Como configurar um servidor RADIUS para autenticação WiFi: Guia passo a passo de 802.1X

Resumo executivo

As redes sem fios empresariais exigem uma gestão de identidade centralizada, segmentação baseada em funções e uma forte proteção criptográfica. Depender de chaves pré-partilhadas (PSKs) expõe as organizações a fugas de credenciais, acesso não autorizado a dispositivos e pesadelos administrativos sempre que um colaborador se demite.

A configuração de um servidor RADIUS (Remote Authentication Dial-In User Service) permite a autenticação empresarial IEEE 802.1X. Cada dispositivo e utilizador que se liga autentica-se individualmente num diretório central - como o Microsoft Entra ID, Google Workspace, Okta ou Active Directory local.

Este guia técnico fornece instruções passo a passo para configurar um servidor RADIUS para WiFi empresarial. Abordamos a configuração do FreeRADIUS em Linux, a configuração do Network Policy Server (NPS) no Windows Server, arquiteturas modernas de Cloud RADIUS, atribuição dinâmica de VLAN e o reforço de segurança contra o BlastRADIUS.

Visão geral da arquitetura 802.1X e RADIUS

O modelo IEEE 802.1X divide o acesso à rede em três entidades distintas:

1. O Supplicant (Suplicante): O dispositivo do cliente (portátil, smartphone ou tablet) que executa o software de cliente 802.1X e apresenta as credenciais de identidade.
2. O Authenticator (Autenticador): O ponto de acesso sem fios (AP) ou Controlador LAN Sem Fios (WLC) que controla o acesso físico à rede e retransmite as mensagens de autenticação.
3. O Servidor de Autenticação: O servidor RADIUS que valida as credenciais num diretório de identidades e devolve as políticas de autorização de rede.

+---------------+        EAP over LAN (EAPoL)        +-------------------+
|  Supplicant   | <================================> |   Authenticator   |
| (Client Device)|                                    | (AP / Controller) |
+---------------+                                    +-------------------+
                                                               ||
                                                               || RADIUS Protocol
                                                               || (UDP 1812 / TCP 2083)
                                                               \/
                                                     +-------------------+
                                                     |   RADIUS Server   |
                                                     |  (FreeRADIUS/NPS) |
                                                     +-------------------+
                                                               ||
                                                               || Identity Lookup
                                                               \/
                                                     +-------------------+
                                                     | Identity Provider |
                                                     | (Entra ID / LDAP) |
                                                     +-------------------+

Fluxo de comunicação RADIUS

1. Associação: O cliente associa-se ao SSID empresarial (WPA2-Enterprise ou WPA3-Enterprise).
2. Iniciação EAP: O AP bloqueia todo o tráfego de dados e envia uma trama EAP-Request/Identity para o cliente.
3. Resposta de identidade: O cliente responde com uma trama EAP-Response/Identity.
4. Encapsulamento RADIUS: O AP encapsula a carga útil EAP num pacote RADIUS Access-Request e encaminha-o para o servidor RADIUS.
5. Negociação EAP: O cliente e o servidor RADIUS negoceiam o método de autenticação criptográfica (como EAP-TLS ou PEAP).
6. Autorização & Access-Accept: Após a validação bem-sucedida, o servidor RADIUS emite um pacote RADIUS Access-Accept contendo a Pairwise Master Key (PMK) e atributos opcionais de atribuição dinâmica de VLAN.
7. Abertura de porta: O AP desbloqueia a porta virtual e inicia o handshake de 4 vias para encriptar o tráfego sem fios no ar.

Para conceitos de arquitetura mais aprofundados, explore o nosso Enterprise WiFi Security Guide e o Captive Portal Guide.

Configuração passo a passo: FreeRADIUS em Linux

O FreeRADIUS é o padrão mundial de suites RADIUS de código aberto. Abaixo está a sequência de configuração para o Ubuntu 24.04 LTS / Debian 12.

Passo 1: Instalar os pacotes FreeRADIUS

sudo apt update
sudo apt install -y freeradius freeradius-utils freeradius-ldap ssl-cert

Passo 2: Definir clientes Network Access Server (NAS)

Edite /etc/freeradius/3.0/clients.conf para autorizar os seus pontos de acesso sem fios e configurar um segredo partilhado:

client enterprise_wlan {
  ipaddr: 192.168.10.0/24
  secret: Str0ngSh@redSecr3t2026!
  shortname: branch-aps
  nas_type: other
  require_message_authenticator: yes
}

Nota: Force sempre os atributos Message-Authenticator do RFC 2869 para se proteger contra ataques de falsificação BlastRADIUS.

