Aruba Central e Purple WiFi: Integração Gerenciada em Nuvem

Aruba Central e Purple WiFi: Integração Gerenciada em Nuvem. Um briefing para líderes de TI. Boas-vindas. Se você gerencia WiFi para convidados em vários locais e utiliza o Aruba Central, este episódio é diretamente relevante para você. Vou guiar você exatamente por como o Purple se integra ao Aruba Central - a arquitetura, as etapas de configuração, os padrões de implantação em múltiplos locais e as armadilhas que costumam prender as equipes. Este é um briefing prático, não uma apresentação de vendas. Vamos começar. Seção um: Contexto e por que isso importa. O Aruba Central é a plataforma de rede gerenciada em nuvem da HPE. É o plano de controle para dezenas de milhares de Aruba Instant Access Points implantados em hotéis, redes de varejo, estádios, centros de conferências e edifícios do setor público. Se você migrou dos controladores locais da Aruba - os Mobility Controllers ou Mobility Conductors - para o Central, você já experimentou a mudança da configuração baseada em CLI e específica por local para o gerenciamento de políticas baseado em grupos e enviado pela nuvem. Essa mudança altera fundamentalmente a maneira como você integra uma plataforma de WiFi para convidados como o Purple. Em um controlador local tradicional da Aruba, você configuraria o redirecionamento de Captive Portal e a autenticação RADIUS diretamente no próprio controlador. O controlador era o ponto de aplicação de políticas e ficava no seu data center ou sala de comunicação. Com o Aruba Central, a aplicação de políticas ainda ocorre no Access Point - mas a configuração é enviada a partir da nuvem. Isso significa que seus pontos de contato de integração são diferentes. Você trabalha com modelos de grupo, perfis de SSID e objetos de perfil de Captive Portal externo que vivem na hierarquia de configuração do Central, não em uma caixa em um rack. O Purple fica acima de tudo isso como uma plataforma de inteligência de WiFi para convidados hospedada na nuvem. Ele fornece o Captive Portal - a tela de login que os convidados visualizam - lida com a lógica de autenticação, captura dados primários com consentimento e envia análises de volta para suas equipes de marketing e operações. A questão é: como conectar essas duas plataformas em nuvem de forma limpa, em escala, em potencialmente centenas de locais? Seção dois: A arquitetura técnica. Deixe-me descrever o fluxo de dados quando um convidado se conecta. O dispositivo de um convidado se associa ao seu SSID de convidados - vamos chamá-lo de Hotel-Guest - que é transmitido por um Aruba Instant AP. O AP foi configurado, por meio do Aruba Central, com um perfil de Captive Portal externo. Esse perfil contém duas informações críticas: a URL de redirecionamento, que aponta para o servidor de Captive Portal do Purple, e os detalhes do servidor RADIUS, que apontam para o endpoint de RADIUS-as-a-Service do Purple. Quando o visitante abre um navegador, o AP intercepta a requisição HTTP e a redireciona para a splash page da Purple. O visitante se autentica - via login social, e-mail, SMS ou um formulário personalizado, dependendo da sua configuração da Purple. O backend da Purple envia de volta um pacote RADIUS Access-Accept para o AP, que concede ao visitante acesso à internet e o move da função de pré-autenticação para a função de visitante autenticado. Os pacotes de contabilização RADIUS fluem ao longo de toda a sessão, dando à Purple visibilidade sobre a duração da sessão e o uso de dados. Agora, a principal diferença em relação ao Aruba local: no Aruba Central, você configura o perfil de Captive Portal externo uma única vez, no nível do grupo, e ele se propaga para todos os APs daquele grupo. Você não mexe em APs individuais. Isso é incrivelmente poderoso para implantações de múltiplos locais, mas exige que você estruture o grupo corretamente antes de começar. O Aruba Central organiza os dispositivos em Grupos, e dentro de grupos, você pode ter Sites. Um Grupo é a unidade de configuração - SSIDs, perfis de rádio e políticas de segurança residem no nível do grupo. Sites são a unidade de localização e monitoramento. Para uma rede de hotéis, uma estrutura sensata é um grupo por tipo de propriedade - por exemplo, Hotéis de Serviço Completo e Propriedades Econômicas - com cada hotel físico como um site separado dentro do grupo apropriado. A configuração da Purple é mapeada para grupos: um perfil de Captive Portal externo por grupo, apontando para o mesmo endpoint RADIUS da Purple, mas potencialmente com diferentes temas de splash page por site usando a personalização ao nível de local da Purple. O jardim murado (walled garden) é um elemento crítico de configuração que as equipes frequentemente erram. Antes de um visitante se autenticar, o AP permite apenas tráfego DNS e DHCP, além de qualquer domínio que você explicitamente adicione à lista de permissões. Para que a Purple funcione, você deve incluir na lista de permissões o domínio