Integração do Cisco WLC e Catalyst com o Purple WiFi: Guia Passo a Passo de Acesso de Visitantes

Resumo executivo

As redes sem fio corporativas devem atender a diferentes grupos de usuários simultaneamente: visitantes que precisam de acesso facilitado à internet, funcionários que exigem acesso seguro aos recursos corporativos e dispositivos sem interface (headless) ou de inquilinos que necessitam de isolamento mútuo. Depender de uma única Chave Pré-Compartilhada (PSK) para qualquer um desses grupos é um risco de segurança. Uma única credencial comprometida expõe todo o segmento, e revogar o acesso exige a alteração de uma senha global que interrompe a conexão de todos os dispositivos na rede.

Este guia detalha a integração dos Controladores de LAN Sem Fio (WLC) da Cisco e do hardware da série Catalyst 9800 com a plataforma em nuvem da Purple. Fornecemos a configuração passo a passo para três níveis distintos de autenticação: uma rede de Guest WiFi aberta com redirecionamento de Captive Portal desenvolvido pela Purple, uma rede WiFi segura para funcionários utilizando autenticação por certificado 802.1X EAP-TLS, e um ambiente WiFi multi-inquilino (Multi-Tenant) usando Chaves Pré-Compartilhadas de Identidade da Cisco (iPSK) com atribuição dinâmica de VLAN. Ao implantar essa arquitetura, você isola os recursos corporativos do tráfego de visitantes, automatiza o controle de acesso baseado em identidade e captura dados primários por meio da plataforma de WiFi Analytics da Purple. A Purple opera em mais de 80.000 locais ativos e registrou 440 milhões de logins em 2024 (dados internos da Purple), consolidando-se como uma solução de overlay em nuvem comprovada para a infraestrutura Cisco em larga escala.

Análise técnica detalhada: a arquitetura de três níveis

Uma implantação sem fio corporativa moderna em hardware Cisco deve atender a diferentes perfis de usuários com requisitos distintos de segurança e acesso. A integração entre o Cisco WLC e a Purple permite que uma infraestrutura física unificada atenda a esses perfis por meio de mecanismos de autenticação separados, todos gerenciados a partir de um único controlador Catalyst 9800.

Nível 1: Guest WiFi - Autenticação Web Centralizada (CWA)

Para visitantes em ambientes de Hospitality (Hotelaria) e Retail (Varejo), o objetivo é um acesso simplificado combinado com a captura de dados em conformidade. Isso é alcançado usando um SSID aberto associado à Autenticação Web Centralizada (CWA). Quando um visitante se conecta, o Cisco WLC aplica uma Lista de Controle de Acesso (ACL) de pré-autenticação — o walled garden. Essa ACL bloqueia o tráfego geral da internet ao mesmo tempo que permite o tráfego para os domínios do Captive Portal da Purple, DNS e endpoints de login social.

Quando o convidado tenta navegar, o WLC intercepta a requisição HTTP e emite um redirecionamento para a splash page da Purple. O convidado se autentica através do método escolhido (login social, registro de e-mail ou código de voucher). A Purple então atua como o servidor RADIUS, enviando uma mensagem RADIUS Change of Authorization (CoA) de volta para o WLC. O CoA instrui o WLC a mover o cliente do estado de pré-autenticação para o estado de pós-autenticação em uma VLAN de convidados isolada, concedendo acesso à internet. Cada login é registrado na plataforma de analytics da Purple, capturando dados primários em conformidade com o GDPR e a CCPA.

Tier 2: Staff WiFi - 802.1X EAP-TLS

Dispositivos corporativos exigem o mais alto nível de segurança. O IEEE 802.1X define o Controle de Acesso à Rede Baseado em Porta (PNAC) e, quando combinado com EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), oferece autenticação baseada em certificado que elimina completamente as senhas. Os certificados digitais são implantados nos dispositivos corporativos por meio de Gerenciamento de Dispositivos Móveis (MDM) - Microsoft Intune, Jamf ou equivalente. O Cisco WLC atua como o Autenticador, transmitindo mensagens EAP entre o suplicante (dispositivo) e o servidor RADIUS. O servidor RADIUS valida o certificado e retorna um Access-Accept com atributos opcionais de atribuição de VLAN.

Como a autenticação depende de certificados em vez de senhas, não há credenciais para serem roubadas. Se um dispositivo for perdido ou um funcionário sair, você revoga o certificado. O acesso é interrompido instantaneamente sem interromper nenhum outro usuário. Para uma abordagem abrangente dos padrões de segurança corporativa, incluindo WPA3 e Zero Trust, consulte nosso guia sobre Enterprise WiFi Security: A Complete Guide for 2026 .

