Contratação de WiFi escolar: 802.1X para colaboradores, dispositivos de alunos, visitantes e filtragem em uma única especificação

Uma especificação de WiFi escolar deve listar quatro redes: funcionários, dispositivos gerenciados de alunos, visitantes e dispositivos prediais. Ela deve definir autenticação, segmentação e filtragem para cada uma delas. Os funcionários e os dispositivos gerenciados de alunos devem se conectar com 802.1X ou chaves por dispositivo, nunca com uma senha compartilhada. A filtragem deve atender aos padrões de filtragem e monitoramento do DfE em todas as redes, incluindo a rede de visitantes.

O que uma única especificação de WiFi escolar realmente faz?

Uma especificação única elimina a lacuna que surge quando três fornecedores diferentes controlam partes distintas da rede. Em uma escola típica, um fornecedor vende os pontos de acesso, outro gerencia o RADIUS e um terceiro filtra o tráfego da web. Quando um aluno acessa conteúdo nocivo na rede de visitantes, nenhum fornecedor assume a responsabilidade de forma isolada.

Incluir todas as redes em uma única licitação de WiFi escolar soluciona isso logo na fase de contratação. Cada rede recebe quatro itens:

• Um responsável designado.
• Um método de autenticação.
• Uma VLAN, ou seja, uma LAN virtual: uma rede lógica que mantém o tráfego isolado em switches e pontos de acesso compartilhados.
• Uma política de filtragem.

Os licitantes precificam com base em toda a infraestrutura. Seu líder designado de proteção (DSL) recebe um único conjunto de relatórios em vez de três.

Para o WiFi de grupos educacionais (multi-academy trusts), a especificação também funciona como um modelo. Cada escola herda as mesmas redes e políticas, permitindo variações locais apenas quando o grupo autorizar. Uma escola que venha a integrar o grupo no próximo ano adota o modelo em vez de conduzir seu próprio processo de aquisição.

Do que você precisa antes de elaborar a licitação de WiFi escolar?

Reúna cinco itens antes da elaboração. Cada um deles altera o que você solicitará aos licitantes.

Uma lista de ativos por escola. Registre os modelos de pontos de acesso, controladoras, switches e datas de suporte dos fabricantes. O Purple independe de hardware e opera como uma camada em nuvem sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Se o seu hardware constar nessa lista e ainda contar com suporte, a licitação talvez nem precise de um lote para hardware. O artigo Por que seu próximo upgrade de WiFi não precisa de novos equipamentos detalha esse caso.

Sua fonte de identidade. A maioria das escolas utiliza o Microsoft Entra ID ou o Google Workspace para as contas de funcionários e alunos, e alguns grupos utilizam o Okta. A plataforma de WiFi deve autenticar diretamente nessa base de diretório, e não em uma lista de contas secundária.

Um inventário de dispositivos. Mapeie os iPads, Chromebooks e notebooks Windows gerenciados e registre quem é o responsável pela gestão. Verifique se uma plataforma de gerenciamento de dispositivos móveis (MDM) já faz o registro deles. O MDM é um software que envia configurações, aplicativos e credenciais para os dispositivos de propriedade da escola.

Sua estrutura atual de filtragem e monitoramento. Registre o provedor, a data de término do contrato e o líder sênior responsável. O padrão do DfE exige a definição de funções nomeadas antes de qualquer decisão tecnológica.

Aprovação de proteção infantil. Seu DSL e o responsável escolar pela segurança online devem aprovar os requisitos de filtragem antes da publicação da licitação. O documento "Keeping Children Safe in Education" atribui ao DSL a responsabilidade principal pela segurança online, incluindo o entendimento da filtragem e do monitoramento implementados.

Como você deve incluir cada rede na especificação de rede da escola?

Inicie a especificação com uma tabela semelhante à apresentada abaixo. Ela informa a cada licitante quem utiliza cada rede, como é feita a conexão e o que é filtrado. Em seguida, os licitantes respondem item a item.

