Aruba Central and Purple WiFi: Cloud-Managed Integration

Aruba Central e Purple WiFi: Integração Gerenciada em Nuvem. Um briefing para líderes de TI. Bem-vindo. Se você gerencia WiFi de visitantes em vários locais e utiliza o Aruba Central, este episódio é diretamente relevante para você. Vou orientá-lo exatamente sobre como o Purple se integra ao Aruba Central — a arquitetura, as etapas de configuração, os padrões de implantação em múltiplos locais e as armadilhas que costumam pegar as equipes de surpresa. Este é um briefing prático, não uma apresentação de vendas. Vamos começar. Seção um: Contexto e por que isso importa. O Aruba Central é a plataforma de rede gerenciada em nuvem da HPE. É o plano de controle para dezenas de milhares de Aruba Instant Access Points implantados em hotéis, redes de varejo, estádios, centros de convenções e edifícios do setor público. Se você migrou de controladores Aruba locais — os Mobility Controllers ou Mobility Conductors — para o Central, já experimentou a mudança da configuração baseada em CLI e específica por site para o gerenciamento de políticas baseado em grupos e enviado pela nuvem. Essa mudança altera fundamentalmente a forma como você integra uma plataforma de guest WiFi como o Purple. Em um controlador Aruba local tradicional, você configuraria o redirecionamento do Captive Portal e a autenticação RADIUS diretamente no próprio controlador. O controlador era o ponto de aplicação de políticas e ficava no seu data center ou sala de comunicações. Com o Aruba Central, a aplicação de políticas ainda ocorre no Access Point — mas a configuração é enviada a partir da nuvem. Isso significa que seus pontos de contato de integração são diferentes. Você trabalha com modelos de grupo, perfis de SSID e objetos de perfil de Captive Portal externo que residem na hierarquia de configuração do Central, não em um equipamento físico em um rack. O Purple posiciona-se acima de tudo isso como uma plataforma de inteligência de guest WiFi hospedada na nuvem. Ele fornece o Captive Portal — a página de login que os visitantes visualizam —, lida com a lógica de autenticação, captura dados primários com consentimento e envia análises de volta para suas equipes de marketing e operações. A questão é: como interligar essas duas plataformas de nuvem de forma limpa, em escala, em potencialmente centenas de locais? Seção dois: A arquitetura técnica. Deixe-me descrever o fluxo de dados quando um visitante se conecta. O dispositivo de um visitante se associa ao seu SSID de visitantes — vamos chamá-lo de Hotel-Guest — que é transmitido por um Aruba Instant AP. O AP foi configurado, via Aruba Central, com um perfil de Captive Portal Externo. Esse perfil contém duas informações críticas: a URL de redirecionamento, que aponta para o servidor de Captive Portal do Purple, e os detalhes do servidor RADIUS, que apontam para o endpoint de RADIUS-as-a-Service do Purple. Quando o visitante abre um navegador, o AP intercepta a requisição HTTP e a redireciona para a splash page da Purple. O visitante se autentica — via login social, e-mail, SMS ou um formulário personalizado, dependendo da sua configuração da Purple. O backend da Purple então envia uma mensagem RADIUS Access-Accept de volta para o AP, que concede ao visitante o acesso à internet e o move da função de pré-autenticação para a função de visitante autenticado. Os pacotes de bilhetagem RADIUS fluem durante toda a sessão, dando à Purple visibilidade sobre a duração da sessão e o uso de dados. Agora, a principal diferença em relação ao Aruba on-prem: no Aruba Central, você configura o perfil do External Captive Portal uma única vez, no nível do grupo, e ele se propaga para todos os APs desse grupo. Você não mexe em APs individuais. Isso é extremamente poderoso para implantações em múltiplos locais, mas exige que você estruture os grupos corretamente antes de começar. O Aruba Central organiza os dispositivos em Grupos e, dentro dos grupos, você pode ter Sites. Um Grupo é a unidade de configuração — SSIDs, perfis de rádio e políticas de segurança vivem todos no nível do grupo. Os Sites são a unidade de localização e monitoramento. Para uma rede de hotéis, uma estrutura sensata é um grupo por tipo de propriedade — por exemplo, Hotéis de Serviço Completo e Propriedades Econômicas — com cada hotel físico como um site separado dentro do grupo apropriado. A configuração da Purple então se mapeia para os grupos: um perfil de External Captive Portal por grupo, apontando para o mesmo endpoint RADIUS da Purple, mas potencialmente com diferentes temas de splash page por site usando a personalização em nível de local da Purple. O walled garden é um elemento de configuração crítico que as equipes frequentemente erram. Antes de um visitante se autenticar, o AP permite apenas tráfego de DNS e DHCP, além de quaisquer domínios que você explicitamente inclua na lista de permissões. Para que a Purple funcione, você deve incluir na lista de permissões o domínio do