Integração de Access Points Allied Telesis com o Purple WiFi

Você é um consultor sênior de rede conversando com o diretor de TI de um cliente em um briefing privado. Fale com um tom confiante, autoritário e de conversação. Ritmo medido, dicção clara. Sem palavras de preenchimento. Pausas naturais ocasionais para ênfase: Bem-vindo a este briefing técnico sobre a integração dos access points Allied Telesis Série TQ com o Purple WiFi. Vou orientá-lo em todo o cenário de implantação, desde o redirecionamento do Captive Portal de convidados até o isolamento de múltiplos inquilinos (multi-tenant) via PPSK. Ao final deste briefing, você terá um roteiro de implementação claro. [medium pause] Vamos começar com o contexto. A Allied Telesis produz a Série TQ, incluindo os access points Wi-Fi 6 TQ5403 e TQ6702 GEN2. Esses são APs de nível corporativo que executam o firmware AlliedWare Plus e são amplamente implantados em ambientes de hotelaria, varejo e setor público. O Purple é uma plataforma de sobreposição em nuvem independente de hardware que opera em mais de 80.000 locais e processou 440 milhões de logins em 2024. A integração entre essas duas plataformas é limpa, baseada em padrões e pronta para produção. [medium pause] Agora, a primeira coisa que a maioria das equipes de TI precisa configurar é o redirecionamento do Captive Portal de convidados. O AP Allied Telesis suporta três modos de Captive Portal: click-through, autenticação RADIUS e redirecionamento de página externa. Para a integração com o Purple, você usará o modo External Page Redirect. Veja como isso funciona na prática. Você faz login na GUI do dispositivo AP, navega até Wireless, seleciona o VAP relevante, vai para Advanced Settings e depois para a guia Security. Defina o Captive Portal como External Page Redirect. No campo External Page URL, insira a URL da splash page do Purple fornecida no seu painel do Purple. Essa é a URL que seus convidados acessarão quando se conectarem pela primeira vez. [short pause] Agora, o AP intercepta o primeiro pacote HTTP ou HTTPS de cada novo cliente e redireciona esse tráfego para a sua splash page do Purple. O convidado se autentica por meio do Purple, e o servidor RADIUS do Purple envia um Access-Accept de volta ao AP. O AP então concede o acesso à rede. [medium pause] Para a configuração do RADIUS, o Purple fornece um endereço IP do servidor RADIUS, um segredo compartilhado (shared secret) e a porta de autenticação, que é UDP 1812. A tarifação (accounting) roda na porta UDP 1813. Você configura esses parâmetros em Network Services e depois em RADIUS na GUI do AP. O identificador NAS deve ser definido como o IP de gerenciamento do AP ou um hostname descritivo. O RADIUS as a Service do Purple lida com o backend de autenticação, de modo que você não precisa manter sua própria infraestrutura RADIUS. [short pause] Um ponto importante a ser configurado corretamente é o Walled Garden. Antes de um convidado se autenticar, o AP bloqueia todo o tráfego, exceto para destinos na lista de permissões. Você precisa adicionar os domínios da plataforma do Purple ao Walled Garden para que a splash page seja carregada corretamente. No mínimo, adicione à lista de permissões o domínio da splash page do Purple, quaisquer endpoints de CDN que o Purple use para recursos e quaisquer provedores de login social que você tenha ativado, como Google ou Facebook. Você configura isso no mesmo painel de Advanced Settings do VAP, em Walled Garden. [medium pause] Vamos passar para o WiFi de funcionários usando 802.1X. É aqui que você configura o WPA Enterprise em um VAP separado. Na GUI do AP, selecione WPA Enterprise no menu suspenso Security e, em seguida, aponte o Grupo de Autenticação RADIUS para o seu servidor RADIUS externo, que neste caso é o serviço SecurePass do Purple ou o seu próprio RADIUS baseado no Microsoft Entra ID ou Okta. Os dispositivos dos funcionários se autenticam usando EAP-PEAP com MSCHAPv2, ou EAP-TLS com certificados para ambientes de maior segurança. O AP atua como o autenticador 802.1X, encaminhando as credenciais para o servidor RADIUS e aplicando a resposta. [short pause] Para a atribuição dinâmica de VLAN na rede de funcionários, você ativa a VLAN Dinâmica nas configurações de Segurança Avançada do VAP. Quando o servidor RADIUS retorna um Access-Accept, ele inclui três atributos padrão: Tunnel-Type definido como VLAN, Tunnel-Medium-Type definido como IEEE 802 e Tunnel-Private-Group-Id definido com o ID da VLAN. O AP lê esses atributos e coloca o dispositivo autenticado na VLAN correta automaticamente. Esse é o mecanismo definido na RFC 3580 e funciona de forma consistente em todo o hardware Allied Telesis. [medium pause] Agora vamos falar sobre o recurso mais interessante para implantações multi-tenant: o Allied Telesis PPSK, ou Private Pre-Shared Key. Isso às vezes é chamado de iPSK em outras plataformas. O conceito é simples. Você tem um único SSID, mas cada inquilino ou grupo de usuários recebe uma senha exclusiva. Quando um dispositivo se conecta, o AP envia essa senha para o servidor RADIUS como o campo de senha em um Access-Request RADIUS. O servidor RADIUS compara a senha com o registro do usuário e retorna um Access-Accept com um atributo Tunnel-Private-Group-Id especificando a VLAN para aquele inquilino. [short pause] Assim, em um edifício de uso misto, o Inquilino A na unidade de varejo se conecta com sua senha e entra na VLAN 100. O restaurante no térreo usa uma senha diferente e entra na VLAN 300. O WiFi de convidados do edifício usa uma terceira senha e entra na