Autenticação WiFi com Microsoft Entra ID (Azure AD): Guia de integração empresarial

Resumo Executivo

À medida que as organizações de TI empresariais migram a identidade corporativa do Active Directory Domain Services (AD DS) local para o Microsoft Entra ID (anteriormente Azure Active Directory), os arquitetos de rede enfrentam um desafio de rede fundamental: o Microsoft Entra ID não suporta autenticação nativa por protocolo RADIUS.

As redes WiFi empresariais legadas dependem de IEEE 802.1X com PEAP - MSCHAPv2, consultando instâncias locais do Windows Server Network Policy Server (NPS) que validam hashes de palavras-passe NT LAN Manager (NTLM) face a controladores de domínio locais. O Entra ID nativo na nuvem não expõe portas de escuta LDAP (TCP 389) ou RADIUS (UDP 1812), nem armazena hashes de palavras-passe NTLM em texto simples ou reversíveis para contas exclusivamente na nuvem.

Para proteger o WiFi empresarial com o Microsoft Entra ID, as organizações devem modernizar a sua camada de acesso. Este guia técnico descreve os três padrões de arquitetura comprovados para ligar o Entra ID a redes WiFi empresariais:

1. EAP-TLS Nativo na Nuvem via Microsoft Cloud PKI e SCEP (Recomendado): Autenticação mútua por certificado, sem palavra-passe, implementada via Microsoft Intune.
2. Cloud RADIUS com Sincronização de Diretório Entra ID OAuth / SCIM: Serviço de autenticação na nuvem gerido que consulta a Microsoft Graph API.
3. NPS Local Híbrido com Extensão MFA do Azure: Arquitetura de ponte para ambientes que mantêm infraestrutura local de Active Directory.

-

Comparação Arquitetural: Métodos de Autenticação WiFi Entra ID

Antes de selecionar um caminho de integração, avalie as capacidades técnicas, a postura de segurança e os requisitos administrativos de cada modelo:

+----------------------------------------------------------------------------------------------------+
|                               Matriz de Arquitetura WiFi Microsoft Entra ID                          |
+----------------------------------------------------------------------------------------------------+
| Método               | Protocolo| Tipo de Credencial| Infraestrutura Local | Nível Segurança (0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | CA Digital X.509 | Zero (100% Nuvem)     | 98/100 (Zero Trust)   |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | Zero (100% Nuvem)     | 88/100 (Empresarial)  |
| 3. NPS Híbrido + MFA | PEAPv0   | Nome/Palavra-pas | Windows Server & NDES | 68/100 (Risco Legado) |
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth  | Zero (100% Nuvem)     | 85/100 (Guest/BYOD)   |
+----------------------+----------+------------------+-----------------------+-----------------------+

-

Método 1: EAP-TLS Nativo na Nuvem via Microsoft Intune SCEP (Recomendado)

O EAP-TLS baseado em certificados (RFC 5216) representa o padrão de ouro para a segurança sem fios empresarial. Ao emitir certificados digitais únicos para endpoints geridos, as organizações eliminam as palavras-passe partilhadas, anulam campanhas de phishing de recolha de credenciais e cumprem as normas NIST SP 800-207 Zero Trust Architecture.

+------------------+          +------------------------+          +------------------------+
| Dispositivo Ger. |          | Ponto de Acesso WiFi   |          |  Servidor Cloud RADIUS |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |    (Multi-Região)      |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. Assoc. 802.1X EAP-TLS       |                                    |
         |------------------------------->|                                    |
         |                                | 2. RADIUS Access-Request (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. Validar Cadeia Cert
         |                                |                                    |    e Consultar Graph API
         |                                |                                    |    p/ Estado da Conta
         |                                | 4. RADIUS Access-Accept            |
         |                                |    (Atributos VLAN RFC 2868)       |
         |                                |<-----------------------------------|
         | 5. Handshake 802.11 de 4 Vias  |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ Sessão Encriptada Estabelecida (WPA3-Enterprise 192-bit) ]

