Se a sua empresa ainda usa uma única senha de Wi-Fi para todos os colaboradores, você já sabe o problema. Ela circula por grupos de WhatsApp, fica anotada em post-it na recepção e, quando alguém sai da empresa, ninguém troca a senha de toda a rede por causa disso.
O WPA2-Enterprise resolve exatamente essa falha estrutural. Em vez de uma chave compartilhada, cada usuário ou dispositivo se autentica com credencial própria, validada por um servidor central. Desligar um colaborador vira questão de segundos, não de trocar senha e reconfigurar dezenas de dispositivos.
Neste guia você vai entender como o WPA2-Enterprise funciona na prática, o que sua infraestrutura precisa ter para rodá-lo, como escolher o método de autenticação certo e, principalmente, onde ele para de resolver o problema, porque nenhuma rede corporativa vive só de colaborador autenticado.
O que é WPA2-Enterprise
WPA2-Enterprise é o modo de segurança do WPA2 desenhado para redes corporativas, com autenticação individual em vez de senha compartilhada.
Diferente do WPA2-Personal, onde todos os dispositivos usam a mesma chave pré-compartilhada, o WPA2-Enterprise exige que cada usuário se autentique com credencial própria: usuário e senha, ou certificado digital, por meio de um servidor RADIUS.
Essa arquitetura se sustenta em três elementos:
- Padrão 802.1X: controla o acesso à porta lógica da rede, liberando tráfego só depois da autenticação confirmada.
- Servidor RADIUS: valida a identidade do usuário contra um diretório, como Active Directory ou LDAP, e decide se autoriza o acesso.
- Chave de sessão individual: depois da autenticação, cada dispositivo deriva sua própria chave de criptografia. Usuários diferentes conectados ao mesmo SSID não compartilham a mesma chave.
O resultado prático é rastreabilidade. Cada conexão fica associada a uma identidade real, o que muda completamente a forma de investigar incidentes e de provar conformidade em auditoria.
WPA2-Personal e WPA2-Enterprise: o que muda na prática
A diferença não é só técnica, é operacional. Ambos os modos fazem parte do WPA2, mas resolvem problemas diferentes. Veja o que muda no dia a dia da equipe de TI:
| Critério | WPA2-Personal | WPA2-Enterprise |
|---|
| Autenticação | Senha única (PSK) | Credencial individual via RADIUS |
| Revogar acesso de 1 pessoa | Impossível sem trocar senha de todos | Desativa 1 conta, sem afetar os demais |
| Rastreabilidade | Não identifica quem conectou | Log por usuário, hora e dispositivo |
| Integração com AD/LDAP | Não existe | Nativa |
| Complexidade de setup | Baixa | Exige RADIUS e diretório configurados |
| Indicado para | Redes pequenas, poucos dispositivos confiáveis | Colaboradores em empresas de médio e grande porte |
Se sua empresa tem 200 ou mais funcionários e mais de uma unidade, a pergunta não é se vale migrar para WPA2-Enterprise. É quando, e se sua infraestrutura atual está pronta para isso.
Como a autenticação funciona: 802.1X, RADIUS e diretório
O fluxo de conexão segue sempre a mesma lógica, independente do fabricante do access point.
- O dispositivo tenta se conectar ao SSID corporativo.
- O access point (autenticador) inicia a troca de mensagens EAP com o cliente.
- As credenciais são encaminhadas ao servidor RADIUS.
- O RADIUS consulta o diretório de identidade, geralmente Active Directory ou LDAP.
- Se a validação for positiva, o RADIUS responde com Access-Accept, podendo incluir atributos como VLAN de destino.
- O access point libera a porta lógica e o dispositivo passa a trafegar normalmente.
Três papéis estão envolvidos nesse processo, e vale conhecer os nomes técnicos porque eles aparecem em toda documentação de fabricante:
- Supplicant: o software do cliente que negocia a autenticação. A maioria dos sistemas operacionais já traz isso nativo.
- Authenticator: o access point ou controlador, que atua como intermediário.
- Authentication Server: o RADIUS, responsável por autenticar, autorizar e registrar (as três funções conhecidas como AAA).
