um padrão IEEE para Controle de Acesso à Rede Baseado em Porta (PNAC), fornecendo um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN. Ele define as funções de Supplicant, Authenticator e Authentication Server.
O framework que utiliza o RADIUS para proteger redes sem fio corporativas. Qualquer implantação de WiFi corporativo que vise WPA2-Enterprise ou WPA3-Enterprise deve implementar o 802.1X.
Supplicant
O dispositivo cliente — notebook, smartphone ou dispositivo IoT — que deseja se conectar à rede e deve fornecer credenciais ao Authenticator.
O endpoint que requer configuração, geralmente via MDM, para suportar o método EAP escolhido e confiar no certificado do servidor RADIUS.
Authenticator
O dispositivo de rede — normalmente um Access Point sem fio ou um switch compatível com 802.1X — que facilita o processo de autenticação retransmitindo mensagens EAP entre o Supplicant e o servidor RADIUS.
O componente de infraestrutura que executa a decisão de bloquear ou permitir com base na resposta do servidor RADIUS. Ele é o 'segurança' da rede.
EAP (Extensible Authentication Protocol)
Um framework de autenticação que define um conjunto de métodos de autenticação negociáveis (métodos EAP) usados para transportar credenciais de forma segura entre o Supplicant e o Authentication Server.
O protocolo que transporta as credenciais de autenticação reais — certificados, senhas — de forma segura pelo ar dentro do framework 802.1X.
EAP-TLS (EAP Transport Layer Security)
Um método EAP que usa autenticação TLS mútua, exigindo que tanto o servidor RADIUS quanto o dispositivo cliente apresentem certificados digitais válidos. Ele elimina totalmente a autenticação baseada em senha.
O método mais seguro para autenticação sem fio. Recomendado para todos os dispositivos gerenciados pela empresa onde uma plataforma de MDM possa provisionar certificados de cliente.
VSA (Vendor-Specific Attribute)
Atributos personalizados dentro de um pacote RADIUS que permitem que os fornecedores de rede suportem recursos proprietários ou estendidos além do conjunto de atributos RADIUS padrão definido na RFC 2865.
Usado amplamente para aplicação avançada de políticas, incluindo atribuição dinâmica de VLAN (Tunnel-Private-Group-ID), limites de largura de banda e aplicação de funções específicas de firewall a sessões autenticadas.
Shared Secret
Uma string de texto conhecida apenas pelo Authenticator e pelo servidor RADIUS, usada para verificar a integridade dos pacotes RADIUS e criptografar o campo de senha dentro dos pacotes Access-Request.
Um parâmetro de segurança crítico. Uma divergência entre o AP e o servidor causa descartes silenciosos de pacotes e é a causa mais comum de falha de autenticação em novas implantações.
NAS (Network Access Server)
O dispositivo de rede — normalmente um Access Point ou switch — que atua como o Authenticator no framework 802.1X, aplicando o controle de acesso com base nas decisões do RADIUS.
Frequentemente usado de forma intercambiável com 'Authenticator' na documentação do RADIUS e nos guias de configuração de fornecedores.
PEAP (Protected EAP)
Um método EAP que estabelece um túnel TLS criptografado entre o Supplicant e o servidor RADIUS, dentro do qual um método de autenticação interno mais simples (geralmente MSCHAPv2) é usado para validar as credenciais de nome de usuário e senha.
Uma escolha pragmática para ambientes BYOD onde a implantação de certificados de cliente é inviável. Exige a aplicação estrita da validação do certificado do servidor nos dispositivos clientes para evitar ataques de coleta de credenciais.
Exemplos práticos
Um hotel de 200 quartos precisa segmentar sua rede sem fio. Atualmente, eles usam uma única PSK para a equipe e um Captive Portal para os hóspedes. Os dispositivos da equipe — tablets para a governança, notebooks para a gerência — estão misturados na mesma sub-rede. Como eles devem redesenhar isso usando RADIUS?
