Integração do Huawei AirEngine e CloudCampus com o Purple WiFi

Bem-vindo à série técnica da Purple. Sou seu anfitrião e hoje vamos analisar uma das integrações de WiFi corporativo mais detalhadas que vemos em campo: os access points Huawei AirEngine e o controlador CloudCampus iMaster NCE-Campus, integrados com a Purple para WiFi de visitantes, autenticação de funcionários e segmentação de rede multi-tenant. Se você é um arquiteto de rede ou gerente de TI que administra uma infraestrutura Huawei — seja um grupo de hotéis, uma rede de varejo, um centro de convenções ou um campus do setor público — este episódio é para você. Abordaremos toda a estrutura: redirecionamento de Captive Portal, ACLs de pré-autenticação, WiFi seguro para funcionários usando 802.1X e o recurso Private Pre-Shared Key da Huawei para direcionamento dinâmico de VLAN em vários locatários. Vamos começar. Seção um: Contexto e arquitetura. O portfólio AirEngine da Huawei — que abrange as séries 5700, 6700, 8700 e 9700 — roda em WiFi 6 e WiFi 6E, com a série topo de linha 9700 suportando WiFi 7. Esses são access points corporativos robustos. A camada de gerenciamento é o iMaster NCE-Campus, o controlador de rede baseado em nuvem da Huawei, que lida com tudo, desde o provisionamento de SSID e relay RADIUS até a aplicação de políticas e encaminhamento de syslog. A Purple atua acima disso como uma sobreposição em nuvem (cloud overlay). Operamos em mais de 80.000 locais ativos e processamos 440 milhões de logins apenas em 2024. Somos agnósticos em relação ao hardware — o que significa que nos integramos com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e, sim, Huawei AirEngine — usando os mesmos padrões de RADIUS e Captive Portal que todos os controladores corporativos suportam. O modelo de integração aqui é simples. O iMaster NCE-Campus atua como o relay RADIUS, encaminhando solicitações de autenticação dos access points para os servidores RADIUS da Purple. A Purple lida com a lógica de autenticação — seja uma splash page de visitante, uma verificação de credenciais 802.1X ou uma consulta PPSK — e retorna a resposta RADIUS apropriada, incluindo quaisquer atributos de atribuição dinâmica de VLAN. Seção dois: Configuração de WiFi de visitantes e Captive Portal. Vamos começar com a implantação mais comum: WiFi de visitantes com um Captive Portal da Purple. No iMaster NCE-Campus, você navega até Design, depois Network Design e, em seguida, Template Management. Você cria um modelo de Servidor de Relay RADIUS. Os principais parâmetros são: definir o serviço de autenticação como Portal authentication, adicionar os endereços IP do servidor RADIUS da Purple na porta UDP 1812 para autenticação e 1813 para bilhetagem (accounting), definir o identificador NAS como Device MAC e configurar o segredo compartilhado. A Purple fornece essas credenciais RADIUS na tela de configuração do local no painel da Purple. Em seguida, você cria uma ACL — este é o seu Walled Garden. Antes de um visitante se autenticar, ele precisa acessar a splash page da Purple e quaisquer domínios de suporte. Suas regras de ACL devem permitir DNS em UDP 53, permitir HTTPS para o domínio do portal da Purple e permitir quaisquer provedores de login social que você tenha ativado — por exemplo, os endpoints da API Graph do Facebook se você estiver usando login social. Todo o resto é negado antes da autenticação. Depois, configure o SSID. Defina o tipo de rede como Open, selecione Open plus Portal authentication, defina o tipo de autenticação como Relay authentication by cloud platform e escolha RADIUS relay como o modo de interconexão. Defina o protocolo de envio de página (page push protocol) como HTTPS. Nos parâmetros de autenticação de portal de terceiros, cole a URL de redirecionamento da Purple — esta é a URL da splash page que você copia do painel de locais da Purple, com o sufixo modificado para incluir os parâmetros específicos da Huawei: ap-mac, uaddress, umac, ssid e redirect-url. Por fim, crie um modelo de URL no iMaster NCE-Campus que mapeie esses nomes de parâmetros para os valores que a Huawei passa no redirecionamento. O mapeamento de parâmetros é: redirect-url para redirect-url, loginurl para login-url, device-mac para ap-mac, user-ip para uaddress, user-mac para umac e ssid para ssid. Depois de configurado, o visitante se conecta ao SSID, obtém um endereço DHCP e seu tráfego HTTP é interceptado pelo controlador e redirecionado