Captive Portal da Purple, quaisquer domínios de CDN que a Purple use para recursos e quaisquer domínios de provedores de login social se você estiver usando autenticação social — Facebook, Google, Apple. Se você esquecer de um domínio, a splash page carregará parcialmente ou a autenticação falhará silenciosamente. A documentação de suporte da Purple fornece a lista atual de walled garden, e vale a pena tratar essa lista como um documento vivo que você revisa sempre que a Purple atualiza sua plataforma. Seção três: Superfície da API do Aruba Central para automação. Se você estiver implantando em mais de cerca de vinte sites, a configuração manual através da interface do usuário do Central torna-se um gargalo. O Aruba Central expõe uma API REST abrangente — a Central API — que permite automatizar a criação de SSIDs, a atribuição de perfis de Captive Portal e a configuração de walled garden. A API é autenticada via OAuth 2.0, e você precisará gerar credenciais de API a partir do portal do Central. Os principais endpoints de API para uma integração com a Purple são: o endpoint de configuração de WLAN, que permite criar e atualizar perfis de SSID; o endpoint de perfil de Captive Portal externo, que é onde você define a URL de redirecionamento da Purple e os detalhes do servidor RADIUS; e os endpoints de gerenciamento de sites e grupos, que permitem atribuir dispositivos a sites e grupos de forma programática. Se você estiver integrando um novo local, poderá criar um script que cria o site no Central, atribui os APs ao site, aplica o modelo de grupo correto e configura o perfil de Captive Portal específico da Purple — tudo sem tocar na interface do usuário. A Purple também expõe sua própria API, que permite criar registros de locais, configurar temas de splash pages e extrair dados analíticos. Uma integração madura usará ambas as APIs juntas: a API do Central para gerenciar a camada de rede e a API da Purple para gerenciar a camada de experiência do visitante. Este é o padrão que grandes redes de varejo e grupos hoteleiros usam quando estão integrando dezenas de novos locais por trimestre. Seção quatro: Configuração passo a passo. Deixe-me guiar você pela sequência de configuração para um único site, que você poderá automatizar para escala posterior. Primeiro, no Aruba Central, navegue até o seu grupo de destino e abra a configuração de WLAN. Crie um novo SSID — por exemplo, Venue-Guest — e defina o nível de segurança como Visitantes. Essa é a terminologia da Aruba para uma rede aberta ou autenticada por Captive Portal. Segundo, na guia Segurança, defina o tipo de Splash Page como External Captive Portal. Crie um novo perfil de External Captive Portal. Dê a ele um nome descritivo — Purple-Guest-Portal funciona bem. Defina o Tipo de Autenticação como Autenticação RADIUS. Insira o hostname do servidor de Captive Portal da Purple no campo IP ou Hostname. Insira a URL de redirecionamento. Ative o HTTPS. Defina o comportamento de Falha do Captive Portal como Negar Internet, que é o padrão mais seguro. Terceiro, configure o servidor RADIUS. No Central, vá para as configurações do servidor de autenticação e adicione o servidor RADIUS-as-a-Service da Purple. Você precisará do IP ou hostname do servidor, do segredo compartilhado — que você gera na plataforma da Purple — e da porta de autenticação, que é a padrão 1812, com tarifação (accounting) na 1813. Adicione este servidor como o Servidor Primário para o seu SSID de convidados. Quarto, configure o walled garden. Nas regras de acesso do SSID, adicione o domínio do Captive Portal da Purple e quaisquer domínios de login social à lista de permissões. Teste isso com cuidado — a ausência de um domínio é a causa mais comum de falhas na splash page. Quinto, salve e envie a configuração. O Central enviará a configuração para todos os APs do grupo. Verifique em um dispositivo de teste se o redirecionamento funciona corretamente e se a autenticação é concluída. Seção cinco: Padrões de implantação em vários sites. Para uma implantação em cinquenta ou mais sites, você precisa de uma abordagem disciplinada. O padrão que recomendo é: piloto, modelo, automatização e validação. Pilote em um único site. Acerte a configuração perfeitamente — walled garden completo, RADIUS funcionando, splash page carregando de forma limpa, fluxo de accounting ativo. Documente o valor de cada parâmetro. Em seguida, crie essa configuração em um modelo de grupo do Central. O modelo se torna sua fonte de verdade. Para a implantação, use a API do Central para enviar o modelo para novos grupos à medida que você integra os sites. Se a sua implantação do Purple usa temas de splash page diferentes por marca ou região, parametrize o perfil do Captive Portal — a URL de redirecionamento pode incluir parâmetros de consulta que o Purple usa para exibir o tema correto. Isso significa que você pode ter um único endpoint RADIUS, mas várias experiências de splash page, todas gerenciadas centralmente. Valide cada site