Rede	Quem utiliza	Como se autentica	Segmentação	Política de filtragem	Componente Purple
Funcionários	Professores, equipe de apoio, funcionários temporários, equipe central do conselho escolar	IEEE 802.1X com Entra ID, Google Workspace ou Okta; certificados em laptops gerenciados	VLAN própria com acesso a MIS, impressoras e compartilhamentos de arquivos	Política de funcionários, filtrada e registrada para a pessoa identificada	Purple Access, Shield
Dispositivos gerenciados de alunos	iPads, Chromebooks e laptops pertencentes à escola	Certificado EAP-TLS ou iPSK por dispositivo, distribuído por registro no MDM	VLAN própria, sem rota para recursos dos funcionários	Política para alunos apropriada para a faixa etária, registrada por dispositivo	Purple Access, Purple MDM, Shield
Dispositivos próprios de alunos (opcional, ensino médio/anos finais)	Alunos dos anos finais com celulares e laptops pessoais	802.1X com conta de aluno ou iPSK por aluno	VLAN própria, somente internet	Política para alunos, registrada por aluno	Purple Access, Shield
Visitantes e prestadores de serviços	Pais, conselheiros escolares, prestadores de serviços, locatários de instalações	Portal cativo com acesso patrocinado ou por tempo limitado	Isolamento de clientes, somente internet	Política de visitantes, filtrada e registrada	Purple Access, Shield
Dispositivos prediais	Impressoras, equipamentos de áudio e vídeo, controle de acesso, CFTV, sensores	iPSK por dispositivo	VLAN isolada, somente com os serviços de que cada dispositivo precisa	Bloqueada apenas para os destinos necessários	Purple Access, Shield

Funcionários: 802.1X integrado ao diretório que você já utiliza

O padrão IEEE 802.1X é a referência para controle de acesso à rede. O dispositivo precisa se autenticar em um servidor RADIUS antes de obter qualquer acesso à rede. O protocolo RADIUS (Remote Authentication Dial-In User Service) verifica as credenciais e retorna uma aprovação ou recusa.

Defina o requisito com clareza: "Os dispositivos dos funcionários se autenticam com IEEE 802.1X junto ao provedor de identidade do conselho escolar. Não há senha compartilhada para funcionários." O Purple Access oferece RADIUS em nuvem, eliminando a necessidade de implantar um servidor local em cada escola.

Solicite dois métodos:

• EAP-TLS para laptops corporativos gerenciados de funcionários. Cada dispositivo apresenta um certificado enviado via MDM, dispensando a digitação de credenciais pelos usuários.
• PEAP ou chaves individuais por pessoa para celulares corporativos de funcionários. O protocolo PEAP transmite a senha em um túnel TLS criptografado.

Especifique WPA3-Enterprise sempre que os pontos de acesso e dispositivos oferecerem suporte, mantendo WPA2-Enterprise como alternativa de fallback. O artigo Como configurar o WiFi corporativo no iOS e no macOS com 802.1X detalha as etapas no dispositivo.

Automatize admissões, transferências e demissões. Quando a instituição desativa a conta de diretório de alguém que se desligou, seu acesso WiFi deve ser encerrado no mesmo instante. Peça aos concorrentes que expliquem exatamente como as alterações de conta chegam à rede. Isso pode ser via SCIM, um padrão para sincronizar contas entre sistemas, ou por meio de uma consulta direta ao diretório. Avalie-os pelo intervalo de tempo entre a desativação da conta e o término do acesso.

Dispositivos gerenciados de alunos: inscritos, não digitados

Uma senha compartilhada em 600 iPads de alunos falha de maneira previsível. Assim que um aluno descobre a chave, seu telefone pessoal se conecta a uma rede destinada apenas aos dispositivos escolares. Os registros passam a exibir um tráfego que você não consegue atribuir a nenhum dispositivo gerenciado.

