Como configurar um hotspot WiFi para a sua empresa
Este guia definitivo fornece aos líderes de TI, arquitetos de rede e diretores de operações de estabelecimentos um plano prático e neutro em relação a fornecedores para implantar hotspots de WiFi para visitantes seguros, em conformidade e que potencializam os negócios. Ele aborda decisões críticas de arquitetura - desde a segmentação de VLAN e configuração de Captive Portal até a conformidade com o GDPR e modelagem de tráfego - e demonstra como transformar a infraestrutura de rede de um centro de custo em uma plataforma de análise que gera receita usando as capacidades de análise e WiFi para visitantes da Purple.
Ouça este guia
Ver transcrição do podcast
Resumo Executivo
Para estabelecimentos comerciais - sejam redes de varejo, grupos hoteleiros, centros de conferências ou grandes instituições públicas - o WiFi para visitantes evoluiu de uma conveniência opcional para um ponto de contato digital crítico. Visitantes e clientes agora esperam uma conectividade rápida e confiável como padrão básico. No entanto, a lacuna operacional e jurídica entre um roteador doméstico e um hotspot empresarial devidamente implantado é enorme. Uma rede mal implementada expõe os ativos corporativos a ataques de movimento lateral, cria responsabilidades legais sob a GDPR e a Lei de Uso Indevido de Computadores, e desperdiça a oportunidade de capturar dados primários valiosos.
Este guia oferece aos gerentes de TI e arquitetos de rede responsáveis pela implantação ou atualização de um serviço de WiFi público um modelo pragmático e neutro em relação ao fornecedor. Detalhamos a arquitetura técnica necessária para entregar um hotspot seguro e segmentado, com foco especial no design de VLAN, no fluxo de autenticação do Captive Portal, no gerenciamento de largura de banda e nos requisitos de conformidade, incluindo GDPR, PCI-DSS e IEEE 802.1X. Também exploramos como a integração de uma plataforma gerenciada como o Guest WiFi transforma a conectividade bruta em WiFi Analytics acionáveis, permitindo que os operadores do local compreendam os padrões de fluxo de pessoas, meçam o tempo de permanência e gerem um ROI de marketing mensurável.
Análise Técnica Detalhada: Arquitetura e Segmentação
O princípio fundamental de qualquer implantação de hotspot corporativo é o isolamento. Em cada camada da pilha de rede, o tráfego de visitantes deve ser criptograficamente e logicamente separado dos dados corporativos. A falha em aplicar essa separação é o erro mais comum - e mais grave - em implantações de WiFi público.
Segmentação de Rede via VLANs
A implantação de uma rede plana na qual visitantes e sistemas de ponto de venda (POS) compartilham a mesma sub-rede é uma falha de segurança catastrófica. As implantações empresariais usam Redes Locais Virtuais (VLANs) para segmentar o tráfego no nível do switch gerenciado, aplicando limites lógicos independentemente da topologia física.
Uma implantação padrão multi-tenant normalmente define pelo menos duas VLANs:
| VLAN | Finalidade | ID Típico | Política de Roteamento |
|---|---|---|---|
| Corporativo | Dispositivos de funcionários, terminais POS, servidores administrativos | VLAN 10 | Acesso interno total |
| Visitante | Acesso apenas à internet pública | VLAN 20 | Apenas internet; sem roteamento interno |
| IoT/Predial | CFTV, HVAC, controle de acesso de portas | VLAN 30 | Isolado; sem internet |
O tráfego na VLAN de visitantes é roteado diretamente para a internet através de um firewall Unified Threat Management (UTM), configurado com listas de controle de acesso (ACLs) rigorosas que descartam quaisquer pacotes destinados a sub-redes internas. Essa segmentação é um controle obrigatório de acordo com o Requisito 1.3 do PCI-DSS, que estipula que o ambiente de dados do portador do cartão deve ser isolado de redes não confiáveis. Para operadores de varejo e hotelaria que operam terminais de pagamento na mesma infraestrutura física, isso é inegociável.
