Configurar a Autenticação RADIUS para Redes WiFi de Convidados e Funcionários

Resumo Executivo

Nos ambientes empresariais modernos, a segurança das redes sem fios é um requisito operacional crítico. Os métodos de segurança legados, como as chaves pré-partilhadas (PSKs), introduzem vulnerabilidades de segurança significativas. Se um único colaborador deixar uma organização, ou se um convidado comprometer uma palavra-passe partilhada, toda a postura de segurança da rede fica comprometida. Este guia detalha como implementar o Remote Authentication Dial-In User Service (RADIUS) para centralizar o controlo de acessos, aplicar políticas de segurança granulares e segmentar o tráfego de convidados e funcionários.

Ao transitar para uma arquitetura RADIUS centralizada, as organizações podem implementar a autenticação 802.1X para os funcionários - garantindo que cada dispositivo se autentica com credenciais exclusivas e revogáveis - ao mesmo tempo que utilizam Captive Portals seguros e MAC Authentication Bypass (MAB) para utilizadores convidados. Esta referência técnica fornece os planos arquitetónicos, os passos de configuração e as estruturas de resolução de problemas necessários para implementar uma infraestrutura de autenticação WiFi robusta e de nível empresarial.

Aprofundamento Técnico

O Modelo AAA

O RADIUS opera no modelo AAA, que define as fases fundamentais do controlo de acessos:

1. Autenticação: Verificar a identidade do utilizador ou do dispositivo que tenta ligar-se à rede WiFi. Isto é conseguido através de credenciais, certificados digitais ou tokens.
2. Autorização: Determinar o nível de acesso à rede concedido à entidade autenticada. Isto inclui a atribuição de VLANs específicas, a aplicação de Listas de Controlo de Acesso (ACLs) ou a imposição de limites de largura de banda.
3. Contabilização (Accounting): Registar o consumo de recursos de rede, incluindo a duração da sessão, os dados transferidos e as horas de início/fim de sessão. Estes dados são críticos para auditoria, conformidade e planeamento de rede.
4. Auditoria: Rever os dados de contabilização recolhidos para identificar anomalias, falhas de segurança ou violações de políticas.

Componentes da Arquitetura RADIUS

Uma implementação RADIUS empresarial padrão consiste em três componentes principais:

• O Suplicante (Supplicant): O software cliente executado no dispositivo do utilizador (por exemplo, computador portátil, smartphone) que solicita acesso à rede e fornece credenciais ou certificados.
• O Autenticador (Network Access Server / NAS): O dispositivo de rede físico ou virtual - normalmente um Wireless LAN Controller (WLC) ou um ponto de acesso (AP) - que controla o acesso físico à rede. O autenticador não decide se as credenciais são válidas; atua como um proxy, empacotando o pedido de autenticação em pacotes RADIUS e encaminhando-os para o servidor RADIUS.
• O Servidor de Autenticação: O servidor central (como o FreeRADIUS, Cisco ISE, Aruba ClearPass ou o motor RADIUS baseado em nuvem da Purple) que valida as credenciais num repositório de identidades (por exemplo, Active Directory, LDAP ou um fornecedor de identidade na nuvem) e devolve uma mensagem de Aceitação de Acesso (Access-Accept) ou Rejeição de Acesso (Access-Reject) ao autenticador.

Métodos EAP para WiFi de Funcionários

Para redes de funcionários, o Extensible Authentication Protocol (EAP) é utilizado dentro do enquadramento 802.1X para negociar a autenticação. Os dois métodos EAP empresariais mais comuns são:

• PEAP-MSCHAPv2 (PEAP Protegido): Este método estabelece um túnel TLS seguro e encriptado entre o suplicante e o servidor RADIUS utilizando o certificado digital do servidor. Dentro deste túnel seguro, o nome de utilizador e a palavra-passe do utilizador são autenticados através do protocolo MSCHAPv2. Este método é extremamente popular devido à sua facilidade de implementação, uma vez que não exige a instalação de certificados nos dispositivos dos clientes.
• EAP-TLS: O método de autenticação mais seguro disponível. Requer autenticação mútua, o que significa que tanto o servidor RADIUS como o dispositivo cliente devem apresentar certificados digitais válidos. Isto elimina os ataques baseados em palavras-passe, mas exige uma Infraestrutura de Chaves Públicas (PKI) robusta para gerir a distribuição e revogação de certificados.

Fluxo de Autenticação de WiFi de Convidados

As redes de convidados utilizam normalmente um fluxo diferente para equilibrar a segurança com a conveniência do utilizador. Em vez do 802.1X, as redes de convidados utilizam frequentemente um SSID Aberto combinado com um Captive Portal.

Quando um convidado se liga, o Autenticador utiliza o MAC Authentication Bypass (MAB) ou uma política de redirecionamento para enviar o utilizador para um Captive Portal alojado por uma plataforma como a Purple. Assim que o utilizador conclui o processo de registo ou início de sessão no portal, a plataforma do portal comunica com o servidor RADIUS, que envia uma mensagem de Aceitação de Acesso (Access-Accept) para o WLC/AP, autorizando o endereço MAC do convidado para acesso à rede durante a duração de sessão especificada.

