Integração do Cambium Networks cnPilot e cnMaestro com o Purple WiFi

Integração do Cambium Networks cnPilot e cnMaestro com o Purple WiFi. Um Briefing para Consultores. Bem-vindo. Se você gerencia um ambiente Cambium Networks e precisa entregar uma experiência de guest WiFi que capture dados, impulsione o marketing e mantenha a conformidade — este briefing é exatamente o que você precisa. Vou orientá-lo sobre como os access points Cambium cnPilot, o controlador de nuvem cnMaestro e o Purple WiFi se integram. Abordaremos a arquitetura, o fluxo de autenticação RADIUS, a configuração de walled garden, o Staff WiFi seguro usando 802.1X e a segmentação multi-tenant usando o recurso ePSK da Cambium com atribuição dinâmica de VLAN. Quer você esteja gerenciando uma rede de hotéis, um portfólio de varejo, um centro de conferências ou um campus do setor público, os princípios são os mesmos. Vamos começar. Primeiro, uma rápida orientação sobre as duas plataformas. A Cambium Networks produz a linha cnPilot de access points WiFi corporativos — o e410, e425H, e430H e e505 para implantações internas e externas. Esses APs são gerenciados centralmente por meio do cnMaestro, a plataforma de gerenciamento em nuvem da Cambium. O cnMaestro oferece visibilidade centralizada, gerenciamento de configuração e atualizações de firmware em todo o seu parque de APs — seja um punhado de dispositivos em um único local ou milhares de APs em um território nacional. O Purple WiFi é uma plataforma de inteligência de guest WiFi corporativo. Ele lida com o Captive Portal — a tela de login personalizada com a sua marca que os hóspedes veem ao se conectar — e também atua como um servidor de autenticação RADIUS, um mecanismo de captura de dados e uma plataforma de automação de marketing. A Purple opera em mais de 80.000 locais ativos e processou 440 milhões de logins apenas em 2024. A combinação do Cambium cnMaestro com a Purple oferece uma pilha de guest WiFi de nível de produção que é tecnicamente sólida e comercialmente valiosa. Agora, vamos falar sobre a arquitetura de integração. O mecanismo principal é um redirecionamento de Captive Portal combinado com autenticação RADIUS. Veja como o fluxo funciona na prática. Um dispositivo de hóspede se associa ao seu SSID de hóspedes. Esse SSID é configurado no cnMaestro como uma rede aberta — sem chave pré-compartilhada para hóspedes. O AP Cambium intercepta a primeira solicitação HTTP do dispositivo e a redireciona para a URL do Captive Portal da Purple. Esse redirecionamento é configurado no cnMaestro nas configurações de Guest Access da WLAN, onde você define a URL da Página Externa (External Page URL) para o endpoint do portal do seu local na Purple. O hóspede então interage com o portal da Purple. Ele pode se autenticar via login social, e-mail, verificação por SMS ou um formulário personalizado. Assim que conclui o fluxo de autenticação, o backend da Purple envia uma mensagem RADIUS Access-Accept de volta ao AP Cambium na porta UDP 1812. O AP então move o dispositivo do estado de pré-autenticação para o acesso total à rede. Deixe-me orientá-lo pelas etapas exatas de configuração no cnMaestro. Navegue até Configuration, depois WiFi Profiles e WLANs. Crie uma nova WLAN para sua rede de hóspedes. Defina o nome do SSID — algo como "Hotel Guest WiFi" — e defina a segurança como Open. Em Guest Access, habilite a opção External Hotspot. Essa é a configuração principal que instrui o cnMaestro a redirecionar clientes não autenticados para um portal externo. Defina a URL da Página Externa para a URL do portal do seu local na Purple. Habilite a autenticação RADIUS e insira o endereço IP do servidor RADIUS da Purple, o segredo compartilhado (shared secret) e defina a porta de autenticação como UDP 1812. Habilite a bilhetagem RADIUS (RADIUS accounting) na porta UDP 1813 — isso é fundamental para que o analytics da Purple funcione corretamente. Sem os registros de bilhetagem, a Purple não consegue gerar dados de sessão, métricas de tempo de permanência ou análises de frequência de visitas. Agora, o walled garden. Esta é a lista de domínios e endereços IP que os dispositivos dos hóspedes podem alcançar antes de se autenticarem. Você precisa incluir na lista de permissões o domínio do portal da Purple e quaisquer endpoints de CDN usados para fornecer os recursos do portal. Você também precisa incluir na lista de permissões os domínios de provedores de autenticação — se estiver usando