Arquitetura de Captive Portal: Segurança, Redirecionamento e Melhores Práticas

Fale em inglês britânico com um tom confiante, autoritativo e de conversação - como um consultor sênior de redes orientando um cliente durante um café. Ritmo compassado, dicção clara, sem pressa. Pausas naturais ocasionais para ênfase. Profissional, mas não rígido: Bem-vindo ao Purple Technical Briefing. Eu sou o seu anfitrião e hoje vamos nos aprofundar na arquitetura de Captive Portal - especificamente no modelo de segurança, na mecânica de redirecionamento e nas decisões de design que diferenciam uma implantação em conformidade e bem projetada de uma que lhe trará problemas às três da manhã. [medium pause] Vamos contextualizar. Você está operando WiFi para convidados em uma rede de hotéis, em propriedades de varejo ou em um estádio. Milhares de dispositivos se conectam todos os dias. Alguns desses dispositivos contêm malware. Alguns desses usuários tentarão acessar conteúdos que não deveriam. E sua equipe jurídica quer saber, por escrito, que você obteve consentimento válido antes de armazenar um único byte de dados pessoais. [medium pause] Esse é o problema que a arquitetura de Captive Portal foi projetada para resolver. Vamos analisar como isso realmente funciona. [medium pause] Seção um. A cadeia de redirecionamento. Quando um dispositivo convidado se conecta ao seu SSID de WiFi, ele recebe um endereço IP de um pool de DHCP em uma VLAN dedicada para convidados - vamos chamá-la de VLAN 20. Seus dispositivos corporativos estão na VLAN 10. Essas duas VLANs nunca devem rotear entre si. Isso não é negociável sob o ponto de vista do PCI DSS e, francamente, também sob o ponto de vista de segurança básica. Agora, o dispositivo está conectado, mas ainda não foi autenticado. O controlador o coloca no que chamamos de estado de pré-autenticação. O dispositivo só pode acessar uma pequena lista de permissões de domínios - o walled garden. Todo o resto é interceptado. Aqui está a parte inteligente. Quando o dispositivo tenta carregar uma página da web - ou quando o sistema operacional realiza sua verificação de detecção de Captive Portal, o que o iOS faz automaticamente ao acessar captive.apple.com - o resolvedor DNS no gateway retorna o endereço IP do servidor do Captive Portal em vez do destino real. O navegador segue esse redirecionamento e chega à sua splash page. [medium pause] Isso é a Camada 3 e a Camada 7 trabalhando juntas. A VLAN cuida do isolamento da rede. A interceptação de DNS lida com o redirecionamento. E o Captive Portal gerencia a camada de identidade e consentimento. Três mecanismos distintos, todos trabalhando em sequência. [medium pause] Seção dois. Autenticação e RADIUS. Assim que o convidado interage com a splash page - seja aceitando os termos e condições, inserindo um endereço de e-mail, autenticando-se via login social ou verificando um código SMS - a plataforma precisa instruir o controlador de rede a abrir o firewall para aquele dispositivo específico. É aqui que entra o RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É um protocolo definido na RFC 2865 e é o padrão do setor para comunicar decisões de autenticação entre um servidor de políticas e um dispositivo de acesso à rede. A Purple opera como um servidor RADIUS hospedado na nuvem. Quando um visitante conclui o fluxo do Captive Portal, a Purple envia uma mensagem RADIUS Access-Accept para o controlador WiFi local - seja um Cisco Meraki, um controlador HPE Aruba, um Ruckus SmartZone ou um ponto de acesso Juniper Mist. O controlador recebe essa mensagem e transiciona o dispositivo do visitante do estado de pré-autenticação para o estado autorizado, liberando as regras de firewall e concedendo acesso à internet. [medium pause] Existe uma extensão importante do RADIUS que você deve conhecer: Change of Authorisation, ou CoA. O CoA permite que o servidor RADIUS envie uma mensagem no meio da sessão para o controlador para revogar ou modificar uma sessão que já está ativa. A Purple usa o CoA para impor limites de tempo de sessão, desconectar dispositivos que foram sinalizados por violações de políticas e oferecer suporte a fluxos de trabalho de direito ao esquecimento (right-to-erasure) sob a GDPR - onde um usuário solicita