para a splash page da Purple. Ele se autentica — via e-mail, login social ou verificação por SMS — e o servidor RADIUS da Purple envia um Access-Accept de volta ao iMaster NCE-Campus, que concede ao visitante acesso total à internet. Do ponto de vista dos dados, a Purple captura dados de consentimento primários (first-party data) nesse momento. Cada login é um opt-in de escolha consciente, em conformidade com o GDPR e a CCPA. Esses dados alimentam a plataforma de análise da Purple, fornecendo a duração da sessão, o tipo de dispositivo, as taxas de visitantes recorrentes e o tempo de permanência — tudo sem qualquer rastreamento de terceiros. Seção três: WiFi seguro para funcionários com 802.1X. Agora vamos falar sobre o WiFi de funcionários. Essa é uma postura de segurança totalmente diferente. Você não quer funcionários no mesmo segmento de rede que os visitantes e não quer senhas PSK compartilhadas que saiam pela porta quando alguém se desliga da empresa. A resposta é a autenticação 802.1X, definida no padrão IEEE 802.1X-2020, usando EAP-TLS ou EAP-PEAP. No iMaster NCE-Campus, você cria um SSID separado para os funcionários — vamos chamá-lo de CorpNet. No perfil de autenticação para este SSID, você define o modo de autenticação como 802.1X, aponta para o servidor RADIUS da Purple e define o perfil de segurança como WPA2-Enterprise ou WPA3-Enterprise com criptografia AES-CCMP. A Purple também atua como o servidor RADIUS aqui, mas agora ela valida as credenciais em relação ao seu provedor de identidade. A Purple se integra nativamente com o Microsoft Entra ID, Okta e Google Workspace. Quando um funcionário se conecta à CorpNet, seu dispositivo envia credenciais EAP para o access point, que as transmite via RADIUS para a Purple, que por sua vez as valida no Entra ID usando SCIM ou SAML. Se as credenciais forem válidas, a Purple retorna um Access-Accept com um atributo RADIUS especificando a VLAN dos funcionários — por exemplo, VLAN 20. O iMaster NCE-Campus direciona o cliente para essa VLAN automaticamente. Os principais atributos RADIUS para atribuição dinâmica de VLAN são: Tunnel-Type definido como VLAN ou o valor 13, Tunnel-Medium-Type definido como 802 ou o valor 6 e Tunnel-Private-Group-ID definido como o ID da VLAN. Esses três atributos juntos informam ao controlador Huawei exatamente qual VLAN atribuir ao cliente autenticado. Para o EAP-TLS especificamente — que é o padrão ouro para autenticação de funcionários — você precisa de certificados de cliente. O add-on SecurePass da Purple lida com a emissão e o gerenciamento do ciclo de vida dos certificados, integrando-se à sua PKI existente ou atuando como uma autoridade de certificação leve. Isso elimina totalmente os ataques baseados em senha. Sem senha, sem vetor de phishing. Seção quatro: Segmentação multi-tenant com Huawei PPSK. É aqui que as coisas ficam realmente interessantes. Se você administra um local de uso misto — um shopping center com vários lojistas, um espaço de coworking com várias empresas associadas ou um centro de convenções que sedia eventos simultâneos — você precisa de isolamento de rede entre os locatários sem implantar um SSID separado para cada um deles. O recurso PPSK da Huawei — Private Pre-Shared Key — resolve isso. Às vezes, é chamado de iPSK em ecossistemas de outros fornecedores. O conceito é: um SSID, várias senhas exclusivas, cada senha mapeada para uma VLAN específica. O Locatário A recebe a senha Alpha, que mapeia para a VLAN 30. O Locatário B recebe a senha Beta, que mapeia para a VLAN 40. Ambos os locatários veem o mesmo SSID, mas estão completamente isolados na Camada 2. Na CLI da Huawei, você configura isso na visualização WLAN usando o comando ppsk-user. Para cada locatário, você executa: ppsk-user psk pass-phrase, seguido pela senha exclusiva, depois user-name, o identificador do locatário, depois vlan, o ID da VLAN, depois ssid, o nome do SSID. Você também pode definir uma data de expiração, um limite máximo de dispositivos e vincular a um endereço MAC específico se precisar de um controle mais rígido. No iMaster NCE-Campus, a consulta PPSK pode ser tratada localmente no controlador ou — para implantações em grande escala — via RADIUS. Quando o PPSK baseado em RADIUS é usado, a Purple se torna a fonte autoritativa para os mapeamentos de PPSK para VLAN. O dispositivo de um locatário se conecta com sua senha exclusiva, o controlador envia um Access-Request do