Projetando Redes WiFi para Edifícios de Escritórios Multi-Tenant

INFORMATIVO TÉCNICO DA PURPLE Projetando Redes WiFi para Edifícios de Escritórios Multi-Tenant Transcrição Completa [SEÇÃO 1: INTRODUÇÃO E CONTEXTO - 1 MINUTO] Bem-vindo ao Informativo Técnico da Purple. Sou Arquiteto de Soluções Sênior na Purple e hoje vamos abordar um dos cenários de implantação mais exigentes tecnicamente em redes corporativas: o design de redes WiFi para edifícios de escritórios multi-tenant. Seja você o responsável por uma torre comercial de alto padrão com quinze inquilinos independentes, um empreendimento de uso misto que combina varejo e escritórios, ou um campus de coworking flexível, o desafio é fundamentalmente o mesmo. Você precisa fornecer conectividade confiável, segura e isolada para várias organizações independentes em uma única rede física compartilhada. E precisa fazer isso de uma forma que atenda aos requisitos de conformidade, mantenha seu suporte técnico tranquilo e não exija um engenheiro em tempo integral para manutenção. Vamos entrar na arquitetura técnica. [SEÇÃO 2: MERGULHO TÉCNICO - 5 MINUTOS] A base de qualquer projeto de WiFi multi-tenant é a segmentação de rede. O principal mecanismo para alcançar isso é a marcação de VLAN, padronizada sob o IEEE 802.1Q. O conceito é simples: você atribui cada inquilino, ou cada classe de tráfego, a uma VLAN distinta. O tráfego na VLAN 10 não pode alcançar o tráfego na VLAN 20, a menos que você permita explicitamente por meio de uma política de firewall. Esse isolamento lógico é sua primeira linha de defesa. Agora, é aqui que os arquitetos costumam cometer o primeiro erro. Eles confundem segmentação de VLAN com segurança. VLANs oferecem isolamento, não segurança. Você ainda precisa de políticas de firewall entre as VLANs. Você ainda precisa de listas de controle de acesso. E ainda precisa pensar cuidadosamente sobre qual roteamento inter-VLAN você permite. Uma porta de tronco mal configurada pode colapsar todo o seu modelo de segmentação em segundos. Em um edifício de escritórios multi-tenant, você normalmente tem uma infraestrutura física compartilhada: cabeamento, malha de switches e pontos de acesso atendendo a vários inquilinos. Os pontos de acesso transmitem múltiplos SSIDs, cada um mapeado para uma VLAN diferente. O Inquilino A se conecta ao seu SSID, seu tráfego é marcado com a VLAN 10 no ponto de acesso, atravessa a malha de switches compartilhada em uma porta de tronco e chega à camada de distribuição, onde é roteado para a sub-rede isolada do Inquilino A. O tráfego do Inquilino B segue o mesmo caminho físico, mas é completamente isolado na Camada 2. Historicamente, os engenheiros de rede segmentavam os ambientes criando um SSID exclusivo para cada inquilino. Mas a proliferação de SSIDs é um destruidor de desempenho. Cada SSID que você transmite deve enviar quadros de gerenciamento, chamados beacons, na menor taxa de dados básica obrigatória. Se você estiver transmitindo seis ou sete SSIDs em um ponto de acesso, pode facilmente consumir de vinte a trinta por cento do seu tempo de transmissão sem fio disponível apenas com sobrecarga de gerenciamento. Isso antes que um único byte de dados reais do usuário seja transmitido. O padrão corporativo moderno é a Atribuição Dinâmica de VLAN. Em vez de múltiplos SSIDs, você transmite um único SSID seguro usando a autenticação IEEE 802.1X. Quando um usuário se conecta, seu dispositivo troca credenciais com um servidor RADIUS. O servidor RADIUS autentica o usuário e envia uma mensagem Access-Accept de volta para o ponto de acesso. Fundamentalmente, esta mensagem inclui atributos específicos do padrão IETF: o Tunnel-Type, o Tunnel-Medium-Type e o Tunnel-Private-Group-ID, que contém o VLAN ID específico para a organização daquele usuário. O ponto de acesso recebe esses atributos e direciona dinamicamente o tráfego daquele usuário diretamente para sua VLAN dedicada. Um executivo corporativo e um dispositivo IoT podem se conectar exatamente ao mesmo SSID, mas seu tráfego é completamente isolado na Camada 2. Para autenticação, o WPA3-Enterprise é agora o padrão de criptografia recomendado. Ele fornece o modo de segurança de 192 bits e elimina as vulnerabilidades associadas ao handshake de quatro vias do WPA2. Provedores de identidade como Microsoft Entra ID, Okta ou Google Workspace se integram à sua infraestrutura RADIUS para gerenciar credenciais de forma centralizada. Agora vamos falar sobre planejamento de RF, porque é aqui que as implantações de escritórios multi-tenant se tornam genuinamente complexas. Quando você tem múltiplos inquilinos em espaços adjacentes, você tem um ambiente de RF de alta densidade. A interferência de canal adjacente é sua inimiga. Você precisa de um exercício de planejamento de RF adequado antes da implantação: um levantamento ativo do local (site survey) que mapeie a propagação do sinal, identifique