Configurar Políticas RADIUS para Controlo de Acesso à Rede de Grão Fino

Bem-vindo ao Purple Technical Briefing. Eu sou o seu anfitrião e hoje vamos analisar em detalhe um tema crítico para arquitetos de rede corporativa e diretores de TI: Configurar Políticas RADIUS para Controlo de Acesso à Rede de Grão Fino. Se gere a infraestrutura de uma cadeia de hotéis, de uma rede de retalho ou de um grande espaço público, sabe que os dias em que se dependia de uma simples chave pré-partilhada já lá vão. A segurança, a conformidade e a experiência do utilizador exigem uma abordagem mais sofisticada. Hoje, vamos detalhar a arquitetura do acesso sensível ao contexto, explorar estratégias de implementação e discutir como evitar os erros mais comuns e dispendiosos. Comecemos pelo contexto. Por que razão estamos a falar de RADIUS e 802.1X? Porque o perímetro dissolveu-se. Temos computadores portáteis corporativos, smartphones de convidados, tablets de prestadores de serviços e um fluxo massivo de dispositivos IoT a aceder aos mesmos pontos de acesso físicos. Precisa de um mecanismo para segmentar dinamicamente este tráfego, aplicar a conformidade e, ainda assim, proporcionar uma experiência de utilizador fluida. É exatamente aí que entram as políticas RADIUS. Ao tirar partido do 802.1X, passa de um modelo de "quem sabe a palavra-passe" para "quem é você, em que dispositivo está e qual é o seu contexto?". Essa mudança é fundamental. A arquitetura assenta em três componentes. Primeiro, o suplicante - o cliente de software no dispositivo do utilizador final. Segundo, o autenticador - normalmente o seu ponto de acesso sem fios ou o seu switch. E terceiro, o servidor de autenticação - o seu servidor RADIUS. Quando um dispositivo se liga, o autenticador passa as mensagens EAP para o servidor RADIUS. O servidor RADIUS verifica as credenciais no seu repositório de identidades, como o Active Directory, LDAP ou um fornecedor baseado na nuvem como o Entra ID. Mas aqui está a parte crucial: um servidor RADIUS configurado corretamente não devolve apenas um simples sim ou não. Ele devolve Atributos Específicos do Fabricante - VSAs - que dizem à infraestrutura de rede exatamente como gerir essa sessão específica. A aplicação mais poderosa disto é a atribuição dinâmica de VLAN. Imagine um ambiente de alta densidade, como um estádio ou um grande centro de conferências. Transmitir múltiplos SSIDs para diferentes grupos de utilizadores cria uma sobrecarga massiva de beacons e degrada o desempenho de RF. Cada SSID que transmite consome tempo de antena valioso. Com o RADIUS, transmite um SSID seguro. Quando um gestor financeiro se autentica, o RADIUS indica ao ponto de acesso para encaminhar o seu tráfego para a VLAN 10. Quando um terminal POS se liga, é colocado na VLAN 20. Quando um prestador de serviços se autentica, vai parar à VLAN 30 com acesso restrito. É limpo, é eficiente e reduz drasticamente a sua superfície de ataque. Agora, vamos passar para a análise técnica detalhada. Os principais atributos que irá configurar nos seus perfis de imposição RADIUS são Tunnel-Type, definido como VLAN; Tunnel-Medium-Type, definido como 802; e Tunnel-Private-Group-Id, que é o seu ID de VLAN real. Estes três atributos, devolvidos em conjunto numa mensagem Access-Accept, instruem o autenticador a colocar a sessão no segmento de rede correto. Para os protocolos de autenticação, tem várias opções. O EAP-TLS é o padrão de excelência. Utiliza certificados de cliente para autenticação, o que elimina totalmente o risco de roubo de credenciais e a fadiga de palavras-passe. É a escolha certa para dispositivos geridos pela empresa onde dispõe de uma plataforma MDM para automatizar o fornecimento de certificados. O PEAP-MSCHAPv2 é uma escolha sólida para cenários BYOD onde a implementação de certificados não é prática - utiliza um certificado de servidor para estabelecer um túnel TLS e, em seguida, passa as credenciais de utilizador e palavra-passe dentro desse túnel. Evite totalmente protocolos legados como LEAP ou EAP-MD5; são criptograficamente fracos e não devem ser utilizados em qualquer implementação moderna. Vamos falar sobre a implementação. Recomendo sempre uma abordagem faseada. A fase um é a Integração de Fontes de Identidade. As suas políticas RADIUS são tão boas quanto o seu diretório subjacente. Certifique-se de que os seus grupos Active Directory ou Microsoft Entra ID são lógicos, bem estruturados e se mapeiam diretamente para os segmentos de rede pretendidos. Audite os seus grupos antes de começar. Remova contas inativas, consolide grupos sobrepostos e estabeleça níveis de acesso claros: Executivo, Pessoal, Contratado, Convidado e IoT. Para redes públicas, plataformas como a Purple atuam como um fornecedor de identidade, fazendo a ponte entre o acesso de convidados públicos e estruturas de autenticação seguras. A fase dois é a Configuração de Políticas. Crie políticas que avaliem múltiplos fatores contextuais, não apenas credenciais. Avalie o NAS-IP-Address - que é o IP do autenticador - para perceber de que localização física provém o pedido. Avalie o Called-Station-Id, que contém o nome do SSID, para perceber a que rede o utilizador se está a ligar. Avalie a hora do dia. O perfil de acesso de um prestador de serviços às duas da manhã deve ser muito diferente do seu acesso às nove da manhã. Sobreponha estas condições para criar políticas verdadeiramente conscientes do contexto. A fase três é a implementação. E nunca é demais sublinhar isto: nunca implemente a imposição de 802.1X em toda a empresa em simultâneo. Comece no modo de monitorização. No modo de monitorização, as