Integração Alcatel-Lucent Enterprise (ALE) OmniAccess com Purple WiFi

Resumo executivo

Os pontos de acesso Alcatel-Lucent Enterprise (ALE) OmniAccess Stellar se integram ao Purple usando protocolos RADIUS padrão e redirecionamento de Captive Portal externo. Nenhum middleware proprietário é necessário. O Purple opera como uma sobreposição na nuvem, posicionando-se acima de sua infraestrutura ALE existente e gerenciando autenticação, captura de dados e políticas de sessão sem exigir alterações de hardware.

Este guia aborda três cenários de implantação. Primeiro, WiFi para convidados com redirecionamento de Captive Portal externo e configuração de Walled Garden. Segundo, WiFi seguro para funcionários usando 802.1X com PEAP ou EAP-TLS. Terceiro, WiFi multi-inquilino (Multi-Tenant) usando Chaves Privadas Pré-Compartilhadas (PPSK) e direcionamento dinâmico de VLAN por meio dos Atributos RADIUS 64, 65 e 81.

O Purple atende a mais de 80.000 locais ativos e processou mais de 440 milhões de acessos em 2024 (dados internos do Purple, 2024). Possui certificações ISO 27001, GDPR, CCPA e Cyber Essentials. A plataforma opera com 99,999% de tempo de atividade (uptime), tornando-se um back-end de autenticação confiável para implantações corporativas.

Se você é um gerente de TI ou arquiteto de rede implantando hardware ALE OmniAccess em ambientes de hotelaria, varejo, eventos ou setor público, este guia fornece as etapas exatas de configuração para passar do hardware para uma rede baseada em identidade totalmente operacional.

Arquitetura técnica e fluxo de integração

A integração do Purple com o ALE OmniAccess Stellar baseia-se em dois protocolos padrão: RADIUS para autenticação e bilhetagem (accounting), e redirecionamento HTTP/HTTPS para entrega do Captive Portal. O AP ALE atua como o Servidor de Acesso à Rede (NAS), encaminhando as solicitações de autenticação para o servidor RADIUS na nuvem do Purple e aplicando as políticas retornadas na resposta Access-Accept.

Figura 1: Fluxo de autenticação entre o dispositivo do visitante, o AP ALE OmniAccess Stellar e o RADIUS na nuvem do Purple.

O fluxo funciona da seguinte maneira. Um visitante conecta-se ao SSID de WiFi para convidados aberto. O AP ALE atribui um endereço IP temporário a partir do pool DHCP de pré-autenticação e intercepta a primeira solicitação HTTP ou HTTPS do visitante. O AP redireciona o navegador para a URL do Captive Portal do Purple, passando o endereço MAC do cliente e o identificador NAS do AP como parâmetros de URL. O visitante se autentica por meio da página de login (splash page) do Purple — usando e-mail, login social ou verificação por SMS. O servidor RADIUS do Purple valida a sessão e retorna uma mensagem Access-Accept para o AP ALE. O AP concede acesso à internet e começa a enviar atualizações de RADIUS Accounting para o Purple no intervalo configurado.

Para implantações avançadas usando PPSK e direcionamento dinâmico de VLAN, a mensagem RADIUS Access-Accept também inclui atributos de atribuição de VLAN. O AP ALE usa esses atributos para direcionar o tráfego do cliente diretamente para o segmento de VLAN correto, isolando-o de outros usuários na mesma infraestrutura física.

Guia de implementação

Parte 1: Guest WiFi com Captive Portal externo

Esta seção aborda a configuração do Captive Portal Alcatel-Lucent para redirecionamento externo para o Purple. Estas etapas se aplicam aos APs ALE OmniAccess Stellar gerenciados via OmniVista Cirrus, OmniVista 2500 ou pela interface web do Stellar Express.

Etapa 1: Recuperar as credenciais RADIUS do Purple

Faça login no seu portal Purple. Navegue até Management > Venues (Gerenciamento > Locais), selecione seu local e abra a seção Hardware. Adicione uma nova entrada de hardware e selecione Alcatel-Lucent OmniAccess Stellar como o tipo de hardware. O Purple gera um segredo compartilhado RADIUS exclusivo, o IP do servidor de autenticação e a URL do Captive Portal para o seu local. Anote esses valores antes de prosseguir.

