Come Migliorare la Velocità del WiFi Senza Acquistare Nuovi Access Point

Come Migliorare la Velocità del WiFi Senza Acquistare Nuovi Access Point Un Technical Briefing di Purple - Circa 10 Minuti --- INTRODUZIONE E CONTESTO (circa 1 minuto) --- Benvenuti alla serie di Technical Briefing di Purple. Sono il vostro ospite e oggi affronteremo uno dei temi più ricorrenti nei miei colloqui con i direttori IT e i CTO delle grandi strutture: il problema della capacità del WiFi. Gestite un hotel, una rete di punti vendita, un centro congressi o uno stadio. I vostri ospiti e il vostro personale si lamentano di un WiFi lento. Il vostro primo istinto - e, francamente, l'istinto su cui fa affidamento il vostro fornitore di infrastruttura - è quello di acquistare altri access point. Nuovo hardware, implementazione più complessa, fattura più alta. Ma c'è un dettaglio. Nella maggior parte dei casi che ho esaminato, il problema non sono affatto gli access point. Il problema è ciò che vi transita attraverso. E questo è un problema software, il che significa che richiede una soluzione software. Oggi vi illustrerò esattamente come il filtraggio DNS e l'ottimizzazione a livello software possano far recuperare il trenta per cento o più della larghezza di banda esistente - senza toccare un singolo componente hardware. Analizzeremo l'architettura tecnica, gli scenari di implementazione reali e il business case da presentare al vostro CFO. Cominciamo. --- APPROFONDIMENTO TECNICO (circa 5 minuti) --- Per prima cosa, definiamo il problema principale. Quando si analizza ciò che consuma effettivamente larghezza di banda su una tipica rete WiFi per ospiti aziendali, la suddivisione è davvero sorprendente per la maggior parte delle persone. Le reti pubblicitarie e i tracker di terze parti - la telemetria in background che ogni app su ogni dispositivo invia costantemente - rappresentano tra il venticinque e il quaranta per cento del volume di query DNS su una tipica rete ospiti. Non si tratta di richieste che i vostri ospiti effettuano consapevolmente. Sono automatiche. Ogni volta che qualcuno apre un'app di notizie, una piattaforma di social media o un'app di shopping sul proprio telefono, quell'app avvia decine di ricerche DNS verso server pubblicitari, piattaforme di analisi e pixel di tracciamento. Nessuno di questi flussi di traffico offre valore ai vostri ospiti. Tutti consumano la capacità del vostro uplink. Oltre a questo, ci sono il malware e il traffico delle botnet. I dispositivi compromessi - e su una rete ospiti di grandi dimensioni ci saranno sempre dispositivi compromessi - tentano costantemente di connettersi ai server di comando e controllo. Quel traffico non solo spreca larghezza di banda, ma rappresenta anche un rischio per la conformità e la sicurezza. Quindi, prima ancora che un singolo byte di traffico legittimo - una videochiamata, una pagina web, una transazione di pagamento - raggiunga il vostro uplink, avete già bruciato da un terzo a metà della vostra capacità disponibile a causa del rumore di fondo.Ora, il filtraggio DNS opera a livello di risoluzione. Ogni richiesta internet inizia con una query DNS — una ricerca che traduce un nome di dominio in un indirizzo IP. Il filtraggio DNS intercetta tale query prima ancora che raggiunga il tuo uplink. Se il dominio si risolve in una rete pubblicitaria, in un host di malware noto o in una categoria limitata dalle policy, la query viene bloccata a livello DNS. Il dispositivo riceve una risposta nulla. Nessun dato viene trasferito. Non viene consumata larghezza di banda. Questo è fondamentalmente diverso da un firewall o da un proxy. Un firewall ispeziona i pacchetti dopo che sono già arrivati. Un proxy intercetta il traffico a metà flusso. Il filtraggio DNS interrompe la richiesta prima che inizi — ed è per questo che il recupero della larghezza di banda è così significativo. Non stai ripulendo il traffico che è già arrivato; stai impedendo che venga richiesto in primo luogo. Dal punto di vista dell'architettura, l'implementazione è semplice. Configuri il tuo server DHCP per indirizzare i dispositivi client al tuo risolutore di filtraggio DNS anziché al DNS predefinito del tuo ISP. Si tratta in genere di una modifica di due righe nella configurazione DHCP. Le regole di filtraggio sono gestite centralmente — nel cloud o on-premise a seconda dei requisiti di conformità — e applicate in modo uniforme su tutti i dispositivi connessi, indipendentemente dall'access point a cui sono associati. Questo è un punto critico per gli operatori multi-sito. Una catena di vendita al dettaglio con duecento negozi, o un gruppo alberghiero con cinquanta proprietà, può implementare una policy di filtraggio DNS coerente su intero patrimonio da un'unica console di gestione. Nessuna visita tecnica in loco. Nessuna configurazione per sito. Le modifiche alle policy si propagano in pochi minuti. Ora, c'è un'importante considerazione tecnica che desidero segnalare agli architetti presenti. L'emergere del DNS over HTTPS — DoH — crea una sfida per il filtraggio DNS