O Fluxo de Autenticação do Captive Portal
Quando um dispositivo de visitante se associa a um ponto de acesso (AP), ele obtém um endereço IP via DHCP. Nesta etapa, o firewall bloqueia todo o tráfego de saída para a internet. A sequência completa de autenticação funciona da seguinte forma:
- Associação: O dispositivo se conecta ao SSID aberto (ou a um SSID OpenRoaming seguro usando 802.1X/EAP).
- Atribuição de DHCP: O servidor DHCP da VLAN de visitantes atribui um endereço IP, gateway padrão e servidores DNS.
- Interceptação: Quando o dispositivo tenta uma requisição HTTP (ou o sistema operacional dispara uma verificação de captive portal contra uma URL conhecida), a rede intercepta a requisição via redirecionamento de DNS e roteia o usuário para o servidor do captive portal.
- Autenticação: O usuário visualiza uma splash page personalizada com a marca. Ele se autentica via e-mail, login social (OAuth), um código único por SMS ou um provedor de identidade integrado, como o OpenRoaming.
- Captura de consentimento: O usuário visualiza a Política de Uso Aceitável (AUP) e, se os dados estiverem sendo coletados para fins de marketing, uma caixa de seleção para consentimento explícito de aceitação.
- Sinal de autorização: O servidor do portal se comunica com o controlador de LAN sem fio ou firewall via RADIUS ou uma API REST para autorizar o endereço MAC ou IP do dispositivo para acesso à internet.
- Acesso concedido: As regras do firewall são atualizadas dinamicamente e o usuário é redirecionado para o destino pretendido.
Para ambientes que exigem autenticação baseada em certificados de nível empresarial para dispositivos de funcionários além do portal de visitantes, consulte nosso guia Como Configurar WiFi Corporativo em iOS e macOS com 802.1X (também disponível em inglês: How to Set Up Enterprise WiFi with 802.1X on iOS and macOS ).
Padrões de Redes Sem Fio e Planejamento de Frequência
Implantações corporativas devem padronizar em pontos de acesso 802.11ax (WiFi 6) ou 802.11be (WiFi 7). O WiFi 6 introduziu o OFDMA (Acesso Múltiplo por Divisão de Frequência Ortogonal), que melhora drasticamente o desempenho em ambientes de alta densidade, permitindo que um único AP atenda a múltiplos clientes simultaneamente em subcanais em vez de sequencialmente. Isso é especialmente crítico em instalações de saúde , centros de conferências e implantações em estádios, onde centenas de dispositivos podem se conectar a um único AP durante períodos de pico.
A alocação de banda deve seguir estes princípios. A banda de 2,4 GHz oferece maior alcance e melhor penetração através de paredes, tornando-a adequada para dispositivos legados e grandes áreas abertas. No entanto, ela possui apenas três canais que não se sobrepõem (1, 6, 11) e é altamente suscetível a interferências de canal compartilhado em implantações densas. A banda de 5 GHz oferece mais de 24 canais que não se sobrepõem e uma taxa de transferência significativamente maior, mas com alcance reduzido. Controladores sem fio corporativos modernos oferecem suporte para band steering, um recurso que incentiva ativamente dispositivos com capacidade de banda dupla a se conectarem em 5 GHz, liberando o espectro de 2,4 GHz para clientes legados.
Guia de Implementação: Hardware, Configuração e Implantação
Passo 1: ISP e Dimensionamento do Link de Subida
Antes de selecionar o hardware, calcule a largura de banda necessária para o link de subida. Para uma rede de convidados de uso geral, uma estimativa conservadora é de 1 a 2 Mbps por usuário simultâneo. Para um local que espera 300 convidados simultâneos, recomenda-se uma conexão de fibra simétrica de no mínimo 500 Mbps, com uma conexão de 1 Gbps oferecendo margem para crescimento. Para hubs de transporte ou grandes locais de eventos, considere múltiplos links de subida vinculados ou failover de SD-WAN.