Redija este requisito: "Dispositivos gerenciados de alunos recebem suas credenciais de rede por meio da inscrição no MDM. Nenhum aluno ou membro da equipe digita ou conhece a chave." Dois métodos atendem a isso:

• Certificados EAP-TLS, um por dispositivo. Esta é a opção mais robusta.
• iPSK (chave pré-compartilhada de identidade, também chamada de PPSK). Cada dispositivo recebe sua própria chave sob o mesmo nome de rede, permitindo revogar um dispositivo sem afetar os demais.

O MDM Purple inscreve os dispositivos gerenciados de alunos para que a credencial seja entregue junto com as configurações do dispositivo. Um iPad perdido resulta em apenas uma credencial revogada, e não em uma alteração de chave em toda a escola.

Dispositivos compartilhados em carrinhos precisam de uma linha extra na especificação. Os registros de filtragem indicarão o dispositivo, e não o aluno. Peça aos concorrentes que demonstrem como os registros do dispositivo se correlacionam com seus registros de empréstimo ou horários escolares. Assim, seu responsável pela proteção infantil poderá identificar quem estava em posse do dispositivo no momento.

Visitantes e prestadores de serviço: tempo limitado e sob filtragem

Visitantes se conectam por meio de um portal cativo. Trata-se de uma página da web exibida antes da concessão de acesso à rede. Especifique três tipos de acesso:

• Acesso para eventos para pais e grupos comunitários, com expiração ao final do evento.
• Acesso patrocinado para conselheiros e profissionais visitantes, aprovado por um colaborador designado.
• Acesso para prestadores de serviço, com expiração na data de término do contrato.

Colete apenas os dados necessários, em conformidade com o GDPR, com opções de consentimento consciente para qualquer finalidade além do acesso. O WiFi para visitantes da Purple opera esse modelo em mais de 80.000 locais ativos em 90 países.

A rede de visitantes não está isenta de filtragem. O padrão do DfE aplica a filtragem a contas de visitantes e a todos os dispositivos que utilizam a conexão de banda larga da escola.

Cenário prático: uma escola de ensino fundamental II e médio com locações noturnas. Uma escola de ensino fundamental II e médio aluga sua quadra de esportes e seu teatro para grupos comunitários em quatro noites por semana. Os locatários recebiam a senha de WiFi dos colaboradores em um cartão plastificado. Seus dispositivos ficavam no VLAN para colaboradores, sob a política de filtragem para colaboradores.

A escola adotou três medidas:

1. Migrou a equipe para o 802.1X, eliminando a chave compartilhada de colaboradores que pudesse ser repassada.
2. Concedeu a cada uma das quatro locações semanais seu próprio código de portal cativo, com expiração no horário de término da reserva.
3. Aplicou a política de filtragem de visitantes a todos os dispositivos dos locatários.

O resultado modelado é quantificável. As credenciais compartilhadas da equipe em circulação caíram de uma para zero. Cada locação recebeu seu próprio código com prazo de validade. Cada sessão de locatário no registro de filtragem agora conta com um código vinculado a uma referência de reserva.

Dispositivos prediais: isolados por padrão

Impressoras, sistemas audiovisuais, controle de acesso e CFTV raramente são compatíveis com 802.1X. Dê a cada dispositivo, ou a cada classe de dispositivos, sua própria iPSK em uma VLAN isolada. Limite cada dispositivo apenas aos serviços de que ele precisa. Um projetor não precisa de uma rota até o servidor do MIS.

Filtragem e monitoramento em todas as redes: o que os padrões do DfE exigem

Os padrões de filtragem e monitoramento do DfE, que fazem parte de suas normas digitais e de tecnologia para escolas e faculdades, estabelecem quatro expectativas:

1. Identificar e atribuir funções e responsabilidades para gerenciar os sistemas de filtragem e monitoramento.
2. Revisar o fornecimento de filtragem e monitoramento pelo menos uma vez a cada ano letivo.
3. Bloquear conteúdos prejudiciais e inadequados sem prejudicar desnecessariamente o ensino e o aprendizado.
4. Ter estratégias de monitoramento eficazes que atendam às necessidades de proteção (safeguarding) da escola.