Implante um servidor RADIUS hospedado na nuvem integrado ao Azure AD do hotel. Configure os pontos de acesso sem fio para usar a autenticação 802.1X apontando para o servidor RADIUS. No Azure AD, crie grupos de segurança para 'Governança' e 'Gerência'. No servidor RADIUS, configure as políticas de rede: se o usuário que está se autenticando for membro do grupo 'Governança', retorne Access-Accept com o atributo RADIUS Tunnel-Private-Group-ID definido como VLAN 20. Se o usuário estiver em 'Gerência', retorne VLAN 30. Implante perfis de MDM via Intune nos dispositivos da equipe com certificados EAP-TLS para uma autenticação contínua e sem senhas. O acesso dos hóspedes continua por meio de um SSID separado usando o Captive Portal da Purple para captura de dados e aceitação dos termos.
Uma rede de varejo com 80 lojas está enfrentando quedas frequentes de conexão WiFi em seus leitores de inventário portáteis durante os horários de pico de compras de fim de ano. Os leitores usam PEAP-MSCHAPv2 contra um servidor RADIUS central localizado em um data center regional conectado por meio de uma WAN MPLS gerenciada.
Analise os logs do servidor RADIUS para confirmar os timeouts de EAP que se correlacionam com os períodos de pico de tráfego. Meça a latência de ida e volta entre os APs da loja e o servidor RADIUS — se ela exceder 150 ms, os timeouts de EAP tornam-se prováveis. Implemente a sobrevivência local no nível da filial implantando um proxy RADIUS leve ou um appliance de borda em cada loja que armazene em cache as credenciais de sessão por um período definido. Alternativamente, migre para um serviço RADIUS na nuvem com pontos de presença regionais para reduzir a dependência da WAN. Ajuste os parâmetros de timeout e de tentativas de EAP nos controladores sem fio para acomodar a latência medida. A longo prazo, avalie a migração da autenticação dos leitores para MAC Authentication Bypass (MAB) com atribuição estrita de VLAN, reduzindo a sobrecarga de autenticação para dispositivos IoT não interativos.
Questões práticas
Q1. Sua organização está migrando de uma única PSK para o 802.1X. Você tem uma mistura de notebooks corporativos gerenciados via Intune e smartphones BYOD de funcionários. Quais métodos EAP você deve implantar para cada categoria de dispositivo e quais são os principais requisitos de configuração para cada um?
Dica: Considere os recursos de provisionamento de certificados disponíveis para dispositivos gerenciados versus não gerenciados e as compensações de segurança da autenticação baseada em senha versus baseada em certificado.
Ver resposta modelo
Implante o EAP-TLS para notebooks corporativos, utilizando o Intune para enviar silenciosamente os certificados de cliente necessários por meio de um perfil SCEP ou PKCS. Isso elimina a autenticação baseada em senha e fornece a postura de segurança mais robusta. Para smartphones BYOD onde o gerenciamento de certificados de cliente é inviável, implante o PEAP-MSCHAPv2, permitindo que os usuários se autentiquem com seu nome de usuário e senha corporativos dentro de um túnel TLS protegido. Fundamentalmente, configure o servidor RADIUS para apresentar um certificado de uma CA conhecida e aplique a validação do certificado do servidor nos dispositivos clientes por meio de um perfil de configuração WiFi para evitar ataques de AP falso. Considere separar os dispositivos BYOD em uma VLAN restrita com acesso limitado aos recursos internos.
Q2. Após a implantação de um novo servidor RADIUS para o WiFi da equipe de um estádio, os clientes não estão conseguindo se conectar. Os logs do AP mostram 'RADIUS Server Timeout'. A equipe de rede confirma que a porta UDP 1812 está aberta entre os APs e o servidor RADIUS. Qual é a causa raiz mais provável e qual é o seu processo de diagnóstico?
Dica: O servidor RADIUS descartará pacotes silenciosamente se um parâmetro de segurança específico não coincidir, gerando um timeout no lado do AP sem nenhuma entrada de log correspondente no servidor.
