Cisco iPSK: um guia completo para empresas

Bem-vindo à série de briefings técnicos da Purple. Hoje estamos falando sobre o Cisco iPSK - Identity Pre-Shared Key - e por que ele se tornou o modelo de segurança WiFi de referência para incorporadores imobiliários, operadores de BTR, hotéis e empresas de varejo de várias unidades.\n\nDeixe-me começar com o problema. Você gerencia um empreendimento Build-to-Rent de 200 unidades. Você quer que cada residente tenha WiFi seguro e privado desde o primeiro dia. Você não quer colocar um roteador em cada apartamento. Você não quer gerenciar 200 redes separadas. E você definitivamente não quer que um residente seja capaz de ver a smart TV de outro residente na rede.\n\nO WPA2-PSK padrão - o modelo de senha compartilhada - falha imediatamente. Uma senha para todo o edifício significa que uma violação afeta a todos. E você não pode revogar o acesso de um único residente sem alterar a senha de todos os 200.\n\nO WPA3-Enterprise com 802.1X é o outro extremo. Muito seguro. Mas requer certificados ou credenciais de usuário e senha para cada dispositivo. Os termostatos inteligentes, consoles de jogos e dispositivos Amazon Alexa de seus residentes simplesmente não conseguem se conectar a uma rede 802.1X. Eles não têm suplicante. Você estaria recebendo chamadas de suporte todos os dias.\n\nO Cisco iPSK fica exatamente no meio. Cada residente recebe sua própria chave pré-compartilhada exclusiva. Para o residente, parece e funciona exatamente como uma senha de WiFi doméstica. Eles a digitam uma vez, e cada dispositivo que possuem se conecta. Nos bastidores, no entanto, o Cisco Wireless LAN Controller envia uma solicitação RADIUS para o Cisco ISE - o Identity Services Engine - contendo o endereço MAC do cliente. O ISE busca esse MAC, encontra o perfil de autorização correspondente e retorna o PSK correto por meio de um atributo Cisco AV-pair. O controlador então valida a conexão usando essa chave individual.\n\nO resultado: um único SSID para todo o edifício, mas cada residente fica isolado em seu próprio segmento de rede privada. A substituição de VLAN via RADIUS significa que o residente A entra na VLAN 101, o residente B na VLAN 102, e os dispositivos IoT do seu edifício - sensores de porta, CFTV, medidores inteligentes - ficam em uma VLAN completamente separada, sem contaminação cruzada.\n\nAgora deixe-me orientá-lo pela arquitetura em mais detalhes, porque é aqui que reside o verdadeiro poder.\n\nO fluxo de autenticação tem quatro etapas. Primeiro, o dispositivo cliente envia uma solicitação de associação ao ponto de acesso. Segundo, o Cisco Wireless LAN Controller - seja um Catalyst 9800 ou uma rede gerenciada pelo painel Cisco Meraki - envia um RADIUS Access-Request ao ISE, carregando o endereço MAC do cliente como nome de usuário e senha. Terceiro, o ISE avalia sua política de autorização. Ele associa o endereço MAC a um grupo de identidade de endpoint, recupera o PSK atribuído e retorna uma resposta Access-Accept contendo dois atributos Cisco AV-pair: psk-mode igual a ascii, e psk igual à frase de identificação real. Quarto, o controlador usa essa frase de identificação retornada para concluir o handshake EAPOL de quatro vias do WPA2 com o cliente.\n\nDo ponto de vista do cliente, isso é indistinguível dem uma conexão padrão WPA2-PSK. A complexidade é inteiramente do lado do servidor. Essa é a elegância do iPSK.\n\nNo Catalyst 9800, a configuração requer quatro coisas. Você ativa a filtragem MAC na WLAN. Você configura uma lista de métodos de autorização AAA apontando para o seu grupo de servidores ISE. Você ativa o override AAA no perfil de política. E você define um PSK padrão na WLAN - este é apenas um valor temporário; nenhum dispositivo realmente o usa, porque o ISE sempre o substitui pela chave individual.