A norma é específica quanto ao sistema de filtragem. Ela deve se aplicar a contas de convidados, dispositivos de propriedade da escola e qualquer dispositivo que use a conexão de banda larga escolar. Ela deve:

• Filtrar todas as transmissões de internet, incluindo qualquer conexão de backup.
• Ser adequada à idade e ao nível de compreensão.
• Lidar com conteúdo multilíngue, imagens, erros comuns de ortografia e abreviações.
• Identificar e bloquear métodos de evasão, como VPNs e serviços de proxy.
• Emitir alertas quando o conteúdo for bloqueado.

O provedor de filtragem deve ser membro da Internet Watch Foundation (IWF). Ele deve estar cadastrado na lista da Counter-Terrorism Internet Referral Unit (CTIRU) e bloquear conteúdo ilegal, incluindo material de abuso sexual infantil. Os relatórios de filtragem devem mostrar:

• O nome ou ID do dispositivo e o endereço IP, além do usuário, sempre que possível.
• A data e a hora da tentativa de acesso.
• O termo de busca ou o conteúdo bloqueado.

Transforme cada ponto em um requisito numerado e exija comprovações de cada proponente, em vez de um simples sim. Essas comprovações devem incluir a filiação à IWF, o status na CTIRU e a resposta pública às definições de filtragem adequada do UK Safer Internet Centre.

O Purple Shield aplica a filtragem por rede. As redes de alunos, funcionários e visitantes podem ter, cada uma, uma política diferente sob um único conjunto de registros. Como o Purple Access identifica quem ou o que se autenticou, uma solicitação bloqueada é associada a um membro específico da equipe, a um dispositivo gerenciado ou a um código de visitante. Essa identidade é exatamente o que a exigência de relatórios do DfE solicita.

Relatórios, suporte e implementação em um trust

Relatórios. Solicite relatórios em três níveis: por rede, por escola e em todo o trust. O DSL precisa de relatórios de solicitações bloqueadas e de alertas. O gerente de operações precisa de dados de conexão e capacidade. Os membros do conselho precisam de evidências para a revisão anual. Os relatórios de rede de visitantes podem ser combinados com o WiFi Analytics para dados de eventos e locações.

Suporte. Especifique os tempos de resposta durante o período letivo, nas férias e para escalonamentos de proteção e segurança dos alunos (safeguarding). Indique a rota de escalonamento para alertas de filtragem emitidos fora do horário comercial. Exija certificações. A Purple possui certificação ISO 27001 e Cyber Essentials, está em conformidade com a GDPR e opera com 99,999% de disponibilidade.

Implementação. Inclua uma escola-piloto no contrato antes da implementação em toda a rede escolar (trust). Agende a transição das demais escolas durante os períodos de férias. Solicite aos concorrentes um plano de execução paralela: a rede antiga baseada em chave compartilhada permanece ativa brevemente enquanto os dispositivos migram e, em seguida, é desativada em uma data fixa.

Cenário prático: uma rede de oito escolas. Uma rede de duas escolas de ensino secundário e seis de ensino primário operava oito configurações diferentes de WiFi. A filtragem estava dividida em três contratos separados. Os iPads dos alunos de todas as escolas conectavam-se por meio de uma chave compartilhada.

A rede escolar seguiu quatro etapas:

1. Emitiu uma única especificação com a tabela de rede de cinco linhas acima.
2. Especificou um overlay em nuvem sobre seus pontos de acesso Cisco Meraki e HPE Aruba existentes.
3. Realizou um projeto-piloto em uma escola primária durante as férias de Páscoa.
4. Implementou a solução nas sete escolas restantes durante as férias de verão.

O resultado projetado: oito chaves compartilhadas de alunos reduzidas a zero. Três contratos de filtragem transformaram-se em um único conjunto de políticas por rede. Oito relatórios anuais separados de revisão tornaram-se um relatório consolidado para toda a rede.

