Server RADIUS: um guia completo para empresas

Resumo executivo

Para gerentes de TI, arquitetos de rede e CTOs que operam nos setores de hospitalidade , varejo , transporte e grandes locais públicos, garantir a segurança do acesso sem fio é um requisito operacional essencial - não uma atualização opcional. Depender de uma chave pré-compartilhada (PSK) para acesso WiFi é uma vulnerabilidade de segurança significativa. Uma única credencial comprometida expõe toda a rede, e a revogação do acesso exige a alteração da senha de todos os dispositivos instalados. A implementação da autenticação 802.1X por meio de uma arquitetura de servidor RADIUS (Remote Authentication Dial-In User Service) elimina esse problema. Cada usuário se autentica individualmente, o acesso pode ser revogado instantaneamente e a segmentação de rede é aplicada dinamicamente.

O servidor RADIUS implementa o modelo AAA: Autenticação, Autorização e Contabilização (Accounting). Ele valida identidades em diretórios como Microsoft Entra ID, Okta ou Google Workspace, atribui os usuários ao segmento de rede correto por meio de atribuição dinâmica de VLAN e mantém uma trilha de auditoria detalhada para cada sessão. Para organizações sujeitas a PCI DSS, GDPR ou Cyber Essentials, essa trilha de auditoria não é opcional. É um requisito rígido de conformidade. O servidor Cloud RADIUS da Purple protege os dispositivos corporativos e de funcionários por meio de autenticação 802.1X baseada em certificados, integrando-se com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet em mais de 80.000 locais ativos.

Detalhamento técnico: arquitetura do servidor RADIUS

O padrão IEEE 802.1X define o controle de acesso à rede baseado em porta (PNAC). Em um contexto sem fio, ele envolve três funções principais que trabalham em conjunto para proteger a borda da rede.

Quando um suplicante se associa a um ponto de acesso, o AP bloqueia todo o tráfego de dados, exceto as mensagens do Protocolo de Autenticação Extensível (EAP). O AP encapsula essas mensagens EAP em pacotes RADIUS e as encaminha para o servidor RADIUS pela porta UDP 1812. O servidor verifica as credenciais em um diretório de backend e retorna uma mensagem de Access-Accept ou Access-Reject. Se aceito, o AP desbloqueia a porta e o tráfego do cliente flui livremente.

O framework AAA na prática

Autenticação é o primeiro pilar: verificar quem alguém é. Quando um dispositivo se conecta a um SSID WPA3-Enterprise, o server RADIUS verifica as credenciais ou o certificado apresentado em relação à fonte de identidade configurada. O Microsoft Entra ID, Okta e Google Workspace são os provedores de identidade em nuvem canônicos que se integram diretamente com as plataformas modernas de Cloud RADIUS.

Autorização é o segundo pilar: determinar o que o usuário autenticado pode fazer. O server RADIUS retorna atributos RADIUS para o ponto de acesso, sendo o mais crítico o ID da VLAN. Um membro da equipe financeira entra na VLAN 10 com acesso aos sistemas internos. Um prestador de serviços entra na VLAN 20 com acesso apenas à internet. Um visitante entra na VLAN 30, isolado de todos os recursos corporativos. Essa atribuição dinâmica de VLAN é o mecanismo que possibilita a segmentação de rede adequada - um controle obrigatório para a conformidade com o PCI DSS em ambientes de varejo .

Contabilização (Accounting) é o terceiro pilar: registrar o que realmente aconteceu. O server RADIUS registra os horários de início e término das sessões, a duração das sessões, os dados transferidos e o endereço MAC de cada dispositivo. De acordo com o PCI DSS v4.0, esse registro é um requisito obrigatório. No caso de um incidente de segurança, esses logs são a base de qualquer investigação forense.

Seleção do método EAP

A segurança da implantação do seu server RADIUS depende muito do método EAP selecionado. Os três métodos mais comuns em WiFi corporativo são PEAP, EAP-TTLS e EAP-TLS.

PEAP-MSCHAPv2 é o método mais amplamente implantado. Ele cria um túnel TLS criptografado usando um certificado do lado do servidor, dentro do qual o usuário se autentica com um nome de usuário e senha. É relativamente simples de implantar porque você só precisa gerenciar um certificado - o do servidor. No entanto, se os dispositivos clientes não forem configurados explicitamente para validar o certificado do servidor, eles estarão vulneráveis a ataques de pontos de acesso falsos (rogue access points). Um invasor pode apresentar um certificado fraudulento e capturar credenciais. Essa é uma ameaça real documentada, não teórica. Imponha uma validação rigorosa de certificados via Group Policy Objects ou perfis de MDM sem exceção.

EAP-TLS é o padrão ouro. Ele exige certificados digitais tanto no server RADIUS quanto em cada dispositivo cliente, eliminando totalmente as senhas. Mesmo que um invasor capture toda a troca de autenticação, não há credenciais para extrair. A contrapartida é a sobrecarga administrativa: implantar e gerenciar certificados de cliente exige uma Infraestrutura de Chaves Públicas (ICP/PKI) e uma plataforma de MDM, como o Microsoft Intune ou o Jamf. Para dispositivos corporativos, o EAP-TLS é o método de autenticação que você deve buscar. O Cloud RADIUS da Purple suporta o EAP-TLS nativamente, com gerenciamento automatizado do ciclo de vida dos certificados.

