Integração do WatchGuard Firebox com o Purple WiFi: Guia de Instalação e Configuração

Resumo executivo

A implantação de uma infraestrutura sem fio segura e escalável em locais complexos exige uma integração precisa entre o seu gateway de segurança e o provedor de identidade. Este guia detalha a integração do WatchGuard Firebox e dos WatchGuard Access Points com a Purple, abrangendo três camadas de acesso distintas: redirecionamento de Guest WiFi Captive Portal, Staff WiFi seguro usando IEEE 802.1X e segmentação de WiFi Multi-Tenant via WatchGuard Private Pre-Shared Keys (PPSK).

Ao combinar a plataforma de segurança unificada da WatchGuard com a sobreposição de nuvem da Purple, você automatiza o controle de acesso baseado em identidade, impõe políticas de segurança granulares e captura dados primários em escala. A Purple opera em mais de 80.000 locais ativos e processou 440 milhões de logins em 2024 (dados internos da Purple). A integração é agnóstica em relação ao hardware por design - a WatchGuard está ao lado de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet na lista de hardwares compatíveis da Purple. Para uma visão mais ampla dos padrões de segurança de WiFi corporativo, consulte nosso Segurança de WiFi Corporativo: Um Guia Completo para 2026 .

Arquitetura técnica

A integração conecta o hardware da WatchGuard aos serviços de nuvem da Purple usando dois mecanismos padrão: RADIUS (Remote Authentication Dial-In User Service) para autenticação e contabilização, e redirecionamento HTTP para entrega do Captive Portal. A arquitetura oferece suporte a três camadas de acesso em uma única infraestrutura física.

Todas as três camadas podem ser executadas simultaneamente na mesma frota de Access Points da WatchGuard. Os modelos WatchGuard Wi-Fi 6 - AP130, AP230W, AP330, AP332CR, AP430CR e AP432 - oferecem suporte a PPSK a partir do firmware v2.6 em diante.

Configurando o redirecionamento de Captive Portal de Guest WiFi

A integração do Captive Portal da WatchGuard redireciona solicitações HTTP não autenticadas para a splash page hospedada da Purple. Este é o principal mecanismo para capturar dados primários e impor termos de serviço.

Passo 1: Configuração do servidor RADIUS

No WatchGuard Cloud ou no Firebox Policy Manager, defina a Purple como o servidor de autenticação e contabilização RADIUS.

• Servidor RADIUS primário: Defina para o endereço IP do RADIUS da Purple para a sua região (disponível no portal da Purple em Configurações > Integração de Hardware).
• Porta de autenticação: 1812
• Porta de contabilização: 1813
• Segredo compartilhado: Insira o segredo exclusivo fornecido no portal da Purple.
• NAS ID: Defina como o endereço MAC do Firebox ou AP usando o especificador de formato %m. Isso identifica o local para a Purple e direciona as análises para a conta correta.
• Intervalo de contabilização: Defina para 10 minutos para garantir que os dados da sessão fluam para o painel de análise da Purple em intervalos regulares.

Passo 2: Configurações de SSID e Captive Portal

No WatchGuard Cloud, navegue até Configure > Devices > [Your AP] > Device Configuration > SSIDs. Crie ou edite o SSID de Guest.

• Segurança: Aberto (sem senha de pré-autenticação).
• Tipo de Captive Portal: Selecione Third-Party Hosted Captive Portal with RADIUS Authentication.
• URL da Splash Page: Insira a URL da splash page da Purple (por exemplo, https://wifi.mypurple.com/splash). Recupere isso em Purple > Analyze > Portals.
• Segredo compartilhado: Insira o segredo compartilhado do portal a partir da mesma página Purple Analyze Portals. Esse segredo gera o digest HMAC-SHA1 que a WatchGuard usa para validar a resposta de sucesso de autenticação da Purple.

Passo 3: Configuração do Walled Garden

O Walled Garden define quais domínios um dispositivo pode acessar antes que a autenticação seja concluída. Sem isso, o dispositivo não conseguirá carregar a splash page da Purple. Adicione as seguintes entradas em Websites that users can access before login:

• *.mypurple.com
• api.mypurple.com
• cdn.mypurple.com
• assets.mypurple.com

Se você ativar logins sociais ou federados via Microsoft Entra ID, Okta ou Google Workspace, adicione os domínios do provedor de identidade relevantes (por exemplo, login.microsoftonline.com, accounts.google.com). Para obter o contexto legal e de conformidade sobre infraestrutura de WiFi compartilhada, consulte nosso guia sobre Requisitos Legais e de Conformidade para Infraestrutura de WiFi Compartilhada .