tradizionale. Quando un dispositivo utilizza DoH, crittografa le sue query DNS e le invia direttamente a un risolutore specifico — in genere uno gestito da un fornitore di browser — aggirando completamente il DNS a livello di rete. Ciò significa che le tue regole di filtraggio vengono eluse. La soluzione consiste nell'imporre l'intercettazione DoH a livello di rete. Ciò comporta l'identificazione del traffico DoH — che viene eseguito sulla porta 443 verso intervalli di IP di risolutori noti — e il suo blocco o il reindirizzamento al proprio risolutore di filtraggio compatibile con DoH. Si tratta di una configurazione più avanzata, ma è essenziale per mantenere l'efficacia del filtraggio sulle reti moderne in cui Chrome, Firefox e iOS utilizzano sempre più spesso il DNS crittografato come impostazione predefinita. Purple ha pubblicato una guida dettagliata sulle implicazioni del DNS over HTTPS per il filtraggio del WiFi pubblico, che consiglio di leggere insieme a questo briefing. Oltre al filtraggio DNS, esistono diverse ottimizzazioni complementari a livello software che vale la pena implementare in parallelo. Il band steering è uno degli interventi più efficaci. La maggior parte degli access point moderni supporta sia la banda a 2,4 GHz che quella a 5 GHz. La banda a 5 GHz offre un throughput significativamente più elevato ma una portata inferiore. Senza un band steering attivo, i dispositivi tendono spesso a connettersi alla banda a 2,4 GHz per impostazione predefinita - in particolare i dispositivi più vecchi e l'hardware IoT - creando congestione su una banda già satura di traffico legacy. L'abilitazione del band steering nel controller wireless spinge i dispositivi compatibili verso i 5 GHz, liberando la banda a 2,4 GHz per i dispositivi che ne hanno realmente bisogno. La razionalizzazione degli SSID è un altro intervento rapido e vantaggioso. Ogni SSID trasmesso consuma tempo di trasmissione (airtime) attraverso i beacon frame - traffico di gestione che ogni dispositivo nel raggio di copertura deve elaborare. Una struttura che gestisce otto o dieci SSID per diversi reparti, fornitori e livelli di ospiti consuma una percentuale significativa di airtime solo per il sovraccarico di gestione. Consolidare in tre o quattro SSID - guest, staff, IoT e management - e utilizzare il tagging VLAN per la segmentazione anziché SSID separati consente di recuperare immediatamente quell'airtime. La definizione delle policy di QoS - Quality of Service - è la terza leva. Senza QoS, un singolo ospite che riproduce video in streaming 4K può saturare una cella radio, degradando l'esperienza di navigazione di ogni altro dispositivo connesso a quell'access point. L'implementazione di limitazioni di banda per singolo client e la prioritizzazione del traffico - elevando il traffico VoIP e delle transazioni POS al di sopra dello streaming di massa - garantisce la protezione del traffico aziendale critico anche in condizioni di massimo carico. Infine, la pianificazione dei canali e l'ottimizzazione della potenza di trasmissione. Spesso queste impostazioni vengono configurate solo durante l'installazione iniziale e mai più verificate. Con il variare dell'ambiente RF - nuovi edifici, nuove fonti di interferenza, cambiamenti nella densità dei dispositivi - le assegnazioni dei canali potrebbero creare interferenze co-canale che riducono significativamente il throughput. L'esecuzione di un rilevamento RF passivo e la riottimizzazione dell'assegnazione dei canali è un intervento a costo zero che può generare miglioramenti sostanziali del throughput. --- RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE (circa 2 minuti) --- Ecco una sequenza di implementazione pratica per una struttura di medie dimensioni - come un hotel da duecento camere o un centro di distribuzione retail regionale. Inizia con una misurazione di riferimento. Prima di modificare qualsiasi cosa, configura la rete per monitorare il volume delle query DNS per categoria, il consumo di banda per singolo client e l'utilizzo dell'uplink in base alle fasce orarie. Questo ti fornirà lo stato iniziale per il calcolo del ROI. La maggior parte delle piattaforme aziendali di WiFi analytics mostra questi dati in modo nativo - la piattaforma di analytics di Purple, ad esempio, offre una visibilità a livello di singolo dispositivo che rende estremamente semplice questa analisi iniziale. Fase due: distribuire il filtraggio DNS in modalità di monitoraggio. La maggior parte delle soluzioni di filtraggio DNS aziendali supporta una modalità passiva in cui le query vengono registrate e categorizzate ma non bloccate. Esegui questa fase per un periodo da quarantotto a settantadue ore per comprendere la composizione del tuo traffico prima di applicare qualsiasi policy. Questo evita che i falsi positivi interrompano il traffico legittimo fin dal primo giorno. Fase tre: abilitare il blocco a fasi. Inizia con le categorie a più alta affidabilità: domini malware noti, command-and-control di botnet e reti pubblicitarie. Si tratta di blocchi a basso rischio con un