Um erro comum é achar que o access point decide quem entra na rede. Ele não decide nada, apenas encaminha a solicitação e aplica o que o RADIUS determinar.
O que sua rede precisa ter para rodar WPA2-Enterprise
Antes de configurar qualquer coisa no controlador, confirme se esses componentes existem:
- Access points compatíveis com 802.1X e criptografia AES-CCMP, praticamente padrão em equipamentos comerciais dos últimos anos.
- Servidor RADIUS, seja on-premise (FreeRADIUS, Microsoft NPS) ou em nuvem.
- Diretório de identidade, normalmente Active Directory, Google Workspace ou LDAP.
- Definição do método EAP, que vamos detalhar na próxima seção.
- Infraestrutura de certificados (PKI), caso opte por autenticação sem senha via EAP-TLS.
- Política de rede documentada, incluindo quais grupos recebem qual VLAN após autenticação.
Se sua empresa opera múltiplas unidades, some a isso um requisito que muita documentação de fabricante ignora: o RADIUS precisa estar dimensionado para alta disponibilidade. Se o servidor cair, ninguém autentica, e isso significa toda a operação sem Wi-Fi ao mesmo tempo.
Métodos EAP: como escolher entre EAP-TLS, PEAP e EAP-TTLS
O WPA2-Enterprise não define como as credenciais são transmitidas. Isso é papel dos métodos de autenticação EAP (Extensible Authentication Protocol), e a escolha do método certo é uma das decisões mais importantes do projeto.
EAP-TLS
Usa certificado digital em vez de senha, tanto do cliente quanto do servidor. É considerado o padrão ouro porque elimina completamente o roubo de credencial por phishing ou captura no ar. Veja em detalhe como funciona a autenticação EAP-TLS.
Exige uma PKI para emitir e gerenciar certificados, o que aumenta a complexidade inicial. Para empresas que já têm essa estrutura, ou que trabalham com MDM corporativo, é a melhor escolha.
PEAP-MSCHAPv2
Usa usuário e senha dentro de um túnel TLS. É o método mais implantado no mercado por não exigir certificado no cliente e por integrar facilmente com Active Directory.
O ponto de atenção: a segurança depende da validação correta do certificado do servidor RADIUS pelo cliente. Se essa validação estiver desabilitada, a rede fica exposta a ataques de access point falso (Evil Twin).
EAP-TTLS
Funciona de forma parecida com o PEAP, mas aceita métodos de autenticação interna mais flexíveis. É útil quando o diretório de identidade não é Active Directory, por exemplo em ambientes com LDAP puro ou provedores de identidade em nuvem.
Qual escolher
| Cenário | Método recomendado |
|---|
| Dispositivos corporativos gerenciados por MDM | EAP-TLS |
| Ambiente já integrado ao AD, sem PKI pronta | PEAP-MSCHAPv2 |
| Identidade em LDAP não-Microsoft ou cloud IdP | EAP-TTLS |
| Setor regulado, alta exigência de segurança | EAP-TLS |
WPA2-Enterprise e WPA3-Enterprise: o que realmente muda
O WPA3-Enterprise mantém toda a arquitetura do WPA2-Enterprise: 802.1X, RADIUS, EAP e certificados continuam funcionando do mesmo jeito. A diferença está no reforço de segurança, conforme especificação da Wi-Fi Alliance, entidade responsável pela certificação dos dois padrões.
- Protected Management Frames (PMF): opcional no WPA2-Enterprise, obrigatório no WPA3-Enterprise. Protege contra ataques de desautenticação forçada.
- Perfil de 192 bits: modo opcional do WPA3-Enterprise com criptografia AES-GCMP-256, voltado para setores de alta exigência regulatória, como governo e financeiro.
- Criptografia padrão: o WPA2-Enterprise usa AES-CCMP de 128 bits. O WPA3-Enterprise padrão mantém compatibilidade com 128 bits e reserva os 256 bits para o perfil opcional.
Vale um esclarecimento importante: o SAE (Simultaneous Authentication of Equals), a grande novidade de segurança do WPA3, é exclusivo do modo Personal. O WPA3-Enterprise não usa SAE, ele continua dependendo de 802.1X e EAP.
