O que é Cloud RADIUS? Um Guia Completo para RADIUS-as-a-Service

O que é Cloud RADIUS? Um Guia Completo para o RADIUS-as-a-Service. Bem-vindo ao Purple WiFi Intelligence Podcast. Sou o vosso anfitrião e hoje vamos fazer uma análise aprofundada sobre o Cloud RADIUS - o que é, como funciona nos bastidores e, fundamentalmente, como avaliar se é a decisão certa para a sua organização este trimestre. Quer gira um grupo hoteleiro, uma rede de retalho, um estádio ou uma rede do setor público, este episódio é para si. Vamos contextualizar. Introdução e Contexto. Se alguma vez teve de explicar a uma administração por que razão o seu servidor de autenticação de rede falhou às 2h da manhã - e por que demorou três horas a ser restabelecido - já compreende o problema central que o Cloud RADIUS resolve. A infraestrutura tradicional de RADIUS local é poderosa, mas acarreta custos operacionais significativos. Hardware para adquirir, ciclos de patches para gerir, redundância para estruturar manualmente e um ponto único de falha localizado na sua sala de servidores. O Cloud RADIUS, ou RADIUS-as-a-Service, move essa camada de autenticação para um ambiente de nuvem gerido e altamente disponível. O protocolo em si - Remote Authentication Dial-In User Service - não mudou. Continua a ser a espinha dorsal do controlo de acesso à rede IEEE 802.1X, o mecanismo que os seus pontos de acesso utilizam para validar quem entra na sua rede. Mas a infraestrutura que o executa é agora responsabilidade de outra pessoa. E na TI empresarial, esta é uma mudança significativa. Vamos então entrar nos detalhes técnicos. Análise Técnica Aprofundada. O RADIUS foi originalmente definido no RFC 2865, publicado em 2000, e tem-se mantido incrivelmente durável. O protocolo funciona num modelo cliente-servidor. O seu dispositivo de acesso à rede - seja um ponto de acesso WiFi, um concentrador de VPN ou um switch com fios - atua como o cliente RADIUS, também chamado de Network Access Server ou NAS. Quando um utilizador tenta ligar-se, o NAS encaminha um pacote Access-Request para o servidor RADIUS, que valida as credenciais num diretório de utilizadores - normalmente Active Directory, LDAP ou um fornecedor de identidade na nuvem - e devolve um Access-Accept ou um Access-Reject. Essa é a troca central. Mas a verdadeira complexidade reside no que acontece em seu redor: métodos EAP, atribuição de VLAN, aplicação de políticas, registos de contabilidade e gestão de certificados. Numa implementação local tradicional, executa o FreeRADIUS ou o Microsoft NPS em hardware dedicado, gerindo os seus próprios certificados, configurando a sua própria tolerância a falhas e mantendo a sincronização da sua própria base de dados de utilizadores. Para uma implementação num único local com uma equipa de TI competente, isso é gerível. Para uma rede de retalho de 50 localizações ou um grupo hoteleiro com propriedades em vários países, torna-se um fardo operacional significativo.O Cloud RADIUS abstrai tudo isso. A lógica de autenticação, a infraestrutura de certificados, a redundância e o motor de políticas são fornecidos como um serviço gerido. Os seus pontos de acesso apontam para endpoints RADIUS alojados na nuvem - normalmente um endereço IP principal e secundário - e o serviço trata de tudo o resto por trás disso. Agora, falemos sobre os métodos de autenticação, porque é aqui que as decisões técnicas realmente importam. O método EAP mais comum em redes WiFi empresariais é o PEAP - Protected EAP - que cria um túnel MSCHAPv2 dentro de uma sessão TLS. É amplamente suportado, funciona nativamente com o Active Directory e é o padrão para a maioria dos dispositivos Windows e Android. No entanto, o PEAP tem vulnerabilidades conhecidas, especialmente em relação à validação de certificados. Se os seus dispositivos cliente não estiverem configurados para verificar o certificado do servidor, estará exposto a ataques de roubo de credenciais através de pontos de acesso falsos. O EAP-TLS é o padrão de ouro. Utiliza autenticação mútua de certificados - tanto o servidor como o cliente apresentam certificados - o que elimina completamente a superfície de ataque a palavras-passe. O reverso da medalha é a implementação de certificados de cliente, que requer uma infraestrutura PKI e integração com MDM. Para frotas de dispositivos geridos, esta é absolutamente a escolha certa. Para ambientes BYOD, é mais complexo. O EAP-TTLS e o EAP-FAST