Dia 18: Redes Sem Fios — Wi-Fi 6/7, WPA3, Enterprise e Mesh

1. Introdução ao Wi-Fi Moderno

As redes sem fios evoluíram de um simples substituto do cabo Ethernet para um sistema complexo com múltiplas bandas, protocolos de segurança avançados e topologias distribuídas. O Wi-Fi moderno (norma IEEE 802.11) suporta densidades elevadas de dispositivos, latência reduzida e taxas de transferência que rivalizam com cabos de cobre.

No contexto de uma PME, o Wi-Fi não é apenas uma comodidade — é infra-estrutura crítica. Pontos de venda, tablets de stock, portáteis de colaboradores, visitantes e equipamentos IoT partilham o mesmo espectro radioeléctrico. Compreender as normas, a segurança e a optimização é essencial para garantir desempenho e fiabilidade.

Este artigo assume conhecimentos de redes locais e segurança — vimos estes temas no Dia 4 (Ethernet, VLANs e STP) e no Dia 11 (Firewalls e pfSense/OPNsense). Aqui focamo-nos na camada de acesso sem fios.

ℹ Terminologia essencial

AP (Ponto de Acesso) — dispositivo que emite e recebe sinais radioeléctricos; STA (Station) — qualquer cliente Wi-Fi (portátil, telemóvel, IoT); SSID — nome da rede visível; BSS — conjunto de AP + STA(s) associados; ESS — rede com múltiplos APs partilhando o mesmo SSID.

2. Wi-Fi 6 e Wi-Fi 7

O Wi-Fi 6 (IEEE 802.11ax, 2019) trouxe melhorias significativas em ambientes densos: OFDMA (divisão do canal em sub-portadoras para múltiplos clientes simultâneos), MU-MIMO bidirecional (multi-user MIMO tanto no enlace descendente como no enlace ascendente) e BSS Coloring (redução de interferência entre redes vizinhas através de um identificador de cor no cabeçalho). A taxa teórica máxima é de 9,6 Gbps.

O Wi-Fi 6E (2020) estende o Wi-Fi 6 à banda de 6 GHz, adicionando até 1200 MHz de espectro adicional com canais de 80 e 160 MHz limpos de interferência legada. Em Portugal, a Anacom autorizou o uso da banda de 6 GHz para Wi-Fi sem licenciamento, alinhada com a decisão ECC/DEC/(20)01.

O Wi-Fi 7 (IEEE 802.11be, 2024) introduz MLO (Multi-Link Operation) — agrega múltiplos canais de bandas diferentes (2,4 GHz + 5 GHz + 6 GHz) numa única ligação lógica, reduzindo latência e aumentando a taxa de transferência. Suporta canais de 320 MHz, modulação 4096-QAM e taxa teórica até 46 Gbps. É especialmente relevante para aplicações de baixa latência como transmissão de realidade virtual e jogos em nuvem.

Característica Wi-Fi 5 (802.11ac) Wi-Fi 6 (802.11ax) Wi-Fi 7 (802.11be)
Bandas 5 GHz 2,4 + 5 GHz 2,4 + 5 + 6 GHz
Largura de canal máx. 160 MHz 160 MHz 320 MHz
Modulação 256-QAM 1024-QAM 4096-QAM
MU-MIMO Downlink DL + UL DL + UL (16 fluxos)
OFDMA Não Sim Sim (melhorado)
Multi-Link (MLO) Não Não Sim
Taxa teórica máx. 3,5 Gbps 9,6 Gbps 46 Gbps

ℹ Que norma escolher para a sua PME?

Wi-Fi 6 é o mínimo recomendado em 2026 — oferece OFDMA e MU-MIMO que lidam bem com 50+ dispositivos. Wi-Fi 6E vale o investimento se o espaço for denso (escritórios espaço aberto, armazéns com muitos APs) por causa da banda limpa de 6 GHz. Wi-Fi 7 justifica-se apenas para casos específicos de ultra-baixa latência ou taxa de transferência extrema (edição de vídeo em nuvem, realidade aumentada industrial).

3. Segurança — WPA3 e 802.1X

O WPA3 (2018) substituiu o WPA2 com duas melhorias fundamentais: SAE (Simultaneous Authentication of Equals) substitui o PSK (Pre-Shared Key) do WPA2, protegendo contra ataques de dicionário offline — o atacante já não pode capturar o handshake e tentar palavras-passe offline. Perfect Forward Secrecy garante que, mesmo que a chave seja comprometida no futuro, tráfego passado não pode ser desencriptado.

O WPA3 tem dois modos: WPA3-Personal (SAE com palavra-passe partilhada, para redes simples) e WPA3-Enterprise (autenticação por utilizador via 802.1X/RADIUS, para organizações). O modo Enterprise oferece 192 bits de segurança (suites cifradas GCMP-256, BKGCMP-256) em vez dos 128 bits do WPA2-Enterprise.

