Integração de Access Points EnGenius Cloud com Purple WiFi

Resumo executivo

Depender de uma chave pré-compartilhada para WiFi corporativo expõe os locais a riscos significativos de segurança e impede a coleta de dados primários valiosos. Este guia detalha a integração dos Access Points EnGenius Cloud com a plataforma de Guest WiFi da Purple para fornecer redes sem fio seguras, segmentadas e mensuráveis em ambientes de hotelaria , varejo e multilocatários. Ao implementar a autenticação IEEE 802.1X para funcionários, atribuição dinâmica de VLAN via EnGenius MyPSK para residentes e locatários, e um Captive Portal hospedado na nuvem para convidados, as equipes de TI podem impor controles de acesso rígidos ao mesmo tempo em que transformam a infraestrutura sem fio em um ativo de inteligência de negócios.

A Purple processa 440 milhões de logins anualmente em mais de 80.000 locais ativos (dados internos da Purple, 2024). A plataforma possui certificação ISO 27001, está em conformidade com a GDPR e CCPA, e é agnóstica em relação ao hardware - e é precisamente por isso que ela se integra perfeitamente ao EnGenius, juntamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi. Este guia aborda as quatro camadas de configuração necessárias para implantar a Purple no hardware EnGenius Cloud: redirecionamento do Captive Portal de convidados, configuração do Walled Garden, WiFi seguro para funcionários e isolamento multilocatário usando EnGenius MyPSK.

Visão técnica aprofundada

Visão geral da arquitetura

A integração entre o EnGenius Cloud e a Purple depende de protocolos RADIUS padrão e redirecionamento HTTP. Quando um convidado se conecta a um access point EnGenius ECW em um SSID com Captive Portal habilitado, o AP intercepta a primeira solicitação HTTP e redireciona o navegador para a splash page hospedada na nuvem da Purple. Esse redirecionamento passa vários parâmetros para o portal - incluindo client_mac, ap_mac e userurl - que a Purple usa para rastrear a sessão e retornar uma decisão de autenticação.

Para funcionários e dispositivos operacionais, a arquitetura muda do redirecionamento por Captive Portal para o controle de acesso de rede baseado em porta IEEE 802.1X. O access point EnGenius atua como o autenticador, encaminhando mensagens do Protocolo de Autenticação Extensível (EAP) para o servidor RADIUS da Purple via porta UDP 1812. Após a autenticação bem-sucedida, o servidor RADIUS retorna uma mensagem Access-Accept contendo atributos de atribuição de VLAN, instruindo o AP a colocar o dispositivo no segmento de rede correto.

Plataforma EnGenius Cloud

O EnGenius Cloud é uma plataforma de gerenciamento de rede em nuvem que suporta os pontos de acesso da série ECW (incluindo os modelos WiFi 7 ECW220, ECW230 e ECW520) e switches gerenciados da série ECS. A plataforma oferece um painel centralizado para gerenciamento de SSID, configuração de RADIUS, marcação de VLAN e configurações de Captive Portal em todos os dispositivos de uma organização. O EnGenius Cloud suporta três tipos de autenticação de Captive Portal baseados em RADIUS: EnGenius Authentication (usando o Cloud RADIUS integrado), Custom RADIUS (apontando para um servidor externo como o Purple) e Voucher Service.

Para implantações corporativas, o Custom RADIUS é o tipo de autenticação correto ao integrar com o Purple. Este modo instrui o ponto de acesso a enviar solicitações de autenticação via proxy para o endpoint RADIUS do Purple, habilitando o portal, as análises e as capacidades de captura de dados do Purple.

EnGenius MyPSK e isolamento multi-tenant

Em ambientes como propriedades de aluguel residencial (build-to-rent), acomodações estudantis, escritórios com serviços inclusos ou espaços de coworking, transmitir um SSID separado para cada locatário degrada o desempenho da radiofrequência. Cada SSID adicional gera pacotes de beacon que consomem tempo de transmissão no ar (airtime) e reduzem a capacidade disponível para o tráfego de dados. O EnGenius MyPSK (também conhecido como PPSK, ou Private Pre-Shared Key) resolve isso permitindo até 500 PSKs exclusivas em um único SSID.