Passo 2: Seleção e Posicionamento do Ponto de Acesso
Utilize pontos de acesso gerenciados 802.11ax de um fornecedor corporativo. Esses APs devem suportar PoE+ (Power over Ethernet Plus, IEEE 802.3at), permitindo que um único cabo Cat6 transporte dados e energia do switch gerenciado para o AP. Isso elimina a necessidade de instalar tomadas elétricas locais em cada local de AP, reduzindo substancialmente os custos de instalação.
O posicionamento do AP deve ser determinado por um levantamento de local de RF profissional, e não por adivinhação. Esse levantamento deve considerar:
- Atenuação: Perda de sinal através de paredes de concreto, prateleiras de metal e divisórias de vidro.
- Sobreposição de cobertura: Os APs devem se sobrepor em cerca de 15-20% para garantir roaming contínuo sem zonas mortas.
- Planejamento de capacidade: Áreas de alta densidade (salas de conferência, praças de alimentação, saguões) precisam de mais APs com menor potência de transmissão para atender a muitos clientes em curtas distâncias, em vez de poucos APs de alta potência.
Passo 3: Switch Gerenciado e Configuração de VLAN
Implante um switch gerenciável Layer 2/Layer 3 com orçamento PoE+ suficiente para alimentar todos os APs. Configure a marcação de VLAN 802.1Q em todos os uplinks e portas de tronco dos APs. As portas de acesso que conectam terminais de PDV ou estações de trabalho da equipe devem ser atribuídas à VLAN corporativa como membros não marcados. As portas dos APs devem ser configuradas como portas de tronco que transportam todas as VLANs necessárias, com o controlador wireless mapeando cada SSID para sua VLAN correspondente.
Passo 4: Firewall e Modelagem de Tráfego
O firewall UTM é o ponto de aplicação para todas as políticas de segurança e largura de banda. As configurações principais incluem:
- Regras de roteamento de VLAN: Permitir que a VLAN de visitantes acesse a internet; negar o acesso da VLAN de visitantes a todas as sub-redes internas.
- Limites de largura de banda por usuário: Implementar políticas de modelagem de tráfego para limitar a taxa de transferência individual. Um ponto de partida padrão é 5 Mbps de download / 2 Mbps de upload por usuário. Isso evita que um único usuário transmitindo vídeo em 4K prejudique a experiência de todos os outros visitantes.
- Controle de aplicativos: Bloquear protocolos de compartilhamento de arquivos ponto a ponto (BitTorrent, eDonkey) e outros aplicativos de alta largura de banda ou ilegais no nível do firewall.
- Filtragem de DNS: Implementar filtragem de conteúdo baseada em DNS para bloquear o acesso a domínios maliciosos, sites de phishing e categorias de conteúdo inapropriado. Para obter um guia detalhado sobre essa camada, consulte Protegendo Sua Rede com DNS Robusto e Segurança .
Passo 5: Configuração do Captive Portal
O Captive Portal é o componente mais visível da implantação e o principal mecanismo de captura de dados. Ao configurar o portal, certifique-se de que:
- A página de login (splash page) seja exibida via HTTPS com um certificado SSL válido e publicamente confiável para evitar avisos de segurança do navegador.
- As opções de autenticação incluam, no mínimo, e-mail/senha e login social (Google, Facebook, Apple) para maximizar as taxas de conversão.
- O Termo de Uso Aceitável (AUP) seja exibido claramente e exija aceitação explícita antes que o acesso seja concedido.
- O consentimento da GDPR para comunicações de marketing seja capturado por meio de uma caixa de seleção separada e desmarcada (opt-in).
- Os limites de tempo de sessão e os intervalos de reautenticação sejam configurados para equilibrar a conveniência do usuário com a segurança.