Etapa 2: Configurar o servidor RADIUS no AP ALE

Na sua interface de gerenciamento ALE, navegue até as configurações de autenticação e adicione um novo perfil de servidor RADIUS.

Ative um servidor RADIUS secundário usando o IP de backup do portal Purple. Isso garante o failover caso o servidor principal esteja temporariamente inacessível.

Etapa 3: Configurar o Walled Garden

O Walled Garden define os domínios que um dispositivo pode acessar antes que a autenticação seja concluída. Configure as seguintes entradas na lista de acesso de pré-autenticação:

Domínios principais do Purple (obrigatórios):

Domínios de login social (adicione conforme necessário):

A omissão de qualquer domínio obrigatório fará com que o método de login correspondente falhe silenciosamente. Teste cada método de login após a configuração.

Etapa 4: Configurar o SSID de Guest WiFi

Crie um novo perfil de WLAN com as seguintes configurações:

Passo 5: Atribuir o SSID a um grupo de APs

Aplique o perfil de WLAN ao grupo de APs correspondente no OmniVista. Verifique se os APs estão transmitindo o SSID e se os clientes conseguem se associar antes de testar o fluxo do Captive Portal.

Parte 2: WiFi corporativo seguro para funcionários usando 802.1X

Para o WiFi de funcionários, use WPA2-Enterprise ou WPA3-Enterprise com autenticação 802.1X. Isso elimina senhas compartilhadas e vincula o acesso a identidades de usuários individuais gerenciadas no Microsoft Entra ID, Okta ou Google Workspace.

Passo 1: Configurar o SSID 802.1X

Crie um perfil de WLAN separado para os funcionários. Defina o tipo de segurança como WPA2-Enterprise ou WPA3-Enterprise e atribua o servidor RADIUS da Purple como o backend de autenticação. O servidor RADIUS da Purple encaminha as solicitações de autenticação para o seu provedor de identidade via LDAP ou SAML.

Passo 2: Selecionar o método EAP

Para a maioria das implantações, use PEAP com MSCHAPv2. Isso requer apenas um certificado do lado do servidor e funciona com os suplicantes padrão do Windows, macOS, iOS e Android. Para ambientes de maior segurança, use EAP-TLS com certificados de cliente emitidos através de sua PKI.

Passo 3: Atribuir funcionários a uma VLAN dedicada

Configure o servidor RADIUS da Purple para retornar Tunnel-Private-Group-ID = o ID da VLAN dos seus funcionários na resposta Access-Accept. Isso garante que os dispositivos dos funcionários caiam no segmento de rede corporativa, separados do tráfego de convidados na Camada 2.

Parte 3: WiFi multi-tenant usando PPSK e direcionamento dinâmico de VLAN

O PPSK (Private Pre-Shared Key) - também conhecido como iPSK (Identity PSK) em documentações de alguns fabricantes - permite que um único SSID atenda a múltiplos grupos de usuários isolados. Cada grupo recebe uma senha exclusiva. O servidor RADIUS mapeia cada senha para uma VLAN específica, proporcionando isolamento de rede por tenant sem a sobrecarga de RF de múltiplos SSIDs.

Figura 2: Segmentação de VLAN multi-tenant com PPSK em um único SSID ALE OmniAccess.

Passo 1: Criar o SSID PPSK

Crie um novo perfil de WLAN e defina o tipo de autenticação como WPA2-PSK com validação de PSK baseada em RADIUS. No firmware Stellar 4.0.8.16 e superior (para modelos AP1301 e superiores), a atribuição dinâmica de VLAN via RADIUS é suportada no modo Express. Para modelos mais antigos ou firmwares anteriores, use o modo gerenciado pelo OmniVista.

Passo 2: Definir as senhas dos tenants na Purple

No portal Purple, crie um grupo PPSK para cada tenant. Atribua uma senha exclusiva por tenant e mapeie cada senha para o ID da VLAN correspondente. A Purple armazena esses mapeamentos em seu banco de dados RADIUS.

Passo 3: Configurar atributos RADIUS para direcionamento de VLAN

Certifique-se de que o servidor RADIUS da Purple retorne os seguintes atributos padrão da IETF em todas as respostas Access-Accept:

Todos os três atributos devem estar presentes. Se algum deles estiver ausente, o AP ALE ignorará a atribuição de VLAN e colocará o cliente na VLAN padrão.