Fluxo de trabalho de implementação do Intune SCEP

1. Configuração da Autoridade de Certificação: Estabeleça uma CA emissora utilizando a Microsoft Cloud PKI no Microsoft Intune ou uma CA na cloud integrada (como o SCEPman, EZCA ou Cloud RADIUS PKI).
2. Perfil de Certificado Fidedigno: Implemente os certificados públicos da Root CA e da CA Intermédia em todos os grupos de dispositivos de destino Windows 11, macOS, iOS e Android.
3. Configuração do Perfil SCEP:
   • Tipo de Certificado: Certificado de Utilizador ou Dispositivo.
   • Formato do Nome do Requerente: CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • Nome Alternativo do Requerente (SAN): UserPrincipalName = {{UserPrincipalName}} e DNS = {{AADDeviceId}}
   • Utilização de Chaves: Assinatura Digital, Cifragem de Chaves.
   • Fornecedor de Armazenamento de Chaves (KSP): Preferência por TPM (obriga a chaves privadas protegidas por hardware).
4. Perfil de Configuração de WiFi:
   • Tipo de WiFi: Enterprise.
   • Tipo de EAP: EAP-TLS.
   • Confiança no Servidor: Selecione o certificado da Trusted Root CA implementado.
   • Nomes de Servidores: Insira o nome de domínio totalmente qualificado (FQDN) do servidor Cloud RADIUS (ex. radius.purple.ai).
   • Identidade de Autenticação: Certificado de Utilizador ou de Máquina.

Método 2: Cloud RADIUS com Entra ID OAuth e Sincronização de Diretório SCIM

Para organizações que procuram uma gestão de diretório centralizada sem gerir CAs privadas, o Cloud RADIUS fornece uma ponte gerida entre os controladores sem fios e a API Microsoft Graph.

Como o Cloud RADIUS se integra com o Microsoft Entra ID

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Cloud RADIUS Engine|        | Microsoft Entra ID |
|   Access Points    |        | (Plataforma Purple)|        |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Consulta Graph API      |
          |                             |     (Verificar util. ativo, |
          |                             |      grupos associados,     |
          |                             |      acesso condicional)    |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. Resposta JSON           |
          |                             |     (Estado: Ativo,         |
          |                             |      Grupos: [SG-Finance])  |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Principais vantagens do Cloud RADIUS

• Zero Hardware Local: Elimina a aquisição de servidores físicos, o licenciamento de Windows Server e a manutenção anual de patches do SO.
• Sincronização de Diretório em Tempo Real: Se um colaborador sair da empresa ou for desativado no Entra ID, o seu acesso sem fios é revogado imediatamente em todos os sites globais.
• Redundância Multi-Região: O encaminhamento de IP Anycast encaminha os pedidos de autenticação para o centro de dados geográfico de menor latência com failover automático.

Atribuição Dinâmica de VLAN através de Grupos de Segurança do Entra ID

A atribuição dinâmica de VLAN permite que os administradores de rede transmitam um único SSID corporativo, colocando automaticamente os dispositivos em segmentos de rede isolados com base nas funções do utilizador e afiliações de departamento.

+-----------------------------------------------------------------------------------+
|                        Microsoft Entra ID Security Group                          |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ Cloud RADIUS Policy ]        [ Cloud RADIUS Policy ]            [ Cloud RADIUS Policy ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868:               RADIUS RFC 2868:                   RADIUS RFC 2868:
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (Corporate Exec VLAN 10)       (Engineering Subnet VLAN 20)       (Contractor DMZ VLAN 30)

Atributos padrão RADIUS obrigatórios (RFC 2868)

Quando o servidor Cloud RADIUS aprova um pedido de autenticação, inclui três atributos padrão no pacote Access-Accept:

Captive Portal Single Sign-On (SSO) para Convidados, BYOD e Empreiteiros

Para visitantes convidados, fornecedores e dispositivos pessoais de funcionários não geridos (BYOD), a implementação de certificados 802.1X é frequentemente impraticável. Nestes cenários, um Captive Portal gerido na cloud e integrado com o Microsoft Entra ID via SAML 2.0 ou OpenID Connect (OIDC) fornece um fluxo de trabalho de integração seguro e auditado.

+--------------------+        +--------------------+        +--------------------+
|  Guest / BYOD      |        | Purple Captive     |        | Microsoft Entra ID |
|     Browser        |        | Splash Portal      |        | Login Gateway      |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. HTTP Web Request         |                             |
          |---------------------------->|                             |
          | 2. Redirecionar p/ Splash Page|                            |
          |<----------------------------|                             |
          |                             |                             |
          | 3. Clicar "Iniciar sessão com M365" |                       |
          |---------------------------->|                             |
          | 4. SAML / OAuth Auth Request|                             |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. MFA Challenge & Verificação de Identidade (Entra ID)   |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. SAML Assertion / ID Token Emitido                      |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. Enviar Token via POST para Splash Engine               |
          |---------------------------->|                             |
          |                             | 8. Autorizar MAC no WLC     |
          | 9. Acesso à Internet Concedido|<---------------------------|
          |<----------------------------|

Benefícios de segurança de SSO do Captive Portal

• Aplicar Acesso Condicional: Exija a autenticação multifator (MFA) do Microsoft Entra ID e a aceitação dos Termos de Utilização antes de conceder acesso à rede.
• Expiração Automatizada: Restrinja a duração do acesso dos visitantes (ex. 8 horas) automaticamente com base nos perfis de identidade dos convidados.
• Registo de Auditoria: Mantenha registos de ligação imutáveis associando endereços MAC físicos a endereços de email corporativos do Microsoft Entra ID para auditorias de conformidade.