do Captive Portal da Purple, qualquer domínio de CDN que a Purple use para recursos e os domínios de provedores de login social se você estiver usando autenticação social - Facebook, Google, Apple. Se você esquecer de um domínio, a splash page carregará parcialmente ou a autenticação falhará silenciosamente. A documentação de suporte da Purple fornece a lista atualizada de domínios permitidos, e vale a pena tratar essa lista como um documento dinâmico que você revisa sempre que a Purple atualiza sua plataforma. Seção três: API do Aruba Central para automação. Se você estiver implantando em mais de aproximadamente vinte sites, a configuração manual através da interface do Central torna-se um gargalo. O Aruba Central expõe uma API REST abrangente - a Central API - que permite automatizar a criação de SSIDs, a atribuição de perfis de Captive Portal e a configuração da lista de domínios permitidos. A API é autenticada via OAuth 2.0, e você precisará gerar credenciais de API a partir do portal do Central. Os principais endpoints de API para uma integração com a Purple são: o endpoint de configuração de WLAN, que permite criar e atualizar perfis de SSID; o endpoint de perfil de Captive Portal externo, que é onde você define a URL de redirecionamento da Purple e os detalhes do servidor RADIUS; e os endpoints de gerenciamento de sites e grupos, que permitem atribuir dispositivos a sites e grupos de forma programática. Se você estiver integrando um novo local, poderá criar um script que cria o site no Central, atribui os APs ao site, aplica o modelo de grupo correto e configura o perfil de Captive Portal específico da Purple - tudo sem tocar na interface do usuário. A Purple também expõe sua própria API, que permite criar registros de locais, configurar temas de splash pages e extrair dados analíticos. Uma integração madura usará ambas as APIs juntas: a API do Central para gerenciar a camada de rede e a API da Purple para gerenciar a camada de experiência do visitante. Este é o padrão que grandes redes de varejo e grupos hoteleiros usam quando estão integrando dezenas de novos locais por trimestre. Seção quatro: Configuração passo a passo. Permita-me guiar você pela sequência de configuração para um único site, a qual você poderá automatizar posteriormente para escala. Primeiro, no Aruba Central, navegue até o seu grupo de destino e abra a configuração de WLAN. Crie um novo SSID - por exemplo, Venue-Guest - e defina o nível de segurança como Visitantes. Essa é a terminologia da Aruba para uma rede aberta ou autenticada por Captive Portal. Segundo, na guia Segurança, defina o tipo de Splash Page como Captive Portal Externo. Crie um novo perfil de Captive Portal Externo. Dê a ele um nome descritivo - Purple-Guest-Portal funciona bem. Defina o Tipo de Autenticação como Autenticação RADIUS. Insira o hostname do servidor de Captive Portal da Purple no campo IP ou Hostname. Insira a URL de redirecionamento. Ative o HTTPS. Defina o comportamento de Falha do Captive Portal como Negar Internet, que é o padrão mais seguro. Terceiro, configure o servidor RADIUS. No Central, vá para as configurações do servidor de autenticação e adicione o servidor RADIUS-as-a-Service da Purple. Você precisará do IP ou hostname do servidor, do segredo compartilhado - que você gera na plataforma da Purple - e da porta de autenticação, que é a padrão 1812, com tarifação (accounting) na 1813. Adicione este servidor como o Servidor Primário para o seu SSID de convidados. Quarto, configure o walled garden. Nas regras de acesso do SSID, adicione o domínio do Captive Portal da Purple e quaisquer domínios de login social à lista de permissões. Teste isso com atenção - a falta de um domínio é a causa mais comum de falhas na splash page. Quinto, salve e envie a configuração. O Central enviará a configuração para todos os APs do grupo. Verifique em um dispositivo de teste se o redirecionamento funciona corretamente e se a autenticação é concluída. Seção cinco: Padrões de implantação em múltiplos sites. Para uma implantação em cinquenta ou mais sites, você precisa de uma abordagem disciplinada. O padrão que recomendo é: pilotar, modelar, automatizar, validar. Pilote em um único site. Acerte a configuração perfeitamente - walled garden completo, RADIUS funcionando, splash page carregando de forma limpa, fluxo de accounting funcionando. Documente cada valor de parâmetro. Em seguida, crie essa configuração em um modelo de grupo do Central. O modelo se torna sua fonte de verdade. Para a implantação, use a API do Central para enviar o modelo para novos grupos à medida que você integra os sites. Se a sua implantação do Purple usar temas de splash page diferentes por marca ou região, parametrize o perfil do Captive Portal - a URL de redirecionamento pode incluir parâmetros de consulta que o Purple usa para fornecer o tema correto. Isso significa que você pode ter um único endpoint RADIUS, mas várias experiências de splash page, todas gerenciadas de