Integração de Access Points NETGEAR Insight e Enterprise com Purple WiFi

Bem-vindo ao Informativo Técnico da Purple. Hoje estamos abordando um tema que surge constantemente em nossas conversas com gerentes de TI e arquitetos de rede nos setores de hotelaria, varejo e locais multi-tenant: como integrar os access points NETGEAR Insight e da série WAX com o Purple WiFi. Se você gerencia um hotel, um parque comercial, um centro de convenções ou um empreendimento de uso misto, este informativo é diretamente relevante para sua próxima decisão de implantação. Vamos contextualizar. A série WAX da NETGEAR — o WAX610, WAX620 e WAX630 — é composta por access points WiFi 6 gerenciados por meio da plataforma de nuvem Insight. Eles suportam até oito SSIDs separados por rádio, criptografia WPA3 e até seis gigabits de taxa de transferência no WAX630. Eles são alimentados por PoE, montáveis no teto e gerenciados a partir de uma única interface através do Insight Cloud Portal. Para um instalador de TI ou administrador de rede de PMEs, esta é uma plataforma genuinamente capaz a um preço bem abaixo do nível do Cisco Meraki ou HPE Aruba. A Purple é uma sobreposição de nuvem agnóstica de hardware. Nós atuamos sobre a sua infraestrutura existente e adicionamos a camada de experiência do convidado, a camada de captura de dados e a camada de analytics. Processamos 440 milhões de logins em 2024 em 80.000 locais ativos. A integração com o NETGEAR Insight é limpa e bem documentada, e abrange quatro casos de uso distintos que detalharemos hoje. Agora, vamos nos aprofundar na parte técnica. Os quatro casos de uso são: Guest WiFi com um Captive Portal da Purple, WiFi seguro para funcionários usando 802.1X, segmentação multi-tenant usando o recurso PPSK da NETGEAR e atribuição dinâmica de VLAN via RADIUS para Redes Baseadas em Identidade. Caso de uso um: Guest WiFi com um Captive Portal da Purple. Este é o ponto de partida mais comum. Você cria um SSID de convidado dedicado no NETGEAR Insight e o configura como uma rede aberta. A configuração principal está na seção Captive Portal das configurações do SSID. Você seleciona External Captive Portal e cola a URL da Splash Page fornecida pela Purple. Em seguida, você configura o tipo de autenticação. Para a maioria das implantações da Purple, você selecionará a autenticação RADIUS. A Purple fornece um endereço IP do servidor RADIUS principal, a porta 1812 para autenticação e a porta 1813 para contabilização, além de um segredo compartilhado. Você cola essas informações na configuração de Captive Portal externo do NETGEAR Insight. Você também define um NAS Identifier — esta é uma string que identifica este access point ou local específico para o servidor RADIUS. Use algo significativo, como o nome do seu estabelecimento e o código de localização. O walled garden é a parte que mais confunde os instaladores. Antes de um convidado se autenticar, o dispositivo dele precisa alcançar a splash page da Purple, os servidores de autenticação e quaisquer provedores de login social que você tenha ativado. O NETGEAR Insight possui uma seção dedicada de Walled Garden na configuração do Captive Portal externo, onde você adiciona essas URLs. A documentação de suporte da Purple fornece a lista exata de domínios para a lista de permissões. Se errar isso, os convidados verão uma página em branco em vez do seu portal personalizado. Depois de configurado, o fluxo funciona assim: um convidado se conecta ao SSID Hotel Guest. O access point intercepta sua primeira solicitação HTTP e o redireciona para a splash page da Purple. O convidado vê seu portal personalizado, aceita os termos e, opcionalmente, fornece seu endereço de e-mail ou faz login via redes sociais. O servidor RADIUS da Purple retorna uma mensagem Access-Accept para o access point, e o acesso à internet é concedido ao convidado. A Purple captura os dados de consentimento, registra a sessão e esses dados fluem para o seu painel de analytics da Purple. Caso de uso dois: WiFi seguro para funcionários usando 802.1X. É aqui que você abandona completamente as senhas compartilhadas. Para redes de funcionários, uma chave pré-compartilhada é um risco de segurança — quando um funcionário sai, você precisa alterar a senha para todos. O 802.1X, definido no padrão IEEE 802.1X, fornece a cada usuário uma credencial individual. Quando eles saem, você desativa a conta deles no seu diretório e o acesso é revogado instantaneamente. No NETGEAR Insight, você configura um SSID de funcionários separado com segurança WPA2 