Configuring RADIUS Authentication for Guest and Staff WiFi Networks

Resumo Executivo

Nos ambientes empresariais modernos, a segurança das redes sem fios é um requisito operacional crítico. Os métodos de segurança legados, como as chaves pré-partilhadas (PSKs) comuns, introduzem vulnerabilidades de segurança significativas. Se um único colaborador deixar uma organização, ou se um convidado comprometer uma palavra-passe partilhada, toda a postura de segurança da rede é comprometida. Este guia detalha como implementar o Remote Authentication Dial-In User Service (RADIUS) para centralizar o controlo de acessos, aplicar políticas de segurança granulares e segmentar o tráfego de convidados e funcionários.

Ao transitar para uma arquitetura RADIUS centralizada, as organizações podem implementar a autenticação 802.1X para os funcionários - garantindo que cada dispositivo se autentica com credenciais únicas e revogáveis - enquanto utilizam Captive Portals seguros e o MAC Authentication Bypass (MAB) para utilizadores convidados. Esta referência técnica fornece os planos arquitetónicos, os passos de configuração e as estruturas de resolução de problemas necessários para implementar uma infraestrutura de autenticação WiFi resiliente e de classe empresarial.

Aprofundamento Técnico

O Modelo AAA

O RADIUS opera no modelo AAA, que define as fases principais do controlo de acessos:

1. Autenticação: Verificar a identidade do utilizador ou dispositivo que tenta ligar-se à rede WiFi. Isto é conseguido através de credenciais, certificados digitais ou tokens.
2. Autorização: Determinar o nível de acesso à rede concedido à entidade autenticada. Isto inclui a atribuição de VLANs específicas, a aplicação de Listas de Controlo de Acesso (ACLs) ou a imposição de limites de largura de banda.
3. Contabilização: Registar o consumo de recursos de rede, incluindo a duração da sessão, dados transferidos e horas de início/fim de sessão. Estes dados são críticos para auditoria, conformidade e planeamento de rede.
4. Auditoria: Rever os dados de contabilização recolhidos para identificar anomalias, violações de segurança ou infrações de políticas.

Componentes da Arquitetura RADIUS

Uma implementação RADIUS empresarial padrão consiste em três componentes principais:

• O Suplicante: O software cliente executado no dispositivo do utilizador (por exemplo, portátil, smartphone) que solicita acesso à rede e fornece credenciais ou certificados.
• O Autenticador (Network Access Server / NAS): O dispositivo de rede físico ou virtual - normalmente um Wireless LAN Controller (WLC) ou um Access Point (AP) - que controla o acesso físico à rede. O autenticador não decide se as credenciais são válidas; atua como um proxy, empacotando o pedido de autenticação em pacotes RADIUS e encaminhando-os para o servidor RADIUS.
• O Servidor de Autenticação: O servidor central (como o FreeRADIUS, Cisco ISE, Aruba ClearPass ou o motor RADIUS baseado na nuvem da Purple) que valida as credenciais em relação a um diretório de identidades (por exemplo, Active Directory, LDAP ou um fornecedor de identidade na nuvem) e devolve uma mensagem de Access-Accept ou Access-Reject ao autenticador.

Métodos EAP para WiFi de Funcionários

Para redes de colaboradores, o Extensible Authentication Protocol (EAP) é utilizado dentro da estrutura 802.1X para negociar a autenticação. Os dois métodos EAP empresariais mais comuns são:

• PEAP-MSCHAPv2 (Protected EAP): Este método estabelece um túnel TLS seguro e encriptado entre o suplicante e o servidor RADIUS usando o certificado digital do servidor. Dentro deste túnel seguro, o nome de utilizador e a palavra-passe do utilizador são autenticados usando o protocolo MSCHAPv2. Este método é extremamente popular devido à sua facilidade de implementação, uma vez que não exige a instalação de certificados nos dispositivos dos clientes.
• EAP-TLS: O método de autenticação mais seguro disponível. Exige autenticação mútua, o que significa que tanto o servidor RADIUS como o dispositivo do cliente devem apresentar certificados digitais válidos. Isto elimina os ataques baseados em palavras-passe, mas requer uma Infraestrutura de Chaves Públicas (PKI) robusta para gerir a distribuição e a revogação de certificados.

Fluxo de Autenticação de WiFi para Convidados

As redes de convidados utilizam normalmente um fluxo diferente para equilibrar a segurança com a conveniência do utilizador. Em vez do 802.1X, as redes de convidados utilizam frequentemente um SSID aberto combinado com um Captive Portal.

Quando um convidado se liga, o Autenticador utiliza o MAC Authentication Bypass (MAB) ou uma política de redirecionamento para enviar o utilizador para um captive portal alojado por uma plataforma como a Purple. Assim que o utilizador conclui o processo de registo ou início de sessão no portal, a plataforma do portal comunica com o servidor RADIUS, que envia uma mensagem Access-Accept para o WLC/AP, autorizando o endereço MAC do convidado para acesso à rede por uma duração de sessão especificada.

