Quem já precisou organizar o acesso de muita gente, em muitos lugares, sabe como isso pode fugir do controle. Eu já vi redes inteiras caírem porque um login vazou. É por isso que a autenticação via RADIUS se tornou um padrão de fato em redes wireless, VPNs e ambientes corporativos. Ela dá ordem ao caos. E faz isso com três pilares simples: autenticar, autorizar e registrar. A Keppel Consultoria em TI trabalha essa base em projetos de rede em Belo Horizonte, integrando Wi-Fi corporativo, servidores e serviços como Microsoft 365 para criar um acesso coeso e auditável.
Segurança não é um recurso. É um processo.
Neste guia, vamos entender o protocolo, as portas, o fluxo cliente-servidor, os formatos de mensagem e cenários práticos. Com comparações onde cabe, como com TACACS+, sem exagero. Com exemplos reais, como FreeRADIUS em grandes ambientes. E com alguns atalhos que eu aprendi ao implantar isso no dia a dia.
O que é RADIUS e por que ele organiza o acesso
RADIUS é um protocolo de controle de acesso que trabalha com o modelo AAA. Em poucas palavras:
- Autenticação: confirma a identidade do usuário ou dispositivo. Pode ser com senha, certificado, token ou métodos EAP como PEAP e EAP‑TLS.
- Autorização: define o que a identidade pode fazer. Exemplo clássico: VLAN atribuída por grupo.
- Contabilização: registra o que aconteceu. Quando entrou, quando saiu, quanto trafegou, de qual IP.
Essa tríade traz clareza às políticas de acesso. Em vez de configurar permissões em cada switch, cada AP ou cada concentrador VPN, centralizamos decisões no servidor RADIUS. Assim, o NAS, que é o dispositivo que solicita a validação, pergunta ao servidor e aplica o resultado. Parece detalhista, mas é isso que deixa a rede previsível.
Como ocorre a comunicação cliente-servidor
No fluxo, o NAS é o cliente RADIUS. Pode ser um access point, um concentrador VPN, um firewall com 802.1X, um switch. O servidor RADIUS recebe os pedidos e decide. A conversa acontece por UDP, usando normalmente as portas 1812 para autenticação e 1813 para contabilização. Há portas legadas, 1645 e 1646, ainda vistas em equipamentos antigos. O pacote vai, e se não volta a tempo, o NAS retransmite.
O processo de autenticação segue um passo a passo típico:
- O usuário tenta entrar na rede, por Wi‑Fi, VPN ou porta do switch.
- O NAS cria uma Access-Request com atributos, como nome de usuário, método EAP, endereço do NAS e identificadores da sessão.
- O servidor verifica credenciais e políticas. Se aprovado, envia Access-Accept com atributos de autorização, por exemplo, VLAN, ACL, tempo de sessão, perfil de QoS ou Filter-Id. Se não, manda Access-Reject.
- Ao início e fim da sessão, o NAS envia mensagens de contabilização, como Accounting-Start, Interim-Update e Accounting-Stop.
O modelo e o formato das mensagens de accounting são descritos no RFC 2059 do IETF, que também discute pontos de confiabilidade e segurança para o envio desses registros. Vale a leitura quando se planeja auditoria.
Criptografia e proteção de credenciais
RADIUS usa um segredo compartilhado por par NAS-servidor. A senha no atributo User-Password fica ofuscada com MD5 combinado ao segredo. Não é cifrado o pacote inteiro. Por isso, o ideal é rodar métodos EAP com túnel, como PEAP ou, melhor ainda, EAP‑TLS com certificados. Há também RADIUS sobre TLS, conhecido como RadSec, quando é preciso cifrar tudo entre cliente e servidor em redes menos confiáveis.
Também entram aqui controles de origem por IP, timeouts curtos, reenvio com backoff e listas de NAS autorizados. E log, muito log. Sem visibilidade, qualquer política vira promessa vazia. Eu já peguei casos em que o segredo estava desalinhado em um AP apenas, e o efeito era intermitente. Tratar UDP exige atenção aos detalhes.
RADIUS em provedores, redes wireless, VPNs e empresas
O protocolo nasceu para provedores, mas se espalhou. Em ISPs, valida PPPoE e IPoE, aplicando perfis de velocidade e IP fixo com atributos como Framed-IP-Address. Em Wi‑Fi corporativo, o 802.1X com EAP entrega credenciais por usuário, sem PSK compartilhada, e ainda permite VLAN dinâmica por grupo. Em VPNs, centraliza a autenticação de acesso remoto e registra hora de conexão e bytes trocados. Em redes cabeadas, portas com 802.1X evitam dispositivos não autorizados.
Ambientes grandes adotam servidores escaláveis, como o FreeRADIUS, que suporta centenas de milhares de sessões e integra com bancos de dados, LDAP e diretórios. Em um projeto, usei repositórios diferentes por site, com replicação de políticas, e foi estável. A Keppel Consultoria em TI aplica essas boas práticas em projetos de infraestrutura e redes wireless, com monitoramento ativo e atendimento remoto e presencial.
Grupos, perfis e políticas centralizadas
RADIUS brilha quando você organiza usuários em grupos. É comum mapear grupos do AD ou LDAP para perfis RADIUS. Assim, o servidor envia atributos como Tunnel-Medium-Type, Tunnel-Private-Group-ID e Filter-Id para atribuir VLAN, ACL e banda. O resultado é simples: novas regras são feitas no servidor, não em dezenas de equipamentos.