Melhores Práticas e Conformidade
GDPR e Privacidade de Dados
Se você coletar dados de usuários para fins de marketing, o consentimento explícito e informado é obrigatório tanto sob a UK GDPR quanto sob a GDPR da UE. Os requisitos legais são inequívocos: caixas de consentimento pré-marcadas são proibidas; o consentimento deve ser dado livremente, de forma específica, informada e inequívoca; e os usuários devem ser capazes de retirar o consentimento com a mesma facilidade com que o deram. Seu Captive Portal deve indicar claramente quais dados são coletados, a base legal para o processamento, como os dados serão usados e por quanto tempo serão retidos.
Registro de Sessão e Conformidade Legal
No Reino Unido, o Regulation of Investigatory Powers Act (RIPA) e as legislações correlatas podem exigir que os operadores de locais retenham logs de conexão - incluindo endereços MAC, carimbos de data/hora e atribuições de IP - para auxiliar a aplicação da lei em caso de atividade ilegal na rede. Consulte seu departamento jurídico para determinar as obrigações de retenção específicas aplicáveis à sua organização e jurisdição.
WPA3 e Padrões de Criptografia
Para qualquer SSID que utilize uma chave pré-compartilhada (por exemplo, uma rede de funcionários), exija o WPA3-Personal (SAE) em vez do WPA2. O WPA3 elimina a vulnerabilidade de ataque de dicionário offline inerente ao handshake de quatro vias do WPA2. Para redes corporativas de funcionários que utilizam autenticação baseada em certificado 802.1X, o WPA3-Enterprise no modo de 192 bits oferece o mais alto nível de garantia. Para obter mais informações sobre como proteger as camadas física e lógica da sua infraestrutura sem fio, consulte Segurança do Access Point: Seu Guia Corporativo 2026 .
Lidando com a Randomização de Endereço MAC
Dispositivos modernos iOS (desde o iOS 14) e Android (desde o Android 10) utilizam randomização de endereço MAC por padrão, gerando um endereço MAC aleatório exclusivo para cada rede WiFi. Isso significa que os endereços MAC não podem mais ser usados de forma confiável para identificar visitantes que retornam ou para criar perfis de usuário de longo prazo. A resposta arquitetônica correta é impor a autenticação baseada em identidade no Captive Portal - exigindo que os usuários façam login por e-mail ou conta de rede social - para que o perfil do usuário, e não um identificador de hardware, se torne a entidade de rastreamento persistente.
Solução de Problemas e Mitigação de Riscos
Mesmo uma rede bem projetada enfrentará problemas operacionais. A tabela abaixo resume os modos de falha mais comuns e suas mitigações recomendadas.
| Modo de Falha | Causa Raiz | Mitigação |
|---|---|---|
| Esgotamento de DHCP | Sub-rede muito pequena ou tempos de concessão muito longos em relação ao fluxo de pessoas | Use uma sub-rede /22 ou maior; reduza os tempos de concessão para 30 a 60 minutos |
| Interferência de co-canal | Múltiplos APs no mesmo canal em áreas de cobertura sobrepostas | Habilite a atribuição dinâmica de canais no controlador sem fio |
| Erros de SSL no Captive Portal | Certificado inválido ou autoassinado no servidor do portal | Implante um certificado de CA pública válido; use Let's Encrypt |
| Roaming lento | APs não estão compartilhando dados de associação do cliente | Habilite o 802.11r (Fast BSS Transition) no controlador sem fio |
| Saturação de largura de banda | Modelagem de tráfego por usuário não configurada | Implemente políticas de QoS por usuário no firewall |
| Movimentação lateral de convidados para corporativo | Rede plana ou ACLs mal configuradas | Audite as ACLs de VLAN; realize testes de invasão na VLAN de convidados |
ROI e Impacto nos Negócios
Um hotspot implantado corretamente transcende sua função como infraestrutura de TI - ele se torna um mecanismo de dados primários e um canal de marketing direto. O caso de negócios para investir em uma plataforma gerenciada de WiFi para convidados é atraente em todos os setores.