elevato impatto sulla larghezza di banda. Esamina i log quotidianamente durante la prima settimana per intercettare eventuali blocchi imprevisti. Fase quattro: stratificare QoS e band steering. Una volta che il filtraggio DNS è stabile, implementa la limitazione della velocità per client e il band steering. Testa queste modifiche durante le ore non di punta e verifica che i terminali POS, i telefoni VoIP e altri dispositivi business-critical funzionino correttamente. Fase cinque: documentare e misurare. Dopo trenta giorni, estrai le metriche di utilizzo della larghezza di banda e confrontale con la tua baseline. Nella maggior parte delle distribuzioni, vedrai una riduzione dal venti al quaranta percento nell'utilizzo del collegamento uplink. Questo è il dato del tuo ROI. Ora, le insidie. La più comune che riscontro è il blocco eccessivo. Se abiliti categorie di filtraggio dei contenuti aggressive senza prima esaminare i log, bloccherai servizi legittimi. I servizi di cloud storage, le applicazioni SaaS aziendali e persino alcuni domini di elaborazione dei pagamenti possono apparire in blocchi di categorie ampie. Inizia sempre in modo prudente ed espandi successivamente. La seconda insidia consiste nell'ignorare il bypass DoH. Se distribuisci il filtraggio DNS senza gestire il DoH, vedrai calare l'efficacia del tuo filtraggio nel tempo man mano che più dispositivi passeranno per impostazione predefinita al DNS crittografato. Gestisci questo aspetto a livello di policy di rete fin dal primo giorno. La terza insidia è la mancata segmentazione del traffico IoT. I dispositivi IoT - smart TV, sistemi di gestione degli edifici, segnaletica digitale - generano spesso un traffico DNS significativo verso i server di telemetria dei produttori. Se non segmenti l'IoT su una VLAN separata con la propria policy di filtraggio, potresti inavvertitamente bloccare le funzionalità del dispositivo quando andrai a stringere le regole di filtraggio. --- DOMANDE E RISPOSTE RAPIDE (circa 1 minuto) --- Permettetemi di passare in rassegna le domande che ricevo più spesso. "Il filtraggio DNS influirà sull'esperienza degli ospiti?" All'atto pratico, gli ospiti non se ne accorgono mai. I domini che vengono bloccati sono telemetrie in background, non contenuti che stanno richiedendo attivamente. Semmai, la loro esperienza migliora perché c'è più larghezza di banda disponibile per le attività che stanno effettivamente cercando di svolgere. "Questo richiede modifiche ai nostri access point?" No. Il filtraggio DNS si configura a livello di DHCP e risolutore DNS. I tuoi access point rimangono invariati. "Questo sistema è conforme al GDPR?" Il filtraggio DNS registra le query dei domini, non i contenuti. Non si effettua un'ispezione profonda dei pacchetti. A condizione di disporre di adeguate policy di conservazione dei dati e che l'informativa sulla privacy copra il monitoraggio della rete - come dovrebbe avvenire in ogni caso - il filtraggio DNS è completamente compatibile con il GDPR. Per le installazioni nel settore pubblico e sanitario, spesso si tratta di un requisito di conformità piuttosto che di una scelta. "E per quanto riguarda lo standard PCI-DSS?" Il filtraggio DNS in realtà rafforza la vostra postura PCI-DSS impedendo agli ambienti contenenti dati dei titolari di carta di comunicare con domini dannosi noti. È un controllo positivo, non un rischio. - RIEPILOGO E PROSSIMI PASSI (circa 1 minuto) - Per riassumere: la maggior parte dei problemi di prestazioni del WiFi aziendale non è legata all'hardware. Si tratta di problemi software - nello specifico, l'assenza di una gestione intelligente del traffico a livello DNS. Implementando il filtraggio DNS, è possibile recuperare il trenta per cento o più della larghezza di banda esistente, estendere la vita operativa dell'attuale infrastruttura di access point da due a quattro anni e, al contempo, migliorare la sicurezza e lo stato di conformità. I tempi di implementazione si misurano in ore, non in mesi. La spesa in conto capitale è una frazione rispetto a quella richiesta per un rinnovo dell'hardware. I prossimi passi pratici sono semplicissimi. Eseguite un audit del traffico DNS sulla vostra rete questa settimana - la maggior parte delle piattaforme aziendali vi fornirà questi dati senza bisogno di strumenti aggiuntivi. Identificate le categorie di domini che consumano più larghezza di banda. Valutate quindi una soluzione di filtraggio DNS rispetto a quelle categorie. Se gestite una rete WiFi per ospiti su larga scala - hospitality, retail, eventi, settore pubblico - la piattaforma di Purple integra il filtraggio DNS con la gestione del WiFi per ospiti e l'analitica in un'unica implementazione. Ciò significa che otterrete il recupero della banda, i controlli di conformità e i dati analitici degli ospiti da un'unica piattaforma anziché da tre. Grazie per aver ascoltato il Purple Technical Briefing. Le linee guida complete per l'implementazione, gli schemi architetturali e gli esempi pratici sono disponibili nella guida scritta allegata. Alla prossima puntata.