Transporte Seguro: RadSec

O tráfego RADIUS tradicional é enviado através de UDP (portas 1812 para autenticação e 1813 para contabilidade) em texto simples, com apenas o campo da palavra-passe do utilizador ofuscado por um segredo partilhado. Isto introduz riscos de segurança ao encaminhar o tráfego de autenticação através de ligações WAN públicas ou da internet.

Para mitigar esta situação, deve ser implementado o RadSec (RADIUS sobre TLS). O RadSec envolve os pacotes RADIUS padrão dentro de um túnel TLS seguro (normalmente utilizando a porta TCP 2083). Isto garante que todos os dados de autenticação e contabilidade, incluindo nomes de utilizador, endereços MAC e atributos de sessão, sejam totalmente encriptados em trânsito entre a rede local e os servidores RADIUS baseados na nuvem.

Guia de Implementação

Passo 1: Definir Clientes RADIUS no Servidor

Antes que qualquer dispositivo de rede possa comunicar com o servidor RADIUS, este deve ser registado como cliente.

1. Inicie sessão na consola de administração do seu servidor RADIUS.
2. Navegue até à secção Clientes ou Dispositivos de Rede.
3. Adicione uma nova entrada de cliente para cada WLC ou AP.
4. Introduza o endereço IP ou a sub-rede do autenticador.
5. Gere um Segredo Partilhado de elevada entropia. Este segredo deve ter pelo menos 22 carateres, contendo uma mistura de letras maiúsculas, letras minúsculas, números e carateres especiais. Evite usar palavras simples de dicionário.

Passo 2: Configurar o Wireless LAN Controller (WLC) / Access Points

Configure o seu hardware sem fios para apontar para o servidor RADIUS para autenticação e faturação (accounting).

1. Inicie sessão na interface de gestão do seu WLC ou AP.
2. Navegue para Segurança > AAA > RADIUS > Autenticação.
3. Adicione um novo Servidor de Autenticação RADIUS:
   • Endereço IP do Servidor: Introduza o endereço IP do seu servidor RADIUS principal.
   • Segredo Partilhado: Introduza exatamente o segredo partilhado configurado no Passo 1.
   • Porta: 1812 (ou 2083 se estiver a usar RadSec).
   • Timeout: Defina para 5 segundos para permitir a latência da rede.
   • Contagem de Tentativas: Defina para 3.
4. Navegue para RADIUS Accounting e adicione uma nova entrada de servidor usando a porta 1813 (ou 2083 para RadSec).
5. Repita estes passos para adicionar um servidor RADIUS secundário (cópia de segurança) para alta disponibilidade.

Passo 3: Configurar o SSID da Equipa (802.1X)

1. Crie um novo SSID com o nome Staff_Enterprise.
2. Defina o Tipo de Segurança para WPA3-Enterprise (ou modo de transição WPA2/WPA3-Enterprise se for necessário suporte para dispositivos legados).
3. Selecione 802.1X como o protocolo de gestão de chaves.
4. Associe o SSID aos servidores de autenticação e accounting RADIUS configurados no Passo 2.
5. Mapeie o SSID para a VLAN segura da equipa (por exemplo, VLAN 10).

Passo 4: Configurar o SSID de Convidados com Captive Portal

1. Crie um novo SSID com o nome Guest_WiFi.
2. Defina o Tipo de Segurança para Aberto (ou Aberto Altamente Seguro / OWE para encriptação sem fios oportunista).
3. Ative a Filtragem MAC ou Autenticação MAC e aponte-a para o servidor RADIUS.
4. Ative o redirecionamento do Captive Portal / Portal Web.
5. Configure o URL de redirecionamento para apontar para a página de início de sessão do Captive Portal da Purple.
6. Configure o Walled Garden (ACLs de Pré-Autenticação) para permitir o tráfego para o domínio do Captive Portal, servidores DNS e ativos CDN necessários antes de a autenticação estar concluída.
7. Mapeie o SSID para uma VLAN de Convidados isolada (por exemplo, VLAN 20).

Melhores Práticas

Alta Disponibilidade e Redundância

Implemente sempre servidores RADIUS em pares redundantes (principal e secundário). Garanta que estes servidores estão localizados em hardware físico diferente ou em diferentes zonas de disponibilidade na nuvem. Configure os seus WLCs para fazer failover de forma controlada para o servidor secundário caso o servidor principal deixe de responder. Implemente o balanceamento de carga onde for apropriado para distribuir o tráfego de autenticação uniformemente.

Gestão de Certificados

Para implementações PEAP e EAP-TLS, a validade e a confiança do certificado do servidor RADIUS são primordiais.

• Utilize um certificado emitido por uma Autoridade de Certificação (CA) Pública fidedigna para portais de convidados e implementações PEAP para evitar avisos de segurança de certificados nos dispositivos dos utilizadores.
• Para EAP-TLS, estabeleça uma CA Privada interna dedicada para emitir e gerir certificados de cliente e servidor.
• Monitorize atentamente as datas de expiração dos certificados e implemente processos de renovação automatizados (como SCEP ou ACME) para evitar falhas repentinas de autenticação em toda a rede.