\n\nNo Cisco Meraki, o caminho é ligeiramente diferente. Você seleciona Identity PSK com RADIUS nas configurações de controle de acesso. O Meraki suporta dois modos: baseado em MAC, onde o ISE armazena mapeamentos de MAC para PSK, e Easy PSK, introduzido no firmware MR 30.x, que usa atributos EAPOL específicos do fornecedor para passar o PSK diretamente sem pré-registrar cada endereço MAC. O Easy PSK é particularmente útil quando você está lidando com a randomização de MAC em dispositivos iOS 14 e Android 10 - uma dor de cabeça operacional significativa no modelo baseado em MAC.\n\nDeixe-me dar dois cenários do mundo real para tornar isso concreto.\n\nCenário um: um empreendimento Build-to-Rent de 350 unidades. O operador quer que os residentes recebam suas credenciais de WiFi antes do dia da mudança. A plataforma Multi-Tenant WiFi da Purple integra-se com o sistema de gestão de propriedades. Quando um contrato é assinado, o PMS aciona uma chamada de API para a Purple, que gera um iPSK exclusivo e o provisiona no ISE. O residente recebe sua chave por e-mail. Eles entram no primeiro dia, conectam todos os seus dispositivos e a rede está ativa. Quando eles se mudam, a chave é revogada automaticamente. Zero intervenção manual da equipe de instalações. O operador reduziu as chamadas de suporte relacionadas ao WiFi em mais de 60 por cento em comparação com o modelo anterior de senha compartilhada.\n\nCenário dois: um hotel de 180 quartos. O hotel queria eliminar o login do Captive Portal que os hóspedes reclamavam repetidamente. Com o iPSK, cada quarto recebe uma chave exclusiva impressa no cartão da chave ou enviada por e-mail de confirmação da reserva. Os hóspedes conectam-se uma vez. Seu telefone, tablet e laptop se conectam automaticamente em visitas subsequentes dentro da mesma estadia. Os dispositivos IoT no quarto - smart TV, Chromecast, tablet do quarto - ficam em uma VLAN separada, isolada do tráfego de hóspedes. A integração PMS do hotel significa que as chaves são geradas no check-in e revogadas no check-out, sem qualquer etapa manual na recepção.\n\nAgora, uma palavra sobre as limitações - porque nenhuma tecnologia é isenta delas.\n\nA limitação mais significativa com o Cisco iPSK hoje é o WPA3 e a banda de 6 GHz. O WPA3 usa Simultaneous Authentication of Equals - SAE - um handshake mais seguro do que o WPA2-PSK. O SAE atualmente não suporta múltiplas chaves pré-compartilhadas por SSID da maneira que o WPA2 faz. Esta não é uma limitação exclusiva da Cisco. Ela afeta o MPSK da HPE Aruba, o DPSK da Ruckus, o PPSK da Juniper Mist - todos os fornecedores enfrentam a mesma restrição porque ela está enraizada no próprio padrão IEEE 802.11.\n\nA implicação prática: se você está implantando acessos WiFi 6E ou WiFi 7s points e deseja usar a banda de 6 GHz, você não pode executar iPSK nela. A banda de 6 GHz exige WPA3. Suas opções são executar iPSK nas bandas de 2.4 e 5 GHz enquanto usa WPA3-Enterprise em 6 GHz para dispositivos gerenciados, ou esperar que o padrão evolua.\n\nO segundo desafio operacional é a randomização de endereços MAC. Apple iOS 14 e Android 10 introduziram endereços MAC randomizados por rede como um recurso de privacidade. Em uma implantação de iPSK baseada em MAC, a controladora envia o MAC randomizado para o ISE. O ISE não o reconhece. A autenticação falha. O modo Easy PSK da Cisco Meraki resolve isso em grande parte, autenticando via parâmetros EAPOL em vez de busca por MAC.