No setor de hotelaria , os dados de WiFi para visitantes permitem que os hotéis entendam quais instalações os hóspedes usam antes e depois de se conectarem, personalizem as comunicações durante a estadia e incentivem reservas recorrentes por meio de campanhas automatizadas pós-partida. Um hotel de 300 quartos que captura 200 opt-ins de e-mail por dia constrói um banco de dados de marketing de 70.000 contatos optados por ano - um ativo de CRM significativo.
No varejo , o WiFi analytics fornece mapas de calor de fluxo de pessoas, tempos de permanência por zona e taxas de visitas repetidas - dados que antes eram obtidos apenas por meio de pesquisas manuais caras. Os varejistas podem usar esses dados para otimizar o layout das lojas, medir o impacto de exibições promocionais e acionar campanhas de fidelidade quando um cliente conhecido entra na loja.
Para operadoras do setor público e de transporte , a proposta de valor reside na eficiência operacional: entender os períodos de pico de congestionamento, otimizar os níveis de pessoal e fornecer serviços digitais convenientes para cidadãos e passageiros.
Plataformas como o Guest WiFi e o WiFi Analytics da Purple fornecem a camada de infraestrutura gerenciada que conecta a rede bruta a esses resultados de negócios. Como demonstra a expansão estratégica da Purple - incluindo movimentos recentes em novas verticais, conforme destacado no anúncio de que o VP of Education Tim Peers joining the team - o valor de espaços inteligentes e conectados está se expandindo rapidamente em todos os setores da economia.
A transição de uma conectividade de internet básica para uma rede inteligente e orientada por dados é a característica definidora de uma implantação moderna de WiFi empresarial. Os custos de infraestrutura são amplamente fixos; o investimento incremental em uma camada de plataforma gerenciada oferece retornos compostos à medida que o banco de dados de marketing cresce e os fluxos de trabalho automatizados amadurecem.
Definições principais
Captive Portal
Uma página web que o usuário de uma rede de acesso público é obrigado a visualizar e interagir antes que o acesso à internet seja concedido. Ela intercepta o tráfego HTTP via redirecionamento de DNS e apresenta uma splash page para autenticação e captura de consentimento.
O principal mecanismo para aplicar Políticas de Uso Aceitável, autenticar usuários e capturar dados de marketing primários em redes WiFi de visitantes.
VLAN (Virtual Local Area Network)
Uma sub-rede lógica que agrupa uma coleção de dispositivos de diferentes LANs físicas, aplicada no nível do switch gerenciado por meio de marcação 802.1Q.
Essencial para isolar o tráfego de WiFi de visitantes de redes corporativas confidenciais. Um controle obrigatório para conformidade com PCI DSS em qualquer local que processe dados de cartões de pagamento.
Controle de Tráfego (QoS)
O controle do tráfego de rede para otimizar ou garantir o desempenho, limitando a largura de banda disponível para usuários individuais ou tipos de aplicativos.
Usado para evitar que um pequeno número de usuários intensivos consuma a maior parte da largura de banda de upload disponível, garantindo uma experiência básica consistente para todos os visitantes simultâneos.
Randomização de MAC
Um recurso de privacidade em sistemas operacionais modernos (iOS 14+, Android 10+) que gera um endereço MAC aleatório exclusivo ao se conectar a diferentes redes WiFi, impedindo o rastreamento persistente baseado em hardware.
Força os operadores de locais a usar logins de Captive Portal baseados em identidade, em vez de rastreamento de endereço de hardware, para identificar e reengajar visitantes frequentes.
Esgotamento de DHCP
Uma condição de falha de rede em que o servidor DHCP atribuiu todos os endereços IP disponíveis em seu pool configurado, impedindo que novos dispositivos obtenham um endereço IP e se conectem à rede.
Uma falha comum e facilmente evitável em locais de alto fluxo de pessoas com sub-redes subdimensionadas ou tempos de concessão DHCP excessivamente longos.
