Tre SSID per domarli tutti: guida alla configurazione di WiFi guest, Passpoint e IoT

Benvenuti alla serie di briefing tecnici Purple. Oggi parleremo del design WiFi a tre SSID: un'architettura di rete che consolida l'accesso degli ospiti, l'onboarding sicuro e automatizzato e la gestione dei dispositivi IoT sotto tre reti wireless dedicate. Se gestite il WiFi in un hotel, un'area commerciale, uno stadio o un centro congressi, questo è il design che dovreste implementare nel 2025 e negli anni a seguire. [medium pause] Lasciate che contestualizzi la situazione. La maggior parte delle strutture che incontriamo utilizza ancora al massimo due SSID: una rete per gli ospiti e una che viene genericamente definita rete del personale. Il problema è che queste due reti finiscono per ospitare qualsiasi cosa. I terminali di pagamento si trovano sullo stesso segmento degli smartphone degli ospiti. I fornitori esterni si connettono allo stesso SSID del vostro digital signage. I sensori IoT condividono la larghezza di banda con i visitatori che guardano video in streaming. Questa non è una postura di sicurezza. È un rischio. Il design a tre SSID risolve questo problema assegnando a ogni classe di dispositivi e utenti la propria rete dedicata, la propria VLAN e il proprio metodo di autenticazione. Tre SSID. Tre VLAN. Un'unica architettura di sicurezza coerente. [medium pause] Analizziamoli uno per uno. L'SSID numero uno è il vostro WiFi ospiti aperto. Questa è la classica rete con Captive Portal, quella che i visitatori vedono quando aprono il telefono e si connettono. È aperta, cioè senza chiave precondivisa, perché si desidera eliminare ogni attrito al momento della connessione. L'autenticazione avviene a livello di portale. Il visitatore si connette, viene reindirizzato a una splash page, accetta i termini di servizio e, facoltativamente, fornisce un indirizzo e-mail o un numero di telefono. Questo rappresenta il vostro opt-in consapevole per la conformità GDPR. La piattaforma di Purple gestisce tutto questo in modo nativo: il portale acquisisce i dati di prima parte, registra il timestamp del consenso e mappa la sessione sulla VLAN 10, che è il segmento ospiti. La VLAN 10 ha accesso solo a Internet. Non può raggiungere i vostri sistemi POS, i server di back-office o qualsiasi altra risorsa interna. Le regole del firewall lo impongono a livello perimetrale. Dal punto di vista della conformità, questo SSID svolge il lavoro più pesante. Il GDPR richiede la registrazione del consenso, della base giuridica del trattamento e del timestamp. Purple registra tutto questo automaticamente. Se vi trovate in una struttura soggetta a PCI DSS (ad esempio, un hotel con terminali di pagamento nelle camere), l'SSID degli ospiti deve essere completamente isolato da qualsiasi ambiente di dati dei titolari di carta. La segmentazione della VLAN con una policy firewall inter-VLAN consente di ottenere questo risultato. [medium pause] L'SSID numero due è la vostra rete Passpoint, nota anche come Hotspot 2.0. È qui che il design diventa davvero interessante. Passpoint è uno standard IEEE 802.11u che consente a un dispositivo di rilevare, autenticare e connettersi automaticamente a una rete WiFi senza alcuna interazione da parte dell'utente. Nessun portale. Nessuna richiesta di password. Il dispositivo negozia l'autenticazione in background utilizzando l'EAP (Extensible Authentication Protocol) e si connette in modo crittografato fin dal primo pacchetto. Come fa un dispositivo a sapere come connettersi? Ha un profilo Passpoint installato. Con Purple, quel profilo viene distribuito tramite l'app Purple o tramite un SDK che puoi integrare nella tua app personalizzata. Quando un visitatore di ritorno entra nella tua sede, il suo dispositivo rileva il tuo SSID Passpoint che trasmette una risposta ANQP, lo associa al profilo installato e si connette automaticamente. L'intero processo richiede meno di due secondi. L'utente non tocca mai il proprio telefono. Il flusso di autenticazione utilizza EAP-TLS o EAP-TTLS con PEAP, a seconda della configurazione. Il dispositivo presenta una credenziale al tuo server RADIUS - Purple funge da server RADIUS nel cloud - e il server restituisce un RADIUS Access-Accept con un attributo di assegnazione VLAN. Tale attributo indica all'access point su quale VLAN inserire quella sessione. Ad esempio, l'utente di un'app fedeltà potrebbe atterrare sulla VLAN 20, che ha accesso alla tua piattaforma fedeltà e a contenuti più ricchi. Un membro dello staff che utilizza lo stesso SSID Passpoint con una credenziale diversa atterra sulla VLAN 30, che ha accesso ai sistemi interni. Un unico SSID. Assegnazione dinamica della VLAN. Policy applicata per identità. [medium pause] L'SSID numero tre è la tua rete xPSK. xPSK è un termine ombrello che copre iPSK, PPSK, DPSK e MPSK - tutte varianti dello stesso concetto di chiavi precondivise per dispositivo o per gruppo. L'idea è semplice: invece di un'unica password condivisa per i tuoi dispositivi IoT e appaltatori, ogni dispositivo o gruppo riceve la propria chiave univoca. Quella chiave si mappa su una VLAN specifica. Quando un terminale per carte si connette con la sua chiave, atterra sulla VLAN 40, che è la tua rete di pagamento conforme a PCI. Quando un lettore di digital signage si connette con la sua chiave, atterra sulla VLAN 50, che ha accesso al tuo server di gestione dei contenuti ma a nient'altro. Quando un appaltatore si connette con una chiave temporanea, atterra sulla VLAN 60, che ha accesso a internet e a nessun sistema interno. Quando revochi la chiave di quell'appaltatore, questo viene disconnesso immediatamente dalla rete. Non è necessaria alcuna modifica della password su tutti i dispositivi. Il meccanismo alla base di xPSK varia a seconda del fornitore. Su Cisco Meraki si chiama iPSK - Identity PSK - e funziona tramite RADIUS. Su HPE Aruba, l'equivalente è MPSK, anch'esso basato su RADIUS. Ruckus lo chiama DPSK - Dynamic PSK. Juniper Mist utilizza PPSK con assegnazione dinamica della VLAN tramite la dashboard cloud di Mist. Ubiquiti UniFi supporta il controllo dell'accesso alla rete con assegnazione della VLAN per client nelle versioni firmware recenti. Purple si integra con tutte e cinque queste piattaforme come provider RADIUS in cloud. [medium pause] Ora parliamo della sequenza di implementazione. L'ordine è importante. Inizia con la progettazione della tua VLAN prima di toccare la configurazione wireless. Definisci prima le tue VLAN a livello di switch. Configura la tua policy di routing inter-VLAN e bloccala sul firewall prima che qualsiasi dispositivo si connetta. Questo è l'errore più comune che riscontriamo: i team configurano prima il wireless, poi cercano di adattare la segmentazione VLAN. Fai il contrario. In secondo luogo, configura il tuo server RADIUS. Nella piattaforma Purple, accedi alla sezione di configurazione RADIUS, genera le credenziali del tuo server e annota gli indirizzi IP primario e secondario, la porta di autenticazione (solitamente 1812) e il segreto condiviso. In terzo luogo, crea i tuoi SSID. Per l'SSID guest, imposta la sicurezza su aperta, abilita il reindirizzamento al captive portal e indirizza l'URL di reindirizzamento al tuo portale Purple. Per l'SSID Passpoint, abilita 802.11u e configura i tuoi elementi ANQP: il tuo NAI Realm, il tuo Roaming Consortium OI se partecipi a OpenRoaming e le informazioni sulla sede. Imposta WPA2-Enterprise o WPA3-Enterprise come tipo di sicurezza. Per l'SSID xPSK, configura le impostazioni MPSK o DPSK specifiche del fornitore e indirizza l'autenticazione al tuo endpoint RADIUS Purple. In quarto luogo, configura il tuo walled garden per l'SSID guest. Includi i domini del portale Purple, il tuo risolutore DNS e gli endpoint di rilevamento del captive portal utilizzati da iOS e Android: captivedetect.apple.com di Apple e connectivitycheck.gstatic.com di Google. [medium pause] Due esempi reali. Un hotel da 350 camere nel centro di Londra ha distribuito questa architettura su 28 access point con hardware HPE Aruba. Prima dell'implementazione, i terminali per i pagamenti con carta condividevano un segmento di rete con i dispositivi degli ospiti, con una conseguente mancata conformità PCI. La riprogettazione a tre SSID ha spostato i terminali di pagamento su una VLAN dedicata con regole di firewall che consentono solo il traffico HTTPS in uscita verso il gestore dei pagamenti. L'audit PCI è stato superato nel ciclo successivo. L'acquisizione dei dati degli ospiti è aumentata del 34% nei primi tre mesi grazie a un'esperienza del portale più rapida e a un flusso di opt-in più lineare. Una catena di negozi con 80 punti vendita nel Regno Unito ha ridotto il numero di SSID per negozio da una media di 4,2 a tre. I terminali EPOS e la segnaletica sono stati spostati sull'SSID xPSK con chiavi specifiche per singolo dispositivo gestite centralmente tramite Purple. Il personale è passato a un SSID Passpoint utilizzando le proprie credenziali Microsoft Entra ID tramite EAP-TTLS. Il team IT ha registrato una riduzione del 60% dei ticket di supporto relativi al WiFi nel primo trimestre successivo al rollout. [medium pause] Alcuni errori comuni da evitare durante l'implementazione. Configurazione del timeout RADIUS: se i tuoi access point non riescono a raggiungere il server RADIUS di Purple entro il timeout configurato, rifiuteranno la connessione. Configura sempre sia l'indirizzo del server RADIUS primario sia quello secondario. Tagging VLAN sulle porte trunk: ogni porta uplink dell'access point deve essere configurata come trunk per trasportare tutte le VLAN utilizzate dai tuoi SSID. Un errore comune consiste nel configurare la VLAN sul controller ma dimenticare di aggiungerla al trunk sulla porta dello switch. Configurazione ANQP Passpoint: l'elenco dei NAI Realm deve corrispondere esattamente a quello presente nel profilo Passpoint installato sul dispositivo. Una mancata corrispondenza farà sì che i dispositivi saltino la tua rete durante il rilevamento. Effettua un test con un dispositivo sicuramente funzionante prima di procedere al rollout in produzione. Rotazione delle chiavi xPSK: le chiavi dei collaboratori esterni dovrebbero avere una data di scadenza impostata al momento del provisioning. La dashboard di Purple consente di revocare singole chiavi senza influire su nessun altro dispositivo nella rete. [medium pause] Domande a raffica. Posso eseguire tutti e tre gli SSID sullo stesso access point? Sì. Mantieni il numero totale di SSID per access point a sei o meno per ridurre al minimo il sovraccarico dei beacon. Passpoint richiede un'app specifica? Con Purple, richiede l'app Purple o un SDK integrato nella tua app personalizzata. L'SDK gestisce il provisioning dei profili silenziosamente in background. xPSK è conforme agli standard PCI per i terminali di pagamento? Sì, a condizione che la VLAN che trasporta il traffico dei dispositivi di pagamento sia adeguatamente segmentata e che le regole del firewall limitino il traffico solo a quanto richiesto dal gestore dei pagamenti. Cosa succede se il portale di un SSID per gli ospiti smette di funzionare? Configura un reindirizzamento di fallback o una splash page locale sul controller dell'access point. La piattaforma di Purple garantisce un uptime del 99,999%, ma una configurazione ridondante di sicurezza è sempre una buona pratica. [medium pause] In sintesi. Il design a tre SSID offre una rete ospiti con un Captive Portal conforme per l'acquisizione dei dati, una rete Passpoint per l'onboarding sicuro automatizzato tramite l'app Purple o l'SDK con assegnazione dinamica della VLAN, e una rete xPSK che consolida dispositivi IoT, terminali di pagamento, segnaletica digitale, collaboratori esterni e BYOD sotto chiavi per singolo dispositivo mappate su VLAN specifiche. Il risultato è un livello di sicurezza più pulito, una migliore esperienza per i visitatori e una rete realmente gestibile su scala. Inizia con la progettazione della tua VLAN, configura RADIUS, crea i tuoi SSID e imposta il tuo walled garden. Il team di onboarding di Purple può guidarti nella configurazione per la tua piattaforma hardware specifica. La guida scritta completa è disponibile su purple.ai. Cerca "three SSIDs to rule them all" per il riferimento di configurazione passo-passo con dettagli specifici per i produttori Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi. Grazie per l'ascolto.