Como Configurar Azure Entra ID (Azure AD) para Autenticação WiFi

Resumo Executivo

Para CTOs e arquitetos de rede que gerenciam ambientes complexos - de grandes espaços de hospitalidade a áreas dinâmicas de varejo - proteger a rede corporativa não é mais apenas uma questão de senhas fortes. As chaves pré-compartilhadas (PSKs) tradicionais e a validação básica de credenciais são fundamentalmente incompatíveis com a arquitetura zero-trust moderna.

Este guia detalha a transição para a autenticação WiFi baseada em certificado 802.1X integrada diretamente com o Azure Entra ID (antigo Azure AD). Ao migrar para o EAP-TLS (Extensible Authentication Protocol com Transport Layer Security), as empresas podem eliminar os riscos associados ao roubo de credenciais, automatizar o registro de dispositivos via Gerenciamento de Dispositivos Móveis (MDM) e garantir que apenas dispositivos gerenciados e em conformidade possam acessar VLANs corporativas confidenciais. Exploramos a arquitetura técnica, as etapas de implantação e como essa postura de segurança empresarial opera em paralelo com estratégias de rede de convidados gerenciadas por plataformas como a Purple.

Detalhamento Técnico

A Transição de Credenciais para Certificados Digitais

Historicamente, o WiFi corporativo dependia do PEAP-MSCHAPv2, que exige que os usuários insiram suas credenciais de domínio. No entanto, devido à sua suscetibilidade a ataques de adversário no meio (AiTM), a Microsoft está descontinuando ativamente a autenticação baseada em credenciais. O padrão atual do setor é o EAP-TLS, que usa validação mútua de certificados.

Em uma implantação EAP-TLS, tanto o servidor RADIUS quanto o dispositivo cliente apresentam certificados digitais. Se um dispositivo não possuir um certificado válido emitido por sua Autoridade Certificadora (CA) confiável, o servidor RADIUS rejeitará a conexão antes mesmo que o dispositivo obtenha um endereço IP.

A Ponte Arquitetônica: RADIUS e Entra ID

O Azure Entra ID é um provedor de identidade (IdP) em nuvem que usa protocolos modernos como SAML e OIDC; ele não se comunica nativamente usando o protocolo RADIUS utilizado pelos pontos de acesso sem fio (WAPs). Para preencher essa lacuna, os arquitetos de rede devem implantar um servidor RADIUS capaz de se comunicar com o Entra ID. Isso geralmente é alcançado por meio de:

1. Soluções Cloud RADIUS: Plataformas desenvolvidas sob medida (como SecureW2, SCEPman ou Portnox) que se integram diretamente com o Entra ID e o Intune via APIs.
2. Network Policy Server (NPS) local: Usando a extensão Azure MFA, embora isso seja cada vez mais considerado uma abordagem legada em comparação com o RADIUS nativo da nuvem.

Guia de Implementação

A implantação do Microsoft Entra ID para autenticação WiFi exige coordenação entre as equipes de identidade, gerenciamento de dispositivos e infraestrutura de rede.

Passo 1: Estabelecer a Infraestrutura de Chaves Públicas (PKI)

Você deve estabelecer uma CA para emitir certificados de cliente e servidor. Em ambientes que priorizam a nuvem, isso geralmente é uma PKI em nuvem integrada ao Microsoft Intune via Simple Certificate Enrolment Protocol (SCEP).

Passo 2: Configurar o Servidor RADIUS

Implante sua infraestrutura RADIUS e vincule-a ao seu tenant do Entra ID. O servidor RADIUS precisa de seu próprio certificado de servidor - confiável para seus dispositivos clientes - para provar sua identidade durante o handshake EAP.