Band Steering
Um recurso de controladora sem fio que detecta dispositivos clientes compatíveis com banda dupla e os incentiva ativamente ou os força a se conectar à banda de 5 GHz, em vez da banda de 2.4 GHz, que é mais congestionada.
Melhora o desempenho geral da rede em implantações de alta densidade, distribuindo os clientes pelo espectro disponível e reduzindo a interferência de canal compartilhado na banda de 2.4 GHz.
OpenRoaming
Um padrão de federação da Wireless Broadband Alliance (WBA) que permite conexões WiFi automáticas e seguras em redes participantes usando autenticação 802.1X/EAP, sem exigir que os usuários interajam com um Captive Portal.
Oferece uma experiência de conectividade contínua e semelhante à celular para usuários de provedores de identidade participantes. A Purple opera como um provedor de identidade dentro da federação OpenRoaming sob sua licença Connect.
PCI DSS (Payment Card Industry Data Security Standard)
Um conjunto de padrões de segurança exigidos pelas principais bandeiras de cartão (Visa, Mastercard, Amex) que exige que qualquer organização que aceite, processe, armazene ou transmita dados de cartões de pagamento mantenha um ambiente de rede seguro e segmentado.
Diretamente relevante para qualquer implantação de WiFi em varejo ou hospitalidade onde os terminais de pagamento compartilham a infraestrutura de rede física com pontos de acesso de visitantes. O Requisito 1.3 exige o isolamento estrito do ambiente de dados do portador do cartão de redes não confiáveis.
UTM Firewall (Unified Threat Management)
Um dispositivo de segurança de rede que combina várias funções de segurança - incluindo inspeção de pacotes com estado (stateful), prevenção de intrusões, controle de aplicações, filtragem de DNS e VPN - em uma única plataforma gerenciada.
O ponto central de aplicação para regras de roteamento VLAN, políticas de largura de banda por usuário e filtragem de conteúdo em uma implantação de WiFi de visitantes corporativa.
Exemplos práticos
Um hotel de 200 quartos está atualizando seu WiFi para visitantes. Durante os horários de pico da noite, os hóspedes reclamam de lentidão e conexões caídas, apesar de o hotel possuir um link de fibra simétrico de 1 Gbps. A investigação revela que a configuração atual usa uma única sub-rede plana /24 para funcionários e hóspedes, sem nenhuma modelagem de tráfego configurada. O hotel também deseja começar a capturar endereços de e-mail dos hóspedes para um programa de marketing pós-estadia.
Fase 1 - Redesenho de Rede:
- Implementar a segmentação de VLAN. Mover todos os dispositivos de funcionários, terminais de PDV e o sistema de gestão hoteleira para a VLAN 10 (sub-rede /24). Mover os hóspedes para a VLAN 20 com uma sub-rede /22 (1.022 IPs utilizáveis) para acomodar a ocupação de pico com múltiplos dispositivos por hóspede.
- Configurar o firewall UTM com ACLs rígidas: a VLAN 20 de visitantes tem apenas acesso à internet; todas as rotas para a VLAN 10 são explicitamente negadas.
Fase 2 - Otimização de Desempenho: 3. Configurar limites de largura de banda por usuário de 10 Mbps de download / 5 Mbps de upload no firewall. Isso garante que o link de 1 Gbps seja distribuído de forma justa entre mais de 400 dispositivos simultâneos. 4. Habilitar o Band Steering na controladora sem fio para direcionar os dispositivos compatíveis para a banda de 5 GHz, que é menos congestionada. 5. Reduzir o tempo de concessão (lease) do DHCP de 24 horas padrão para 2 horas para evitar o esgotamento de IPs durante os períodos de pico de check-in.
Fase 3 - Captive Portal e Captura de Dados: 6. Implantar um Captive Portal personalizado (por exemplo, via Purple WiFi para visitantes) que exija autenticação por e-mail. 7. Configurar a página de login com uma caixa de seleção de consentimento para o GDPR explícita e desmarcada para o programa de marketing pós-estadia. 8. Integrar a API do portal com o CRM do hotel para sincronizar os perfis de visitantes autenticados e acionar sequências automatizadas de e-mail pós-estadia.