a exclusão de seus dados e a Purple pode revogar imediatamente sua sessão ativa. [medium pause] Seção três. O jardim murado (walled garden). O walled garden é uma lista de permissões (whitelist) de endereços IP e nomes de domínio que dispositivos não autenticados podem acessar antes de concluírem o fluxo do Captive Portal. Se você errar isso, sua página de login (splash page) não será carregada. Se errar feio, você terá criado uma brecha de segurança. No mínimo, seu walled garden precisa incluir a própria URL do Captive Portal, quaisquer endpoints de CDN que servem os recursos do portal e os endpoints de autenticação de quaisquer provedores de login social que você estiver usando - Google, Facebook, Microsoft. Se estiver usando verificação por SMS, você precisará liberar o endpoint da API do gateway de SMS. A armadilha que pega a maioria das implantações são os endereços IP dinâmicos. Os serviços em nuvem nem sempre têm IPs estáticos. Se você liberar um IP em vez de um domínio, e esse IP mudar, seu portal para de funcionar. Use a liberação baseada em domínio se o seu controlador oferecer suporte a isso e teste após cada alteração. [medium pause] Seção quatro. Design de segurança. Vamos falar sobre a arquitetura de segurança com mais detalhes, porque é aqui que a maioria das implantações apresenta falhas. Primeiro: isolamento de cliente (client isolation). Ative-o. Essa é uma configuração no ponto de acesso que impede que os dispositivos dos visitantes se comuniquem diretamente entre si pelo meio sem fio. Sem isso, um dispositivo comprometido em sua rede de visitantes pode sondar e atacar outros dispositivos de visitantes. É uma correção simples de uma única caixa de seleção que elimina toda uma classe de ataques peer-to-peer. Segundo: tempos de concessão DHCP (DHCP lease times). Em locais de alta rotatividade - um terminal de transporte, um estádio, uma loja de varejo movimentada - você precisa de tempos de concessão curtos. De trinta a sessenta minutos. Se você deixar o padrão de vinte e quatro horas e tiver dez mil dispositivos se conectando em um dia de jogo, esgotará seu pool de endereços IP antes do intervalo. Novos dispositivos não se conectarão. Sua equipe de operações receberá reclamações. Mantenha as concessões curtas. Terceiro: criptografia. Seu Captive Portal deve ser servido via HTTPS com um certificado TLS válido. Se for servido via HTTP, os navegadores modernos o sinalizarão como não seguro, os usuários desconfiarão dele e você estará transmitindo credenciais em texto simples. Use no mínimo TLS 1.2; o TLS 1.3 é preferível. A camada de transporte de WiFi deve usar WPA2-AES ou WPA3 - nunca WEP, nunca TKIP. Quarto: segmentação de VLAN. Sua VLAN de visitantes deve ser completamente isolada de qualquer segmento de rede que toque em dados de cartão de pagamento. O PCI DSS versão 4.0 é explícito sobre isso. Se a sua rede de visitantes puder rotear para uma sub-rede contendo um sistema de ponto de venda, toda a sua rede POS estará no escopo de uma auditoria PCI. Esse é um fardo de conformidade significativo. Segmente corretamente desde o primeiro dia. [medium pause] Seção cinco. GDPR e conformidade de dados. Todo Captive Portal que coleta dados pessoais - e endereço de e-mail, número de telefone e login social contam como dados pessoais sob a GDPR - deve atender a requisitos específicos. Você precisa de uma base legal para o processamento. Para WiFi de visitantes, isso normalmente é o consentimento. O consentimento deve ser dado livremente, específico, informado e inequívoco. Caixas pré-marcadas não contam. Agrupar o consentimento de WiFi com o consentimento de marketing não conta. O modelo de opt-in de escolha consciente da Purple separa o consentimento de acesso à rede do consentimento de marketing, de modo que os visitantes possam se conectar sem serem forçados a aceitar e-mails de marketing. Você precisa documentar quais dados coleta, por que os coleta, onde são armazenados e por quanto tempo os retém. A Purple é certificada ISO 27001, em conformidade com a GDPR, CCPA e certificada com Cyber Essentials. A plataforma armazena dados em data centers em conformidade, com políticas de retenção documentadas. E você precisa de um fluxo de trabalho de direito ao