login social via Google ou Facebook, os domínios de OAuth deles precisam estar no walled garden. Um walled garden mal configurado é a causa mais comum de falhas no Captive Portal. O dispositivo do hóspede precisa resolver o DNS e alcançar o portal da Purple via HTTPS antes de poder se autenticar. No cnMaestro, o walled garden é configurado nas configurações de External Hotspot. Adicione entradas para o domínio do portal da Purple, domínios de provedores de login social e domínios de gateways de pagamento, caso esteja operando planos de WiFi pagos. Agora vamos falar sobre Staff WiFi seguro usando IEEE 802.1X. Para redes de funcionários, você não quer um Captive Portal. Você quer uma autenticação baseada em certificados ou credenciais que ocorra silenciosamente no nível do dispositivo. No cnMaestro, crie uma WLAN separada para os funcionários. Defina a segurança como WPA2-Enterprise. Configure os detalhes do servidor RADIUS — novamente, o IP do servidor RADIUS da Purple na porta UDP 1812. Os dispositivos dos funcionários se autenticam usando EAP-PEAP com credenciais de usuário e senha, ou EAP-TLS com certificados de dispositivo para obter o nível máximo de segurança. A Purple se integra ao Microsoft Entra ID, Okta e Google Workspace as identity providers. Isso significa que seus funcionários podem se autenticar no WiFi usando suas credenciais corporativas existentes — sem a necessidade de gerenciar uma senha de WiFi separada. A Purple valida as credenciais no seu provedor de identidade e retorna um Access-Accept para o AP Cambium. A atribuição dinâmica de VLAN coloca o dispositivo do funcionário autenticado na VLAN de funcionários correta, isolando-o do tráfego de hóspedes. Agora, a segmentação multi-tenant usando o Cambium ePSK. ePSK — enhanced pre-shared key — é a implementação da Cambium para o que o setor chama de PPSK ou iPSK. O conceito é simples: em vez de uma senha compartilhada para todo um SSID, cada usuário ou cliente recebe sua própria senha exclusiva. Todos se conectam ao mesmo SSID, mas cada chave exclusiva é mapeada para uma VLAN específica, proporcionando isolamento de rede sem a complexidade de executar múltiplos SSIDs. o cnMaestro suporta até 2.000 entradas ePSK por WLAN. Cada ePSK pode receber um ID de VLAN específico, um limite de taxa de transmissão e uma data de expiração. Isso o torna ideal para ambientes multi-tenant — pense em um centro de conferências onde cada expositor recebe seu próprio segmento de rede isolado, ou um edifício residencial multifamiliar onde cada morador tem sua própria rede privada local. Para configurar o ePSK no cnMaestro, navegue até Configuration, WiFi Profiles, WLANs. Crie uma nova WLAN. Defina a segurança como WPA2 Pre-Shared Key. Habilite a opção ePSK. Você pode adicionar entradas ePSK individuais manualmente ou usar a API do cnMaestro para provisioná-las programaticamente — que é a abordagem recomendada para implantações em larga escala. Para cada entrada ePSK, defina a senha, o ID da VLAN atribuída e, opcionalmente, o limite de taxa e a expiração. Quando um dispositivo se conecta usando essa senha, o AP Cambium o coloca automaticamente na VLAN atribuída. Não é necessário RADIUS para o fluxo ePSK em si — a atribuição de VLAN é tratada localmente pelo AP com base na senha utilizada. A Purple se integra a esse modelo gerenciando o ciclo de vida do ePSK por meio da API do cnMaestro. A Purple pode provisionar novas entradas ePSK quando um novo cliente é integrado, atualizar a atribuição de VLAN, definir datas de expiração e revogar o acesso quando um cliente sai. Isso elimina o trabalho manual de gerenciar centenas ou milhares de chaves individuais. Certo, vamos falar sobre o que pode dar errado e como evitar. O erro mais comum é o walled garden. Se as entradas do seu walled garden estiverem incompletas, o redirecionamento do Captive Portal nunca é concluído. Os hóspedes veem um tempo limite de conexão, não uma página de login. Sempre teste com um dispositivo novo — não um que já tenha se conectado anteriormente — e verifique se o portal da Purple carrega antes da autenticação. Verifique se a resolução de DNS funciona para o domínio do portal da Purple a partir do estado de pré-autenticação. Segundo: divergências no segredo compartilhado (shared secret) do RADIUS. Em grandes implantações com múltiplos locais, é fácil ter um segredo compartilhado configurado de forma diferente no cnMaestro em comparação com o que a Purple tem registrado. Sempre