Tier 3: Multi-Tenant WiFi - Cisco iPSK e atribuição dinâmica de VLAN

Em ambientes como acomodações estudantis, espaços de coworking ou shopping centers, você precisa de redes privadas e segmentadas para diferentes inquilinos sem transmitir dezenas de SSIDs. O Cisco Identity PSK (iPSK) resolve isso. Todos os inquilinos se conectam a um único SSID. O WLC envia uma solicitação de autenticação MAC ao servidor RADIUS para cada dispositivo que se conecta. O servidor RADIUS retorna a PSK específica para aquele inquilino como um atributo cisco-av-pair, juntamente com atributos RADIUS IETF padrão para atribuir dinamicamente o cliente à VLAN correta.

Os três atributos RADIUS IETF que direcionam a atribuição dinâmica de VLAN são:

O Tunnel-Private-Group-ID é codificado como uma string, conforme definido na RFC 2868. O ID da VLAN deve existir no WLC para que a atribuição seja bem-sucedida.

Guia de implementação: configuração do Cisco Catalyst 9800 WLC

Os passos a seguir detalham a configuração para um Cisco Catalyst 9800 WLC executando IOS-XE para integração com a Purple para redirecionamento de Guest WiFi. Para implantações legadas do AireOS WLC, as configurações equivalentes estão disponíveis no portal de suporte da Purple.

Passo 1: Configurar a autenticação e bilhetagem RADIUS

Você deve apontar o WLC para os servidores RADIUS da Purple para lidar com a autenticação de convidados e bilhetagem de sessão.

1. Navegue até Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add.
2. Insira o endereço IP do servidor RADIUS primário da Purple, defina a porta de autenticação (auth-port) para 1812, a porta de bilhetagem (acct-port) para 1813 e insira o segredo compartilhado (shared secret) do portal da Purple.
3. Habilite Support for CoA - isso é obrigatório para o redirecionamento do Captive Portal.
4. Repita o processo para o servidor RADIUS secundário da Purple.
5. Navegue até RADIUS > Server Groups > + Add e crie um grupo contendo ambos os servidores.
6. Navegue até AAA Method List > Authorization > + Add, defina o Tipo (Type) como network e aponte para o grupo de servidores RADIUS.
7. Navegue até AAA Method List > Accounting > + Add, defina o Tipo (Type) como identity e aponte para o mesmo grupo.

Os comandos CLI equivalentes no IOS-XE são:

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Passo 2: Definir a ACL de pré-autenticação (walled garden)

A ACL de pré-autenticação permite o tráfego para a splash page da Purple e serviços essenciais antes de o usuário se autenticar. Este é o walled garden.

1. Navegue até Configuration > Security > ACL > + Add.
2. Crie uma ACL estendida IPv4 chamada Purple_Guest_Walled_Garden.
3. Adicione regras para negar (deny) o tráfego para o IP de gerência do WLC e IPs dos servidores RADIUS.
4. Adicione regras para permitir (permit) DNS (porta UDP 53) para seus servidores DNS.
5. Adicione regras para permitir (permit) o tráfego para as faixas de IP e domínios do walled garden da Purple (obtenha a lista atualizada no portal de suporte da Purple para o seu tipo específico de hardware).
6. Adicione uma regra final permit ip any any - o WLC redirecionará o tráfego permitido para a CPU para processamento do portal.

Passo 3: Configurar o WLAN de convidados

1. Navegue até Configuration > Tags & Profiles > WLANs > + Add.

2. Crie uma WLAN chamada Guest-WiFi com o SSID de sua escolha.

3. Em Security > Layer 2, defina a segurança como None (Open).

4. Em Security > Layer 3, habilite Web Policy e defina o tipo de Web Auth como External.

5. Insira a URL de acesso da Purple no campo de redirecionamento.

6. Aplique a ACL Purple_Guest_Walled_Garden.

7. Em Security > AAA Servers, atribua os servidores RADIUS da Purple tanto para Autenticação quanto para Bilhetagem (Accounting).### Passo 4: Configurar o Policy Profile

8. Navegue até Configuration > Tags & Profiles > Policy > + Add.

9. Em Access Policies, atribua a VLAN 20 (ou a sua VLAN de convidados designada).

10. Em Advanced, habilite Allow AAA Override e NAC State.

11. Atribua a lista de métodos de bilhetagem (accounting) do Purple.

O equivalente em CLI:

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

Passo 5: Configurar iPSK para implantações multi-tenant ou IoT

Para iPSK, a configuração do WLAN difere da configuração de convidados. O WLAN usa WPA2-PSK com filtragem MAC (MAC filtering) ativada, e o Policy Profile possui o AAA Override ativo para aceitar o PSK por cliente e a VLAN originados do servidor RADIUS.

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

O servidor RADIUS (configurado no Purple ou na sua plataforma RADIUS) retorna os seguintes atributos por grupo de tenant:

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID = 

Melhores práticas

A adesão aos padrões estabelecidos garante estabilidade, segurança e conformidade regulatória em toda a sua implantação.

Imponha validação estrita de certificados. Ao implantar 802.1X, configure os dispositivos dos clientes via MDM para confiar explicitamente na autoridade certificadora do seu servidor RADIUS e especifique o nome de servidor esperado. Deixar de impor isso torna os clientes vulneráveis a ataques de rogue access points, onde um invasor apresenta um certificado fraudulento para capturar credenciais. Este é um requisito obrigatório, não uma recomendação.