Outro recurso útil é o Change of Authorization por CoA, geralmente na porta 3799. Ele permite ajustar a sessão em tempo real, por exemplo, mover para outra VLAN ou derrubar acesso por política. Funciona bem com NAC.
RADIUS ou TACACS+?
Os dois resolvem AAA, mas com focos distintos. RADIUS atende melhor acesso de usuários a rede, Wi‑Fi, VPN e 802.1X. Trabalha com UDP, é leve e muito difundido. TACACS+ costuma ser usado para administração de equipamentos de rede, pois separa autenticação, autorização e auditoria em canais independentes e faz cifragem de todo o payload. Em contrapartida, RADIUS tem suporte amplo em APs, concentradores VPN e switches de acesso, e conta com um ecossistema vasto de atributos para provisionamento de camada 2 e 3.
Em muitos cenários, as duas pilhas convivem. Usuários e dispositivos em RADIUS, login de administradores de rede em TACACS+. Simples assim.
Fluxos de accounting e rastreabilidade
O registro de sessão é parte da segurança. O NAS envia Accounting-Start quando a sessão inicia, Interim-Update a cada período e Accounting-Stop ao terminar. Esses dados incluem identificadores, IPs, portas, volume e motivo de encerramento. O formato, segundo o RFC 2059, permite auditar e até gerar relatórios de consumo. Nunca subestime esses logs. Eles contam a história da rede.
Boas práticas de implantação
- Planeje o repositório de identidade: AD, LDAP, SQL ou certificados. Para Wi‑Fi sensível, prefira EAP‑TLS.
- Defina grupos e políticas: mapeie perfis para VLAN, ACL e tempo de sessão. Menos regras por dispositivo, mais no servidor.
- Configure os NAS: cadastre IPs e segredos únicos por equipamento. Ajuste timeout e retransmissões.
- Monitore accounting: valide Start, Interim e Stop. Sem isso, você voa no escuro.
- Alta disponibilidade: use dois servidores. Configure prioridades no NAS.
- Teste de ponta a ponta: um usuário por perfil, depois carga. Falhas intermitentes costumam ser de timeout.
- Documente: portas, segredos, IPs, grupos e atributos. Atualize após cada mudança.
A Keppel Consultoria em TI costuma integrar o servidor RADIUS com serviços de e-mail e diretórios já existentes, além de redes wireless e VPNs. Em muitos clientes, conectamos a camada de identidade a projetos de Microsoft 365 e arrumamos o fluxo de acesso remoto com 802.1X, firewall e backup em nuvem. Parece muita coisa, porém quando as peças se encaixam, o suporte fica mais leve.
Erros comuns que valem evitar
- Usar a mesma senha de segredo em todos os NAS.
- Deixar PSK compartilhada no Wi‑Fi corporativo quando a rede pede 802.1X.
- Não registrar Interim-Update e perder visibilidade de sessões longas.
- Herdar portas legadas sem necessidade e confundir troubleshooting.
- Confiar apenas em senha simples quando certificados resolveriam melhor.
Política boa só funciona com visibilidade.
Conclusão
RADIUS coloca disciplina no acesso, sem desmontar seu ambiente atual. Ele autentica, autoriza e registra, tudo com leveza e previsibilidade. Funciona bem em Wi‑Fi, VPN e redes cabeadas com 802.1X. Com grupos e accounting, você reduz exceções e ganha rastreabilidade. Se quiser estruturar um projeto sólido, desde o servidor até cada AP, a Keppel Consultoria em TI, em Belo Horizonte, pode ajudar com desenho, implantação e suporte, inclusive com atendimento em outros estados via nosso time comercial. Fale com a gente e veja como deixar seu acesso mais seguro e simples.
Perguntas frequentes
Para que serve a autenticação RADIUS?
Ela controla quem entra na rede, o que pode fazer e registra tudo. É usada em Wi‑Fi com 802.1X, VPNs, portas de switch e provedores. Centraliza a decisão em um servidor, enquanto os equipamentos de borda apenas aplicam o resultado. Isso diminui erros e dá visibilidade.
Como a RADIUS Auth funciona?
O equipamento de acesso, chamado NAS, envia uma Access-Request via UDP para o servidor nas portas 1812 e 1813. O servidor valida as credenciais, consulta políticas e responde com Access-Accept ou Access-Reject. Em paralelo, o NAS envia mensagens de contabilização para registrar início, atualizações e fim da sessão.
O RADIUS é seguro para a rede?
Sim, quando bem configurado. A senha é protegida com segredo compartilhado e métodos EAP como PEAP ou EAP‑TLS. Para mais proteção, é possível usar RADIUS sobre TLS, o RadSec. Também ajudam listas de NAS autorizados, timeouts bem ajustados e monitoramento de logs.
Como configurar a autenticação RADIUS?
Defina o servidor e o repositório de identidade, crie grupos e políticas, cadastre cada NAS com IP e segredo, escolha o método EAP e teste. Em Wi‑Fi, configure 802.1X no controlador ou AP. Em VPN, aponte o concentrador para o servidor. Valide accounting e implemente alta disponibilidade.
Quais são os benefícios do uso de RADIUS?
Acesso por identidade, não por rede. Menos configuração em cada dispositivo. Controle central de políticas por grupo. Logs de sessão que ajudam auditoria e suporte. Integração com AD, LDAP e certificados. Em resumo, mais ordem e menos risco no acesso remoto e local.