Na prática, se sua infraestrutura já roda WPA2-Enterprise com EAP-TLS bem implementado, a migração para WPA3-Enterprise é evolução de maturidade, não correção de falha grave. Já se o parque tem equipamentos legados sem suporte a WPA3, o caminho recomendado é o modo de transição, que mantém compatibilidade com clientes WPA2 enquanto os dispositivos mais novos já se beneficiam do PMF obrigatório.
Parque multifabricante: como padronizar política sem trocar o hardware
Esse é o ponto onde a maioria dos guias técnicos assume um cenário que sua empresa provavelmente não tem: infraestrutura única, de um só fabricante.
Na realidade de empresas com 10 ou mais unidades, é comum encontrar Cisco na matriz, Intelbras ou TP-Link nas filiais menores e algum Mikrotik isolado que ninguém documentou.
O 802.1X e o RADIUS são padrões abertos, então tecnicamente qualquer AP homologado consegue participar da mesma política de autenticação. O desafio real não é técnico, é operacional:
- Cada fabricante expõe a configuração de RADIUS de um jeito diferente na interface.
- Atributos retornados pelo RADIUS (VLAN, ACL) podem ter nomenclatura diferente entre marcas.
- Sem uma camada de gestão centralizada, cada unidade vira uma configuração manual isolada.
É aqui que uma plataforma de gestão de acesso homologada com múltiplos fabricantes evita que a equipe de TI precise reconfigurar política de rede unidade por unidade toda vez que um AP é trocado ou substituído por outro modelo.
Onde o WPA2-Enterprise não chega: visitante, fornecedor, BYOD e IoT
Esse é o ponto mais importante deste guia, e o que a maioria dos conteúdos técnicos sobre WPA2-Enterprise deixa de fora.
O 802.1X pressupõe um supplicant configurado no dispositivo. Isso funciona bem para notebook e celular corporativo gerenciado. Mas não resolve:
- Visitante: não tem, e não deveria ter, certificado ou credencial no diretório da empresa.
- Fornecedor e prestador de serviço: acesso temporário, muitas vezes por poucas horas.
- Dispositivos IoT legados: câmeras, catracas, impressoras e sensores que frequentemente não suportam 802.1X.
- BYOD sem MDM: celular pessoal do colaborador que a empresa não gerencia nem quer gerenciar.
Tentar forçar esses casos dentro do WPA2-Enterprise cria mais problema do que resolve: senhas compartilhadas informais, exceções na política e dispositivos IoT que ficam fora de qualquer controle porque ninguém quer lidar com certificado em uma câmera de segurança.
A arquitetura que funciona na prática combina os dois mundos: WPA2-Enterprise para a rede interna de colaboradores, e uma camada de captive portal com autenticação por perfil para rede guest, BYOD e fornecedores, com políticas próprias de tempo de sessão, VLAN e log de acesso para cada categoria de usuário.
É exatamente esse segundo pedaço que a maioria das empresas trata de forma improvisada, e é onde o WiFeed atua.
Logs, auditoria e Marco Civil: o que a lei brasileira exige da sua rede
Vamos entrar no que a legislação brasileira efetivamente exige de uma rede Wi-Fi e sobre WPA2-Enterprise fala em relação à LGPD e ISO 27001.
O Marco Civil da Internet (Lei nº 12.965/2014) obriga a guarda dos registros de conexão. Isso significa manter, de forma íntegra, o histórico de quem se conectou, quando e por qual dispositivo, pelo período determinado em lei.
Isso vale tanto para a rede de colaboradores quanto, principalmente, para a rede de visitantes, que costuma ser o ponto mais desprotegido da operação.
Em ambientes multiunidade, essa exigência se torna operacionalmente mais pesada:
- Logs precisam existir para cada unidade, não só na matriz.
- Um incidente de segurança em uma loja exige rastreabilidade rápida, sem depender de configuração manual feita anos atrás.
- Auditorias corporativas e licitações públicas frequentemente pedem relatório consolidado, não log espalhado por dezenas de controladores diferentes.