Guia de implementação: nuvem vs local (on-premises)

Ao implantar uma arquitetura de servidor RADIUS, as equipes de TI devem escolher entre a implantação hospedada na nuvem e local. Esta é a decisão arquitetônica mais consequente do projeto.

O RADIUS local (on-premises), usando plataformas como FreeRADIUS ou Microsoft Network Policy Server (NPS), oferece controle total sobre a infraestrutura. Para um único local de grande porte - um estádio, um hospital ou uma instalação governamental - essa pode ser a escolha certa. As solicitações de autenticação trafegam pela LAN local, oferecendo tempos de resposta inferiores a um milissegundo. Se o seu diretório de identidade for um Active Directory local que não pode ser exposto à internet por motivos de soberania de dados, um servidor RADIUS local costuma ser sua única opção viável.

No entanto, para organizações com várias filiais, o RADIUS local introduz uma sobrecarga operacional significativa. Você gerencia instâncias de servidor separadas em cada local, lidando com renovações de certificados manualmente e respondendo a interrupções às duas da manhã quando um certificado expira. Para uma rede de varejo com 50 locais, isso significa 50 instâncias RADIUS separadas para corrigir, monitorar e manter.

O Cloud RADIUS muda isso completamente. A infraestrutura é hospedada globalmente em várias zonas de disponibilidade. Quando um usuário se conecta em uma filial, a solicitação é roteada para o nó de borda de nuvem mais próximo. A alta disponibilidade é integrada por padrão. A rotação de certificados é automatizada, eliminando a causa única mais comum de interrupções de autenticação em implantações locais. Para organizações com várias filiais e provedores de identidade nativos da nuvem, como Microsoft Entra ID, Okta ou Google Workspace, o Cloud RADIUS é quase sempre a escolha operacionalmente superior.

O Cloud RADIUS da Purple integra-se diretamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você faz a implantação em todo o seu parque de hardware sem substituir um único ponto de acesso.

Implantação passo a passo

Passo 1: Escolha seu modelo de implantação. Avalie três fatores: seu provedor de identidade atual e se ele é nativo da nuvem; a resiliência da sua WAN em cada site; e a capacidade da sua equipe para gerenciar a manutenção contínua. Esses três fatores determinam se a nuvem ou o modelo local é o caminho certo.

Passo 2: Integre sua fonte de identidade. Conecte seu servidor RADIUS ao diretório de identidade da sua organização. A maioria das plataformas Cloud RADIUS oferece suporte à integração direta com Microsoft Entra ID, Okta e Google Workspace via LDAP ou SAML. Para o Active Directory local, use LDAP por meio de um conector seguro.

Passo 3: Configure o hardware da sua rede. Crie um novo SSID configurado para WPA2-Enterprise ou WPA3-Enterprise e aponte-o para o seu servidor RADIUS. Configure o segredo compartilhado (shared secret) - a senha que criptografa a comunicação entre o ponto de acesso e o servidor RADIUS. Esse segredo compartilhado deve ser exatamente igual em ambos os lados. Uma divergência é uma das causas mais comuns de falhas de autenticação durante a implantação inicial.

Passo 4: Defina políticas de autorização. Mapeie os grupos de usuários do seu diretório de identidade para as políticas de rede. A equipe obtém acesso total na VLAN 10. Os visitantes obtêm acesso apenas à internet na VLAN 20. Os dispositivos IoT recebem uma VLAN restrita com regras de firewall que bloqueiam o movimento lateral.

Passo 5: Faça a integração (onboarding) dos seus usuários. Para a equipe corporativa, implante perfis de WiFi por meio da sua plataforma MDM. Para visitantes, use um Captive Portal. A plataforma de Guest WiFi da Purple automatiza o fluxo de integração de visitantes, oferecendo suporte a login social, formulários de registro e códigos de voucher. Os dispositivos da equipe e corporativos autenticam-se silenciosamente via 802.1X, enquanto os visitantes são direcionados para um portal personalizado - um modelo de acesso em níveis que oferece segurança e WiFi Analytics .

Para uma análise mais detalhada da arquitetura de SSID em redes de visitantes, funcionários e IoT, consulte Três SSIDs para a todos governar: visitante, Passpoint e IoT WiFi .

Melhores práticas

Exija validação rigorosa de certificados em todos os dispositivos clientes. Use Objetos de Diretiva de Grupo (GPO) para dispositivos Windows e perfis MDM para macOS e dispositivos móveis. O perfil deve especificar exatamente em qual Autoridade de Certificação confiar e qual é o nome do servidor esperado. Não deixe que o usuário configure isso manualmente. A falha em aplicar essa validação é o principal vetor de ataque para roubo de credenciais em implantações PEAP.

Implante pelo menos duas instâncias de servidor RADIUS. Configure todos os pontos de acesso para fazer failover para o secundário caso o primário fique inacessível. Para o Cloud RADIUS, essa redundância é integrada e gerenciada pelo provedor. Para ambientes locais (on-premises), implante um cluster ativo-ativo em dois locais geograficamente separados.