Reforçar a Segurança de WiFi Empresarial: Modo WPA3-Enterprise de 192 bits

Ao configurar a autenticação WiFi do Microsoft Entra ID, os arquitetos de rede devem configurar o WPA3-Enterprise para proteger contra vetores de ataque sofisticados por radiofrequência:

• Modo de Segurança de 192 bits (CNSA Suite): Implementa a encriptação Galois/Counter Mode Protocol de 256 bits (GCMP-256) e derivação de chave HMAC-SHA-384 de 384 bits.
• Protected Management Frames (PMF / IEEE 802.11w): Impede que agentes maliciosos falsifiquem endereços MAC de pontos de acesso para enviar tramas falsas de desautenticação e desassociação.
• Eliminação de Cifras Antigas: Despacha completamente as suites WEP, TKIP e WPA2-TKIP não reforçadas.

Resolução de Problemas de Falhas de Autenticação WiFi 802.1X no Entra ID

Quando os dispositivos clientes não conseguem autenticar-se, consulte este guia de diagnóstico sistemático:

1. Falha no handshake EAP-TLS: CA desconhecida ou certificado não confiável

• Sintoma: O cliente não consegue estabelecer ligação; o registo RADIUS apresenta TLS Alert: unknown_ca (48).
• Causa Raiz: O dispositivo cliente não confia no certificado do servidor RADIUS, ou o servidor RADIUS não possui a Root CA que emitiu o certificado do cliente.
• Resolução:
  1. Confirme se o perfil Intune Trusted Certificate implementou a Root CA no dispositivo cliente.
  2. No perfil WiFi do Intune, verifique se o nome do servidor na lista de permissões Server Names corresponde exactamente ao Common Name (CN) ou Subject Alternative Name (SAN) do certificado do servidor RADIUS.
  3. Certifique-se de que a cadeia de certificação completa (Root CA + Intermediate CAs) está importada no repositório de fidedignidade de certificados do Cloud RADIUS.

2. RADIUS Access-Reject: Conta de utilizador desativada ou incompatibilidade de pertença a grupo

• Sintoma: O servidor RADIUS recebe o pedido mas devolve Access-Reject com o erro User account not found or disabled.
• Causa Raiz: A conta do utilizador está desativada no Microsoft Entra ID, ou o utilizador não é membro do grupo de segurança autorizado do Entra.
• Resolução:
  1. Inspecione o objeto de utilizador no centro de administração do Microsoft Entra (entra.microsoft.com) para verificar se o estado da conta está ativo.
  2. Verifique as permissões da App Enterprise do Cloud RADIUS no Entra ID (User.Read.All, GroupMember.Read.All).
  3. Verifique a latência de sincronização do diretório se o utilizador tiver sido adicionado recentemente a um novo grupo de segurança.

3. Atribuição de VLAN dinâmica não está a surtir efeito

• Sintoma: A autenticação é bem-sucedida, mas o cliente permanece na VLAN nativa predefinida em vez da VLAN de departamento atribuída.
• Causa Raiz: O controlador LAN sem fios (WLC) não tem o AAA Override ativado, ou a porta trunk do switch não tem o ID da VLAN de destino.
• Resolução:
  1. Nos controladores Cisco Catalyst / Aruba, ative o AAA Override e Allow Dynamic VLANs na configuração da WLAN.
  2. Verifique se a porta do switch que liga ao ponto de acesso permite todos os IDs de VLAN dinâmicos no trunk 802.1Q (switchport trunk allowed vlan add 10,20,30,40).
  3. Confirme que o RADIUS devolve todos os três atributos obrigatórios: Tunnel-Type = 13, Tunnel-Medium-Type = 6 e Tunnel-Private-Group-ID = <VLAN_ID>.

Resumo e Próximos Passos

A integração do Microsoft Entra ID com o WiFi empresarial cria uma camada de acesso à rede resiliente e sem palavras-passe. Ao associar a gestão de certificados SCEP do Microsoft Intune ao Cloud RADIUS e à atribuição de VLAN dinâmica, as organizações de TI eliminam a dívida de infraestrutura local ao mesmo tempo que reforçam a sua postura de segurança zero-trust.

Para organizações que gerem volumes elevados de visitantes convidados, prestadores de serviços ou hardware BYOD em conjunto com frotas corporativas, a Purple disponibiliza uma gestão de acesso WiFi na nuvem chave na mão, início de sessão único nativo do Entra ID SAML/OAuth em Captive Portal e análise de rede em tempo real em todos os principais fornecedores de hardware sem fios empresarial.