RADIUS para a Purple com a senha como credencial, a Purple consulta o mapeamento e retorna um Access-Accept com os três atributos de túnel de VLAN. O controlador direciona o cliente para a VLAN correta. Essa arquitetura se expande para centenas de locatários em um único SSID. Isso também significa que você pode provisionar, rotacionar e revogar credenciais de locatários a partir do painel da Purple sem tocar na configuração do controlador. Seção cinco: Armadilhas de implementação e como evitá-las. Deixe-me apresentar os três modos de falha que vejo com mais frequência em implantações da Huawei e da Purple. Primeiro: o Walled Garden está incompleto. Os visitantes se conectam ao SSID, são redirecionados para a splash page, mas a página não carrega porque um domínio necessário — geralmente um endpoint de CDN ou uma API de login social — está bloqueado pela ACL de pré-autenticação. A solução é testar o fluxo da splash page a partir de um dispositivo novo antes de entrar em produção, capturar as consultas DNS e conexões HTTPS que ele faz e adicionar todos os domínios necessários à ACL. A Purple publica uma lista de domínios necessários na documentação de integração. Segundo: incompatibilidade do segredo compartilhado (shared secret) do RADIUS. O segredo configurado no iMaster NCE-Campus deve corresponder exatamente ao segredo no painel da Purple. A diferença de um único caractere causa falhas silenciosas de autenticação — os logs do controlador mostram Access-Reject sem nenhuma mensagem de erro útil. Sempre copie e cole o segredo, nunca o digite manualmente. Terceiro: má configuração do trunk de VLAN. A atribuição dinâmica de VLAN via RADIUS só funciona se a VLAN já estiver configurada como trunk na porta de uplink entre o access point e o switch de agregação. Se a VLAN 20 não estiver na lista de permissões (allow-pass) do trunk na interface do switch, os clientes dos funcionários autenticados receberão um tempo limite de DHCP e parecerá que a autenticação falhou. Audite suas configurações de trunk antes de testar as VLANs atribuídas pelo RADIUS. Seção seis: Perguntas rápidas. Pergunta: Posso usar o RADIUS integrado da Purple com a implantação local (on-premises) do iMaster NCE-Campus da Huawei, e não com a versão em nuvem? Sim. Os servidores RADIUS da Purple são hospedados na nuvem e acessíveis pela internet. Seu controlador local iMaster NCE-Campus precisa de acesso de saída UDP 1812 e 1813 para as faixas de IP do RADIUS da Purple. A Purple publica essas faixas de IP no painel, nas configurações do local. Pergunta: O Huawei PPSK suporta WPA3-SAE? A partir do firmware AirEngine V600R025, o WPA3-SAE-PPSK é suportado nas séries 6700 e 9700. Verifique a versão do seu firmware antes de ativar o WPA3 em SSIDs PPSK. Pergunta: Como a Purple lida com o consentimento do GDPR para WiFi de visitantes no hardware da Huawei? A splash page da Purple coleta o consentimento no momento da autenticação. O registro de consentimento — incluindo carimbo de data/hora, endereço IP e os termos específicos aceitos — é armazenado na plataforma da Purple e pode ser exportado para auditorias de conformidade. Isso se aplica independentemente do fornecedor de hardware subjacente. Seção sete: Resumo e próximos passos. Recapitulando: o Huawei AirEngine e o iMaster NCE-Campus se integram com a Purple via relay RADIUS para Captive Portal de visitantes, 802.1X para WiFi de funcionários e PPSK para segmentação de VLAN multi-tenant. A configuração fica no iMaster NCE-Campus em Design, Network Design, Template Management para a configuração de RADIUS e ACL, e em Provision, Device Configuration, Site Configuration para a vinculação de SSID e perfil de autenticação. Seus próximos passos: obtenha as credenciais RADIUS da Purple no painel do seu local, configure o modelo de servidor de relay RADIUS no iMaster NCE-Campus, crie sua ACL de Walled Garden, crie o SSID de visitantes com autenticação Open mais Portal e teste de ponta a ponta com um dispositivo novo antes de disponibilizar para uso geral. Se você estiver implantando o PPSK para isolamento multi-tenant, planeje seu esquema de VLAN primeiro — certifique-se de que cada VLAN de locatário esteja configurada como trunk de ponta a ponta antes de configurar um único usuário PPSK. Para obter o guia de configuração passo a passo completo, incluindo exemplos de CLI e diagramas de arquitetura, leia o guia escrito completo no site da Purple. Obrigado por ouvir.