Segmentação de VLAN

Segmente rigorosamente o tráfego da sua rede utilizando VLANs. O tráfego de convidados deve ser completamente isolado dos recursos corporativos. Implemente regras de firewall no switch central ou gateway para impedir o encaminhamento inter-VLAN entre a VLAN de Convidados e as VLANs de Colaboradores/Gestão. Permita apenas que o tráfego de convidados seja encaminhado diretamente para a internet.

Limite de Tempo de Sessão e Intervalos de Contabilidade

Configure limites de tempo de sessão adequados para evitar que sessões inativas consumam endereços IP e recursos de rede.

• Para redes de colaboradores, defina um limite de tempo de sessão de 8 a 12 horas, alinhando-se com um turno de trabalho padrão.
• Para redes de convidados, defina um limite de tempo de sessão mais curto, de 2 a 4 horas.
• Configure o intervalo de atualização intermédia de contabilidade RADIUS para 10 ou 15 minutos. Isto garante que o servidor RADIUS recebe atualizações regulares sobre a conectividade do dispositivo e a utilização de dados sem sobrecarregar o servidor com pacotes de contabilidade.

Resolução de Problemas e Mitigação de Riscos

Modos de Falha Comuns e Soluções

1. Incompatibilidade de Segredo Partilhado

• Sintoma: Os registos do WLC mostram "Servidor RADIUS não responde" e os registos do servidor RADIUS mostram "Pacote rejeitado - autenticador inválido" ou "Autenticador incorreto no pedido".
• Causa Raiz: O segredo partilhado configurado no WLC não corresponde ao segredo partilhado configurado no servidor RADIUS.
• Mitigação: Introduza novamente o segredo partilhado em ambos os dispositivos, garantindo que não são copiados espaços no final ou carateres ocultos.

2. Problemas de Confiança de Certificados

• Sintoma: Os dispositivos clientes não conseguem ligar ao SSID de Colaboradores, exibindo erros como "Certificado de Servidor Não Fidedigno" ou "Ligação Rejeitada".
• Causa Raiz: O dispositivo cliente não confia na CA que assinou o certificado do servidor RADIUS, ou o certificado expirou.
• Mitigação: Certifique-se de que os certificados de CA raiz e intermédia estão instalados no repositório de raiz fidedigno do dispositivo cliente. Para dispositivos geridos pela empresa, envie estes certificados através de MDM ou Diretiva de Grupo.

3. Bloqueios de Firewall

• Sintoma: O servidor RADIUS não recebe nenhum tráfego do WLC, embora o encaminhamento esteja verificado.
• Causa Raiz: Firewalls intermédias estão a bloquear as portas UDP 1812 e 1813.
• Mitigação: Crie regras de firewall explícitas para permitir UDP 1812 e 1813 (ou TCP 2083 para RadSec) entre o IP de gestão do WLC e o IP do servidor RADIUS.

4. Limites de Tempo Induzidos por Latência

• Sintoma: Falhas de autenticação intermitentes, particularmente durante as horas de ponta ou ao utilizar servidores RADIUS baseados na nuvem.
• Causa Raiz: A latência de rede excede o limite de tempo de espera (timeout) de RADIUS do WLC, fazendo com que o WLC assuma que o servidor está offline.
• Mitigação: Aumente a definição de timeout de RADIUS do WLC do valor predefinido (normalmente 2 segundos) para 5 ou 7 segundos. Otimize o encaminhamento de WAN ou implemente proxies RADIUS locais para colocar pedidos de autenticação em cache.

Retorno do Investimento (ROI) e Impacto no Negócio

A transição para um modelo de autenticação RADIUS centralizado proporciona um valor comercial mensurável em várias áreas-chave:

• Redução de Custos Operacionais: Elimina o esforço manual necessário para alterar periodicamente as palavras-passe partilhadas de WiFi quando os colaboradores saem da organização. As contas de utilizador podem ser desativadas instantaneamente no Active Directory ou no seu fornecedor de identidade, revogando imediatamente o seu acesso à rede.
• Melhoria da Postura de Segurança: Mitiga o risco de violações de dados causadas por roubo de credenciais ou acesso não autorizado à rede. Ao impor a autenticação 802.1X e baseada em certificados, as organizações garantem que apenas dispositivos autorizados e em conformidade podem aceder a recursos corporativos confidenciais.
• Otimização das Operações do Espaço: Ao integrar o WiFi de convidados com a plataforma cloud RADIUS da Purple, os operadores do espaço recolhem dados demográficos e comportamentais valiosos. Estes dados podem ser utilizados para desenhar campanhas de marketing direcionadas, melhorar o envolvimento dos visitantes e otimizar a utilização do espaço físico com base em análises de fluxo de pessoas.
• Conformidade Regulamentar: Os registos centralizados de contabilidade (accounting) do RADIUS fornecem uma pista de auditoria do acesso à rede, ajudando as organizações a cumprir os requisitos de conformidade para normas como PCI-DSS, ISO 27001 e GDPR.