após a integração. Um script de validação simples que associa um dispositivo de teste, verifica o redirecionamento, autentica e verifica o acesso à internet detectará desvios de configuração antes que os visitantes percebam. O painel de analytics do Purple também mostrará se as sessões estão sendo registradas — se um site ficar sem dados nos relatórios do Purple, esse é o seu sinal de que algo está quebrado na camada de rede. Seção seis: Armadilhas de implementação. O walled garden é o ponto de falha número um. Teste com um dispositivo que não tenha sessões de portal ou DNS em cache. Use um perfil de navegador novo ou o modo de navegação anônima. A segunda armadilha é a incompatibilidade do segredo compartilhado do RADIUS. O segredo que você configura no Central deve corresponder exatamente ao segredo na plataforma do Purple. Uma diferença de um único caractere causará falhas silenciosas de autenticação — o AP não receberá resposta do servidor RADIUS e negará o visitante ou, se você configurou o modo de falha do Captive Portal para Permitir Internet, concederá acesso sem autenticação, o que é um risco de conformidade. A terceira armadilha é a configuração incorreta de VLAN. O tráfego de visitantes deve estar em uma VLAN dedicada, isolada da sua rede corporativa. No Aruba Central, isso é configurado nas configurações de VLAN do perfil do SSID. Se a sua VLAN de visitantes não estiver corretamente configurada como trunk na porta do switch de uplink, os APs subirão, mas os visitantes não receberão endereços DHCP. A quarta armadilha é a confiança do certificado no redirecionamento do Captive Portal. Os navegadores e sistemas operacionais modernos estão cada vez mais agressivos em relação à aplicação do HTTPS. O servidor de Captive Portal do Purple usa um certificado TLS válido, mas se o seu walled garden bloquear os endpoints OCSP ou CRL que o cliente usa para validar o certificado, você verá erros de certificado na splash page. Adicione esses endpoints ao seu walled garden. Seção sete: Perguntas rápidas. O Purple funciona com a arquitetura AOS-10 do Aruba Central tão bem quanto com a AOS-8? Sim. O mecanismo externo de Captive Portal é consistente em ambas as versões de firmware. O caminho da interface do usuário difere um pouco, mas os objetos de configuração subjacentes são os mesmos. Posso usar o RADIUS-as-a-Service da Purple sem executar minha própria infraestrutura RADIUS? Sim, esse é o objetivo. O RADIUS-as-a-Service da Purple é um servidor RADIUS hospedado na nuvem para o qual você aponta seus APs Aruba. Você não precisa de FreeRADIUS ou Cisco ISE locais. Esta integração suporta WPA3? O Aruba Central suporta WPA3 em APs compatíveis, e você pode habilitar o modo de transição WPA3 em seu SSID de visitante. O mecanismo de Captive Portal da Purple é agnóstico em relação à camada de criptografia — ele opera no nível de redirecionamento HTTP, não no nível de associação 802.11. Os dados que a Purple coleta estão em conformidade com a GDPR? A Purple foi projetada tendo a conformidade com a GDPR como um requisito fundamental. A splash page apresenta um mecanismo de consentimento, e o processamento de dados da Purple é regido pelo seu contrato de processamento de dados com eles. Para estabelecimentos na UE, certifique-se de que sua configuração da Purple inclua o texto de consentimento apropriado e que seu DPA esteja em vigor antes do lançamento. Seção oito: Resumo e próximos passos. Para resumir: O Aruba Central e a Purple se integram por meio do mecanismo de Captive Portal Externo, com a autenticação RADIUS gerenciada pelo serviço de RADIUS em nuvem da Purple. A configuração reside no nível do grupo no Central e se propaga para todos os APs do grupo — que é a principal diferença arquitetônica em relação ao Aruba local. Para implantações em vários locais, use a API do Central para automatizar o provisionamento e trate a configuração do seu site piloto como o modelo para tudo o que se segue. Seus próximos passos imediatos: primeiro, confirme se a estrutura de grupo do Aruba Central mapeia para a hierarquia de estabelecimentos da Purple. Segundo, obtenha a lista atual de domínios de walled garden e os detalhes do endpoint RADIUS da Purple no portal de suporte da Purple. Terceiro, execute um piloto em um único site e valide todo o fluxo de autenticação antes de escalar. Quarto, crie seus scripts de automação usando a API do Central e a API da Purple em paralelo. Se você está avaliando a Purple pela primeira vez, as páginas da plataforma de WiFi para visitantes e analytics em purple.ai oferecem uma visão clara do que você está obtendo além do Captive Portal — a captura de dados primários, a automação de marketing, o analytics de fluxo de pessoas. Esse é o caso de negócios que viabiliza o financiamento deste projeto. Obrigado por ouvir. Se você tiver dúvidas sobre esta integração, a equipe de soluções da Purple pode orientá-lo em uma prova de conceito dimensionada para o seu ambiente específico do Aruba Central.