falhas de autenticação são registadas, mas o acesso continua a ser concedido. Isto dá-lhe visibilidade sobre suplicantes mal configurados, dispositivos com certificados expirados e equipamentos legados que não suportam 802.1X. Passe duas a quatro semanas no modo de monitorização, resolva os problemas encontrados e, em seguida, comece a impor as políticas localização por localização. Agora, vamos falar sobre as melhores práticas e as armadilhas que surpreendem as equipas. A causa número um de uma falha de autenticação catastrófica num ambiente 802.1X é um certificado expirado. Ou o certificado do servidor RADIUS expira, ou o certificado da CA raiz expira. Quando isso acontece, todos os dispositivos que validam o certificado do servidor falham a ligação. Implemente uma gestão robusta do ciclo de vida dos certificados. Configure alertas automáticos a noventa dias, sessenta dias e trinta dias antes da expiração. Torne a renovação de certificados uma tarefa operacional agendada, e não uma emergência reativa. O segundo grande desafio é a IoT. Muitos dispositivos - impressoras, câmaras, equipamento médico, sistemas de gestão de edifícios - simplesmente não suportam 802.1X. Para estes, deve utilizar MAC Authentication Bypass, ou MAB. O endereço MAC do dispositivo é utilizado como a sua credencial. Mas lembre-se desta regra: nunca confie no MAC. Os endereços MAC podem ser falsificados de forma trivial. Utilize apenas MAB quando for absolutamente necessário, e coloque sempre esses dispositivos em VLANs isoladas e fortemente restritas com ACLs rigorosas que permitam apenas o tráfego específico de que esses dispositivos precisam para funcionar. O terceiro obstáculo é a configuração incorreta do suplicante. Os dispositivos dos utilizadores finais podem estar configurados para validar o certificado do servidor, mas carecem da CA raiz necessária no seu repositório de confiança. Isto faz com que o dispositivo rejeite o certificado do servidor e falhe a ligação. A solução é utilizar um MDM para enviar perfis de rede sem fios padronizados para todos os dispositivos corporativos, garantindo que a CA raiz correta é fidedigna e que o método EAP correto está configurado. Finalmente, considere o caminho da sua rede. A latência elevada entre o autenticador e o servidor RADIUS pode causar tempos limite de EAP, resultando em ligações falhadas. Para empresas distribuídas com muitos locais remotos, certifique-se de que a sua arquitetura WAN fornece conectividade de baixa latência aos seus serviços AAA centralizados. Passemos para o ROI e impacto empresarial. Porquê passar por todo este esforço? Primeiro, redução dos custos operacionais. A consolidação de múltiplos SSIDs numa única rede 802.1X com atribuição dinâmica de VLAN melhora o desempenho da rede sem fios e reduz a complexidade de gestão. Menos SSIDs significam menos sobrecarga de beacons, mais tempo de antena disponível e melhor rendimento para os seus utilizadores. Segundo, conformidade. Se atua no retalho, a segmentação rigorosa da rede é um requisito do PCI-DSS. Se atua na saúde, é necessária para a HIPAA. As políticas de RADIUS fornecem os controlos verificáveis e auditáveis de que necessita para passar em auditorias de conformidade e evitar penalizações financeiras significativas. Terceiro, experiência do utilizador. A autenticação segura e contínua - particularmente via EAP-TLS ou OpenRoaming - elimina a fricção dos portais cativos para utilizadores corporativos habituais e convidados VIP. Em ambientes de hotelaria e transportes, isto afeta diretamente as pontuações de satisfação e a fidelização dos clientes. Agora, a nossa sessão de perguntas e respostas rápidas. Pergunta: 'Temos muitos dispositivos antigos. Devemos manter o WPA2-PSK por simplicidade?' Resposta: Não. Faça a transição dos seus dispositivos compatíveis para 802.1X e utilize MAB para os dispositivos antigos, colocando-os em segmentos isolados. Uma única PSK comprometida coloca toda a sua rede em risco. Esse não é um compromisso que valha a pena fazer. Pergunta: 'Como é que a Purple se enquadra numa implementação RADIUS?' Resposta: A Purple fornece análises detalhadas sobre tendências de autenticação, duração de sessões e comportamento de roaming, o que é fundamental para otimizar a sua implementação. Além disso, como fornecedor de identidade para OpenRoaming, simplifica o acesso seguro para convidados sem o atrito de um Captive Portal tradicional. Pergunta: 'Qual é a vitória mais rápida para uma equipa que está a iniciar esta jornada?' Resposta: Implemente o RADIUS em modo de monitorização esta semana. Obterá imediatamente visibilidade sobre o seu panorama de autenticação e identificará os dispositivos e utilizadores que precisarão de atenção antes de aplicar as políticas. O conhecimento é o primeiro passo. Em resumo, a configuração de políticas RADIUS para um controlo de acesso à rede detalhado é um investimento estratégico na segurança, desempenho e conformidade da sua rede. Comece com um diretório de identidades limpo e bem estruturado. Aproveite a atribuição dinâmica de VLAN para consolidar os seus SSIDs e otimizar o seu ambiente de RF. Priorize a autenticação baseada em certificados para dispositivos corporativos. Utilize o MAB de forma moderada e segura para IoT. E faça sempre a implementação por fases, começando pelo modo de monitorização. Obrigado por participar neste Briefing Técnico da Purple. Para aceder a guias mais detalhados, estratégias de implementação e para explorar como a plataforma de WiFi para convidados e análise da Purple se pode integrar com a sua arquitetura de controlo de acesso à rede, visite purple dot ai.