Passo 3: Configurar os módulos de autenticação EAP

Abra /etc/freeradius/3.0/mods-available/eap e configure o método EAP padrão:

eap {
  default_eap_type: tls
  timer_expire: 60
  ignore_unknown_eap_types: no
  cisco_accounting_username_bug: no
  max_sessions: 4096

  tls-config tls-common {
    certdir: ${confdir}/certs
    cadir: ${confdir}/certs
    private_key_file: ${certdir}/radius-server.key
    certificate_file: ${certdir}/radius-server.crt
    ca_file: ${cadir}/ca.crt
    cipher_list: HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH
    tls_min_version: 1.2
  }
}

Passo 4: Testar em modo de depuração (debug)

Antes de executar como um serviço do sistema, pare o daemon e inicie no modo de depuração em primeiro plano:

sudo systemctl stop freeradius
sudo freeradius -X

Teste a autenticação local utilizando o radtest:

radtest testuser Password123 127.0.0.1 0 testing123

Uma resposta bem-sucedida devolve Received Access-Accept Id 1.

Configuração passo a passo: Windows Server NPS

O Microsoft Network Policy Server (NPS) é a função de servidor RADIUS integrada para ambientes Windows Server ligados ao Active Directory Domain Services (AD DS).

+-------------------------------------------------------------------------+
|                  Windows Server Network Policy Server                   |
|                                                                         |
|  [Clientes RADIUS (AP / WLC)] ---> [Políticas de Pedido de Ligação]    |
|                                                  |                      |
|                                                  v                      |
|  [Active Directory DS / PKI] <--- [Políticas de Rede (VLAN / EAP-TLS)]  |
+-------------------------------------------------------------------------+

Passo 1: Instalar Serviços de Acesso e Política de Rede

Abra o PowerShell como Administrador:

Install-WindowsFeature NPAS -IncludeManagementTools
Register-ActiveDirectoryServer -Server nps01.corp.local

Passo 2: Registar clientes RADIUS (pontos de acesso)

1. Abra o Network Policy Server (nps.msc).
2. Expanda Clientes e Servidores RADIUS > Clique com o botão direito em Clientes RADIUS > Novo.
3. Introduza o Nome Amigável: Cisco-Catalyst-AP-Cluster.
4. Introduza o Endereço IP ou CIDR da Subrede (ex. 10.50.0.0/24).
5. Gere e introduza um Segredo Partilhado forte (mínimo de 24 caracteres alfanuméricos).

Passo 3: Criar política de rede para autenticação WiFi

1. Em Políticas > Políticas de Rede, clique com o botão direito e selecione Novo.
2. Nome da Política: Staff-WiFi-802.1X-Policy. Tipo de servidor de acesso à rede: Não especificado.
3. Condições:
   • Adicione Grupos do Windows: CORP\WiFi-Authorised-Users
   • Adicione Tipo de Porta NAS: Sem fios - IEEE 802.11 ou Sem fios - Outro
4. Permissão de Acesso: Selecione Acesso concedido.
5. Métodos de Autenticação:
   • Desmarque os métodos menos seguros.
   • Em Tipos de EAP, adicione Microsoft: Cartão inteligente ou outro certificado (EAP-TLS).
   • Edite o método e selecione o Certificado de Servidor RADIUS emitido pela CA Empresarial dos seus Serviços de Certificados do Active Directory (AD CS).
6. Restrições: Defina o Tempo de Limite de Inatividade para 30 minutos e o Tempo de Limite de Sessão para 8 horas.

Cloud RADIUS: Arquitetura zero-trust moderna

Os servidores RADIUS locais tradicionais apresentam grandes desafios operacionais:

• Elevados custos de licenciamento de servidores e aplicação de patches.
• Ausência de APIs de autenticação nativas para diretórios de identidade na cloud como o Microsoft Entra ID ou Google Workspace.
• Vulnerabilidade a falhas de WAN em escritórios remotos.

As redes empresariais modernas implementam Cloud RADIUS para centralizar a autenticação sem qualquer infraestrutura de servidores locais.