Cada chave é vinculada a uma VLAN específica. Quando um residente se conecta usando sua chave exclusiva, o ponto de acesso o coloca automaticamente em seu segmento de rede designado. A criptografia é por usuário: cada chave gera uma Pairwise Master Key (PMK) exclusiva, de modo que um locatário não pode decodificar o tráfego aéreo de outro locatário, mesmo que compartilhem o mesmo SSID. Esta é uma vantagem de segurança fundamental sobre uma única PSK compartilhada, onde qualquer usuário que saiba a senha pode decodificar todo o tráfego na rede.

As chaves MyPSK suportam datas de expiração, tornando-as ideais para cenários de acesso por tempo limitado: a chave de um estudante expira no final do ano letivo, a chave de um prestador de serviços expira quando o contrato termina e a chave de um participante de conferência expira à meia-noite do último dia do evento.

Guia de implementação

Passo 1: Defina sua arquitetura de VLAN

Antes de configurar qualquer SSID, defina a estrutura de VLAN nos seus switches ECS. Uma implantação típica usa três VLANs:

Configure a porta do switch ECS conectada a cada ponto de acesso ECW como uma porta trunk, permitindo todas as três VLANs. A VLAN nativa no trunk deve ser a VLAN de gerenciamento. Se o trunk não for configurado corretamente, a atribuição dinâmica de VLAN falhará silenciosamente.

Passo 2: Configurar o Captive Portal de visitantes (configuração do Captive Portal EnGenius)

Esta é a configuração principal para implantar a splash page da EnGenius com a Purple.

1. Faça login no seu painel EnGenius Cloud em cloud.engenius.ai .
2. Navegue até Configure > SSID e selecione sua rede de visitantes (ex: "VenueGuest").
3. Na aba Wireless, defina o Tipo de Segurança como Open. Isso é o padrão para WiFi de visitantes; os visitantes são identificados e autenticados na camada do portal, não na camada de associação.
4. Alterne para a aba Captive Portal e habilite o portal.
5. Defina o Tipo de Autenticação como Custom RADIUS.
6. Insira os detalhes do servidor RADIUS da Purple:

1. Alterne para a aba Splash Page.
2. Selecione External Splash Page URL.
3. Insira a URL do portal Purple para o seu estabelecimento (formato: https://portal.purple.ai/[venue-id]).
4. Clique em Apply.

Passo 3: Configurar o Walled Garden

O Walled Garden (lista de permissões de WiFi para visitantes do EnGenius) deve ser configurado para permitir o acesso pré-autenticação aos domínios necessários para o carregamento do portal. Navegue até Captive Portal > Advanced Settings > Walled Garden e adicione as seguintes entradas:

Infraestrutura Purple:

• *.purple.ai
• *.purpleportal.net

Probes de Captive Portal do SO (obrigatório):

• captive.apple.com (iOS e macOS)
• connectivitycheck.gstatic.com (Android)
• msftconnecttest.com (Windows)

Login social (se ativado):

• Google: accounts.google.com, oauth2.googleapis.com, apis.google.com, *.gstatic.com
• Facebook: www.facebook.com, graph.facebook.com, connect.facebook.net, *.fbcdn.net
• Microsoft Entra ID: login.microsoftonline.com, login.live.com

Sempre use nomes de domínio em vez de endereços IP estáticos. Os provedores de login social usam intervalos de IP dinâmicos e roteamento anycast; uma lista de permissões de IP estático se degradará com o tempo à medida que os endereços de CDN mudarem.

Passo 4: Configurar WiFi corporativo seguro (802.1X)

A configuração do EnGenius RADIUS para WiFi corporativo usa WPA2 Enterprise para fornecer autenticação sem senha e baseada em certificado.