forma centralizada. Valide cada site após a integração. Um script simples de validação que associa um dispositivo de teste, verifica o redirecionamento, autentica e verifica o acesso à internet detectará desvios de configuração antes que os visitantes percebam. O painel de análise do Purple também mostrará se as sessões estão sendo gravadas - se um site ficar inativo nos relatórios do Purple, esse é o seu sinal de que algo está quebrado na camada de rede. Seção seis: Erros comuns de implementação. O walled garden é o principal ponto de falha. Teste com um dispositivo que não tenha DNS em cache ou sessões de portal. Use um perfil de navegador novo ou o modo anônimo. O segundo erro comum é a incompatibilidade do segredo compartilhado do RADIUS. O segredo que você configura no Central deve corresponder exatamente ao segredo na plataforma do Purple. A diferença de um único caractere causará falhas silenciosas de autenticação - o AP não receberá resposta do servidor RADIUS e negará o visitante ou, se você tiver definido o modo de falha do Captive Portal como Permitir Internet, concederá acesso sem autenticação, o que é um risco de conformidade. O terceiro erro comum é a configuração incorreta de VLAN. O tráfego de visitantes deve estar em uma VLAN dedicada, isolada da sua rede corporativa. No Aruba Central, isso é configurado nas definições de VLAN do perfil do SSID. Se a sua VLAN de visitantes não estiver corretamente em tronco (trunked) na porta do switch de uplink, os APs funcionarão, mas os visitantes não receberão endereços DHCP. O quarto erro comum é a confiança no certificado no redirecionamento do Captive Portal. Os navegadores e sistemas operacionais modernos são cada vez mais rigorosos com a aplicação de HTTPS. O servidor de Captive Portal do Purple usa um certificado TLS válido, mas se o seu walled garden bloquear os endpoints OCSP ou CRL que o cliente usa para validar o certificado, você verá erros de certificado na splash page. Adicione esses endpoints ao seu walled garden. Seção sete: Perguntas rápidas. O Purple funciona com a arquitetura AOS-10 do Aruba Central, bem como com a AOS-8? Sim. O mecanismo externo de Captive Portal é consistente em ambas as versões de firmware. O caminho da UI difere um pouco, mas os objetos de configuração subjacentes são os mesmos. Posso usar o RADIUS-as-a-Service do Purple sem operar minha própria infraestrutura RADIUS? Sim, esse é o objetivo. O RADIUS-as-a-Service do Purple é um servidor RADIUS hospedado na nuvem para o qual você direciona seus APs Aruba. Você não precisa de FreeRADIUS ou Cisco ISE locais. Esta integração suporta WPA3? O Aruba Central suporta WPA3 em APs compatíveis, e você pode habilitar o modo de transição WPA3 no seu SSID de visitantes. O mecanismo de Captive Portal do Purple é agnóstico em relação à camada de criptografia - ele opera no nível de redirecionamento HTTP, não no nível de associação 802.11. Os dados que o Purple coleta estão em conformidade com o GDPR? O Purple foi projetado tendo a conformidade com o GDPR como um requisito essencial. A splash page apresenta um mecanismo de consentimento, e o processamento de dados do Purple é governado pelo seu acordo de processamento de dados com eles. Para locais na UE, certifique-se de que sua configuração do Purple inclua o texto de consentimento apropriado e que seu DPA esteja em vigor antes de entrar em operação. Seção oito: Resumo e próximos passos. Para resumir: O Aruba Central e o Purple se integram por meio do mecanismo de Captive Portal externo, com a autenticação RADIUS sendo tratada pelo serviço de nuvem RADIUS do Purple. A configuração reside no nível do grupo no Central e se propaga para todos os APs do grupo - que é a principal diferença de arquitetura em relação ao Aruba local. Para implantações em vários locais, use a API do Central para automatizar o provisionamento e trate a configuração do seu site piloto como o modelo para tudo o que se segue. Seus próximos passos imediatos: primeiro, confirme se a estrutura do seu grupo do Aruba Central mapeia para a hierarquia de locais do Purple. Segundo, obtenha a lista atual de domínios de walled garden do Purple e os detalhes do endpoint RADIUS no portal de suporte do Purple. Terceiro, execute um piloto em um único site e valide o fluxo de autenticação completo antes de expandir. Quarto, crie seus scripts de automação usando a API do Central e a API do Purple em paralelo. Se você estiver avaliando o Purple pela primeira vez, as páginas da plataforma de WiFi de visitantes e de analytics em purple dot ai oferecem uma visão clara do que você está recebendo além do Captive Portal - a captura de dados primários, a automação de marketing e a análise de fluxo de pedestres. Esse é o caso de negócios que viabiliza o financiamento deste projeto. Obrigado por ouvir. Se você tiver dúvidas sobre esta integração, a equipe de soluções do Purple pode orientá-lo em uma prova de conceito dimensionada para o seu ambiente específico do Aruba Central.