verifique o segredo compartilhado em ambos os lados antes de entrar em operação. Use um segredo forte, gerado aleatoriamente — com pelo menos 32 caracteres — e armazene-o em um gerenciador de segredos, não em uma planilha. Terceiro: bilhetagem RADIUS (RADIUS accounting). Não pule esta etapa. Os registros de bilhetagem são o que a Purple usa para criar análises de sessão — tempo de permanência, frequência de visitas, tipo de dispositivo. Configure a bilhetagem RADIUS na porta UDP 1813 no cnMaestro. Sem isso, você perde o valor de analytics que a Purple oferece. É uma etapa de configuração de cinco minutos. Quarto: trunking de VLAN. Para que a atribuição dinâmica de VLAN funcione, as VLANs devem estar em modo trunk nas portas do switch que se conectam aos seus APs Cambium. Se a VLAN 100 para hóspedes não for permitida no trunk, os hóspedes autenticados não receberão um endereço IP e parecerão não ter acesso à internet, mesmo após a autenticação bem-sucedida. Verifique a configuração de trunk do seu switch antes de testar. Quinto: conflitos de intervalo de VLAN do ePSK. Certifique-se de que o intervalo de VLAN do seu ePSK não entre em conflito com as VLANs existentes na sua rede — especialmente VLANs de gerenciamento ou de infraestrutura. Documente sua alocação de VLAN antes de começar. Sexto: versão do firmware. Certifique-se de que seus APs cnPilot estejam executando a versão de firmware 6.0 ou posterior para suporte completo a hotspot externo e funcionalidade ePSK. Versões anteriores de firmware apresentam problemas conhecidos com o comportamento de redirecionamento do Captive Portal. Agora, algumas perguntas rápidas. Posso usar a Purple com a Cambium sem RADIUS — apenas com um redirecionamento simples? Sim, mas você perde a atribuição dinâmica de VLAN e os dados de bilhetagem de sessão. Para qualquer coisa além de uma tela de login básica, o RADIUS é altamente recomendado. A Purple suporta WPA3 em APs Cambium? Sim. A autenticação baseada em portal da Purple é compatível com WPA3-SAE no SSID. O fluxo RADIUS é independente do protocolo de segurança sem fio. Posso executar a Purple em múltiplos locais da Cambium a partir de uma única conta da Purple? Com certeza. A arquitetura multi-venue da Purple foi projetada exatamente para isso. Cada local é mapeado para um ponto de presença (venue) na Purple, e as políticas de rede do cnMaestro escalam de forma limpa em todo o território nacional. Quantas entradas ePSK o cnMaestro pode suportar? Até 2.000 por WLAN. Para implantações que exigem mais, use uma abordagem baseada em RADIUS para o gerenciamento de chaves. Para resumir: a integração do Cambium cnMaestro com o Purple WiFi é uma arquitetura comprovada que oferece guest WiFi com captura de dados, autenticação RADIUS, segmentação dinâmica de VLAN e analytics completo — tudo gerenciado centralmente por meio do console em nuvem do cnMaestro. As etapas principais para colocar isso em operação: configure sua WLAN de hóspedes no cnMaestro com o External Hotspot habilitado e a URL do portal da Purple definida, adicione os detalhes do servidor RADIUS da Purple para autenticação e bilhetagem, configure as entradas do seu walled garden, verifique o trunking de VLAN nos seus switches e teste com um dispositivo novo antes de entrar em operação. Para implantações multi-tenant, configure o ePSK em uma WLAN dedicada, atribua IDs de VLAN por cliente e use a API do cnMaestro para o gerenciamento do ciclo de vida em escala. O caso de ROI é direto. A plataforma de analytics da Purple transforma seu guest WiFi de um centro de custo em um ativo de dados primários (first-party data). A Harrods alcançou um ROI de marketing de 57 vezes com a implantação do guest WiFi da Purple. A AGS Airports gerou um ROI de 842%. Combinado com a infraestrutura de nível corporativo da Cambium, você obtém uma solução que escala de um único local para uma rede nacional sem alterações arquitetônicas. Para as próximas etapas: obtenha os detalhes do servidor RADIUS da Purple com o seu gerente de conta da Purple, acesse a configuração de WLAN do cnMaestro para o seu SSID de hóspedes e siga a lista de verificação de configuração. A maioria das implantações em um único local entra em operação em um dia. Obrigado por ouvir. Se você quiser se aprofundar no design de Captive Portal, estratégia de segmentação de VLAN ou gerenciamento de ciclo de vida de ePSK, a documentação da Purple e a equipe de suporte são o próximo passo ideal.