Uma rede de varejo com 50 lojas deseja usar seu WiFi para visitantes gratuito para construir seu banco de dados de marketing. Atualmente, eles usam uma chave pré-compartilhada WPA2 (senha impressa nos recibos) em todas as lojas e têm visibilidade zero sobre quem está se conectando ou quanto tempo permanecem. A equipe de marketing deseja enviar e-mails promocionais semanais para os usuários do WiFi, e a equipe de TI está preocupada com a conformidade com o PCI-DSS, dado que os terminais de pagamento estão nos mesmos switches físicos.
Passo 1 - Remover a Chave Pré-Compartilhada: Transicione o SSID de visitantes para uma rede aberta (sem senha) que redireciona imediatamente para um Captive Portal. Isso elimina a vulnerabilidade de segredo compartilhado e ativa a autenticação por usuário.
Passo 2 - Segmentação de VLAN para PCI DSS: Crie uma VLAN de visitantes dedicada (ex: VLAN 20) em todos os switches gerenciados. Atribua os terminais de POS à VLAN corporativa existente (VLAN 10). Configure ACLs no firewall para impor o isolamento rígido entre as duas VLANs. Documente essa segmentação como parte do diagrama de rede PCI DSS.
Passo 3 - Captive Portal com Consentimento em Conformidade com a GDPR: Implante uma plataforma gerenciada de Captive Portal. Configure a splash page para exigir autenticação via e-mail, Google ou Facebook. Inclua uma caixa de seleção de opt-in claramente formulada e desmarcada: 'Concordo em receber e-mails promocionais de [Brand Name]. Posso cancelar a assinatura a qualquer momento.'
Passo 4 - Integração e Automação de CRM: Conecte a API do portal ao CRM do varejista (ex: Salesforce, Klaviyo). Sincronize perfis de usuários autenticados, carimbos de data/hora de visitas e dados de localização das lojas. Configure um e-mail de boas-vindas automatizado disparado na primeira conexão e uma campanha de reengajamento disparada quando um usuário conhecido não se conectar por 30 dias.
Questões práticas
Q1. Sua equipe de marketing deseja coletar endereços de e-mail de visitantes por meio do novo hotspot WiFi. Eles sugerem definir o tempo de concessão do DHCP para 24 horas para que os visitantes não precisem fazer login repetidamente durante o dia. Seu local recebe 3.000 visitantes únicos por dia. Sua sub-rede de visitantes é um /23 (510 IPs utilizáveis). Qual é a falha arquitetônica nesta solicitação e como você a resolve, sem deixar de atender ao requisito da equipe de marketing?
Dica: Considere a relação entre o número de visitantes diários, o tamanho da sub-rede e o tempo de concessão (lease) do DHCP. Em seguida, pense em como separar a preocupação da camada de rede da preocupação da camada de aplicação.
Ver resposta modelo
A falha arquitetônica é que um tempo de concessão de 24 horas em uma sub-rede /23 com 3.000 visitantes diários causará a rápida exaustão do DHCP. Assim que 510 dispositivos se conectarem, nenhum dispositivo novo receberá um endereço IP por até 24 horas. A solução é dupla: primeiro, expandir a sub-rede para pelo menos um /21 (2.046 IPs) para acomodar o pico de dispositivos simultâneos. Segundo, reduzir o tempo de concessão do DHCP para 30 a 60 minutos para reciclar os endereços IP à medida que os visitantes saem do local. Para satisfazer o requisito da equipe de marketing de que os visitantes não precisem se autenticar repetidamente, configure o controlador do Captive Portal para lembrar os endereços MAC autenticados (ou tokens de identidade do usuário) por 24 horas. Isso permite que um dispositivo que retorna obtenha um novo IP via DHCP, mas ignore a splash page, entregando a experiência contínua que a equipe de marketing deseja sem quebrar a rede.