Passo 4: Verificar o trunking de VLAN no uplink

Certifique-se de que todas as VLANs dos clientes estejam marcadas (tagged) na porta de uplink entre o AP ALE e o switch de distribuição. Um AP não pode direcionar tráfego para uma VLAN que não seja permitida em seu trunk de uplink.

Melhores práticas

As recomendações a seguir refletem as práticas recomendadas padrão para implantações de rede sem fio corporativas e estão alinhadas com os requisitos do IEEE 802.1X, PCI DSS 4.0 e GDPR.

Separe o WiFi de Visitantes do WiFi de Funcionários na Camada 2. Nunca coloque o tráfego de visitantes e funcionários na mesma VLAN. Use a atribuição de VLAN orientada por RADIUS para impor essa separação automaticamente, independentemente de qual AP o usuário se conecte.

Use HTTPS para todos os redirecionamentos de Captive Portal. Instale um certificado SSL válido no AP ALE para habilitar o redirecionamento HTTPS. Isso evita que os navegadores exibam avisos de segurança na splash page, o que reduz as taxas de abandono e se alinha com os requisitos da GDPR para processamento seguro de dados.

Defina o intervalo de Accounting do RADIUS para 300 segundos. Isso fornece à Purple atualizações regulares de sessão para maior precisão de relatórios. Um intervalo superior a 600 segundos corre o risco de perder dados de sessão se um cliente se desconectar sem uma desautenticação limpa.

Teste o Walled Garden antes do lançamento. Conecte um dispositivo de teste ao SSID do WiFi de Visitantes e tente acessar cada provedor de login social. Se um login falhar, o domínio correspondente estará ausente no Walled Garden.

Segmente dispositivos IoT usando PPSK. Em ambientes de varejo e hotelaria, dispositivos IoT, como sinalização digital, terminais de pagamento e sensores ambientais, devem receber, cada um, uma PPSK exclusiva mapeada para uma VLAN isolada. Isso evita que um dispositivo IoT comprometido acesse a rede mais ampla.

Para leituras adicionais sobre padrões e arquitetura de segurança de WiFi corporativo, consulte nosso guia de segurança de WiFi corporativo .

Solução de problemas e mitigação de riscos

A tabela a seguir abrange os modos de falha mais comuns nas integrações entre ALE OmniAccess e Purple.

Para problemas persistentes de RADIUS, ative o log de depuração (debug) no ALE AP e capture a troca de mensagens RADIUS. Procure por mensagens de Access-Reject e verifique o código de motivo da rejeição. Os códigos comuns incluem 16 (falha de autenticação) e 18 (atributo ausente).

ROI e impacto nos negócios

A implantação do Purple no hardware ALE OmniAccess converte uma rede passiva em um ativo de dados ativo. Cada sessão autenticada gera um perfil de visitante: endereço de e-mail, frequência de visitas, tempo de permanência e tipo de dispositivo. Esses dados primários (first-party) alimentam diretamente o seu CRM por meio da biblioteca de mais de 400 conectores do Purple.

A Harrods alcançou um ROI de marketing de 57x a partir de sua implantação de Guest WiFi utilizando a captura de dados do Purple para impulsionar as inscrições em programas de fidelidade (estudo de caso Purple, 2023). A AGS Airports gerou um ROI de 842% ao implementar WiFi Pago com largura de banda em níveis em todas as suas propriedades (estudo de caso Purple, 2022).

Para operadores de hospitalidade , o Captive Portal é o principal ponto de contato para captura de dados de hóspedes. Para ambientes de varejo , ele permite a análise do comportamento dos compradores e promoções direcionadas. Para hubs de transporte , ele fornece dados de fluxo de passageiros e registro de sessão em conformidade com as regulamentações.

A plataforma de Guest WiFi do Purple e as ferramentas de WiFi Analytics oferecem a infraestrutura de relatórios para medir esses resultados. Acompanhe taxas de autenticação, duração das sessões, taxas de visitantes recorrentes e conversão de opt-in a partir de um único painel.

Para orientações de integração relacionadas, consulte o guia de integração do WatchGuard Firebox , que aborda uma arquitetura semelhante baseada em RADIUS em uma plataforma de hardware diferente.