Um Guia de Administrador de Rede para Configurar a Autenticação RADIUS para WiFi de Convidados

Guia do Administrador de Rede para Configurar a Autenticação RADIUS para WiFi de Convidados - Guião de Podcast [INTRODUÇÃO - aproximadamente 1 minuto] Olá e boas-vindas. Vou orientá-lo em tudo o que precisa de saber sobre a configuração da autenticação RADIUS para WiFi de convidados - desde a arquitetura subjacente até aos passos práticos que a sua equipa precisa de tomar, e as armadilhas que prejudicam a maioria das implementações. Isto não é uma palestra. Pense nisto como um briefing de um consultor sénior que já se sentou à mesa com gestores de TI em hotéis, cadeias de retalho, estádios e centros de conferências, e os ajudou a acertar. Vamos cobrir os fundamentos técnicos, padrões de implementação no mundo real e onde a plataforma RADIUS nativa na nuvem da Purple se enquadra no cenário. Vamos a isso. [MERGULHO TÉCNICO PROFUNDO - aproximadamente 5 minutos] Então, o que é realmente o RADIUS? RADIUS significa Remote Authentication Dial-In User Service. É um protocolo de rede - definido no RFC 2865 - que fornece autenticação, autorização e contabilização centralizadas para o acesso à rede. Em termos simples: é o sistema que decide se o dispositivo de um visitante tem permissão para entrar na sua rede, sob que condições e por quanto tempo. Em seguida, regista toda a sessão. Especificamente para o WiFi de convidados, o RADIUS situa-se entre os seus pontos de acesso e a sua camada de identidade. Um visitante liga-se ao seu SSID, o seu dispositivo envia um pedido de autenticação para o ponto de acesso, o ponto de acesso reencaminha-o para um Network Access Server - ou NAS - que depois consulta o servidor RADIUS. O servidor RADIUS valida as credenciais, devolve um Access-Accept ou Access-Reject, e a sessão inicia-se ou é bloqueada. Os pacotes de contabilização rastreiam então a duração da sessão, os dados consumidos e o motivo de cessação. As três funções principais são frequentemente designadas por AAA: Autenticação, Autorização e Contabilização. A autenticação confirma a identidade. A autorização define o que essa identidade pode aceder - limites de largura de banda, atribuição de VLAN, duração da sessão. A contabilização cria a pista de auditoria. Agora, para o WiFi de convidados, o método de autenticação é extremamente importante. Num ambiente empresarial, normalmente usaria o 802.1X com EAP-TLS - baseado em certificados, muito seguro. Para os convidados, isso é impraticável. Os convidados não têm certificados nos seus dispositivos pessoais. Por isso, o padrão comum é um Captive Portal combinado com o RADIUS. O visitante chega a uma página de portal personalizável, insere os seus dados ou autentica-se através de login social, e o Captive Portal troca essas credenciais com o servidor RADIUS em seu nome. O servidor RADIUS sinaliza então o ponto de acesso para conceder o acesso. Esta é exatamente a arquitetura que a Purple opera. O nosso serviço RADIUS nativo na nuvem lida com a troca de autenticação, enquanto o Captive Portal - que personaliza com a sua marca e configura através da plataforma Purple - gere a experiência do visitante. O ponto de acesso simplesmente precisa de saber o endereço do servidor RADIUS, a porta e o segredo partilhado. A Purple fornece os três. Vamos falar de portas e protocolos. O tráfego de autenticação RADIUS corre na porta UDP 1812. A monitorização de utilização (accounting) RADIUS corre na porta UDP 1813. Irá configurar ambas nos seus pontos de acesso. O segredo partilhado é uma chave pré-partilhada entre o seu ponto de acesso e o servidor RADIUS - trate-o como uma palavra-passe. Utilize uma sequência longa e gerada aleatoriamente. Nunca a reutilize em diferentes implementações. No que toca ao hardware, a Purple é agnóstica em termos de hardware. Trabalhamos com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet, entre outros. Os passos de configuração variam de acordo com o fabricante, mas os parâmetros RADIUS subjacentes são consistentes: IP ou hostname do servidor, porta de autenticação 1812, porta de accounting 1813, segredo partilhado e intervalo de accounting. Para pontos de acesso Avaya, por exemplo, configura os atributos RADIUS na secção External RADIUS, define o formato do Called-Station-Id para o formato MAC com hífen UC, ativa o accounting e depois configura o SSID com redirecionamento de página web a apontar para os URLs do Captive Portal da Purple. A documentação de suporte da Purple cobre os passos exatos para Avaya no link presente no guia. Para dispositivos da série Pepwave MAX, pode configurar através do InControl2 - a sua plataforma de gestão na nuvem - ou diretamente através da interface web local. De qualquer forma, estará a configurar um Captive Portal externo, a apontar a autenticação e o accounting para os servidores RADIUS da Purple, e a configurar o SSID com segurança aberta e o Captive Portal associado. Mais uma vez, os passos exatos estão nos documentos de suporte da Purple. Uma decisão de arquitetura que vale a pena destacar: servidores RADIUS primários e secundários. Configure sempre ambos. A Purple fornece dois endereços de servidor RADIUS para redundância. Se o primário estiver inacessível, o ponto de acesso faz a transição para o secundário automaticamente. Sem um secundário, uma falha temporária no servidor RADIUS significa que os seus convidados não se conseguem ligar. Num hotel com 300 quartos ou num estádio com 40 000 adeptos, isso é um incidente grave. A segmentação de VLAN é o outro elemento crítico. O seu tráfego de WiFi de convidados nunca deve tocar na sua rede corporativa ou operacional. Atribua as sessões de convidados a uma VLAN dedicada, encaminhe essa VLAN para uma ligação de internet separada ou, no mínimo, através de uma firewall com regras de saída estritas. Este é um requisito PCI-DSS se processar pagamentos com cartão em qualquer parte da mesma infraestrutura física, e é simplesmente uma boa prática, independentemente disso. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aproximadamente 2 minutos] Deixe-me apresentar-lhe as três coisas que correm mal com mais frequência. Primeiro: incompatibilidades de segredo partilhado. O segredo partilhado no ponto de acesso deve coincidir exatamente com o que está registado no servidor RADIUS. Sensível a maiúsculas e minúsculas, caracter por caracter. Um único caracter errado produz um Access-Reject sem qualquer mensagem de erro útil. Copie e cole sempre a partir do seu painel de controlo da Purple em vez de digitar manualmente. Segundo: lacunas na lista de permissões (whitelist). Antes de o visitante se autenticar, o seu dispositivo precisa de aceder ao Captive Portal. Isso significa que determinados domínios devem ser permitidos no ponto de acesso - os URLs do portal da Purple, os endpoints de autenticação e quaisquer fornecedores de login social que esteja a utilizar. Se a whitelist estiver incompleta, os visitantes verão uma página em branco ou um tempo limite esgotado. A Purple mantém uma lista atualizada dos domínios necessários na documentação de suporte - utilize essa lista, não adivinhe. Terceiro: intervalo de contabilidade (accounting interval). Isto controla a frequência com que o ponto de acesso envia atualizações de contabilidade provisórias para o servidor RADIUS. Se for demasiado longo, perde a granularidade da sessão. Se for demasiado curto, gera tráfego desnecessário. Para a maioria das implementações, 240 a 300 segundos é o intervalo correto. O intervalo recomendado pela Avaya é de 300 segundos; o da Pepwave é de 180 a 240 segundos. Siga as orientações específicas do fabricante. Do lado da conformidade: o GDPR exige que tenha uma base legal para recolher dados dos visitantes. Um Captive Portal bem configurado com caixas de seleção de consentimento explícito cumpre este requisito. A plataforma da Purple está em conformidade com o GDPR e tem certificação ISO 27001. Cada login através da Purple é uma adesão por escolha consciente - o visitante concorda ativamente com os seus termos antes de se ligar. Esse registo de auditoria é a sua prova de conformidade. [PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto] Perguntas rápidas que me fazem regularmente. "Preciso de substituir o meu hardware existente?" Não. A Purple funciona como uma camada sobre a sua infraestrutura existente. Não é necessária qualquer substituição de raiz. "Posso utilizar RADIUS para o WiFi dos funcionários na mesma plataforma?" Sim. A Purple suporta SSIDs separados para convidados e funcionários, com políticas de autenticação diferentes em cada um. "E se o meu espaço tiver vários locais?" A Purple gere implementações em múltiplos locais a partir de um único painel centralizado. Configura uma vez e replica para todos os locais. "O RADIUS na nuvem é menos seguro do que o local (on-premise)?" Não. O RADIUS na nuvem da Purple opera com uma disponibilidade de 99,999%, certificação ISO 27001 e encriptação de ponta a ponta. A superfície de ataque é menor do que a de um servidor auto-gerido, porque as atualizações e o reforço de segurança são tratados centralmente. "Quanto tempo demora uma implementação completa?" Para um único espaço com hardware suportado, um administrador de rede pode concluir a configuração do RADIUS em menos de duas horas. A equipa de integração da Purple está disponível para ajudar. [RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto] Em resumo. A autenticação RADIUS para WiFi de convidados oferece-lhe controlo de acesso centralizado, um registo completo de contabilidade e a base de conformidade de que necessita para o GDPR e PCI-DSS. A arquitetura é simples: do ponto de acesso para o NAS, para o servidor RADIUS, para a plataforma na nuvem da Purple. As três coisas a acertar são o segredo partilhado, a whitelist de domínios e o intervalo de contabilidade. A Purple opera RADIUS nativo na nuvem em mais de 80.000 espaços em todo o mundo, processando 440 milhões de logins em 2024. A plataforma é independente de hardware, tem certificação ISO 27001 e está em conformidade com o GDPR.Os seus próximos passos: verifique se o seu hardware está na lista de suportados da Purple, obtenha as credenciais do servidor RADIUS no seu painel da Purple e siga o guia de configuração específico do fabricante no centro de suporte da Purple. Se precisar de ajuda, a equipa técnica da Purple pode orientá-lo no processo. Obrigado pela atenção. O guia escrito completo, com diagramas, exemplos práticos e referências de configuração, está associado no link abaixo. .