O 802.1X com RADIUS é o padrão para autenticação empresarial. Cada utilizador ou dispositivo autentica-se individualmente com certificado digital ou credenciais (EAP-TLS para certificados, PEAP-MSCHAPv2 para palavra-passe). Isto permite revogar acesso a um colaborador sem mudar a palavra-passe de toda a rede — impossível com PSK partilhada.

Método Cenário Segurança
WPA2-PSK Rede doméstica / PME pequena Vulnerável a dicionário offline
WPA3-Personal (SAE) Rede doméstica / PME pequena Resistente a dicionário offline
WPA3-Enterprise (802.1X) Organização com RADIUS 192 bits, revogação individual
EAP-TLS Certificados digitais por dispositivo Mais seguro (sem palavra-passe)
PEAP-MSCHAPv2 Palavra-passe por utilizador Bom (túnel TLS protege credencial)

⚠ Modo de Transição — WPA2/WPA3 simultâneo

Muitos APs suportam WPA3 Modo de Transição (WPA2 + WPA3 no mesmo SSID) para compatibilidade com dispositivos antigos. Isto reduz a segurança à do WPA2 para todos os clientes — o atacante pode forçar downgrade. Em ambientes empresariais, preferir SSIDs separados: um WPA3-Only e outro WPA2 para legado.

4. Configurar um Ponto de Acesso

Em Linux, o hostapd é o daemon padrão para criar APs Wi-Fi. Suporta WPA2-PSK, WPA3-Personal e WPA3-Enterprise com RADIUS. Abaixo mostramos configurações para os três cenários comuns.

Antes de configurar, verificar a interface Wi-Fi e as suas capacidades:

# Verificar interface Wi-Fi
iw dev
iw dev wlan0 info
iw dev wlan0 scan | grep SSID

Configuração básica com WPA2-PSK (rede partilhada):

# hostapd — WPA2-PSK
interface=wlan0
ssid=RedeEmpresa
channel=6
wpa=2
wpa_passphrase=SenhaForte
wpa_key_mgmt=WPA-PSK

Para WPA3-Enterprise com autenticação RADIUS (requer servidor RADIUS como FreeRADIUS):

# hostapd — WPA3 Enterprise
wpa_key_mgmt=WPA-EAP
radius_server=192.168.1.10
radius_secret=chave_radius

Iniciar o hostapd e verificar a ligação dos clientes:

# Diagnóstico
iw dev wlan0 link
iw reg get

O iw dev wlan0 link mostra o estado da ligação, velocidade negociada ( MCS ), potência do sinal (dBm) e largura de canal activa. O iw reg get mostra o domínio regulatório activo — importante porque define os canais e potências máximas permitidas em Portugal (ETSI).

5. Redes Malha Wi-Fi

Uma rede malha Wi-Fi usa múltiplos nós que comunicam entre si para formar uma rede auto-configurável. Ao contrário de APs tradicionais ligados por cabo (cada um com a mesma SSID), os nós mesh usam ligação sem fios (transporte radioeléctrico) entre si, eliminando a necessidade de cabos em cada ponto.

A norma 802.11s define o modo malha ao nível do protocolo Wi-Fi. Cada nó é simultaneamente AP (para clientes) e estação (para outros nós). O protocolo de encaminhamento HWMP (Hybrid Wireless Mesh Protocol) calcula caminhos dinamicamente, com recuperação automática se um nó falhar.

Em PMEs, as redes malha são úteis em espaços amplos onde passar cabos é caro ou inviável: armazéns, escritórios em vários pisos, áreas exteriores. A principal desvantagem é a degradação de desempenho em saltos múltiplos — cada salto (hop) adiciona latência e reduz a taxa de transferência. Uma rede com 3 saltos pode ter metade da taxa do primeiro nó.

Funcionalidade APs Tradicionais (cabo) Rede Mesh (802.11s)
Backhaul Cabos Ethernet Rádio (sem fios)
Custo de instalação Elevado (cabos em cada AP) Baixo (só tomada eléctrica)
Latência Constante (1 salto) Cresce com nº de saltos
Roaming entre nós Reassociação manual/itinerância rápida Automático (802.11s)
Redundância Limitada (cabo é ponto único) Caminhos múltiplos (HWMP)
Escalabilidade Boa (switches L2) Moderada (degrada com saltos)

ℹ Quando escolher mesh vs APs com cabo?

Se puder passar cabos, sempre preferir APs com transporte Ethernet — latência constante, sem degradação por saltos, e a banda rádio fica inteiramente disponível para clientes. Usar mesh apenas quando o cabo é inviável (edifícios históricos, áreas exteriores, instalações temporárias). Em mesh, limitar a 2-3 saltos máximo e usar transporte dedicado num canal diferente do dos clientes (tripla banda).

6. Canais e Optimização

A escolha de canais é o factor mais impactante no desempenho Wi-Fi. Em Portugal (domínio regulatório ETSI), as bandas disponíveis são:

2,4 GHz (canais 1-13): apenas 3 canais não sobrepostos (1, 6, 11). Muito congestionado (Bluetooth, micro-ondas, dispositivos IoT). Usar apenas para legado ou IoT, com canais de 20 MHz.