fontes de interferência e oriente sua estratégia de alocação de canais. A banda de 2,4 GHz oferece três canais que não se sobrepõem na maioria dos domínios regulatórios: canais 1, 6 e 11. A banda de 5 GHz oferece significativamente mais capacidade. O WiFi 6E estende isso para a banda de 6 GHz, oferecendo um espectro limpo e amplamente livre de interferências de dispositivos legados. Para novas implantações multi-tenant, especificar pontos de acesso compatíveis com WiFi 6E de fornecedores como Cisco Meraki, HPE Aruba, Ruckus ou Juniper Mist é a decisão correta. A margem de espectro adicional traz grandes benefícios em ambientes densos. A IoT é a outra dimensão que você não pode ignorar. Em um edifício multi-tenant moderno, você tem sistemas de gestão predial, controladores de HVAC, iluminação inteligente, controle de acesso e CFTV. Estes devem estar em sua própria VLAN isolada, completamente separados tanto do tráfego dos inquilinos quanto do tráfego de convidados. Dispositivos IoT são notoriamente difíceis de atualizar e representam uma superfície de ataque significativa. Segmente-os, monitore-os e aplique filtragem de saída rigorosa. [SECTION 3: IMPLEMENTATION RECOMMENDATIONS AND PITFALLS - 2 MINUTES] Permita-me compartilhar os três erros mais comuns que vejo em implantações multi-tenant. O primeiro é a configuração insuficiente de portas trunk. Os arquitetos projetam um belo esquema de VLAN e depois esquecem de permitir explicitamente as VLANs relevantes em cada link trunk no caminho. O tráfego cai silenciosamente, os inquilinos reclamam e a equipe de suporte passa dias rastreando o problema. Documente suas configurações de trunk meticulosamente e valide-as durante o comissionamento. O segundo erro comum é a proliferação de SSIDs. Mantenha a contagem de SSIDs em no máximo quatro por rádio. Use a Atribuição Dinâmica de VLAN via atributos RADIUS em vez de SSIDs separados para atender a múltiplos inquilinos. O terceiro erro é negligenciar o plano de gerenciamento. Sua VLAN de gerenciamento, aquela na qual seus pontos de acesso, switches e controladoras se comunicam, deve ser completamente isolada de todas as VLANs de inquilinos e convidados. Se um inquilino conseguir acessar seu plano de gerenciamento, você terá uma vulnerabilidade de segurança crítica. Eu também adicionaria um quarto: negligenciar o gerenciamento do tempo de concessão (lease time) do DHCP em VLANs de convidados. Em ambientes de alta rotatividade, os dispositivos mantêm as concessões após a desconexão. Defina os tempos de concessão da VLAN de convidados para uma a duas horas para evitar o esgotamento de endereços IP. [SECTION 4: RAPID-FIRE Q AND A - 1 MINUTE] Deixe-me passar rapidamente por algumas perguntas que surgem constantemente nessas implantações. Você precisa de pontos de acesso físicos separados por inquilino? Não. Esse é todo o propósito do multi-tenancy baseado em VLAN. Múltiplos inquilinos compartilham o mesmo ponto de acesso, com o isolamento de tráfego aplicado na camada de rede. Como você lida com dispositivos IoT legados que não suportam 802.1X? Use o MAC Authentication Bypass combinado com WPA3-SAE. O servidor RADIUS identifica o dispositivo pelo seu endereço MAC e o atribui a uma VLAN de IoT isolada. Aplique regras rígidas de firewall a este segmento. A Atribuição Dinâmica de VLAN afeta o roaming? Não se você a configurar corretamente. Ative o 802.11r para Fast BSS Transition e Opportunistic Key Caching. O estado de autenticação é armazenado em cache nos seus pontos de acesso, e os usuários fazem o roaming de forma transparente, sem atrasos de reautenticação. [SECTION 5: SUMMARY AND NEXT STEPS - 1 MINUTE] Para resumir tudo isso: uma arquitetura de WiFi multi-tenant bem projetada para um edifício comercial é construída sobre quatro pilares. Primeiro, segmentação rigorosa de VLAN com políticas de firewall aplicadas entre os segmentos. Segundo, gerenciamento centralizado baseado em controladora que oferece visibilidade operacional e controle de políticas em escala. Terceiro, um planejamento de RF adequado que leve em conta o ambiente físico e a densidade da implantação. E quarto, um modelo de segurança que atenda aos requisitos de autenticação, criptografia, isolamento de IoT e conformidade desde o primeiro dia. As organizações que acertam nisso veem resultados mensuráveis: redução nos custos de suporte, integração mais rápida de inquilinos, postura de conformidade demonstrável para auditorias e a capacidade de monetizar a conectividade como um serviço, em vez de tratá-la como um centro de custo. Se você está planejando uma implantação multi-tenant e quer explorar como a plataforma da Purple pode fornecer a camada de analytics, gerenciamento de Guest WiFi e relatórios em nível de inquilino sobre sua infraestrutura de rede, visite purple dot ai. Os recursos vinculados no guia são um bom ponto de partida. Obrigado por ouvir. Até a próxima.