Enterprise. Isso instrui o access point a usar a autenticação 802.1X em vez de uma chave pré-compartilhada. Em seguida, você configura as definições do servidor RADIUS no nível do local da rede. Vá para as configurações de localização da rede, selecione RADIUS, ative a Autenticação de Acesso 802.1X e insira o IP, a porta e o segredo compartilhado do seu servidor RADIUS. O intervalo padrão de reautenticação é de 3.600 segundos — uma hora —, o que é um ponto de partida razoável para a maioria dos locais. O método EAP mais comum em implantações de PMEs é o PEAP-MSCHAPv2, que usa um certificado do lado do servidor para criar um túnel criptografado dentro do qual o usuário se autentica com seu nome de usuário e senha do Active Directory. O EAP-TLS é mais seguro — usa certificados em ambos os lados —, mas requer uma infraestrutura PKI e MDM para enviar os certificados para os dispositivos. Um ponto crítico: force a validação de certificado em cada dispositivo cliente. Configure seus dispositivos Windows via Objetos de Diretiva de Grupo (GPO) e seus dispositivos móveis via perfis de MDM para validar o certificado do servidor RADIUS. Se você pular esta etapa, os dispositivos ficarão vulneráveis a ataques de access points invasores (rogue AP), onde um invasor apresenta um certificado falso e captura as credenciais. Caso de uso três: NETGEAR PPSK para locais multi-tenant. A Private Pre-Shared Key resolve um problema específico em parques comerciais, empreendimentos de uso misto e espaços de co-working. Você tem múltiplos lojistas compartilhando a mesma infraestrutura física de WiFi. Você não quer executar SSIDs separados para cada lojista — isso gera congestionamento de radiofrequência e complexidade de gerenciamento. Mas você também não pode dar a todos a mesma senha, porque assim o Lojista A poderia ver o tráfego do Lojista B. O PPSK resolve isso de forma elegante. Você cria um único SSID e cria múltiplas chaves pré-compartilhadas no NETGEAR Insight em Wireless, Settings, Advanced, Multi PSK Settings. Cada chave é associada a uma VLAN específica. O Lojista A recebe uma senha exclusiva de 16 caracteres que mapeia para a VLAN 30. O Lojista B recebe uma senha diferente que mapeia para a VLAN 40. A equipe de gestão do local recebe uma terceira senha que mapeia para a VLAN 20, que tem acesso aos sistemas de gerenciamento. Quando os dispositivos do Lojista A se conectam usando sua senha, o access point os coloca automaticamente na VLAN 30. Eles não conseguem ver nenhum tráfego na VLAN 40 ou VLAN 20. Do ponto de vista do lojista, eles têm apenas uma senha de WiFi. Do seu ponto de vista como administrador de rede, você tem isolamento total de tráfego entre os lojistas com zero hardware adicional. Existem duas limitações importantes a serem observadas. Primeiro, o PPSK no NETGEAR Insight requer criptografia WPA2 Personal ou WPA2 Personal Mixed. Ele não funciona na banda de 6 GHz. Segundo, o PPSK não pode ser combinado com um Captive Portal no mesmo SSID. Se você precisar de ambos, precisará de dois SSIDs separados — o que não é um problema, pois os access points da série WAX suportam até oito. Caso de uso quatro: atribuição dinâmica de VLAN via RADIUS. Esta é a configuração mais sofisticada e a que serve de base para o recurso de Redes Baseadas em Identidade da Purple. Em vez de atribuir estaticamente uma VLAN a uma senha ou a um SSID, você deixa o servidor RADIUS decidir qual VLAN atribuir com base em quem está se autenticando. O mecanismo usa três atributos RADIUS padrão: Tunnel-Type, que deve ser definido com o valor 13 para VLAN; Tunnel-Medium-Type, que deve ser definido com o valor 6 para IEEE 802; e Tunnel-Private-Group-ID, que carrega o ID da VLAN como uma string. Quando um usuário se autentica com sucesso, o servidor RADIUS retorna esses três atributos na mensagem Access-Accept. O access point os lê e coloca o cliente na VLAN especificada. Na prática, isso significa que você pode ter um único SSID WPA2 Enterprise onde um gerente de hotel se autentica e cai na VLAN 20 com acesso aos sistemas de gestão da propriedade, um recepcionista se autentica e cai na VLAN 21 com acesso apenas ao sistema de check-in, e um prestador de serviços se autentica e cai na VLAN 50 com acesso apenas à internet. Tudo a partir do mesmo SSID, tudo aplicado automaticamente pelo servidor RADIUS com base na associação de grupo do Active Directory. Agora vamos falar sobre recomendações de implantação e armadilhas comuns. A primeira armadilha é o walled garden. Quase toda implantação de Captive