Ver resposta modelo
A causa mais provável é uma divergência de Shared Secret. Se o shared secret configurado no Access Point não corresponder exatamente ao shared secret configurado para o endereço IP daquele AP no servidor RADIUS, o servidor descartará os pacotes Access-Request sem gerar uma entrada de log de falha de autenticação. O processo de diagnóstico é: (1) Verifique os logs do servidor RADIUS — se houver zero entradas para o endereço IP do AP, o servidor está descartando os pacotes, apontando para uma divergência de shared secret. (2) Verifique o shared secret tanto no AP quanto na configuração do cliente no servidor RADIUS, procurando por espaços extras ou problemas de codificação de caracteres. (3) Se os shared secrets coincidirem, use uma captura de pacotes na interface de rede do servidor RADIUS para confirmar se os pacotes estão chegando. (4) Se os pacotes chegarem mas forem descartados, verifique se o endereço IP de origem do AP corresponde ao IP do cliente configurado no servidor RADIUS.
Q3. Um local do setor público deseja oferecer WiFi seguro e contínuo para visitantes de departamentos governamentais parceiros, permitindo que eles se autentiquem usando as credenciais de sua organização de origem, sem a necessidade de uma conta de visitante separada. Como o RADIUS viabiliza isso e quais são as principais considerações de segurança?
Dica: Pense em como as solicitações RADIUS podem ser encaminhadas entre diferentes organizações com base no domínio de identidade (realm) e quais relações de confiança devem ser estabelecidas.
Ver resposta modelo
Isso é alcançado usando uma arquitetura de Proxy RADIUS, semelhante aos modelos eduroam ou govroam. O servidor RADIUS local é configurado como um proxy. Quando recebe um Access-Request, ele inspeciona o realm — a parte do domínio no nome de usuário, como usuario@departamento.gov.br. Se o realm pertencer a uma organização parceira, o servidor local encaminha o Access-Request para o servidor RADIUS do parceiro por meio de uma conexão proxy RADIUS criptografada e pré-estabelecida. O servidor parceiro autentica o usuário em seu próprio repositório de identidades e retorna o resultado para o servidor local, que o retransmite para o AP. As principais considerações de segurança incluem: estabelecer acordos formais de confiança com cada organização parceira; usar RadSec (RADIUS sobre TLS) em vez de UDP padrão para conexões proxy para criptografar o tráfego em trânsito; validar se o certificado do servidor RADIUS do parceiro é confiável antes de aceitar respostas proxy; e definir políticas claras sobre qual nível de acesso à rede conceder aos usuários visitantes de cada realm parceiro.
Continue a ler esta série
Um Guia do Administrador de Rede para Configurar a Autenticação RADIUS para WiFi de Convidados
Uma referência técnica abrangente para administradores de rede sobre a implementação de autenticação RADIUS para WiFi de convidados. Coberta a arquitetura, as etapas de configuração independentes de fornecedor, as melhores práticas de segurança e a resolução de falhas comuns de implementação.
Implementando SCEP para BYOD Seguro e WiFi 802.1X no Ensino Superior
Este guia técnico detalha como as equipes de TI do ensino superior podem automatizar o registro de certificados 802.1X para milhares de dispositivos BYOD usando SCEP. Ele abrange a arquitetura, os benefícios de segurança e as etapas práticas de implantação para substituir o onboarding manual por um modelo de acesso à rede seguro e de toque zero.
Configurando Autenticação RADIUS para Redes WiFi de Convidados e Funcionários
Este guia de referência técnica descreve a arquitetura, configuração e implantação da autenticação RADIUS para redes WiFi corporativas de convidados e funcionários. Ele fornece aos arquitetos de rede e gerentes de TI os protocolos exatos, padrões de segurança e metodologias de solução de problemas necessários para criar sistemas de controle de acesso sem fio seguros e escaláveis.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.