também merecem destaque. O TTLS é particularmente comum em ambientes onde precisa de suportar uma vasta gama de dispositivos cliente, incluindo sistemas Linux. O EAP-FAST foi desenvolvido pela Cisco como uma alternativa ao PEAP que evita a dependência da validação de certificados, utilizando Protected Access Credentials em seu lugar. Um serviço Cloud RADIUS bem estruturado suporta todos estes métodos e permite-lhe configurar políticas por SSID - para que o seu SSID corporativo utilize EAP-TLS com validação de certificados, o SSID dos colaboradores utilize PEAP com Active Directory e a sua rede de convidados utilize um Captive Portal ou fluxo de login social totalmente separado do ecossistema RADIUS. Por falar nisso - o RADIUS e o WiFi de convidados são frequentemente confundidos, mas servem propósitos diferentes. O RADIUS é a sua camada de autenticação e autorização para utilizadores e dispositivos conhecidos. O WiFi de convidados utiliza tipicamente um fluxo de Captive Portal, que é um mecanismo totalmente diferente. A plataforma da Purple, por exemplo, lida com a autenticação de convidados através de uma camada de identidade separada, capturando dados primários e permitindo a automação de marketing, enquanto o RADIUS lida com o controlo de acesso à rede corporativa e de colaboradores. Estes são sistemas complementares e não concorrentes. Agora, vamos falar sobre o que "alojado na nuvem" significa realmente na prática. Um serviço Cloud RADIUS corretamente arquitetado corre em várias zonas de disponibilidade, com failover automático. Os pedidos de autenticação são equilibrados em termos de carga entre nós, e o serviço mantém tempos de resposta inferiores a 100 milissegundos, mesmo sob carga máxima. Para um estádio que lida com 40.000 ligações simultâneas durante um evento, esse perfil de latência e taxa de transferência é crítico. Um único servidor local simplesmente não consegue igualar essa elasticidade. Do ponto de vista da conformidade, os fornecedores de Cloud RADIUS que operam no Reino Unido e na UE precisam de estar em conformidade com o GDPR na forma como gerem os registos de autenticação e os dados dos utilizadores. Para ambientes de retalho e hotelaria que também processam dados de cartões de pagamento, os requisitos de PCI-DSS relativos à segmentação de rede e controlo de acessos são diretamente relevantes - o RADIUS faz parte do seu ambiente de controlo e o seu QSA quererá ver provas de uma configuração correta e de registo de auditoria. O WPA3 também merece atenção. A transição do WPA2 para o WPA3 introduz a Autenticação Simultânea de Iguais - SAE - para redes pessoais, e o WPA3-Enterprise para ambientes corporativos. O WPA3-Enterprise impõe o modo de segurança de 192 bits para a classificação mais elevada, o que requer métodos EAP e conjuntos de cifras específicos. Um serviço Cloud RADIUS precisa de suportar estas configurações para estar preparado para o futuro. Recomendações de Implementação e Erros Comuns. Certo, vamos passar à prática. Se estiver a avaliar o Cloud RADIUS para implementação este trimestre, eis em que me focaria. Primeiro, a integração com o seu fornecedor de identidade. O seu serviço Cloud RADIUS precisa de sincronizar com o local onde os seus utilizadores realmente residem - seja o Microsoft Entra ID, anteriormente Azure AD, o Google Workspace, o Okta ou um Active Directory local através de proxy LDAP. A qualidade desta integração determina a sua sobrecarga operacional. O aprovisionamento nativo via SAML ou SCIM é muito preferível a importações manuais de CSV. Segundo, a gestão de certificados. Se estiver a implementar EAP-TLS, precisa de uma resposta clara sobre como os certificados de cliente são emitidos, renovados e revogados. Os melhores serviços Cloud RADIUS incluem uma PKI integrada ou integram-se perfeitamente com a sua autoridade de certificação existente. A expiração de certificados é uma das causas mais comuns de falhas de autenticação em WiFi empresarial - é totalmente evitável com a automação adequada. Terceiro, a compatibilidade de dispositivos de rede. Os seus pontos de acesso precisam de suportar a autenticação RADIUS - virtualmente todos os AP de classe empresarial o fazem - mas precisa de verificar os métodos EAP específicos e os atributos RADIUS que o serviço escolhido suporta face à implementação do seu fabricante de AP. A Cisco, a Aruba, a Juniper Mist e a Ruckus têm todas as suas próprias nuances