Para desenhar a sua arquitetura, explore o nosso Guia de WiFi Multi-Tenant e as nossas Soluções de WiFi para Funcionários.

Configuração de atribuição dinâmica de VLAN

A Atribuição Dinâmica de VLAN (definida sob os RFC 2868 e RFC 3580) permite que um único SSID empresarial segmente dinamicamente os utilizadores em sub-redes distintas com base na sua pertença a grupos de diretório.

                          [Enterprise Staff SSID]
                                     |
              +----------------------+----------------------+
              |                      |                      |
              v                      v                      v
        [VLAN 10: Exec]       [VLAN 20: Engineering]  [VLAN 30: Contractors]
        (10.10.10.0/24)        (10.10.20.0/24)        (10.10.30.0/24)

Atributos RADIUS padrão obrigatórios

Quando o servidor RADIUS valida as credenciais, anexa estes atributos à resposta Access-Accept:

Tunnel-Type = 13 (VLAN)
Tunnel-Medium-Type = 6 (802 - inclui todos os suportes 802 mais o formato canónico Ethernet)
Tunnel-Private-Group-ID = 20 (ou Nome da VLAN "CORP_ENG")

Exemplo de mapeamento dinâmico de VLAN em FreeRADIUS

Em /etc/freeradius/3.0/users:

DEFAULT Group == "Engineering-Team"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "20"

DEFAULT Group == "Contractors"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "30"

Regras de firewall de rede & configuração de portas

Certifique-se de que as firewalls de rede permitem a comunicação entre os pontos de acesso e os servidores RADIUS:

Reforço de segurança & mitigação de BlastRADIUS

Mitigar BlastRADIUS (CVE-2024-3596)

Em julho de 2024, investigadores divulgaram a vulnerabilidade BlastRADIUS, uma falha de colisão MD5 no protocolo RADIUS que permite a um atacante posicionado entre o ponto de acesso e o servidor RADIUS forjar respostas Access-Accept.

Para proteger a sua implementação:

1. Forçar Message-Authenticator: Exija o atributo Message-Authenticator (RFC 2869) em todos os pacotes Access-Request e Access-Accept.
2. Transição para EAP-TLS: O EAP-TLS baseado em certificados é criptograficamente imune a falsificação de proxy porque as chaves criptográficas TLS são derivadas de ponta a ponta entre o cliente e o servidor RADIUS.
3. Implementar RadSec (RFC 6614): Encapsular o tráfego RADIUS dentro de túneis TLS para evitar a manipulação de pacotes por man-in-the-middle.

Resolução de problemas de falhas de autenticação 802.1X

Perguntas frequentes

Que porta utiliza um servidor RADIUS para autenticação WiFi?

A autenticação RADIUS padrão funciona na porta UDP 1812, com a faturação (accounting) na porta UDP 1813. As implementações antigas utilizavam as portas UDP 1645 e 1646. As implementações modernas de Cloud RADIUS utilizam RadSec sobre a porta TCP 2083 com encriptação TLS.

Devo escolher FreeRADIUS ou Windows Server NPS?

Escolha o Windows Server NPS se a sua organização depender estritamente dos Active Directory Domain Services no local. Escolha o FreeRADIUS para alto desempenho, flexibilidade de código aberto e ambientes Linux. Se a sua organização utiliza fornecedores de identidade na nuvem como o Microsoft Entra ID ou o Google Workspace, escolha o Cloud RADIUS.

Como ligo o Microsoft Entra ID (Azure AD) a um servidor RADIUS?

O Microsoft Entra ID não suporta nativamente protocolos de autenticação antigos no local como LDAP ou NTLM. Para ligar o Entra ID ao WiFi empresarial, implemente o Cloud RADIUS emparelhado com a implementação de certificados Microsoft Intune SCEP para autenticar dispositivos utilizando EAP-TLS.

Porque é que o EAP-TLS é preferível em relação ao PEAP-MSCHAPv2?

O EAP-TLS utiliza autenticação mútua de certificados X.509, onde tanto o cliente como o servidor validam identidades criptográficas. O PEAP-MSCHAPv2 depende de palavras-passe de utilizador dentro de um túnel TLS, deixando as redes vulneráveis a ataques de password spraying, phishing e roubo de credenciais por APs falsos.

Para uma arquitetura de segurança de WiFi empresarial personalizada, consulte o nosso Guia de Analytics de WiFi ou fale com um especialista em redes empresariais.