Use MAC Authentication Bypass (MAB) para dispositivos IoT sem interface gráfica (headless). Impressoras, sensores e sinalização digital não conseguem apresentar credenciais 802.1X. O MAB permite a autenticação com base no endereço MAC. Como os endereços MAC são facilmente clonados, sempre associe dispositivos autenticados por MAB a uma VLAN restritiva e a regras de firewall que bloqueiem o acesso aos recursos corporativos.

Rotacione os segredos compartilhados regularmente. O segredo compartilhado entre os seus pontos de acesso e o seu servidor RADIUS deve ser longo, aleatório e rotacionado periodicamente. Um segredo compartilhado fraco ou padrão compromete toda a cadeia de autenticação.

Valide a segmentação com testes de penetração. A configuração por si só não é evidência. Contrate um teste de penetração que inclua explicitamente o ambiente sem fio e a validação da segmentação de VLAN. Um testador deve tentar ativamente acessar recursos corporativos a partir da VLAN de convidados e documentar que cada tentativa foi bloqueada. Essa é a evidência que o seu Assessor de Segurança Qualificado PCI DSS precisa.

Solução de problemas e mitigação de riscos

Os modos de falha mais comuns em implantações de servidor RADIUS enquadram-se em quatro categorias.

Incompatibilidade de segredo compartilhado. Se o segredo compartilhado configurado no ponto de acesso não corresponder ao segredo no servidor RADIUS, todas as tentativas de autenticação falharão silenciosamente. Sempre copie e cole segredos compartilhados em vez de digitá-los manualmente. Verifique a configuração em ambos os lados antes de testar.

Expiração de certificado. Em implantações locais, se o certificado do servidor expirar, todos os dispositivos de cliente rejeitarão a conexão. Isso causa uma interrupção completa da autenticação, sem degradação suave. Provedores de Cloud RADIUS automatizam a rotação de certificados, eliminando esse risco. Para implantações locais, configure alertas de monitoramento aos 60 dias, 30 dias e sete dias antes da expiração.

Validação de certificado de cliente não aplicada. Se os clientes PEAP não forem configurados para validar o certificado do servidor, eles se conectarão a qualquer servidor RADIUS que responder - incluindo pontos de acesso não autorizados. Force a validação de certificados via GPO ou perfis MDM em todos os dispositivos gerenciados.

Dependência de WAN para Cloud RADIUS. O Cloud RADIUS depende inteiramente do link WAN em cada local. Se a conexão com a internet cair, a autenticação falhará. Implemente uma estratégia de sobrevivência local: configure os pontos de acesso para armazenar credenciais em cache para funcionários críticos ou use SD-WAN para garantir a alta disponibilidade do link de internet. Sempre configure uma política de fallback - ou acesso aberto a uma VLAN restrita, ou credenciais armazenadas localmente em cache.

ROI e impacto de negócios

A implantação de uma arquitetura de servidor RADIUS transforma a rede sem fio de uma vulnerabilidade em um ativo seguro e gerenciado com benefícios operacionais mensuráveis.

Para um grupo hoteleiro europeu com 45 propriedades, a migração de 45 instâncias locais do FreeRADIUS para o Cloud RADIUS recuperou cerca de 40% do tempo de manutenção da equipe central de TI (dados internos da Purple). Essa é uma capacidade de engenharia redirecionada da manutenção básica para iniciativas estratégicas.

Para uma rede de varejo que se prepara para uma auditoria PCI DSS, a segmentação de rede adequada por meio de atribuição dinâmica de VLAN remove completamente a rede guest WiFi do escopo do Ambiente de Dados do Portador do Cartão. Plataformas como o Guest WiFi da Purple operam na VLAN voltada para convidados, completamente isoladas do tráfego de pagamento. A plataforma de análise fica fora do escopo do PCI, e a empresa mantém a liberdade de implantar ferramentas geradoras de receita - análise de convidados, programas de fidelidade, engajamento do cliente - com segurança e confiança.

Para organizações com mais de 10 locais e menos de cinco engenheiros de rede, a despesa operacional previsível do Cloud RADIUS normalmente proporciona um retorno sobre o investimento positivo em até 18 meses, em comparação com a manutenção de infraestrutura local (dados internos da Purple). A aquisição de hardware, energia, resfriamento e tempo de engenharia para implantações locais em escala superam consistentemente o custo de assinatura de um serviço gerenciado Cloud RADIUS.

A Purple opera em mais de 80.000 locais ativos com 99,999% de tempo de atividade, certificação ISO 27001, conformidade com GDPR e CCPA e certificação Cyber Essentials. Para equipes de TI que precisam demonstrar a devida diligência à sua diretoria ou auditores, essas certificações oferecem a validação de terceiros que uma implantação local autogerenciada não pode fornecer.

Para obter uma comparação detalhada do Cloud RADIUS da Purple com plataformas alternativas, consulte a comparação de recursos e de coimplantação do Aruba ClearPass vs. Purple WiFi .