Come progettare una rete WiFi per campus: guida IT per le università

Benvenuti al Purple Enterprise Network Briefing. Oggi affrontiamo una sfida infrastrutturale complessa: come progettare una rete WiFi per campus, analizzando nello specifico le installazioni in università e grandi sedi per eventi. Se ricoprite il ruolo di CTO, Direttore IT o architetto di rete, questo briefing fa al caso vostro. Tralasceremo la teoria per concentrarci sugli aspetti pratici della progettazione in ambienti wireless ad alta densità. Iniziamo con un po' di contesto. Una rete WiFi per campus non è più solo un servizio di cortesia. È un'infrastruttura critica. Gli studenti arrivano il primo giorno con tre o quattro dispositivi a testa. Il personale ha bisogno di una connettività affidabile per videoconferenze, applicazioni cloud e sistemi di gestione degli edifici. Inoltre, il campus stesso si sta trasformando in un ambiente intelligente, con sensori IoT, digital signage e controllo degli accessi che viaggiano tutti sulla stessa infrastruttura wireless. La sfida principale non è la semplice copertura. È la capacità. E questa distinzione è il concetto più importante di questo briefing. Partiamo dalle fondamenta: il site survey. In un campus, un'analisi predittiva basata sulle planimetrie è solo il punto di partenza. È assolutamente necessario eseguire site survey attivi sul campo. Vediamo troppe strutture affidarsi esclusivamente a modelli software. Una parete in mattoni di un'aula magna del diciannovesimo secolo attenua il segnale in modo molto diverso rispetto a una moderna parete in cartongesso. Un edificio di epoca vittoriana con spessi muri in pietra e soffitti alti si comporterà in modo completamente diverso rispetto a un blocco di aule moderno costruito su misura. Il vostro survey attivo deve mappare le zone ad alta densità - come auditorium, aree studenti, biblioteche, mense - e identificare le fonti di interferenza RF. Forni a microonde, dispositivi Bluetooth e persino le reti vicine possono degradare le prestazioni se non sono stati presi in considerazione. Il risultato del survey deve essere una mappa termica che mostri la potenza del segnale, l'utilizzo dei canali e i livelli di interferenza su ogni piano di ogni edificio. Questo diventerà la base per il piano di posizionamento degli access point. Quando si pianifica il posizionamento degli access point, la regola d'oro è privilegiare la capacità rispetto alla copertura. Non si tratta più solo di far arrivare il segnale nell'angolo di una stanza. Si tratta di supportare tre dispositivi per studente in un'aula magna da trecento posti. Ciò significa installare access point ad alta densità, solitamente WiFi 6 o WiFi 6E, e gestire in modo aggressivo la sovrapposizione dei canali. Per gli spazi ad alta densità, valutate l'installazione di access point con antenne direzionali che concentrano l'energia RF verso il basso, sulle aree di seduta, anziché antenne omnidirezionali che diffondono il segnale in tutte le direzioni causando interferenze tra gli AP adiacenti. Passiamo ora all'architettura. Il modello a tre livelli è lo standard per le reti enterprise dei campus: Management, Core e Access. In cima c'è il controller WLAN centralizzato - sia esso on-premise o gestito in cloud. Questo è il cervello della rete. Gestisce il roaming continuo, l'applicazione delle policy, l'ottimizzazione delle frequenze radio e la gestione del firmware su tutti i punti di accesso. I controller gestiti in cloud sono diventati la scelta dominante per le nuove installazioni perché semplificano la gestione multi-sito e riducono i costi dell'hardware on-premise. Al centro si trova l'infrastruttura di switching core e di distribuzione. Si tratta di switch ad alta capacità che aggregano il traffico proveniente dal livello di accesso e lo instradano verso il gateway Internet e le risorse interne. In basso si trova il livello di accesso: gli switch Power over Ethernet e gli access point wireless veri e propri. Per le nuove installazioni, il PoE Plus rappresenta lo standard minimo, poiché gli access point WiFi 6 consumano più energia rispetto ai loro predecessori. Parliamo ora dell'onboarding e dell'autenticazione degli utenti - perché è proprio qui che molte reti campus falliscono nella pratica. Ci sono migliaia di utenti di passaggio: studenti iscritti, personale, docenti in visita, delegati a conferenze e pubblico generico. Ogni gruppo ha requisiti di accesso diversi e implicazioni di sicurezza differenti. Per il personale e gli studenti iscritti, l'implementazione dello standard 802.1X con autenticazione EAP non è negoziabile. Questo collega l'accesso wireless al vostro identity provider esistente - sia esso Active Directory, LDAP o un servizio di identità cloud. Gli utenti si autenticano con le proprie credenziali istituzionali e la rete li assegna dinamicamente alla VLAN appropriata. Ciò fornisce un accesso crittografato e basato su credenziali che soddisfa i requisiti di standard come ISO 27001 e Cyber Essentials. Per gli ospiti e gli utenti di passaggio, è necessaria una soluzione di Captive Portal che sia sicura, conforme e che non generi una valanga di ticket di assistenza. È qui che una piattaforma dedicata per il WiFi ospiti offre un reale valore aggiunto. Una soluzione come la piattaforma Guest WiFi di Purple offre un onboarding sicuro e conforme al GDPR, splash page personalizzabili e, soprattutto, analisi sull'utilizzo della struttura. Si ottiene così visibilità sui flussi di visitatori, sui tempi di sosta e sui periodi di picco di utilizzo - informazioni che hanno un reale valore operativo. Parliamo di VLAN e segmentazione della rete. Una corretta segmentazione delle VLAN è fondamentale sia per la sicurezza che per le prestazioni. Come minimo, si dovrebbero avere VLAN separate per il personale, gli