\n\nDeixe-me dar cinco regras práticas antes de encerrarmos.\n\nRegra um: se você tiver mais de 50 dispositivos ou usuários em um único SSID e precisar de controle de acesso por dispositivo, o iPSK é quase certamente o modelo certo. O PSK padrão não pode escalar, e o 802.1X vai quebrar seus dispositivos IoT.\n\nRegra dois: planeje sempre sua arquitetura de VLAN antes de configurar o iPSK. O poder do iPSK é a substituição de VLAN via RADIUS. Se você não projetou suas VLANs - moradores, IoT, equipe, gerência - você terá que adaptar isso mais tarde com um custo significativo.\n\nRegra três: se você estiver no Cisco Meraki e tiver clientes iOS ou Android, use o modo Easy PSK, não o modo baseado em MAC. A randomização de MAC causará falhas de autenticação em escala.\n\nRegra quatro: não implante iPSK sem uma camada de gerenciamento de ciclo de vida. Gerenciar manualmente milhares de chaves no ISE não é sustentável. Integre com seu provedor de identidade - Microsoft Entra ID, Okta ou Google Workspace - ou use uma plataforma como a Purple que automatiza o provisionamento e a revogação por meio do seu sistema de gestão de propriedade ou de RH.\n\nRegra cinco: planeje sua migração para WPA3 agora, mesmo que não esteja implantando 6 GHz hoje. Projete sua rede para que o iPSK no WPA2 lide com dispositivos legados e IoT, enquanto o WPA3-Enterprise lide com endpoints corporativos gerenciados. Um design de SSID híbrido hoje evita uma dolorosa rearquitetura em 18 meses.\n\nPerguntas rápidas agora.\n\nO iPSK pode funcionar sem o Cisco ISE? Sim. O FreeRADIUS e o Microsoft NPS suportam o atributo Tunnel-Password que o iPSK exige. O ISE é a opção com mais recursos, mas não é obrigatório.\n\nQuantas chaves exclusivas um único SSID pode suportar? No Catalyst 9800 com ISE, o limite é efetivamente a capacidade do seu banco de dados RADIUS - dezenas de milhares de entradas. No Cisco Meraki sem RADIUS, o limite é de 50 chaves. Com RADIUS, ele escala para o mesmo nível do ISE.\n\nO iPSK suporta roaming rápido? Sim. O Catalyst 9800 suporta Fast Secure Roaming com iPSK, e o cache de chaves significa que a controladora não precisa consultar o RADIUS a cada evento de roam.\n\nO iPSK é compatível com PCI-DSS? O iPSK em si não garante a conformidade com PCI-DSS, mas suporta os requisitos de segmentação de rede do PCI-DSS 4.0. Os ambientes de dados de portadores de cartão devem ser isolados das redes de convidados e IoT - a capacidade de substituição de VLAN do iPSK é o mecanismo que alcança essa segmentaçãoção. Resumindo. O Cisco iPSK oferece identidade por dispositivo em um único SSID, sem a complexidade dos certificados 802.1X e sem as falhas de segurança de uma senha compartilhada. É o modelo ideal para Build-to-Rent, hotéis, varejo e qualquer ambiente multi-tenant onde você precisa isolar o tráfego, automatizar o ciclo de vida de acesso e suportar todos os tipos de dispositivos - desde um console de videogame até um sensor IoT industrial. As principais decisões são: Catalyst 9800 ou Meraki, ISE ou RADIUS alternativo, baseada em MAC ou Easy PSK, e como você se integra com seu provedor de identidade para automação do ciclo de vida. A plataforma Multi-Tenant WiFi da Purple cuida dessa última etapa - conectando seu sistema de gerenciamento de propriedades ou provedor de identidade à sua infraestrutura Cisco, automatizando o provisionamento e a revogação de chaves em escala, em mais de 80.000 locais ativos. Se você quiser se aprofundar em qualquer um desses pontos - revisão de arquitetura, configuração do ISE ou uma implantação piloto - o link para falar com nossa equipe está no guia. Obrigado por ouvir.