Como verificar as respostas dos concorrentes e a rede em operação?

Avalie demonstrações práticas, não documentos. Peça a cada fornecedor pré-selecionado para executar cinco tarefas ao vivo:

• Desativar uma conta de funcionário no seu diretório e demonstrar o encerramento do acesso WiFi.
• Revogar a credencial de um iPad de aluno sem afetar os demais.
• Exibir uma solicitação bloqueada com ID do dispositivo, horário e termo de busca.
• Demonstrar a rede de visitantes aplicando sua política de filtragem.
• Exibir uma visualização no nível da escola e no nível da rede escolar para os mesmos dados.

Após a implementação, execute testes de homologação a partir de cada rede. Use a ferramenta SWGfL Test Filtering para verificar se o conteúdo de IWF e CTIRU está bloqueado nas conexões de funcionários, alunos, visitantes e de backup. Em seguida, verifique a segmentação: tente acessar recursos de funcionários a partir de um dispositivo de aluno e da rede de visitantes. Instale um aplicativo de VPN comum em um dispositivo de teste e confirme se o filtro o detecta. Registre os resultados; eles constituem o primeiro registro da sua revisão anual.

O que costuma dar errado e como corrigir?

A linha de backup não possui filtragem. Escolas com uma conexão de banda larga secundária frequentemente filtram apenas a primária. O padrão do DfE abrange todos os links de internet; portanto, inclua expressamente a conexão de backup na especificação.

Certificados expiram no meio do período letivo. Se os certificados dos dispositivos dos alunos expirarem em março, uma série inteira perderá o acesso à rede. Exija a renovação via MDM antes da expiração, com alertas enviados ao administrador de rede com 30 dias de antecedência.

Dispositivos mais antigos não suportam 802.1X. Alguns equipamentos de AV e impressoras antigas suportam apenas chaves pré-compartilhadas (PSK). Migre esses dispositivos para iPSK individual por dispositivo na VLAN de equipamentos prediais, em vez de manter uma chave compartilhada ativa.

O bloqueio excessivo atrapalha as aulas. O padrão exige que você não afete o ensino de forma desarrazoada. Especifique um canal para solicitações de desbloqueio no mesmo dia para professores, com cada alteração registrada para a revisão anual.

Celulares de funcionários solicitam a validação de um certificado. Dispositivos não gerenciados solicitam que a equipe aprove o certificado do servidor RADIUS na primeira conexão. Publique um guia de conexão de uma página com capturas de tela e distribua perfis em dispositivos gerenciados para que a solicitação nunca apareça.

Dispositivos de carrinhos geram registros anônimos. Registros no nível do dispositivo só se tornam evidências individuais quando correspondem a um registro de retirada. Alinhe o processo de empréstimo e devolução com seu DSL antes do início da operação.

Quanto custa e qual é o retorno do investimento?

Não permita que os proponentes forneçam um valor único global. Peça para definirem os preços separadamente em seis itens:

• Número de escolas.
• Redes por escola.
• Dispositivos gerenciados.
• Complementos (Add-ons).
• Implantação única.
• Renovação anual.

A Purple precifica por meio de três planos: Connect, Capture e Engage. SecurePass, Verify e Shield estão disponíveis como complementos de segurança. O reaproveitamento de hardware suportado elimina a maior despesa de capital da maioria das licitações.

O retorno vem da eliminação de tarefas e contratos:

• Sem chaves compartilhadas para alternar. As senhas compartilhadas de funcionários e alunos não precisam mais ser alteradas a cada vazamento.
• Revogação automática de desligamentos. Funcionários desligados perdem o acesso WiFi assim que o RH desativa a conta no diretório.
• Um único pacote de revisão anual. A revisão do DfE baseia-se em um único conjunto de relatórios, em vez de um por escola.
• Menos contratos. WiFi, RADIUS e filtragem são unificados de três contratos em apenas um.