1. Crie um novo SSID (ex: "VenueStaff").
2. Na aba Wireless, defina o Tipo de Segurança como WPA2 Enterprise.
3. Selecione Custom RADIUS e insira o IP do servidor RADIUS, porta 1812 e o segredo compartilhado.
4. Nenhum Captive Portal é necessário. Os dispositivos corporativos se autenticam silenciosamente via 802.1X.
5. Configure seu servidor RADIUS para retornar os seguintes atributos no Access-Accept:

Para a seleção do método EAP: PEAP-MSCHAPv2 é a escolha prática para ambientes que usam o Microsoft Entra ID ou Active Directory. O EAP-TLS oferece maior segurança ao eliminar completamente as senhas, mas exige uma Infraestrutura de Chaves Públicas e uma solução de MDM para implantar certificados de cliente. Force a validação estrita do certificado do servidor em todos os dispositivos clientes via Diretiva de Grupo (Windows) ou perfis de MDM (macOS, iOS, Android) para evitar o roubo de credenciais de pontos de acesso não autorizados.

Passo 5: Configurar o EnGenius MyPSK para isolamento de múltiplos locatários

Configuração do EnGenius MyPSK para um ambiente de múltiplos locatários:

1. Crie um novo SSID (ex.: "VenueResident").
2. Na guia Wireless, defina o Tipo de Segurança como WPA2 PSK ou WPA3 Personal.
3. Habilite o MyPSK (Private PSK).
4. Clique em Add PSK para criar chaves individuais ou use Auto-Generate para criar lotes de até 50 de cada vez.
5. Para cada PSK, atribua um VLAN ID e, opcionalmente, defina uma Start Date (Data de Início) e uma Expiration Date (Data de Expiração).
6. Distribua cada PSK exclusivo para o locatário ou residente correspondente.

Quando o contrato de um locatário terminar, exclua ou expire o PSK dele. O acesso é revogado imediatamente, sem afetar nenhum outro locatário na rede.

Melhores práticas

Force a validação estrita de certificados em clientes 802.1X. O PEAP-MSCHAPv2 só é seguro quando os clientes estão configurados para validar o certificado do servidor RADIUS em relação a uma CA confiável. Sem isso, um ponto de acesso não autorizado pode apresentar um certificado fraudulento e capturar credenciais. Implante as configurações de validação via GPOs (Objetos de Diretiva de Grupo) para Windows e perfis de configuração de MDM para todas as outras plataformas. Isso é inegociável para qualquer implantação em um ambiente regulamentado.

Use a resolução dinâmica de DNS no Walled Garden. Google, Apple e Meta usam intervalos de IP dinâmicos para seus endpoints de OAuth e CDN. Configure as entradas do Walled Garden como nomes de domínio e garanta que o controlador EnGenius Cloud os resolva dinamicamente. Uma lista de permissões de IP estático causará falhas de autenticação à medida que os IPs de CDN rotacionam.

Segmente dispositivos IoT com o MAC Authentication Bypass. Dispositivos sem interface de usuário, como impressoras, telas e sensores IoT, não podem se autenticar via 802.1X. Use o MAC Authentication Bypass (MAB) para identificá-los e colocá-los em uma VLAN restrita com regras de firewall que impeçam o movimento lateral. O MAB não é um controle de segurança - é um mecanismo de identificação de dispositivos. Trate os dispositivos autenticados por MAB como não confiáveis.

Implemente a bilhetagem RADIUS (accounting). Habilite o servidor de bilhetagem na configuração de RADIUS do EnGenius Cloud, apontando para o endpoint de bilhetagem da Purple na porta UDP 1813. Isso envia a duração da sessão, o volume de dados e as informações do dispositivo para a plataforma de WiFi Analytics da Purple, fornecendo os dados de utilização do local que justificam o investimento em infraestrutura. Revise o Walled Garden trimestralmente. Os provedores de OAuth e CDNs mudam suas estruturas de domínio. A Apple atualizou seus domínios de Sign In duas vezes em 2023. Inclua uma revisão trimestral do Walled Garden em seu calendário operacional. Para obter mais orientações sobre práticas de segurança de WiFi corporativo, consulte o nosso Guia de Segurança de WiFi Corporativo .