Isole o tráfego de convidados na camada de rede. O WiFi de convidados deve terminar em uma VLAN dedicada que seja isolada por firewall de todos os recursos corporativos. O PCI DSS 4.0 exige que os ambientes de dados de portadores de cartões sejam isolados de redes públicas. Um convidado na VLAN 20 não deve ter rota para a rede corporativa na VLAN 10.

Use iPSK para dispositivos IoT, não o MAC Authentication Bypass. Os endereços MAC são transmitidos em texto puro e são fáceis de falsificar. O iPSK fornece segurança criptográfica para dispositivos headless. Para obter orientações sobre como dispositivos de exibição e IoT interagem com protocolos sem fio, consulte What Is Wireless Display: Protocols & Best Practices 2026 .

Defina termos de uso claros. Seu Captive Portal deve apresentar um contrato de termos de uso antes de conceder o acesso. Este é um requisito do GDPR para a coleta de dados e uma necessidade legal para as políticas de uso da rede. Para redes internas de funcionários, consulte Staff WiFi Terms and Conditions: Legal and Compliance Essentials .Implante a redundância RADIUS. Sempre configure um servidor RADIUS primário e um secundário. A Purple fornece dois endereços IP de servidor para essa finalidade. A falha de um único servidor RADIUS impedirá todos os logins de convidados.

Solução de problemas e mitigação de riscos

Mesmo com uma configuração cuidadosa, problemas de integração podem surgir. Aborde os modos de falha mais comuns de forma sistemática antes de escalar.

Problema: Os convidados se conectam, mas a splash page não aparece.

Este é o problema mais comum. A ACL de pré-autenticação está bloqueando o DNS. Sem o DNS, o cliente não consegue resolver a solicitação HTTP inicial e o sistema operacional não acionará o mini-navegador do Captive Portal. Verifique se a porta UDP 53 é permitida para seus servidores DNS na ACL do walled garden. Na WLC, execute show wireless client summary para confirmar se o cliente está em um estado Webauth Pending em vez de Run.

Problema: Os clientes iPSK falham ao se conectar ou vão parar na VLAN errada.

A VLAN especificada em Tunnel-Private-Group-ID não existe na WLC, ou os atributos cisco-av-pair estão formatados incorretamente. Execute debug radius all na WLC para inspecionar a resposta RADIUS bruta. Verifique se o ID da VLAN está criado em Configuration > Layer 2 > VLAN > VLAN List.

Problema: Clientes corporativos 802.1X falham ao autenticar intermitentemente.

Isso geralmente é um timeout do servidor RADIUS ou um problema de confiança de certificado no cliente. Verifique os logs do servidor RADIUS em busca de mensagens Access-Reject. Em clientes Windows, verifique se o perfil de WiFi está configurado para validar o certificado do servidor e se especifica a CA confiável correta.

Problema: O CoA da Purple não é processado pela WLC.

A chave secreta compartilhada (shared secret) do CoA deve corresponder à chave secreta compartilhada do RADIUS configurada na WLC. No IOS-XE 17.4 e posterior, a chave CoA é configurada separadamente da chave secreta compartilhada. Verifique se ambas correspondem aos valores no portal Purple.

ROI e impacto nos negócios

A transição de redes PSK básicas para uma arquitetura estruturada baseada em identidade com a Purple oferece resultados de negócios mensuráveis nos setores de Hospitalidade , Varejo , Saúde e Transporte .

Primeiro, a arquitetura elimina o custo operacional de gerenciamento de senhas compartilhadas. Quando os funcionários saem, você revoga o certificado deles. Você não precisa alterar uma senha global e atualizar todos os dispositivos da propriedade. Segundo, a integração com o Captive Portal da Purple transforma um centro de custo de TI em um gerador de receita. A plataforma da Purple captura dados primários em conformidade com o GDPR a cada login, permitindo campanhas de marketing automatizadas e análises de visitantes. Com 29 bilhões de pontos de dados coletados na rede Purple (dados internos da Purple), a plataforma oferece insights práticos sobre o comportamento do visitante, tempo de permanência e taxas de retorno.

Para operadores de estabelecimentos que realizam pesquisas para entender a satisfação dos visitantes, a plataforma Purple integra-se diretamente com os fluxos de trabalho de pesquisa. Veja Design of a Survey: A Practical Guide for Venues para obter orientações sobre como estruturar pesquisas eficazes para estabelecimentos distribuídas por meio do Captive Portal.

Ao integrar o hardware de nível corporativo da Cisco com a sobreposição de nuvem da Purple, você obtém uma rede segura e escalável que contribui ativamente para os objetivos comerciais do estabelecimento. A Purple possui certificação ISO 27001, em conformidade com o GDPR e CCPA, certificação Cyber Essentials e certificação B Corp - atendendo aos requisitos de conformidade das equipes de compras corporativas.