na forma como gerem os atributos RADIUS e as mensagens de CoA - Change of Authorisation.Quarto, configuração de redundância. Configure sempre um IP de servidor RADIUS principal e um secundário. O tempo limite de failover nos seus dispositivos NAS é importante - se estiver configurado para um valor muito alto, os utilizadores terão um atraso de autenticação de 30 segundos quando o principal estiver inacessível. Um tempo limite de 3 a 5 segundos com failover imediato é a configuração correta para a maioria dos ambientes. Quinto - e este é o que as pessoas esquecem - a monitorização (accounting). Os registos de accounting RADIUS são a sua pista de auditoria. Eles dizem-lhe quem se ligou, a partir de que dispositivo, a que horas e por quanto tempo. Para fins de conformidade, especialmente em ambientes de saúde e do setor público, estes registos precisam de ser retidos e estar acessíveis. Certifique-se de que o seu fornecedor de Cloud RADIUS lhe dá acesso aos dados de accounting, e não apenas aos registos de autenticação. Erros comuns: complexidade do segredo partilhado. O seu segredo partilhado RADIUS - a chave pré-partilhada entre o seu NAS e o servidor RADIUS - precisa de ser longo e aleatório. Segredos partilhados curtos ou fáceis de adivinhar são um vetor de ataque real. Utilize pelo menos 32 caracteres, gerados aleatoriamente, e rode-os de forma programada. Tenha também atenção à colocação de IPs em lista de permissões. Muitos serviços Cloud RADIUS exigem que coloque os IPs de origem dos seus dispositivos NAS numa lista de permissões. Num ambiente de nuvem dinâmico onde a sua plataforma de gestão de APs possa usar NAT, isto pode causar falhas de autenticação inesperadas. Confirme o comportamento de NAT da sua rede antes da implementação. Perguntas e Respostas Rápidas. Deixe-me passar por algumas perguntas que me fazem regularmente. O Cloud RADIUS pode suportar ambientes multi-tenant? Sim - a maioria dos serviços Cloud RADIUS empresariais suporta o isolamento de inquilinos, pelo que um fornecedor de serviços geridos pode executar políticas RADIUS separadas para múltiplos clientes a partir de uma única plataforma. Qual é a latência típica para uma autenticação Cloud RADIUS? Inferior a 100 milissegundos para um serviço bem estruturado. O próprio handshake 802.1X adiciona alguma sobrecarga, mas para a maioria dos métodos EAP, o tempo total de autenticação deve ser inferior a 500 milissegundos de ponta a ponta. O Cloud RADIUS funciona com o OpenRoaming? Sim. O OpenRoaming - a estrutura de roaming da Wireless Broadband Alliance - utiliza a federação RADIUS no seu núcleo. Um serviço Cloud RADIUS que suporte Hotspot 2.0 e OpenRoaming permite que os seus utilizadores se autentiquem automaticamente em redes participantes a nível global. A Purple suporta o OpenRoaming sob a sua licença Connect, agindo como um fornecedor de identidade na federação. O Cloud RADIUS é adequado para ambientes de alta segurança? Para a maioria dos ambientes empresariais, sim. Para ambientes com dados classificados ou classificações de segurança governamentais específicas, poderá ter de avaliar se um serviço de nuvem gerido cumpre os seus requisitos de acreditação específicos. Resumo e Próximos Passos. Para resumir: o Cloud RADIUS é uma abordagem madura e pronta para produção no controlo de acessos à rede que remove a sobrecarga operacional da infraestrutura RADIUS local sem comprometer a segurança ou a capacidade. Para organizações com vários locais, o caso de ROI é simples - elimina o capex de hardware, reduz os custos indiretos de TI, obtém redundância integrada e consegue um serviço que se adapta à escala da sua propriedade. As principais decisões são: qual o método EAP adequado para a sua frota de dispositivos, como se integra com o seu fornecedor de identidade existente e se o serviço escolhido lhe oferece as capacidades de conformidade e auditoria que a sua organização exige. Se gere um grupo hoteleiro, uma cadeia de retalho ou administra redes do setor público, recomendo começar com uma prova de conceito num único local - configure corretamente o seu RADIUS, valide a integração com o seu fornecedor de identidade e meça a latência de autenticação antes de implementar em toda a sua propriedade. Para saber mais sobre WiFi analytics, gestão de redes de convidados e como a plataforma da Purple se integra com a autenticação baseada em RADIUS, visite purple.ai. Obrigado por ouvir.