VLAN 400, onde o Captive Portal do Purple está ativo. Tudo isso roda em um único SSID. Sem proliferação de SSIDs. Limpo, escalável e fácil de gerenciar. [medium pause] No lado do Purple, você configura os registros de usuários PPSK no painel do Purple ou por meio da interface do RADIUS as a Service. Cada inquilino recebe uma senha exclusiva mapeada para um ID de VLAN. O servidor RADIUS do Purple lida com a correspondência e retorna o Tunnel-Private-Group-Id correto. Quando você precisar revogar o acesso de um inquilino, basta excluir ou desativar o registro PPSK dele no Purple. O AP aplicará a alteração na próxima tentativa de autenticação. [medium pause] Deixe-me apresentar dois cenários do mundo real onde isso faz a diferença. Primeiro, um hotel de conferências com 250 quartos. O hotel opera três redes: WiFi de convidados com splash page do Purple e login social, WiFi de funcionários em 802.1X integrado ao Active Directory via Microsoft Entra ID, e uma rede de delegados de conferência para eventos. Os APs Allied Telesis TQ6702 GEN2 lidam com as três redes em VAPs separados com VLANs separadas. O Purple gerencia a splash page de convidados, coleta dados primários para o CRM do hotel e fornece análises sobre os períodos de pico de uso. A equipe de TI do hotel gerencia a rede de funcionários por meio do SecurePass do Purple, sem a necessidade de manter um servidor RADIUS separado no local. [short pause] Segundo cenário: um parque comercial com 12 inquilinos independentes. O proprietário deseja oferecer WiFi como serviço para cada inquilino sem dar a eles acesso ao tráfego uns dos outros. Eles implantam APs Allied Telesis em todo o local com um único SSID. Cada inquilino recebe um PPSK exclusivo. O servidor RADIUS do Purple mapeia cada PPSK para uma VLAN dedicada. O proprietário pode integrar um novo inquilino em menos de dez minutos, criando um novo registro PPSK no Purple e entregando a senha ao inquilino. Nenhuma reconfiguração de AP é necessária. [medium pause] Agora, alguns erros comuns a serem evitados. O problema mais comum que vemos são Walled Gardens mal configurados. Se você esquecer de incluir um endpoint de CDN do Purple na lista de permissões, a splash page será carregada parcialmente ou falhará em determinados dispositivos. Teste com um dispositivo novo que não tenha DNS em cache antes de entrar em produção. Segundo, divergências no segredo compartilhado (shared secret) do RADIUS. O segredo configurado no AP deve corresponder exatamente ao segredo na configuração do servidor RADIUS do Purple. Uma diferença de um único caractere causa falhas silenciosas de autenticação. Use um gerenciador de senhas para gerar e armazenar o segredo. Terceiro, a VLAN Dinâmica não ser ativada. Nos APs Allied Telesis, a VLAN Dinâmica vem desativada por padrão, mesmo quando o WPA Enterprise está ativo. Você deve ativá-la explicitamente nas configurações de Segurança Avançada do VAP. Vemos esse erro acontecer regularmente. Quarto, conflito entre PPSK e autenticação MAC. Se você tiver a autenticação MAC ativada no mesmo VAP que o PPSK, a ordem de autenticação importa. Verifique a documentação do AP para a sua versão de firmware para confirmar qual método tem precedência. [medium pause] Perguntas rápidas que recebo das equipes de TI. Posso usar o servidor RADIUS do Purple tanto para o Captive Portal de convidados quanto para o 802.1X de funcionários na mesma implantação? Sim. O RADIUS as a Service do Purple suporta ambos os fluxos de autenticação. Você configura grupos ou políticas RADIUS separados no Purple para cada caso de uso. Os APs Allied Telesis suportam WPA3 com Captive Portal? O TQ6702 GEN2 executando o firmware 5.5.4-2.3 ou posterior suporta a cifra WPA3 CCMP. No entanto, o Captive Portal com redirecionamento externo normalmente roda em um SSID aberto ou WPA2 Personal. O 802.1X de funcionários pode usar WPA3 Enterprise. O que acontece se o servidor RADIUS do Purple estiver inacessível? O AP negará novas tentativas de autenticação. As sessões existentes continuam até expirarem. Você deve configurar um servidor RADIUS secundário no grupo RADIUS do AP para redundância. A plataforma do Purple mantém 99,999% de tempo de atividade, mas a defesa em profundidade é uma boa prática. [medium pause] Para resumir. Os APs Allied Telesis Série TQ se integram ao Purple por meio de três mecanismos principais: redirecionamento de Captive Portal externo para WiFi de convidados, WPA Enterprise com RADIUS para 802.1X de funcionários e PPSK com VLAN dinâmica para isolamento de múltiplos inquilinos. Os atributos RADIUS que você precisa são Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802 e Tunnel-Private-Group-Id contendo o ID da VLAN. O Purple fornece o backend de RADIUS as a Service, a plataforma de splash page e a camada de análise. [short pause] Seus próximos passos: obtenha as credenciais RADIUS do Purple no seu painel, configure o redirecionamento de página externa no seu VAP de convidados, adicione as entradas do Walled Garden, ative a VLAN Dinâmica no seu VAP de funcionários e execute um teste de autenticação para cada segmento de rede antes de entrar em produção. Se você estiver implantando PPSK para múltiplos inquilinos, planeje seu esquema de numeração de VLAN antes de começar, pois alterar os IDs de VLAN depois que os inquilinos estiverem ativos exige coordenação. [medium pause] Esse é o briefing. Para obter a referência de configuração passo a passo completa, o diagrama de arquitetura Mermaid e a tabela de atributos RADIUS, consulte o guia escrito. Obrigado pelo seu tempo.