Como funciona o fluxo de autenticação HMAC

Compreender esse fluxo ajuda a diagnosticar falhas rapidamente.

1. O dispositivo do convidado se conecta ao SSID aberto e faz uma solicitação HTTP.
2. O AP da WatchGuard intercepta a solicitação e redireciona o navegador para a URL da splash page da Purple, anexando um parâmetro challenge (uma string hexadecimal aleatória) e o endereço MAC do dispositivo.
3. A Purple exibe a splash page. O convidado preenche o formulário de login.
4. A Purple gera um digest HMAC-SHA1 usando o segredo compartilhado do portal e o valor do challenge.
5. A Purple redireciona o navegador de volta para a URL de login do AP da WatchGuard, anexando o challenge e o digest.
6. O AP da WatchGuard valida o digest usando o mesmo segredo compartilhado. Se houver correspondência, o AP concede acesso à internet e envia um pacote RADIUS Accounting Start para a Purple.

Staff WiFi seguro com 802.1X

Para o Staff WiFi, você substitui o Captive Portal pelo IEEE 802.1X - o padrão corporativo para controle de acesso à rede baseado em porta. Cada funcionário se autentica com credenciais exclusivas ou um certificado, eliminando o risco de senha compartilhada.

No WatchGuard Cloud, configure o SSID da equipe com segurança WPA3 Enterprise e aponte o Authentication Domain para o servidor RADIUS da Purple. A Purple atua como o servidor RADIUS e pode fazer o proxy de solicitações de autenticação para o Microsoft Entra ID, Okta ou Google Workspace via SAML ou LDAP.

Para autenticação baseada em certificado (EAP-TLS), implante certificados de cliente via seu MDM para dispositivos gerenciados. Para autenticação baseada em credenciais (PEAP-MSCHAPv2), os usuários se autenticam com suas credenciais de diretório. A Purple valida a solicitação em relação ao provedor de identidade configurado e retorna um RADIUS Access-Accept ou Access-Reject para o AP WatchGuard.

Para um passo a passo detalhado da configuração do 802.1X em diferentes tipos de dispositivos, consulte nosso guia sobre autenticação 802.1X: protegendo o acesso à rede em dispositivos modernos .

Nota importante sobre a randomização de MAC: Dispositivos iOS e Android modernos randomizam seus endereços MAC por padrão. Para o WiFi da equipe com 802.1X, instrua a equipe a desativar a randomização de MAC para o SSID da equipe. MACs randomizados causam logs de autenticação inconsistentes e quebram a aplicação de políticas baseadas em MAC.

WiFi Multi-Tenant com WatchGuard PPSK

Transmitir um SSID separado por locatário em um centro comercial, espaço de coworking ou empreendimento Build-to-Rent (BTR) causa interferência de canal compartilhado e polui o ambiente de RF. O WatchGuard PPSK (Private Pre-Shared Key) - introduzido no firmware de AP v2.6 - resolve isso atribuindo uma senha exclusiva para cada usuário ou locatário em um único SSID.

Passo 1: Habilitar o PPSK no SSID

No WatchGuard Cloud, edite o SSID de destino (ex: Venue-WiFi).

• Segurança: WPA2 Personal ou WPA3 Personal.
• Autenticação: Habilite Private Pre-Shared Key (PPSK).
• Servidor RADIUS: Aponte para o servidor RADIUS da Purple. A Purple gerencia o armazenamento de credenciais PPSK e retorna atributos de VLAN na autenticação.

Passo 2: Configurar atribuição dinâmica de VLAN

Para isolar o tráfego de locatários, o AP WatchGuard atribui uma VLAN específica com base no PPSK usado.

• Configuração de VLAN: Selecione Dynamic VLAN assigned by RADIUS.
• Fallback para clientes não atribuídos: Selecione uma VLAN de quarentena isolada (ex: VLAN 999) para garantir que os dispositivos que falharem na validação do RADIUS não consigam acessar a rede corporativa.

Requisitos para VLANs dinâmicas em Access Points WatchGuard:

• Firmware do AP v2.2 ou superior.
• O NAT deve estar desativado no SSID.
• VLANs dinâmicas e Captive Portal não podem ser executados no mesmo SSID simultaneamente.
• A porta do switch conectada ao AP deve ser configurada como uma porta trunk que transporta todas as VLANs relevantes.

Passo 3: Atributos RADIUS para direcionamento de VLAN

Quando um usuário se conecta usando um PPSK, o AP WatchGuard envia um RADIUS Access-Request para a Purple. A Purple valida a chave e retorna um pacote Access-Accept contendo três atributos RADIUS IETF:

O AP WatchGuard lê o atributo 81 e coloca o cliente na VLAN correspondente. Na Purple, você mapeia cada credencial PPSK para um ID de VLAN e função específicos. Este é o mecanismo por trás das Redes Baseadas em Identidade - a credencial determina o segmento de rede, não o SSID.

