Progettazione di reti WiFi per edifici per uffici multi-tenant

PURPLE TECHNICAL BRIEFING Progettazione di reti WiFi per edifici per uffici multi-tenant Trascrizione completa [SEZIONE 1: INTRODUZIONE E CONTESTO - 1 MINUTO] Benvenuti al Purple Technical Briefing. Sono un Senior Solutions Architect di Purple e oggi affronteremo uno degli scenari di implementazione tecnicamente più impegnativi nel networking aziendale: la progettazione di reti WiFi per edifici per uffici multi-tenant. Sia che siate responsabili di una torre commerciale di classe A con quindici inquilini indipendenti, di uno sviluppo a destinazione d'uso mista che unisce spazi commerciali e uffici, o di un campus di coworking flessibile, la sfida è fondamentalmente la stessa. È necessario fornire una connettività affidabile, sicura e isolata a più organizzazioni indipendenti su un'unica rete fisica condivisa. E dovete farlo in modo da soddisfare i requisiti di conformità, non sovraccaricare il vostro help desk e non richiedere un tecnico a tempo pieno per la manutenzione. Entriamo nei dettagli dell'architettura tecnica. [SEZIONE 2: APPROFONDIMENTO TECNICO - 5 MINUTI] La base di qualsiasi progettazione WiFi multi-tenant è la segmentazione della rete. Il meccanismo principale per raggiungere questo obiettivo è il tagging VLAN, standardizzato secondo la norma IEEE 802.1Q. Il concetto è semplice: si assegna ogni tenant, o ogni classe di traffico, a una VLAN distinta. Il traffico sulla VLAN 10 non può raggiungere il traffico sulla VLAN 20 a meno che non lo si consenta esplicitamente tramite una policy del firewall. Questo isolamento logico è la vostra prima linea di difesa. Ora, ecco dove i progettisti spesso commettono il loro primo errore. Confondono la segmentazione VLAN con la sicurezza. Le VLAN forniscono isolamento, non sicurezza. Sono ancora necessarie policy di firewall tra le VLAN. Sono ancora necessarie liste di controllo degli accessi. E occorre ancora riflettere attentamente su quale routing inter-VLAN consentire. Una porta trunk configurata in modo errato può far crollare l'intero modello di segmentazione in pochi secondi. In un edificio per uffici multi-tenant, in genere si dispone di un'infrastruttura fisica condivisa: cablaggio, switch fabric e access point al servizio di più tenant. Gli access point trasmettono più SSID, ciascuno mappato su una VLAN diversa. Il Tenant A si connette al proprio SSID, il suo traffico viene taggato con la VLAN 10 sull'access point, attraversa lo switch fabric condiviso su una porta trunk e arriva al livello di distribuzione dove viene instradato nella sottorete isolata del Tenant A. Il traffico del Tenant B segue lo stesso percorso fisico ma è completamente isolato al Layer 2. In passato, gli ingegneri di rete segmentavano gli ambienti creando un SSID univoco per ogni tenant. Ma la proliferazione di SSID è un killer per le prestazioni. Ogni SSID trasmesso deve inviare frame di gestione, chiamati beacon, alla velocità di trasmissione dati minima obbligatoria. Se si trasmettono sei o sette SSID su un access point, si può facilmente consumare dal venti al trenta percento del tempo di trasmissione wireless disponibile solo per il sovraccarico di gestione. Questo prima ancora che venga trasmesso un singolo byte di dati effettivi dell'utente. Lo standard aziendale moderno è il Dynamic VLAN Assignment. Invece di utilizzare SSID multipli, si trasmette un unico SSID sicuro utilizzando l'autenticazione IEEE 802.1X. Quando un utente si connette, il suo dispositivo scambia le credenziali con un server RADIUS. Il server RADIUS autentica l'utente e invia un messaggio di Access-Accept all'access point. Questo messaggio include attributi standard IETF specifici: Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID, che contiene l'ID VLAN specifico per l'organizzazione di quell'utente. L'access point riceve questi attributi e inserisce dinamicamente il traffico di quell'utente direttamente nella sua VLAN dedicata. Un dirigente aziendale e un dispositivo IoT possono connettersi esattamente allo stesso SSID, ma il loro traffico è completamente isolato al Layer 2. Per l'autenticazione, WPA3-Enterprise è oggi lo standard di crittografia raccomandato. Offre una modalità di sicurezza a 192 bit ed elimina le vulnerabilità associate all'handshake a quattro vie di WPA2. Gli identity provider come Microsoft Entra ID, Okta o Google Workspace si integrano con l'infrastruttura RADIUS per gestire le credenziali in modo centralizzato. Parliamo ora della pianificazione RF, perché è qui che le distribuzioni negli uffici multi-tenant diventano davvero complesse. Quando si hanno più tenant in spazi adiacenti, si ha a che fare con un ambiente RF ad alta densità. L'interferenza co-canale è il nemico principale. È necessaria un'adeguata attività di pianificazione RF prima dell'installazione: un site survey attivo che mappi la propagazione del segnale, identifichi le fonti di interferenza e definisca la strategia di allocazione dei canali. La banda a 2.4 GHz offre tre canali non sovrapposti nella maggior parte dei domini normativi: i canali 1, 6 e 11. La banda a 5 GHz offre una capacità nettamente superiore. Il WiFi 6E estende questa capacità alla banda a 6 GHz, offrendo uno spettro pulito e ampiamente privo di interferenze da parte di dispositivi legacy. Per le nuove installazioni multi-tenant, la scelta ideale è specificare access point compatibili con WiFi 6E di fornitori come Cisco Meraki, HPE Aruba, Ruckus o Juniper Mist. Lo spazio aggiuntivo nello spettro offre grandi vantaggi in ambienti densi. L'IoT è l'altra dimensione che non si può ignorare. In un moderno edificio multi-tenant sono presenti sistemi di gestione dell'edificio, controller HVAC, illuminazione intelligente, controllo degli accessi e TVCC. Questi devono trovarsi su una propria VLAN isolata, completamente separata sia dal traffico dei tenant sia da quello degli ospiti. I dispositivi IoT sono notoriamente difficili da aggiornare e rappresentano una superficie di attacco significativa. Segmentateli, monitorateli e applicate un filtraggio rigoroso del traffico in uscita. [SEZIONE 3: RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI - 2 MINUTI] Permettetemi di condividere i tre errori più comuni che riscontro nelle installazioni multi-tenant. Il primo è l'insufficiente configurazione delle porte trunk. I progettisti creano un eccellente schema VLAN e poi dimenticano di consentire esplicitamente le VLAN pertinenti su ogni collegamento trunk nel percorso. Il traffico si interrompe silenziosamente, i tenant si lamentano e il team di supporto trascorre giorni a tracciare il problema. Documenta meticolosamente le tue configurazioni trunk e convalidale durante la messa in servizio. Il secondo errore comune è la proliferazione degli SSID. Mantieni il numero di SSID a non più di quattro per radio. Utilizza l'assegnazione dinamica delle VLAN tramite attributi RADIUS anziché SSID separati per servire più tenant. Il terzo errore è trascurare il piano di gestione. La tua VLAN di gestione, quella su cui comunicano i tuoi access point, switch e controller, deve essere completamente isolata da tutte le VLAN dei tenant e degli ospiti. Se un tenant può raggiungere il tuo piano di gestione, hai una vulnerabilità di sicurezza critica. Aggiungerei anche un quarto: trascurare la gestione del tempo di lease DHCP sulle VLAN guest. In ambienti ad alta rotazione, i dispositivi mantengono i lease dopo la disconnessione. Imposta i tempi di lease della VLAN guest su una o due ore per evitare l'esaurimento degli indirizzi IP. [SECTION 4: RAPID-FIRE Q AND A - 1 MINUTE] Permettetemi di passare in rassegna alcune domande che emergono costantemente in queste implementazioni. Hai bisogno di access point fisici separati per tenant? No. Questo è l'intero scopo della multi-tenancy basata su VLAN. Più tenant condividono lo stesso access point, con l'isolamento del traffico applicato a livello di rete. Come si gestiscono i dispositivi IoT legacy che non supportano l'802.1X? Utilizza il MAC Authentication Bypass combinato con WPA3-SAE. Il server RADIUS identifica il dispositivo tramite il suo indirizzo MAC e lo assegna a una VLAN IoT isolata. Applica regole di firewall rigide a questo segmento. L'assegnazione dinamica della VLAN influisce sul roaming? Non se la configuri correttamente. Abilita 802.11r per il Fast BSS Transition e l'Opportunistic Key Caching. Lo stato di autenticazione viene memorizzato nella cache dei tuoi access point e gli utenti effettuano il roaming in modo trasparente senza ritardi di autenticazione. [SECTION 5: SUMMARY AND NEXT STEPS - 1 MINUTE] Per riassumere: un'architettura WiFi multi-tenant ben progettata per un edificio per uffici si basa su quattro pilastri. In primo luogo, una rigorosa segmentazione VLAN con policy di firewall applicate tra i segmenti. In secondo luogo, una gestione centralizzata basata su controller che offre visibilità operativa e controllo delle policy su scala. In terzo luogo, una corretta pianificazione RF che tenga conto dell'ambiente fisico e della densità dell'installazione. E in quarto luogo, un modello di sicurezza che affronti l'autenticazione, la crittografia, l'isolamento IoT e i requisiti di conformità fin dal primo giorno. Le organizzazioni che gestiscono correttamente questo aspetto vedono risultati misurabili: riduzione dei costi di supporto, onboarding dei tenant più rapido, una postura di conformità dimostrabile per gli audit e la capacità di monetizzare la connettività come servizio anziché trattarla come un centro di costo. Se stai pianificando un'implementazione multi-tenant e desideri scoprire come la piattaforma di Purple possa fornire analisi, gestione del Guest WiFi e un livello di reportistica a livello di tenant sopra la tua infrastruttura di rete, visita purple.ai. Le risorse collegate nella guida sono un ottimo punto di partenza. Grazie per l'ascolto. Alla prossima.