studenti, gli ospiti e i dispositivi IoT. La VLAN per l'IoT è particolarmente importante. I sensori degli edifici intelligenti, i controller HVAC, la segnaletica digitale e le telecamere di sicurezza non dovrebbero mai condividere un segmento di rete con i dispositivi degli utenti. Un dispositivo IoT con una vulnerabilità non deve essere in grado di comunicare con il laptop di uno studente. Parliamo ora del roaming - perché un passaggio di consegne continuo è fondamentale per l'esperienza utente. Quando un utente cammina dalla biblioteca alla caffetteria, la sua chiamata VoIP non dovrebbe interrompersi. Il suo streaming video non dovrebbe subire buffering. La sua applicazione cloud non dovrebbe andare in timeout. Per ottenere questo risultato è necessario un attento sintonizzamento della potenza di trasmissione e l'implementazione di standard di roaming rapido. I tre standard da conoscere sono 802.11k, 802.11v e 802.11r. Insieme, questi vengono a volte definiti la tripletta del roaming rapido. Lo standard 802.11k consente agli access point di fornire ai client un elenco di AP vicini, in modo che il dispositivo sappia dove effettuare il roaming prima di averne effettivamente bisogno. Lo standard 802.11v consente alla rete di suggerire a un client di spostarsi su un AP migliore. Infine, lo standard 802.11r abilita la transizione rapida BSS, riducendo drasticamente i tempi di autenticazione durante il roaming - un aspetto fondamentale per le applicazioni vocali e in tempo reale. Tuttavia, nulla di tutto questo funziona se la potenza di trasmissione è configurata in modo errato. Se gli AP trasmettono alla massima potenza, i dispositivi client rimarranno agganciati a un AP anche quando ne è disponibile uno più vicino. Questo è il classico problema del "sticky client". Il dispositivo rileva un segnale forte da un AP lontano e rifiuta di spostarsi su uno più vicino, con conseguente riduzione delle prestazioni per quell'utente e un carico inutile sull'AP distante. La soluzione consiste nel sintonizzare le dimensioni delle celle. Riducete la potenza di trasmissione in modo che le celle di copertura degli AP adiacenti si sovrappongano appena - in genere di circa il quindici-venti percento. E disabilitate le velocità di trasmissione dati più basse - uno, due e cinque virgola cinque megabit al secondo - sui vostri access point. Quando si consente ai dispositivi di connettersi a queste velocità legacy, questi manterranno un segnale debole all'infinito. La disabilitazione di queste velocità costringe il dispositivo a interrompere la connessione e a spostarsi su un AP con segnale più forte. È il momento di alcune domande rapide basate su ciò che sentiamo più spesso dai clienti. Domanda uno: Dobbiamo separare i dispositivi IoT sulla loro rete dedicata? Assolutamente sì. Posizionate i dispositivi IoT - display intelligenti, sensori HVAC, sistemi di controllo degli accessi - su una VLAN dedicata con regole di firewall rigide. Non lasciate che congestionino le vostre reti dati principali e non consentite loro di comunicare lateralmente con i dispositivi degli utenti. Domanda due: Come gestiamo i dispositivi legacy che non supportano l'autenticazione moderna? Per i dispositivi che non possono utilizzare lo standard 802.1X - come i vecchi smart TV o le console da gioco negli alloggi degli studenti - implementate il MAC Authentication Bypass, o MAB. Questo vi consente di registrare indirizzi MAC di dispositivi specifici e di assegnarli a una VLAN appropriata senza richiedere un'autenticazione basata su credenziali. Domanda tre: E per quanto riguarda la copertura esterna? È essenziale e spesso viene considerata solo in un secondo momento. Utilizzate access point robusti e resistenti alle intemperie con antenne direzionali per coprire cortili, aree salotto all'aperto e impianti sportivi. Gli AP per esterni devono resistere a temperature estreme, umidità e atti vandalici - non distribuite unità per interni all'esterno. Quarta domanda: come gestiamo la sicurezza del piano di gestione? Assicurati che l'interfaccia di gestione del controller si trovi su una VLAN di gestione dedicata, accessibile solo dalle workstation degli amministratori autorizzati. Abilita l'autenticazione a più fattori per tutti gli account amministratore. E controlla regolarmente lo stato di sicurezza dei tuoi access point. Per riassumere i punti chiave del briefing di oggi. Primo: progetta per la capacità, non solo per la copertura. In un moderno ambiente campus, il collo di bottiglia non è quasi mai l'intensità del segnale - è la capacità di servire in modo efficiente centinaia di dispositivi simultanei. Secondo: conduci indagini RF attive in loco. Non affidarti esclusivamente ai modelli predittivi. I materiali da costruzione, le fonti di interferenza e il layout fisico devono essere tutti convalidati nel mondo reale. Terzo: implementa un'architettura a tre livelli con gestione centralizzata. Un controller gestito in cloud ti offre visibilità e controllo su tutta la tua infrastruttura. Quarto: usa 802.1X per il personale e gli studenti, e un Captive Portal sicuro per gli ospiti. Sfrutta la tua piattaforma WiFi per ospiti per acquisire dati analitici e guidare l'intelligence operativa. Quinto: sintonizza la tua rete per un roaming continuo. Implementa 802.11k, v e r. Riduci la potenza di trasmissione. Disabilita le velocità di trasmissione dati legacy. Elimina i client persistenti. E sesto: segmenta la tua rete con le VLAN. Mantieni separato il traffico IoT, degli ospiti, del personale e degli studenti. Per un approfondimento tecnico, inclusi diagrammi di architettura, esempi pratici e una checklist di implementazione completa, leggi la nostra guida completa su come creare una rete WiFi per campus sul sito web di Purple. Grazie per aver ascoltato il Purple Enterprise Network Briefing.