Melhores práticas de implementação

Essas recomendações se aplicam a implantações em hospitalidade , varejo , saúde e transporte .

Limites de tempo de sessão: Configure limites de tempo de sessão tanto na Purple quanto no WatchGuard para forçar a autenticação novamente em intervalos regulares. Isso mantém as análises precisas e evita que sessões inativas consumam largura de banda. Defina o RADIUS Interim-Update (Acct-Interim-Interval) para 600 segundos (10 minutos).

Gerenciamento de firmware: Certifique-se de que os Access Points WatchGuard executem o firmware v2.6 ou superior para suporte ao PPSK. Use o WatchGuard Cloud para agendar atualizações de firmware durante as horas de menor movimento para evitar lacunas de cobertura.

Conformidade com PCI DSS: Para ambientes de varejo que processam pagamentos com cartão, isole os dispositivos de PDV em uma VLAN dedicada (ex: VLAN 200) usando PPSK. Certifique-se de que a VLAN de WiFi de Visitantes não tenha rota para a VLAN de PDV. Isso atende aos requisitos de segmentação de rede do PCI DSS.

GDPR e coleta de dados: O Captive Portal da Purple usa opt-ins de escolha consciente, garantindo que a coleta de dados atenda aos requisitos do GDPR. A Purple possui certificações ISO 27001, GDPR, CCPA e Cyber Essentials. Certifique-se de que sua splash page inclua um aviso de privacidade claro e um link para os termos de serviço antes do início da captura de dados.

Solução de problemas e mitigação de riscos

Falha ao carregar o Captive Portal: O Walled Garden é o primeiro lugar a ser verificado. Se o dispositivo não conseguir resolver o DNS ou alcançar os servidores da Purple antes da autenticação, o navegador exibirá um erro de tempo limite em vez da splash page. Verifique se todos os domínios da Purple estão na lista do Walled Garden e se as configurações de DNS do WatchGuard permitem a resolução pré-autenticação.

Erros de validação de digest HMAC: Se os logs do WatchGuard mostrarem falhas de autenticação com erros de HMAC, o Captive Portal Shared Secret não coincide entre o WatchGuard e a Purple. Ele deve ser idêntico em ambos os sistemas. Regenere o segredo na Purple e insira-o novamente no WatchGuard Cloud.

Falha no direcionamento de VLAN: Se um usuário de PPSK receber um IP da VLAN errada, verifique os logs de RADIUS no portal da Purple. Verifique se a Purple está retornando todos os três atributos RADIUS IETF. Certifique-se de que o valor de Tunnel-Private-Group-ID esteja formatado como uma string e corresponda a um ID de VLAN configurado na porta trunk do switch.

Conflito entre PPSK e Captive Portal: O WatchGuard não suporta VLANs dinâmicas e Captive Portal no mesmo SSID. Se você precisar de ambos, use dois SSIDs: um para o Captive Portal de visitantes e outroe para acesso multi-tenant PPSK.

Falhas de autenticação 802.1X: Use a ferramenta de captura de pacotes disponível no firmware do AP WatchGuard v2.5 e superior para capturar o tráfego entre o AP e o servidor RADIUS. Procure por pacotes RADIUS Access-Reject e o código de motivo no atributo de mensagem de resposta.

ROI e impacto nos negócios

A integração entre WatchGuard e Purple consolida segurança e analytics em uma única arquitetura. Um hotel de 200 quartos que utiliza essa integração elimina a necessidade de gateways separados para hóspedes e funcionários, reduzindo os gastos com hardware em aproximadamente 30% em comparação com uma implantação de múltiplos gateways (dados internos da Purple). O captive portal de Guest WiFi captura dados primários - endereços de e-mail, informações demográficas e frequência de visitas - que geram receita de marketing direto por meio do plano Engage da Purple.

Para locais multi-tenant, o PPSK elimina a sobrecarga operacional de gerenciar múltiplos SSIDs. Um centro comercial que gerencia 15 unidades de lojas em um único SSID reduz a utilização de rádio do AP e simplifica as auditorias de rede. O WiFi Analytics da Purple fornece aos operadores do local dados de tempo de permanência, fluxo de pessoas e visitas repetidas - métricas que justificam o investimento em infraestrutura para as equipes financeiras.

A Purple mantém 99,999% de uptime (dados internos da Purple), garantindo que o captive portal de Guest WiFi permaneça disponível mesmo durante períodos de pico em locais de alta densidade, como estádios e centros de convenções.