esquecimento. Se um visitante solicitar a exclusão de seus dados, você deve ser capaz de agir em até trinta dias. A plataforma da Purple oferece suporte nativo a isso, e o mecanismo de CoA RADIUS que mencionei anteriormente significa que você pode revogar sessões ativas ao mesmo tempo. [medium pause] Agora vamos passar para as recomendações de implementação e as armadilhas que vemos com mais frequência. [medium pause] Armadilha um: jardins murados mal configurados. A splash page carrega, mas o botão de login social não funciona. Ou a página carrega, mas o logotipo não aparece porque o domínio da CDN não está na lista de permissões. Teste seu jardim murado em um dispositivo novo sem DNS em cache antes de entrar em produção. Armadilha dois: PSKs compartilhadas. Alguns locais ainda usam uma única senha de WiFi escrita em um quadro-negro. Isso não é um Captive Portal - isso é um segredo compartilhado que qualquer pessoa pode fotografar e compartilhar. Ele não fornece dados de identidade, nenhum registro de consentimento e nenhuma capacidade de revogar o acesso individual. Substitua-o por um Captive Portal gerenciado. Armadilha três: dimensionamento insuficiente do pool de DHCP. Eu já cobri isso, mas vale a pena repetir. Dimensione seu pool de DHCP para o pico de conexões simultâneas, não para as conexões médias. Em um estádio com quarenta mil torcedores, você pode ter vinte mil dispositivos tentando se conectar simultaneamente. Planeje de acordo. Quarto erro: sem limite de tempo de sessão. Sem um limite de tempo de sessão (session timeout), um dispositivo que se conectou há seis meses e nunca mais retornou ainda mantém um estado de sessão autorizado em sua controladora. Esse é um registro obsoleto que desperdiça recursos e gera ruído de auditoria. Defina limites de tempo de sessão. Trinta minutos de inatividade é um padrão razoável. [medium pause] Perguntas e respostas rápidas. Pergunta: O Captive Portal funciona em todos os dispositivos? Resposta: Os sistemas operacionais modernos — iOS, Android, Windows, macOS — possuem detecção de Captive Portal integrada. Eles detectam o redirecionamento e exibem o portal automaticamente. Dispositivos mais antigos podem exigir que o usuário abra um navegador manualmente. A plataforma da Purple lida com ambos os fluxos. Pergunta: Podemos usar o Captive Portal junto com o 802.1X? Resposta: Sim. Muitas implantações corporativas usam 802.1X para dispositivos de funcionários — onde certificados ou credenciais autenticam automaticamente — e um Captive Portal para dispositivos de convidados em um SSID separado. A Purple se integra com a infraestrutura RADIUS que suporta ambos os fluxos simultaneamente. Pergunta: E quanto ao OpenRoaming? Resposta: O OpenRoaming é um padrão que permite que os dispositivos se conectem ao WiFi automaticamente usando autenticação baseada em certificado, ignorando totalmente o Captive Portal. A Purple atua como um provedor de identidade gratuito para OpenRoaming sob a licença Connect. É o caminho futuro para uma conectividade de convidados contínua, mas os Captive Portals continuam sendo o padrão para captura de dados e gerenciamento de consentimento hoje. [medium pause] Para resumir. Uma implantação de Captive Portal bem projetada baseia-se em cinco pilares. Isolamento de VLAN para proteger sua rede corporativa. Interceptação de DNS e redirecionamento HTTPS para apresentar a splash page. Autenticação RADIUS para abrir o firewall após o consentimento. Um walled garden configurado corretamente para garantir que o portal carregue de forma confiável. E tratamento de dados em conformidade com a GDPR para proteger tanto seus convidados quanto sua organização. A plataforma da Purple gerencia todas as cinco camadas em mais de 80.000 locais ativos, com 440 milhões de logins processados em 2024 e 99,999% de uptime. Ela se integra nativamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet — portanto, não importa o hardware que você esteja usando, você pode implantar sem precisar trocar tudo. Se você quiser se aprofundar em qualquer um desses tópicos — design de SSID, configuração de RADIUS ou fluxos de trabalho de conformidade com a GDPR — visite purple.ai para acessar a biblioteca completa de guias técnicos. Obrigado por ouvir.