O WPA2-Enterprise já entrega parte disso na rede interna, porque o RADIUS registra cada autenticação. O ponto cego costuma ser a rede guest, onde muitas empresas ainda usam senha única sem qualquer registro de consentimento ou identificação individual, o que é exatamente o tipo de exposição que gera risco de conformidade.
👉Confira outros conteúdos interessantes:
Erros de implantação em operação multiunidade
Alguns erros aparecem com frequência em projetos de WPA2-Enterprise espalhados por várias unidades:
- Não validar o certificado do servidor RADIUS no cliente. Sem essa validação, um access point falso pode capturar credenciais. É o erro mais crítico e um dos mais comuns.
- RADIUS sem alta disponibilidade. Um único ponto de falha para toda a operação de Wi-Fi corporativo é risco operacional, não só de segurança.
- Não revogar certificado ou conta de dispositivo desativado. Notebook perdido ou colaborador desligado precisa de revogação imediata, não em lote mensal.
- Multiplicar SSIDs por departamento. Cada SSID adicional aumenta consumo de airtime e complexidade. A prática recomendada é um SSID corporativo com segmentação dinâmica por VLAN via atributo do RADIUS.
- Não checar a postura do dispositivo antes de liberar acesso. Autenticar a identidade não garante que o equipamento esteja atualizado ou livre de ameaças. Para isso existe o NAC (Network Access Control), camada complementar que valida a conformidade do dispositivo.
- Deixar a rede guest de fora do projeto. É comum investir todo o orçamento e atenção técnica na rede interna e esquecer que a rede de visitantes é, na prática, a porta mais exposta.
Perguntas frequentes
1- O que é WPA2-Enterprise? WPA2-Enterprise é o modo de segurança Wi-Fi voltado para empresas, que autentica cada usuário individualmente por meio de um servidor RADIUS, em vez de usar uma senha compartilhada como no WPA2-Personal.
2- Qual a diferença entre WPA2-Enterprise e WPA2-Personal? O WPA2-Personal usa uma única senha para toda a rede. O WPA2-Enterprise exige credencial individual por usuário, validada por um servidor RADIUS, o que permite logs detalhados e revogação de acesso sem afetar os demais usuários.
3- Preciso de um servidor RADIUS para usar WPA2-Enterprise? Sim. O servidor RADIUS é obrigatório, é ele quem autentica as credenciais, autoriza o acesso e registra os logs de conexão. Não existe WPA2-Enterprise sem essa peça.
4- Qual método EAP é mais seguro? O EAP-TLS, por usar certificado digital em vez de senha, é considerado o mais seguro porque elimina o risco de roubo de credencial via phishing ou interceptação.
5- WPA2-Enterprise resolve o acesso de visitantes? Não diretamente. O WPA2-Enterprise foi desenhado para autenticação individual de colaboradores via diretório corporativo. Para visitantes, fornecedores e dispositivos IoT sem suporte a 802.1X, o caminho é uma solução de captive portal com políticas de acesso por perfil.
6- Vale a pena migrar direto para WPA3-Enterprise? Depende do parque de equipamentos. Se os access points e dispositivos clientes já suportam WPA3, a migração agrega segurança adicional com PMF obrigatório. Em parques com equipamento legado, o modo de transição permite manter compatibilidade enquanto a atualização acontece de forma gradual.
Uma rede segura não termina no colaborador
O WPA2-Enterprise resolve um problema real: acabar com a senha única e trazer identidade individual para cada conexão da sua equipe. Mas ele não foi desenhado para cobrir visitante, fornecedor, BYOD e dispositivo IoT, que juntos costumam representar boa parte do tráfego de uma rede corporativa.
O WiFeed atua exatamente nessa camada complementar: gestão centralizada de acesso para rede guest e BYOD, com políticas por perfil, logs completos e conformidade com LGPD e Marco Civil, homologado com mais de 20 fabricantes de access points, para que sua equipe de TI não precise reconfigurar política unidade por unidade em todo o seu Wi-Fi corporativo.
Se sua empresa já tem WPA2-Enterprise rodando na rede interna e ainda lida com a rede de visitantes de forma improvisada, veja os cenários de implantação do WiFeed para entender como fechar essa lacuna sem depender de outro projeto de infraestrutura.