Q2. Um cliente de varejo deseja implementar um Captive Portal, mas está preocupado com o custo de substituição de seus switches não gerenciáveis existentes. Eles perguntam se podem executar o WiFi de visitantes nos mesmos switches não gerenciáveis físicos que seus terminais de Ponto de Venda (POS), com a rede de visitantes simplesmente usando um SSID diferente.
Dica: A aplicação de VLAN exige hardware de switch gerenciável. Considere o que acontece com o tráfego em um switch não gerenciável.
Ver resposta modelo
Esta configuração não é aceitável do ponto de vista de segurança ou conformidade. Switches não gerenciáveis não suportam marcação de VLAN 802.1Q, o que significa que todo o tráfego no switch - independentemente do SSID - está no mesmo domínio de broadcast. Um dispositivo de visitante no SSID de 'visitantes' seria capaz de alcançar os terminais POS no mesmo switch, violando o Requisito 1.3 do PCI DSS. O cliente deve substituir os switches não gerenciáveis por switches Layer 2 gerenciáveis que suportem marcação de VLAN 802.1Q. O custo de capital dos switches gerenciáveis é modesto em comparação com a exposição de responsabilidade de uma violação do PCI DSS ou as multas associadas a um comprometimento de dados.
Q3. Você está implantando pontos de acesso em um centro de conferências de alta densidade que hospeda eventos com até 1.500 usuários de WiFi simultâneos. Você nota latência significativa e perda de pacotes no espectro de 2,4 GHz durante os eventos, embora o espectro de 5 GHz pareça subutilizado. Como você deve configurar o controlador sem fio para resolver isso, e qual consideração adicional de hardware você deve fazer?
Dica: Pense em como mover dispositivos compatíveis para fora da banda de frequência congestionada e considere a relação entre a potência de transmissão do AP e a densidade de clientes.
Ver resposta modelo
Ative o Band Steering no controlador sem fio. Esse recurso detecta se um dispositivo cliente é capaz de se conectar à banda de 5 GHz e incentiva ou força ativamente o dispositivo a se associar a ela, liberando a banda de 2,4 GHz para dispositivos legados. Além disso, reduza a potência de transmissão em todos os APs. De forma contra-intuitiva, em implantações de alta densidade, uma menor potência de transmissão melhora o desempenho reduzindo a interferência de canal compartilhado entre APs adjacentes e incentivando os clientes a se associarem ao AP mais próximo, em vez de um distante com alta intensidade de sinal. Considere implantar APs adicionais com menor potência em vez de menos APs com alta potência. Ative também o 802.11r (Fast BSS Transition) para permitir roaming contínuo à medida que os usuários se movimentam pelo local.
Continue a ler esta série
Captive Portal para Ruijie: configure-o com o WiFi de convidados Purple
Como o WiFi de convidados em nuvem da Purple se integra aos pontos de acesso Ruijie RG Series usando autenticação web e RADIUS, configurados a partir da linha de comando, e onde encontrar as etapas de configuração exatas.
Projetando Captive Portals B2B: Coletando Nome Registrado e Dados da Empresa
Este guia fornece aos gerentes de TI e operadores de locais uma estrutura técnica neutra em relação a fornecedores para projetar Captive Portals B2B. Ele detalha como estruturar campos de registro para capturar dados de nome registrado e empresa, garantindo altas taxas de conclusão enquanto mantém a conformidade com o GDPR e constrói inteligência no nível da conta.
Arquitetura de Captive Portal: Segurança, Redirecionamento e Melhores Práticas
Uma referência técnica definitiva sobre a arquitetura de captive portal corporativo. Este guia detalha o isolamento de rede, redirecionamento de DNS, autenticação RADIUS e conformidade de segurança para líderes de TI que implantam redes WiFi de visitantes seguras e ricas em dados.