Portal externo falha no walled garden pelo menos uma vez. O sintoma é o convidado se conectar ao SSID, mas ver um erro no navegador em vez da splash page. A correção é metódica: abra a documentação de suporte da Purple, copie todos os domínios da lista do walled garden e cole-os na seção Walled Garden do NETGEAR Insight. Teste com um dispositivo que não tenha credenciais em cache. A segunda armadilha é a acessibilidade do RADIUS. O access point NETGEAR precisa alcançar seu servidor RADIUS. O RADIUS usa a porta UDP 1812 para autenticação e a porta UDP 1813 para contabilização. Abra essas portas do IP de gerenciamento do access point para o IP do servidor RADIUS. Teste com uma ferramenta de teste de RADIUS antes de entrar em operação. A terceira armadilha é o conflito entre PPSK e Captive Portal. O NETGEAR Insight não permite PPSK e Captive Portal no mesmo SSID. Se precisar de ambos, crie dois SSIDs. Nomeie-os claramente — um para os lojistas com PPSK e outro para os convidados do Captive Portal. A quarta armadilha é a validação de certificado em clientes 802.1X. Todo dispositivo Windows precisa de um Objeto de Diretiva de Grupo (GPO) que especifique a Autoridade de Certificação confiável e o nome esperado do servidor RADIUS. Todo dispositivo móvel precisa de um perfil de MDM com as mesmas configurações. Sem isso, um usuário poderia, sem saber, se autenticar em um access point invasor e entregar suas credenciais do Active Directory. Agora, uma sessão rápida de perguntas e respostas. Pergunta um: Posso usar a Purple com o NETGEAR Insight sem um servidor RADIUS? Sim, para implantações de Captive Portal de convidados, você pode usar o modo de autenticação web da Purple em vez do RADIUS. O access point redireciona para a splash page via HTTP, e a Purple lida com a autenticação por meio de uma sessão web. O RADIUS oferece mais controle e melhores dados de contabilização, mas não é obrigatório para implantações básicas de portal de convidados. Pergunta dois: Quantas chaves PPSK posso criar no NETGEAR Insight? O NETGEAR Insight suporta até 64 chaves PPSK por SSID nos access points da série WAX. Para a maioria dos locais multi-tenant, isso é mais do que suficiente. Se você tiver mais de 64 lojistas, precisará migrar para uma solução de VLAN dinâmica baseada em RADIUS. Pergunta três: O NETGEAR Insight suporta WPA3 Enterprise para 802.1X? Sim, os access points da série WAX suportam WPA3 Enterprise. Para a maioria das implantações de PMEs, o WPA2 Enterprise é suficiente e possui maior compatibilidade com dispositivos clientes. Vale a pena considerar o WPA3 Enterprise para ambientes que lidam com dados confidenciais, como serviços de saúde ou financeiros. Pergunta quatro: O que acontece se o servidor RADIUS da Purple estiver inacessível? O NETGEAR Insight suporta uma opção de failsafe na configuração do Captive Portal externo. Se você ativar o failsafe, os convidados terão acesso à internet por um curto período, mesmo se os servidores do Captive Portal estiverem inacessíveis. A Purple mantém 99,999% de uptime em toda a nossa infraestrutura, mas ativar o failsafe é uma boa prática para qualquer implantação em produção. Para resumir os principais pontos do informativo de hoje. Os access points da série NETGEAR WAX se integram à Purple por meio do mecanismo de Captive Portal externo no NETGEAR Insight. Você configura a URL da splash page, as credenciais do servidor RADIUS e os domínios do walled garden no Insight Cloud Portal. Para redes de funcionários, use WPA2 Enterprise com 802.1X e force a validação de certificado em cada dispositivo cliente. Para locais multi-tenant, o recurso PPSK da NETGEAR oferece isolamento de VLAN por lojista a partir de um único SSID com até 64 chaves exclusivas. Para as implantações mais sofisticadas, a atribuição dinâmica de VLAN via atributos RADIUS oferece uma segmentação de rede orientada por identidade que se adapta a quem está se conectando, e não apenas de onde está se conectando. Se você está planejando uma implantação da NETGEAR com a Purple, o próximo passo é solicitar suas credenciais RADIUS da Purple e a lista de domínios do walled garden à equipe de suporte da Purple, e testar o redirecionamento do Captive Portal em um SSID de testes antes de implementar em produção. A configuração leva menos de 30 minutos assim que você tiver essas credenciais em mãos. Obrigado por ouvir o Informativo Técnico da Purple. Para obter o guia escrito completo, incluindo detalhes de configuração passo a passo e exemplos práticos, visite purple.ai.