Solução de problemas e mitigação de riscos

Sintoma: O Captive Portal falha ao carregar em dispositivos iOS. Causa: captive.apple.com não está no Walled Garden. O iOS usa esse endpoint para detectar a presença de um Captive Portal e acionar o Captive Network Assistant. Sem ele, o dispositivo relata "Sem Conexão com a Internet" e nunca abre o navegador do portal. Solução: Adicione captive.apple.com ao Walled Garden no EnGenius Cloud em Captive Portal > Configurações Avançadas.

Sintoma: A autenticação falha silenciosamente - o RADIUS não retorna resposta. Causa: Incompatibilidade de segredo compartilhado (shared secret) entre o EnGenius Cloud e a configuração do servidor RADIUS Purple. A diferença de um único caractere faz com que cada solicitação de autenticação seja descartada. Solução: Insira novamente o segredo compartilhado em ambos os sistemas. Copie e cole de uma fonte de texto simples para evitar a substituição por caracteres invisíveis.

Sintoma: O cliente 802.1X autentica, mas não recebe um endereço IP. Causa: A porta de uplink do switch ECS não está configurada como trunk, ou a VLAN retornada pelo servidor RADIUS não é permitida no trunk. Solução: Verifique a configuração da porta do switch. A porta deve ser um trunk que transporta todas as VLANs referenciadas nas respostas RADIUS.

Sintoma: O cliente MyPSK se conecta, mas consegue alcançar dispositivos de outros inquilinos. Causa: O isolamento de clientes (client isolation) não está ativado no SSID, ou a configuração de VLAN no switch não está isolando os segmentos corretamente. Solução: Ative o isolamento de clientes no SSID no EnGenius Cloud. Verifique se cada VLAN está configurada com as regras de roteamento inter-VLAN apropriadas no roteador ou firewall upstream.

Sintoma: O botão de login social carrega, mas a autenticação falha. Causa: Um ou mais subdomínios do provedor de OAuth estão ausentes do Walled Garden. O Google e a Meta usam múltiplos subdomínios para seus fluxos de autenticação. Solução: Capture a saída do console do navegador de um dispositivo não autenticado para identificar qual domínio está sendo bloqueado. Adicione o domínio ausente ao Walled Garden. Consulte a documentação de Lista de Permissões de Domínios do Walled Garden da Purple para obter a lista atual.

ROI e impacto nos negócios

A implantação do Purple com o EnGenius Cloud transforma a infraestrutura de rede sem fio de um centro de custo em um ativo de dados. Os operadores de locais capturam dados demográficos de primeira parte (first-party) em total conformidade com a GDPR a partir de convidados por meio de consentimento por escolha consciente, permitindo campanhas de marketing direcionadas e engajamento mensurável. Para as equipes de TI, a transição para o 802.1X e MyPSK elimina a sobrecarga operacional de gerenciar senhas compartilhadas, reduz os chamados de suporte relacionados a problemas de acesso e fornece visibilidade granular sobre a utilização da rede.

Para operadores de hotelaria , o Premier Inn - um cliente Purple nominal - usa dados de WiFi de visitantes para impulsionar o engajamento no programa de fidelidade e personalizar as comunicações pós-visita. Para ambientes de varejo , a combinação de análises de fluxo de pedestres da plataforma WiFi Analytics da Purple e dados de tempo de permanência fornece insights de merchandising que justificam o investimento em infraestrutura independentemente dos benefícios de segurança.

Em ambientes multi-inquilino, o MyPSK elimina a necessidade de uma infraestrutura de rede física separada por inquilino. Um único ponto de acesso EnGenius ECW pode atender 500 inquilinos isolados em um único SSID, reduzindo custos de hardware e simplificando o gerenciamento contínuo. Quando um inquilino se muda, seu PSK é excluído em segundos - sem necessidade de alteração de senha, sem impacto para os outros residentes.

A plataforma da Purple é agnóstica em termos de hardware, o que significa que a mesma configuração, análise e camada de captura de dados da Purple funcionam em hardwares da Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Se o seu parque de dispositivos inclui uma mistura de EnGenius e outros fornecedores, a Purple oferece um painel centralizado para o gerenciamento de WiFi de visitantes em todos eles. Para orientações de implantação relacionadas, consulte nosso guia de integração do DrayTek Vigor .