Transporte Seguro: RadSec

O tráfego RADIUS tradicional é enviado através de UDP (portas 1812 para autenticação e 1813 para contabilização) em texto simples, com apenas o campo de palavra-passe do utilizador ofuscado utilizando um segredo partilhado. Isto introduz riscos de segurança ao encaminhar o tráfego de autenticação através de ligações WAN públicas ou da internet.

Para mitigar esta situação, deve ser implementado o RadSec (RADIUS sobre TLS). O RadSec envolve pacotes RADIUS padrão dentro de um túnel TLS seguro (normalmente utilizando a porta TCP 2083). Isto garante que todos os dados de autenticação e contabilização, incluindo nomes de utilizador, endereços MAC e atributos de sessão, sejam totalmente encriptados em trânsito entre a rede local e os servidores RADIUS baseados na nuvem.

Guia de Implementação

Passo 1: Definir Clientes RADIUS no Servidor

Antes que qualquer dispositivo de rede possa comunicar com o servidor RADIUS, deve ser registado como um cliente.

1. Inicie sessão na consola de administração do seu servidor RADIUS.
2. Navegue até à secção Clientes ou Dispositivos de Rede.
3. Adicione uma nova entrada de cliente para cada WLC ou AP.
4. Introduza o endereço IP ou a sub-rede do autenticador.
5. Gere um Segredo Partilhado de elevada entropia. Este segredo deve ter pelo menos 22 carateres, contendo uma mistura de letras maiúsculas, letras minúsculas, números e carateres especiais. Evite utilizar palavras simples do dicionário.

Passo 2: Configurar o Wireless LAN Controller (WLC) / Access Points

Configure o seu hardware sem fios para apontar para o servidor RADIUS para autenticação e contabilidade.

1. Inicie sessão na interface de gestão do seu WLC ou AP.
2. Navegue para Security > AAA > RADIUS > Authentication.
3. Adicione um novo Servidor de Autenticação RADIUS:
   • Server IP Address: Introduza o endereço IP do seu servidor RADIUS primário.
   • Shared Secret: Introduza o segredo partilhado exato configurado no Passo 1.
   • Port: 1812 (ou 2083 se estiver a utilizar RadSec).
   • Timeout: Defina para 5 segundos para permitir a latência da rede.
   • Retry Count: Defina para 3.
4. Navegue para RADIUS Accounting e adicione uma nova entrada de servidor utilizando a porta 1813 (ou 2083 para RadSec).
5. Repita estes passos para adicionar um servidor RADIUS secundário (de cópia de segurança) para alta disponibilidade.

Passo 3: Configurar o SSID do Pessoal (802.1X)

1. Crie um novo SSID com o nome Staff_Enterprise.
2. Defina o Tipo de Segurança para WPA3-Enterprise (ou modo de transição WPA2/WPA3-Enterprise se for necessário suporte para dispositivos legados).
3. Selecione 802.1X como o protocolo de gestão de chaves.
4. Associe o SSID aos servidores de autenticação e contabilidade RADIUS configurados no Passo 2.
5. Mapeie o SSID para a VLAN segura do pessoal (por exemplo, VLAN 10).

Passo 4: Configurar o SSID de Convidados com Captive Portal

1. Crie um novo SSID com o nome Guest_WiFi.
2. Defina o Tipo de Segurança para Open (ou Enhanced Open / OWE para encriptação sem fios oportunista).
3. Ative a Filtragem MAC ou Autenticação MAC e aponte-a para o servidor RADIUS.
4. Ative o redirecionamento do Captive Portal / Web Portal.
5. Configure o URL de redirecionamento para apontar para a página de início de sessão do Captive Portal da Purple.
6. Configure o Walled Garden (ACLs de Pré-Autenticação) para permitir o tráfego para o domínio do Captive Portal, servidores DNS e recursos CDN necessários antes de a autenticação estar concluída.
7. Mapeie o SSID para uma VLAN de Convidados isolada (por exemplo, VLAN 20).

Melhores Práticas

Alta Disponibilidade e Redundância

Implemente sempre servidores RADIUS em pares redundantes (primário e secundário). Certifique-se de que estes servidores estão localizados em hardware físico diferente ou em diferentes zonas de disponibilidade na nuvem. Configure os seus WLCs para fazer failover de forma controlada para o servidor secundário se o servidor primário deixar de responder. Implemente o balanceamento de carga onde for apropriado para distribuir o tráfego de autenticação de forma uniforme.

Gestão de Certificados

Para implementações PEAP e EAP-TLS, a validade e a confiança do certificado do servidor RADIUS são primordiais.

• Utilize um certificado emitido por uma Autoridade de Certificação (CA) Pública fidedigna para portais de convidados e implementações PEAP para evitar avisos de certificado nos dispositivos dos utilizadores.
• Para EAP-TLS, estabeleça uma CA Privada interna dedicada para emitir e gerir certificados de cliente e servidor.
• Monitorize de perto as datas de expiração dos certificados e implemente processos de renovação automatizados (como SCEP ou ACME) para evitar falhas repentinas de autenticação em toda a rede.