Passo 3: Implantar Perfis MDM via Intune

Não dependa de os usuários configurarem suas configurações de WiFi manualmente. Use o Intune para enviar um perfil de WiFi completo contendo:

• O certificado da CA raiz confiável.
• O perfil SCEP usado para solicitar o certificado do cliente.
• A própria configuração de WiFi, definindo explicitamente o SSID e os nomes exatos de servidor da infraestrutura RADIUS para evitar ataques do tipo Evil Twin.

Passo 4: Configurar o Wireless LAN Controller (WLC)

Configure seus pontos de acesso ou WLC para usar WPA2/WPA3-Enterprise (802.1X). Direcione o tráfego de autenticação e tarifação para os novos endereços IP do seu servidor RADIUS e defina o segredo compartilhado do RADIUS.

> "Ao configurar o 802.1X, certifique-se de que os valores de timeout do RADIUS no WLC sejam suficientes para a latência da validação de certificados na nuvem, geralmente aumentando de 2 segundos para 5 segundos." [1]

Melhores Práticas

• Isole o tráfego corporativo e de convidados: Dispositivos corporativos devem usar 802.1X vinculado ao Entra ID. Dispositivos de convidados devem usar um SSID aberto com um Captive Portal. Para um acesso robusto de convidados e análises, utilize uma solução de Guest WiFi . Isso garante o isolamento completo do tráfego não confiável.
• Implemente o MAC Authentication Bypass (MAB) com cautela: Dispositivos IoT e hardware legado - como scanners mais antigos em hubs de transporte - muitas vezes não conseguem suportar o 802.1X. Coloque esses dispositivos em um SSID separado usando MAB ou uma PSK dedicada e restrinja seu acesso à rede com ACLs rígidas.
• Priorize a revogação de certificados: Certifique-se de que seus endpoints de Lista de Revogação de Certificados (CRL) ou Online Certificate Status Protocol (OCSP) estejam altamente disponíveis. Se o servidor RADIUS não puder verificar o status de revogação, a autenticação falhará.

Resolução de Problemas e Mitigação de Riscos

Quando as implantações falham, raramente a culpa é do IdP em nuvem. Os modos de falha comuns incluem:

• Divergência de horário (clock skew): O EAP-TLS é extremamente sensível ao tempo. Certifique-se de que todos os componentes de infraestrutura - particularmente WLCs e servidores RADIUS - estejam sincronizados via NTP.
• Latência de sincronização do Intune: Ao registrar novos dispositivos, pode haver um atraso entre a emissão do certificado SCEP e a tentativa de conexão do dispositivo. Planeje esse atraso durante o onboarding.
• Incompatibilidade de nome do servidor RADIUS: Se o nome do servidor definido no perfil de WiFi do Intune não corresponder exatamente ao Common Name (CN) ou ao Subject Alternative Name (SAN) no certificado do servidor RADIUS, os clientes se desconectarão silenciosamente para se proteger contra APs maliciosos.

Para uma análise mais detalhada sobre como proteger sua infraestrutura, consulte nosso guia sobre como proteger sua rede com DNS robusto e segurança .

ROI e Impacto nos Negócios

A transição para a autenticação WiFi do Azure Entra ID traz benefícios significativos:

1. Redução de custos com suporte (helpdesk): A eliminação da autenticação baseada em senha reduz drasticamente os chamados de suporte relacionados a bloqueios de senha e renovações de credenciais de WiFi.
2. Conformidade acelerada: O EAP-TLS fornece a prova criptográfica de identidade exigida por frameworks como PCI-DSS e ISO 27001, o que é essencial em ambientes de saúde e varejo.
3. Desligamento automatizado: Quando um funcionário se desliga, a desativação de sua conta no Entra ID revoga instantaneamente seu acesso à rede em todas as localidades, reduzindo ameaças internas.

Ao proteger a rede corporativa principal, as equipes de TI podem se concentrar em iniciativas que geram receita, como o uso de WiFi Analytics para entender o comportamento dos visitantes e impulsionar o engajamento.

Referências

[1] Microsoft Learn. (2023). Secure Wi-Fi access with Intune and EAP-TLS.