5 GHz (canais 36-165): 23 canais não sobrepostos de 20 MHz (ou 11 de 40 MHz, 5 de 80 MHz, 2 de 160 MHz). Alguns canais são DFS (Dynamic Frequency Selection) — requerem detecção de radares meteorológicos/militares antes de usar. Menos congestão que 2,4 GHz.

6 GHz (Wi-Fi 6E/7, canais 1-233): espectro limpo sem dispositivos legados. 59 canais de 20 MHz ou 14 de 160 MHz. Sem DFS, sem interferência de micro-ondas. Ideal para PMEs em ambientes densos.

Recomendação Banda Canal Largura
IoT e legado 2,4 GHz 1, 6 ou 11 20 MHz
Escritório geral 5 GHz 36, 40, 44, 48 (não-DFS) 40 ou 80 MHz
Ambiente denso 6 GHz Qualquer (sem congestão) 80 ou 160 MHz
Backhaul mesh 5 ou 6 GHz Diferente dos clientes 80 MHz

Transmit Power — a tentação de aumentar a potência é um erro comum. Potência excessiva faz com que clientes distantes se associem ao AP mas com SNR (Signal-to-Noise Ratio) baixo, reduzindo a taxa de toda a célula. Em ambientes multi-AP, usar potência reduzida (14-17 dBm em 5 GHz) para forçar itinerância entre APs e reduzir interferência co-canal.

Orientação de Banda — funcionalidade que encoraja clientes dupla banda a preferir 5/6 GHz em vez de 2,4 GHz. Reduz congestão na banda mais lenta. Deve estar activo em qualquer AP empresarial moderno.

Itinerância Rápida — as normas 802.11r (Fast BSS Transition), 802.11k (Radio Resource Measurement) e 802.11v (BSS Transition Management) reduzem o tempo de itinerância entre APs de centenas de milissegundos para <50 ms, evitando cortes em chamadas VoIP. Activar as três no controlador Wi-Fi.

7. Erros Comuns e Lista de Verificação

⚠ Erros frequentes em implementações Wi-Fi

  • Canais sobrepostos em 2,4 GHz — usar canal 5 ou 7 em vez de 1, 6 ou 11 cria interferência com três canais em vez de zero.
  • WPA2-PSK em ambientes empresariais — palavra-passe partilhada não permite revogação individual. Usar 802.1X/RADIUS.
  • Potência máxima em todos os APs — causa interferência co-canal e impede roaming. Reduzir para 14-17 dBm.
  • Largura de canal 160 MHz em 5 GHz denso — ocupa quase todo o espectro. Usar 40 ou 80 MHz em ambientes com várias redes vizinhas.
  • SSID oculto (hidden) — não é segurança; clientes transmitem o SSID em texto simples quando procuram a rede. Falsa sensação de segurança.
  • Filtragem MAC — trivial de contornar (spoofing de MAC). Não substitui WPA3 ou 802.1X.
  • APs sem controlador central — em redes com 3+ APs, configurar itinerância e canais manualmente é insustentável. Usar controlador (nuvem ou no local).

Lista de verificação para implementação Wi-Fi em PME:

  • ✓ Norma mínima: Wi-Fi 6 (802.11ax) em todos os APs
  • ✓ Segurança: WPA3-Enterprise com 802.1X/RADIUS (ou WPA3-Personal em redes pequenas)
  • ✓ SSIDs separados para WPA3 e WPA2 legado (evitar Modo de Transição)
  • ✓ Banda 6 GHz activa (Wi-Fi 6E/7) para reduzir congestão
  • ✓ Canais 2,4 GHz fixos em 1, 6 ou 11 (nunca auto em multi-AP)
  • ✓ Canais 5/6 GHz com DFS activo e largura de 40-80 MHz
  • ✓ Transmit Power 14-17 dBm (forçar itinerância, não máximo)
  • ✓ Orientação de Banda activo (preferir 5/6 GHz)
  • ✓ Itinerância Rápida (802.11r/k/v) activo para VoIP e mobilidade
  • ✓ Rede de visitantes isolada (VLAN de convidados, sem acesso à LAN interna)
  • ✓ Backhaul Ethernet em APs principais; mesh apenas onde cabo é inviável
  • ✓ Monitorização: WLC/painéis com alertas de APs offline e congestão
  • ✓ Cópia de segurança da configuração de todos os APs e controlador
  • ✓ Documentação: mapa de cobertura, canais atribuídos, potências

Com uma implementação bem planeada, o Wi-Fi moderno oferece desempenho e segurança comparáveis a redes cabladas — com a flexibilidade adicional da mobilidade. O investimento em APs Wi-Fi 6/6E com controlador central e WPA3-Enterprise é, para a maioria das PMEs, mais custo-efectivo do que cablar todo o edifício.

Artigos Relacionados: