Gestione della larghezza di banda per il WiFi del personale: Shaping, QoS e riduzione del traffico

Gestione della larghezza di banda per il WiFi del personale: Shaping, QoS e riduzione del traffico. Un briefing tecnico Purple. Benvenuti. Se state ascoltando questo contributo, probabilmente avete a che fare con uno dei reclami più comuni nell'IT aziendale: il personale che si lamenta del fatto che il WiFi è lento. Forse si tratta del team back-of-house di un hotel che fatica a elaborare i check-in. Forse è una catena di negozi in cui i terminali POS vanno in timeout. O forse è un centro congressi dove il team AV non riesce a ottenere una connessione stabile durante un evento dal vivo. Qualunque sia il contesto, la causa principale è quasi sempre la stessa: avete più traffico di quello per cui la vostra rete è stata progettata e il traffico sbagliato ha la priorità. In questo briefing tratteremo tre aspetti: come funzionano effettivamente il traffic shaping e la QoS in un ambiente WiFi per il personale, come si presenta un'implementazione pratica in diversi tipi di strutture e in che modo l'implementazione di Purple Shield per l'ad-blocking può ridurre il carico complessivo della rete di una quantità significativa - senza modificare la velocità della linea o spendere per aggiornamenti dell'infrastruttura. Entriamo nel dettaglio. Sezione uno: Comprendere il problema. La maggior parte delle strutture aziendali utilizza una connessione Internet condivisa. Il WiFi per il personale, il WiFi per gli ospiti, i sistemi di back-office, la TV a circuito chiuso, i sistemi di gestione dell'edificio: condividono tutti lo stesso canale a monte. Quando quel canale si intasa, tutto ne risente. Ma non tutto il traffico è uguale. Una chiamata VoIP che si interrompe a metà frase è catastrofica. Un aggiornamento software che richiede due minuti in più è irrilevante. Il problema è che senza una gestione attiva, la vostra rete non conosce la differenza. Il traffic shaping è il meccanismo che si usa per indicare alla rete quale traffico è prioritario. Il Quality of Service, o QoS, è il framework che definisce le regole. Insieme, consentono di garantire la larghezza di banda alle applicazioni critiche e di limitare tutto il resto. Lo standard IEEE 802.11e ha introdotto la QoS nelle reti wireless attraverso un meccanismo chiamato WMM - Wireless Multimedia. Il WMM definisce quattro categorie di accesso: voce, video, best effort e background. Ogni moderno access point di Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi supporta il WMM. La domanda è se lo si sta utilizzando correttamente. Sul lato cablato, la QoS viene implementata utilizzando i marcatori DSCP - Differentiated Services Code Point - nell'intestazione IP. Il DSCP EF, che sta per Expedited Forwarding, viene utilizzato per il traffico vocale. Il DSCP AF41 viene utilizzato per le videoconferenze. Il DSCP CS1 è la classe di background - aggiornamenti software, trasferimenti di massa, qualsiasi transazione che possa attendere. Quando si mappa il traffico delle applicazioni con i corretti marcatori DSCP e si configurano gli switch e gli access point in modo che li rispettino, si ottengono prestazioni prevedibili per le applicazioni che contano. Sezione due: Architettura e segmentazione. Prima di configurare la QoS, è necessario segmentare correttamente la rete. Il WiFi del personale deve essere collocato su una propria VLAN - una Virtual Local Area Network - completamente isolata dal WiFi per gli ospiti e dai dispositivi IoT. Questo non è solo un requisito di sicurezza previsto da PCI-DSS e GDPR; è un prerequisito per una QoS efficace, in quanto consente di applicare policy diverse a VLAN diverse. Un'architettura tipica per una sede aziendale si presenta così: un core switch si collega al gateway internet. Da questo switch si dipartono più VLAN: una per i dispositivi del personale, una per l'accesso ospiti, una per i sistemi POS e di pagamento e una per la gestione dell'edificio. Ogni VLAN ha la propria policy di QoS. Alla VLAN del personale viene assegnata la quota di larghezza di banda garantita più elevata. La VLAN ospiti riceve un limite di velocità per utente - in genere da due a cinque megabit al secondo in downstream - in modo che nessun singolo visitatore possa saturare la connessione. Sulla stessa VLAN del personale si applica una QoS basata sulle applicazioni. Alle transazioni POS e al traffico di autenticazione RADIUS viene assegnato il DSCP EF - la massima priorità. Al sistema ERP e agli strumenti di videoconferenza viene assegnato il DSCP AF41. La navigazione web generale riceve il trattamento best effort. I download degli aggiornamenti software e delle patch del sistema operativo ricevono il DSCP CS1 - vengono eseguiti in background e non competono con il traffico operativo. Per l'autenticazione, i dispositivi del personale dovrebbero autenticarsi utilizzando lo standard 802.1X con EAP-TLS - basato su certificati - oppure PEAP con MSCHAPv2 sul server RADIUS. Se si utilizza Microsoft Entra ID, Okta o Google Workspace, Purple si integra direttamente con tutti e tre tramite SAML e SCIM, in modo che l'identity provider diventi l'unica fonte di verità per l'accesso alla rete. Quando un dipendente lascia l'azienda, si revoca il suo accesso in Entra ID e l'accesso alla rete scompare automaticamente. Sezione tre: Il consumo di banda nascosto - e come Purple Shield lo risolve. Ecco un aspetto a cui la maggior parte dei team IT non pensa: una parte significativa del traffico sul WiFi del personale non ha nulla a che fare con l'attività aziendale. Ogni pagina web visitata da un dipendente carica decine di reti pubblicitarie di terze parti, pixel di tracciamento, script di analisi e endpoint di telemetria. Le ricerche di Ghostery e di analoghi sistemi di analisi dell'ad-blocking mostrano costantemente che le richieste di annunci e tracker rappresentano tra il 25% e il 40% delle richieste HTTP totali in una tipica sessione di navigazione. Questo traffico consuma larghezza di banda reale. Consuma capacità di query DNS. Aggiunge latenza a ogni caricamento di pagina. E introduce rischi per la sicurezza - il malvertising, i download drive-by e l'esfiltrazione di dati tramite pixel di tracciamento sono tutti vettori di attacco reali. Purple Shield affronta questo problema a livello di rete. Invece di affidarsi a estensioni del browser che il personale potrebbe aver installato o meno, Purple Shield opera come un filtro a livello DNS. Ogni query DNS proveniente dalla VLAN del personale passa attraverso la blocklist di Purple Shield prima di essere risolta. I domini delle reti pubblicitarie, gli endpoint dei tracker noti e i domini dannosi vengono bloccati prima che venga scaricato un solo byte di contenuto. Il dispositivo non stabilisce mai la connessione. La larghezza di banda non viene mai consumata. In pratica, le strutture che distribuiscono Shield sulla propria rete WiFi per il personale registrano una riduzione del volume totale delle query DNS di circa il 30%. Si tratta di banda che prima veniva sprecata in annunci e tracker, ora disponibile per il vostro sistema ERP, le vostre videochiamate, i vostri terminali POS. Otterrete l'equivalente di un upgrade della banda del 30% senza dover pagare per una linea più veloce. Shield riduce anche la vostra esposizione in termini di sicurezza. Bloccando i domini dannosi noti a livello di layer DNS, eliminate una categoria di minaccia che l'antivirus endpoint spesso non rileva - in particolare per i dispositivi IoT e i terminali condivisi che non eseguono software di sicurezza tradizionali. Sezione quattro: Implementazione nel mondo reale. Permettetemi di illustrarvi due scenari. Primo scenario: un hotel da 200 camere. Il team del back-of-house gestisce un software gestionale per hotel, un sistema telefonico VoIP e una piattaforma di videosorveglianza sulla stessa rete. La rete WiFi per gli ospiti si trova su una VLAN separata con un limite di cinque megabit per utente, ma la VLAN del personale non ha alcuna policy QoS. Durante i periodi di picco del check-in, il sistema di gestione rallenta notevolmente perché il personale riproduce musica in streaming e il sistema di sorveglianza sta caricando filmati. La soluzione: applicare DSCP EF al traffico del sistema di gestione della struttura e al sistema VoIP. Applicare DSCP AF41 al traffico di caricamento della sorveglianza - è importante ma non sensibile alla latenza. Applicare DSCP CS1 a tutto il resto. Distribuire Shield sulla VLAN del personale per eliminare il traffico di annunci e tracker. Risultato: i tempi di risposta del sistema gestionale della struttura scendono di oltre il 40% durante i periodi di picco. La qualità delle chiamate VoIP migliora sensibilmente sulla scala Mean Opinion Score utilizzata per valutare la qualità della voce. Secondo scenario: una catena di negozi con 50 punti vendita. Ogni negozio ha una singola connessione a banda larga da 100 megabit condivisa tra la rete WiFi del personale, la rete WiFi degli ospiti e i terminali POS. Durante i periodi commerciali più intensi, la navigazione del personale sui dispositivi personali satura la connessione e le transazioni POS iniziano ad andare in timeout. La catena sta valutando l'upgrade a linee da 200 megabit a un costo di circa 18.000 sterline all'anno per l'intero parco punti vendita. La soluzione: segmentare i terminali POS su una VLAN dedicata con banda garantita. Applicare limiti di velocità per utente sulla VLAN della rete WiFi del personale - 10 megabit per utente in download, due megabit in upload. Distribuire Shield per eliminare il traffico pubblicitario. Questa combinazione riduce l'utilizzo nei momenti di picco del 35%, i timeout dei POS scendono a zero e l'upgrade della linea viene rimandato a tempo indeterminato. Il risparmio annuale sui soli costi di linea è di 18.000 sterline. La configurazione di Shield e QoS costa solo una frazione di questa cifra. Sezione cinque: Errori di implementazione da evitare. Alcuni aspetti a cui prestare attenzione. La rimarcatura DSCP. Molti ISP e alcuni switch aziendali rimuovono o rimarcano i valori DSCP al confine della rete. Verificate che le vostre marcature QoS sopravvivano all'intero percorso dal dispositivo all'applicazione. Utilizzate un pacchetto di acquisizione (packet capture) sul gateway per effettuare la verifica. WMM e dispositivi legacy. Alcuni dispositivi più vecchi - in particolare i terminali condivisi e i sensori IoT - non supportano correttamente il WMM. Possono ignorare i contrassegni QoS o generare traffico con valori DSCP errati. Esegui un audit del tuo inventario di dispositivi prima di implementare le policy di QoS. Limitazione della larghezza di banda e picchi di traffico. Un limite rigido di 10 megabit per utente può sembrare ragionevole, ma se 20 membri dello staff avviano contemporaneamente degli aggiornamenti software, raggiungerai il limite massimo complessivo. Utilizza lo shaping a secchiello di token (token bucket) con una tolleranza per i picchi anziché un controllo rigido del traffico (policer). Questo consente brevi picchi limitando al contempo l'uso prolungato di un'elevata larghezza di banda. Shield e DNS-over-HTTPS. Se i dispositivi dello staff utilizzano il DNS-over-HTTPS per bypassare il tuo risolutore DNS, il filtraggio di Shield non verrà applicato. È necessario bloccare il DNS-over-HTTPS sul firewall o configurare i dispositivi tramite MDM per utilizzare il risolutore DNS interno. Questo è un passaggio di configurazione unico, non un onere di gestione continuo. Sezione sei: Domande rapide. Ho bisogno della QoS se ho molta larghezza di banda? Sì. La larghezza di banda non equivale alle prestazioni. Una connessione da 1 gigabit senza QoS offrirà comunque una scarsa qualità VoIP se un singolo dispositivo sta eseguendo un trasferimento di file di grandi dimensioni. La QoS garantisce che il traffico sensibile alla latenza ottenga la priorità di coda necessaria, indipendentemente dal throughput totale. Posso implementare Shield senza modificare il mio hardware esistente? Sì. Shield funziona come un overlay DNS. È sufficiente indirizzare il server DHCP verso i risolutori DNS di Purple e Shield si applica immediatamente. Funziona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet - senza alcuna modifica hardware richiesta. Come posso misurare l'impatto? Monitora tre metriche prima e dopo l'implementazione: la percentuale di utilizzo di picco sul tuo uplink, il volume di query DNS all'ora e i tempi di risposta delle applicazioni per i tuoi sistemi critici. La dashboard di Purple mostra tutte e tre le metriche in tempo reale. Sezione sette: Riepilogo e prossimi passi. Per riassumere. Gestire la larghezza di banda per il WiFi dello staff non significa acquistare più banda. Significa assicurarsi che la banda a disposizione vada nei canali giusti. Il traffic shaping e la QoS ti offrono il controllo. Purple Shield ti offre la riduzione del traffico non necessario. Insieme, offrono miglioramenti misurabili nelle prestazioni delle applicazioni senza spese infrastrutturali. I tuoi prossimi passi: esegui un audit della tua attuale struttura VLAN e conferma che il WiFi dello staff sia isolato dal traffico ospiti e IoT. Mappa le tue applicazioni critiche sulle classi DSCP. Implementa Shield sulla tua VLAN dello staff e misura la riduzione delle query DNS. Verifica trimestralmente i tuoi limiti di banda per utente in base alla variazione del numero di dispositivi. Se desideri approfondire uno di questi argomenti, la guida scritta completa è disponibile su purple.ai. Copre in dettaglio l'architettura tecnica, include esempi di configurazione per le principali piattaforme hardware e illustra il calcolo del ROI per l'implementazione di Shield. Grazie per l'attenzione. Questo è stato un briefing tecnico Purple.