Segmentação de VLAN

Segmente rigorosamente o tráfego da sua rede utilizando VLANs. O tráfego de convidados deve ser completamente isolado dos recursos corporativos. Implemente regras de firewall no switch principal ou gateway para impedir o encaminhamento inter-VLAN entre a Guest VLAN e as Staff/Management VLANs. Permita apenas que o tráfego de convidados seja encaminhado diretamente para a internet.

Limites de Tempo de Sessão e Intervalos de Contabilidade

Configure limites de tempo de sessão (session timeouts) adequados para evitar que sessões inativas consumam endereços IP e recursos de rede.

• Para redes de funcionários, defina um limite de tempo de sessão de 8 a 12 horas, alinhando-se com um turno de trabalho padrão.
• Para redes de convidados, defina um limite de tempo de sessão mais curto, de 2 a 4 horas.
• Configure o intervalo de atualização provisória (interim-update) de contabilidade RADIUS para 10 ou 15 minutos. Isto garante que o servidor RADIUS receba atualizações regulares sobre a conectividade do dispositivo e a utilização de dados, sem sobrecarregar o servidor com pacotes de contabilidade.

Resolução de Problemas e Mitigação de Riscos

Modos de Falha Comuns e Soluções

1. Divergência de Segredo Partilhado (Shared Secret)

• Sintoma: Os registos do WLC mostram "servidor RADIUS não está a responder" e os registos do servidor RADIUS mostram "Pacote rejeitado - autenticador inválido" ou "Autenticador incorreto no pedido."
• Causa Raiz: O segredo partilhado configurado no WLC não corresponde ao segredo partilhado configurado no servidor RADIUS.
• Mitigação: Introduza novamente o segredo partilhado em ambos os dispositivos, garantindo que não são copiados espaços finais ou caracteres ocultos.

2. Problemas de Confiança de Certificados

• Sintoma: Os dispositivos dos clientes não conseguem ligar-se ao SSID de funcionários, apresentando erros como "Certificado de Servidor Não Confiável" ou "Ligação Rejeitada."
• Causa Raiz: O dispositivo do cliente não confia na AC que assinou o certificado do servidor RADIUS, ou o certificado expirou.
• Mitigação: Garanta que os certificados de AC raiz e intermédia estão instalados no repositório de raiz confiável do dispositivo do cliente. Para dispositivos geridos pela empresa, distribua estes certificados através de MDM ou Política de Grupo.

3. Bloqueios de Firewall

• Sintoma: Nenhum tráfego é recebido pelo servidor RADIUS a partir do WLC, embora o encaminhamento seja verificado.
• Causa Raiz: As firewalls intermédias estão a bloquear as portas UDP 1812 e 1813.
• Mitigação: Crie regras de firewall explícitas para permitir UDP 1812 e 1813 (ou TCP 2083 para RadSec) entre o IP de gestão do WLC e o IP do servidor RADIUS.

4. Limites de Tempo Induzidos por Latência

• Sintoma: Falhas de autenticação intermitentes, particularmente durante as horas de ponta ou ao utilizar servidores RADIUS baseados na nuvem.
• Causa Raiz: A latência da rede excede o limiar de tempo limite de RADIUS do WLC, fazendo com que o WLC assuma que o servidor está offline.
• Mitigação: Aumente a definição de tempo limite de RADIUS do WLC do valor predefinido (normalmente 2 segundos) para 5 ou 7 segundos. Otimize o encaminhamento WAN ou implemente proxies RADIUS locais para colocar pedidos de autenticação em cache.

ROI e Impacto no Negócio

A transição para um modelo de autenticação RADIUS centralizado proporciona um valor comercial mensurável em várias áreas fundamentais:

• Redução da Sobrecarga Operacional: Elimina o esforço manual necessário para rodar palavras-passe de WiFi partilhadas quando os funcionários saem da organização. As contas de utilizador podem ser desativadas instantaneamente no Active Directory ou no seu fornecedor de identidade, revogando imediatamente o seu acesso à rede.
• Postura de Segurança Reforçada: Mitiga o risco de violações de dados causadas por roubo de credenciais ou acesso não autorizado à rede. Ao impor o 802.1X e a autenticação baseada em certificados, as organizações garantem que apenas dispositivos autorizados e em conformidade podem aceder a recursos corporativos confidenciais.
• Operações de Espaço Otimizadas: Ao integrar o WiFi de convidados com a plataforma RADIUS na nuvem da Purple, os operadores do espaço capturam dados demográficos e comportamentais valiosos. Estes dados podem ser utilizados para conceber campanhas de marketing direcionadas, melhorar o envolvimento dos visitantes e otimizar a utilização do espaço físico com base em análises de afluência.
• Conformidade Regulamentar: Os registos de contabilidade RADIUS centralizados fornecem um registo de auditoria de acesso à rede, ajudando as organizações a cumprir os requisitos de conformidade para normas como PCI-DSS, ISO 27001 e GDPR.