Implementando Controle de Acesso à Rede

Quando Usar

• Para impor o acesso à rede baseado em identidade, onde apenas dispositivos autenticados e em conformidade se conectam à rede.
• Para implementar redes de confiança zero (zero-trust) na camada de acesso com atribuição dinâmica de VLAN baseada na função do usuário.
• Para colocar em quarentena dispositivos não conformes que falham nas verificações de postura do endpoint (falta de patches, antivírus desativado).
• Para atender aos requisitos de conformidade (PCI-DSS, HIPAA, SOC 2) para controles de acesso à rede.
• Para o registro de dispositivos BYOD (Traga Seu Próprio Dispositivo) com provisionamento automatizado e acesso limitado à rede.

Não use como uma solução de segurança isolada sem controles complementares, para redes com dispositivos que não suportam suplicantes 802.1X, ou sem mecanismos de fallback adequados para infraestrutura crítica.

Pré-requisitos

• Servidor RADIUS (FreeRADIUS, Microsoft NPS ou Cisco ISE) configurado com autenticação de usuário/dispositivo.
• Switches gerenciados que suportam autenticação baseada em porta 802.1X.
• Autoridade Certificadora para distribuição de certificados EAP-TLS (opcional, mas recomendado).
• PacketFence ou plataforma NAC similar para avaliação de postura e remediação.
• Active Directory ou diretório LDAP para autenticação centralizada de usuários.
• Integração com servidor DHCP para atribuição dinâmica de IP por VLAN.

Fluxo de Trabalho

Etapa 1: Instalar e Configurar o FreeRADIUS

# Install FreeRADIUS
sudo apt install -y freeradius freeradius-utils freeradius-ldap

# Configure RADIUS clients (switches that authenticate against RADIUS)
sudo tee /etc/freeradius/3.0/clients.conf << 'EOF'
client switch-core-01 {
    ipaddr = 10.10.100.1
    secret = R4d1u5_S3cr3t_K3y!
    shortname = core-switch
    nastype = cisco
}

client switch-access-01 {
    ipaddr = 10.10.100.10
    secret = R4d1u5_S3cr3t_K3y!
    shortname = access-switch-01
    nastype = cisco
}

client switch-access-02 {
    ipaddr = 10.10.100.11
    secret = R4d1u5_S3cr3t_K3y!
    shortname = access-switch-02
    nastype = cisco
}
EOF

# Configure LDAP module for Active Directory integration
sudo tee /etc/freeradius/3.0/mods-available/ldap << 'EOF'
ldap {
    server = 'ldap://dc01.corp.example.com'
    identity = 'CN=radius-svc,OU=Service Accounts,DC=corp,DC=example,DC=com'
    password = 'ServiceAccountPassword123!'
    base_dn = 'DC=corp,DC=example,DC=com'

    user {
        base_dn = "${..base_dn}"
        filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})"
    }

    group {
        base_dn = "${..base_dn}"
        filter = "(objectClass=group)"
        membership_attribute = 'memberOf'
    }
}
EOF

sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/ldap

Etapa 2: Configurar Políticas de Atribuição de VLAN

# Configura políticas de autorização para atribuição dinâmica de VLAN
sudo tee /etc/freeradius/3.0/policy.d/vlan-assignment << 'EOF'
# Atribuição de VLAN baseada na associação a grupos
vlan_assignment {
    if (&LDAP-Group[*] == "CN=IT-Staff,OU=Groups,DC=corp,DC=example,DC=com") {
        update reply {
            Tunnel-Type = VLAN
            Tunnel-Medium-Type = IEEE-802
            Tunnel-Private-Group-ID = "10"
        }
    }
    elsif (&LDAP-Group[*] == "CN=Developers,OU=Groups,DC=corp,DC=example,DC=com") {
        update reply {
            Tunnel-Type = VLAN
            Tunnel-Medium-Type = IEEE-802
            Tunnel-Private-Group-ID = "15"
        }
    }
    elsif (&LDAP-Group[*] == "CN=Finance,OU=Groups,DC=corp,DC=example,DC=com") {
        update reply {
            Tunnel-Type = VLAN
            Tunnel-Medium-Type = IEEE-802
            Tunnel-Private-Group-ID = "20"
        }
    }
    else {
        # Padrão: VLAN de Convidados para usuários desconhecidos
        update reply {
            Tunnel-Type = VLAN
            Tunnel-Medium-Type = IEEE-802
            Tunnel-Private-Group-ID = "40"
        }
    }
}
EOF

# Adicionar vlan_assignment à seção authorize
# Editar /etc/freeradius/3.0/sites-enabled/default
# Na seção authorize, adicionar: vlan_assignment

# Configurar EAP para autenticação 802.1X
sudo tee /etc/freeradius/3.0/mods-available/eap << 'EAPEOF'
eap {
    default_eap_type = peap
    timer_expire = 60
    max_sessions = 4096

    tls-config tls-common {
        private_key_file = /etc/freeradius/3.0/certs/server.key
        certificate_file = /etc/freeradius/3.0/certs/server.pem
        ca_file = /etc/freeradius/3.0/certs/ca.pem
        dh_file = /etc/freeradius/3.0/certs/dh
        cipher_list = "HIGH:!aNULL:!MD5"
        tls_min_version = "1.2"
    }

    peap {
        tls = tls-common

…