A substituição de fornecedores separados de WiFi para visitantes WiFi, RADIUS e filtragem de DNS detalha integralmente os argumentos para a consolidação em infraestruturas com vários locais.

Perguntas frequentes

O Purple pode funcionar nos pontos de acesso que nossas escolas já possuem?

Sim. O Purple é independente de hardware e opera como uma camada em nuvem sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Se seus pontos de acesso estiverem nessa lista e ainda contarem com suporte do fabricante, a licitação de WiFi da sua escola pode não precisar de um lote de hardware. Peça aos proponentes para confirmarem as datas de suporte para cada modelo na sua lista de ativos antes da avaliação.

A filtragem precisa ser aplicada à rede de visitantes?

Sim. Os padrões de filtragem e monitoramento do DfE aplicam a filtragem a contas de visitantes e a todos os dispositivos que usam a conexão de banda larga da escola. Sua rede de visitantes precisa de uma política de filtragem própria, registrada como qualquer outra rede. O Purple Shield aplica a filtragem por rede, permitindo que visitantes, alunos e funcionários tenham políticas distintas sob um único conjunto de relatórios.

Como iPads e Chromebooks gerenciados de alunos se conectam sem uma senha compartilhada?

Eles recebem uma credencial exclusiva por meio do registro no MDM, seja um certificado EAP-TLS ou uma iPSK por dispositivo. Nenhum aluno ou professor jamais visualiza ou digita a chave. O MDM da Purple registra os dispositivos gerenciados dos alunos para que a credencial seja entregue com a configuração do dispositivo. Um dispositivo perdido resulta em uma única credencial revogada, e não em uma alteração de senha em toda a escola.

Os funcionários podem fazer login com suas contas do Microsoft Entra ID ou Google Workspace?

Sim. O Purple Access autentica os funcionários via IEEE 802.1X no Microsoft Entra ID, Okta ou Google Workspace por meio de RADIUS em nuvem. Você não precisa manter uma lista separada de contas de WiFi. Quando a instituição desativa a conta de diretório de quem se desliga, o acesso à rede é encerrado junto com ela. Peça aos licitantes que demonstrem essa sequência ao vivo durante a avaliação.

A filtragem deve ser adquirida junto com o WiFi ou licitada separadamente?

Especifique a filtragem por rede dentro da especificação de WiFi, independentemente do caminho escolhido. Adquirir ambos em conjunto por meio do Purple Access e do Purple Shield significa que cada solicitação bloqueada carrega a identidade autenticada. Essa identidade é exatamente o que a exigência de relatórios do DfE solicita. Contratos separados tornam esse vínculo mais difícil de comprovar em sua análise anual.

Uma instituição pode realizar um piloto em uma escola antes de se comprometer com todas as escolas?

Sim. Inclua uma escola piloto no contrato com testes de aceitação e, em seguida, agende as demais escolas nos períodos de férias escolares. A sobreposição em nuvem da Purple permite que cada escola herde o modelo de rede da instituição. Cada escola mantém variações locais apenas onde a instituição permitir, fazendo com que a configuração do piloto se torne o padrão de toda a instituição.

Os dados de visitantes são tratados em conformidade com o GDPR?

Sim. A Purple está em conformidade com o GDPR e possui certificação ISO 27001. O portal cativo pode coletar o mínimo necessário para o acesso, com consentimentos conscientes para qualquer finalidade adicional. Defina seu próprio período de retenção na especificação. Exija que cada licitante informe onde os dados de visitantes são armazenados e quem pode acessá-los.

Como devemos solicitar aos licitantes a precificação para uma licitação de WiFi escolar?

Solicite preços detalhados por escola, rede, dispositivo gerenciado, add-on, implantação pontual e renovação anual. A Purple precifica por meio de seus planos Connect, Capture e Engage, com SecurePass, Verify e Shield como add-ons. Um detalhamento item a item permite comparar os licitantes de forma justa. Ele também demonstra a economia obtida ao reutilizar os pontos de acesso que você já possui.