Autenticação de máquinas em Wi-Fi corporativo com NPS e Active Directory

Contexto

A unidade é uma planta industrial de uma organização com várias fábricas e centros de distribuição. O Wi-Fi corporativo atendia estações de trabalho, notebooks e equipamentos de operação (impressoras, coletores de dados e câmeras) e usava uma senha compartilhada no SSID corporativo.

Isso permitia que celulares e tablets pessoais acessassem a rede sempre que a senha era reutilizada fora das estações corporativas.

• Escala: dezenas de access points cobrindo toda a planta produtiva.
• Restrição de rede: o enlace com a sede tinha limitação de MTU, o que desaconselhava autenticar através dele.
• Restrição operacional: impressoras, coletores e câmeras não podiam parar durante a migração.
• Pré-requisito: o ciclo de vida do certificado do servidor de autenticação foi verificado antes da migração.

Problema

O objetivo era impedir o acesso de dispositivos não pertencentes ao domínio, sem exigir intervenção manual do usuário e sem interromper o funcionamento de impressoras, coletores, câmeras e demais equipamentos existentes.

Meu papel

Atuei como analista de infraestrutura responsável pela implantação. Responsabilidades:

• levantamento dos dispositivos conectados ao SSID;
• desenho da política de autenticação;
• configuração do NPS e verificação do certificado;
• cadastro dos access points como clientes RADIUS;
• criação das GPOs de perfil sem fio;
• execução do piloto;
• validação pelos logs de autenticação;
• documentação e plano de rollback.

Resultado

Resultado observado

• todos os access points da unidade migrados;
• dispositivos pessoais bloqueados pelo servidor de autenticação, sem intervenção manual;
• nenhum rollback após a migração completa;
• autenticação monitorada pelos logs, com cada tentativa aceita ou negada registrada.

Não foram publicados indicadores de disponibilidade ou de redução de incidentes porque esses dados pertencem ao ambiente corporativo.

O que este caso demonstra

• Desenho de autenticação de rede
• Windows NPS e Active Directory
• Análise de restrições de MTU e VPN
• Implantação gradual com rollback
• Análise de segurança (Blast-RADIUS)
• Documentação técnica
• Comunicação de decisões arquiteturais

Decisões técnicas

1. Autenticar a máquina, não a pessoa

A autenticação baseada em conta de máquina foi escolhida porque celulares e tablets não possuem uma conta de computador no Active Directory. No PEAP-MSCHAPv2, um túnel TLS externo protege a credencial enviada dentro dele; com a condição de grupo de computadores no NPS, a única credencial aceita é a da conta de máquina, cuja senha fica armazenada na própria estação e nunca é conhecida pelo usuário. Saber a senha de um funcionário deixa de ser suficiente.

2. NPS local, e não na sede

O fluxo RADIUS utiliza UDP e, com um servidor central, atravessaria um enlace com restrição de MTU. As mensagens EAP carregam a cadeia de certificados do servidor e geram pacotes grandes; somado ao overhead do túnel, esse tamanho provocava problemas de transmissão e de autenticação. Manter o servidor de autenticação na própria unidade eliminou esse trecho do caminho.

3. Um cliente RADIUS por access point, com Message-Authenticator obrigatório

Cada access point foi cadastrado como cliente RADIUS independente, com o atributo Message-Authenticator exigido em todos, o que mitiga ataques de forja de resposta (Blast-RADIUS, CVE-2024-3596).

4. Política de negação explícita

Além da política que libera as máquinas do grupo autorizado, uma segunda política, a última da lista, nega qualquer requisição Wi-Fi não capturada pela primeira. Sem ela, uma política permissiva mais antiga poderia aceitar os dispositivos rejeitados.

5. Perfil sem fio distribuído por GPO

Uma GPO distribui o perfil Wi-Fi às estações do grupo, com autenticação de computador e confiança apenas na CA emissora do certificado do NPS. Isso elimina o aviso de confiança e garante a conexão já na tela de logon.

Implementação por fases

1. Inventário dos dispositivos no SSIDImpressoras, coletores, câmeras e estações identificados antes de qualquer mudança.
2. Verificação do certificado do servidorValidade e cadeia confirmadas antes de qualquer mudança.
3. Grupo de computadores autorizadosCom reinicialização obrigatória das estações após a inclusão no grupo.
4. Políticas no NPSClientes RADIUS, política de solicitação de conexão, política de rede e política de negação.
5. Perfil Wi-Fi via GPOAutenticação de computador e CA confiável definidas.
6. Piloto em access points de testeSSID piloto apenas nos APs de teste, com rollback previsto em menos de 5 minutos.
7. Expansão para todos os access points da unidadeMigração completa da planta produtiva.
8. Monitoramento e documentaçãoAcompanhamento dos logs de autenticação e registro do procedimento.

Limitações e próximos passos

• O PEAP-MSCHAPv2 permaneceu dependente de um mecanismo legado.
• Equipamentos sem conta de máquina exigiram inventário e tratamento separados.
• A solução foi definida desde o início como etapa intermediária.

Essa limitação se confirmou posteriormente, quando uma atualização do sistema operacional passou a bloquear o mecanismo do qual a autenticação automática da estação dependia: no cenário analisado, o fluxo usava credenciais derivadas de NTLM e a política aplicada pela atualização bloqueou esse uso. O diagnóstico está no estudo de caso do incidente.

Próximo passo: migrar para EAP-TLS com certificados de máquina e reforçar o ciclo de emissão, renovação e revogação de certificados.

Checklist de validação do piloto (modelo reutilizável)

• Estação do grupo conecta na tela de logon, sem aviso de certificado.
• NPS registra evento de acesso concedido (ID 6272) com o nome da máquina e o AP de origem.
• Celular com a senha correta de um usuário é negado e o NPS registra o evento de acesso negado (ID 6273).
• Impressoras, coletores e câmeras inventariados continuam operando.
• Rollback testado: SSID anterior pode ser reativado nos APs de teste em menos de 5 minutos.

Como eu ensinaria este conceito

Este caso pode ser usado para explicar a diferença entre autenticação por senha compartilhada, autenticação por usuário e autenticação baseada na identidade da máquina.