Sophos Firewall and Access Points Integration with Purple WiFi

Bem-vindo ao Purple Architecture Briefing. Hoje vamos mergulhar em uma integração crítica para redes corporativas: a implantação do Purple WiFi junto com a infraestrutura Sophos, especificamente os pontos de acesso Sophos AP6 e APX e os firewalls Sophos XG e XGS. Se você é um gerente de TI, um arquiteto de rede ou um CTO gerenciando um local, seja uma rede de varejo, um estádio ou um hospital, esta sessão foi projetada para fornecer o roteiro prático para fazer essas duas plataformas poderosas funcionarem juntas de forma integrada. Vamos contextualizar. A Sophos é reconhecida por sua postura robusta de segurança. Os appliances Sophos Firewall oferecem inspeção profunda de pacotes e segurança sincronizada. No entanto, quando se trata de Guest WiFi, você não quer apenas segurança. Você quer valor de negócio. Você quer capturar dados demográficos, entender o comportamento do visitante e gerar retorno sobre o investimento em marketing. É aí que o Purple entra. Ao integrar o Purple como um Captive Portal externo, você transfere a tarefa pesada de gerenciamento de identidade de convidados, consentimento de GDPR e logins sociais para o RADIUS em nuvem do Purple, enquanto deixa o Sophos Firewall fazer o que faz de melhor: proteger o perímetro. Então, como isso realmente funciona nos bastidores? Vamos entrar no detalhamento técnico. A arquitetura conta com protocolos RADIUS padrão e redirecionamento HTTP. Quando um usuário do local se associa ao seu SSID de Guest WiFi aberto transmitido pelo Sophos AP, o Sophos Firewall intercepta essa solicitação web inicial. Em vez de exibir uma página de portal básica armazenada localmente, o firewall redireciona o cliente para a splash page hospedada na nuvem do Purple. Agora, aqui está o conceito crítico: o Walled Garden. Durante esta fase de pré-autenticação, o usuário não tem acesso à internet. Mas ele precisa carregar os elementos gráficos do portal e pode precisar acessar o Facebook ou o Google para fazer login. O Walled Garden é uma lista de permissões estrita configurada no Sophos Firewall que permite o tráfego para esses domínios específicos. Assim que o usuário se autentica, a plataforma do Purple envia uma mensagem RADIUS Access-Accept de volta para o Sophos Firewall. O firewall então altera o estado da sessão para autenticado e insere o usuário na sua política de firewall pós-autenticação. Vamos falar sobre a configuração do RADIUS em mais detalhes, porque é aqui que a precisão importa. O Purple fornece dois conjuntos de credenciais RADIUS: um para autenticação na porta 1812 e outro para tarifação (accounting) na porta 1813. Ambos devem ser configurados. O servidor de tarifação não é opcional. É o mecanismo pelo qual o Sophos Firewall reporta os dados da sessão de volta para o Purple, incluindo duração, largura de banda consumida e eventos de encerramento de sessão. Sem dados de tarifação precisos, seu painel de análise do Purple mostrará métricas de visitantes incompletas ou imprecisas. Defina o intervalo provisório de tarifação para 120 segundos. Isso proporciona um bom equilíbrio entre visibilidade em tempo real e sobrecarga de rede. Agora vamos falar sobre um cenário que surge constantemente em implantações corporativas: o WiFi Multi-Tenant. Pense em um espaço de coworking, um bloco residencial para aluguel ou uma acomodação estudantil. Você tem vários grupos distintos de usuários que precisam de acesso WiFi, mas eles devem estar completamente isolados uns dos outros no nível da rede. Transmitir um SSID separado para cada inquilino não é viável. Isso cria congestionamento de radiofrequência e é um pesadelo operacional para gerenciar. A resposta são as Sophos Private Pre-Shared Keys, ou PPSK, combinadas com a atribuição dinâmica de VLAN. Veja como funciona. Você configura um único SSID em seus pontos de acesso Sophos AP6. Em seguida, você emite uma senha exclusiva para cada inquilino ou grupo de usuários. Quando um dispositivo se conecta e apresenta sua chave exclusiva, o AP Sophos autentica essa chave via RADIUS. O servidor RADIUS retorna um atributo de ID de VLAN específico na mensagem Access-Accept. O AP marca dinamicamente o tráfego do usuário com esse ID de VLAN, colocando-o em seu segmento de rede dedicado. Networking Baseado em Identidade em ação. Um SSID, várias redes isoladas, zero sobrecarga de radiofrequência de transmissões adicionais. Essa arquitetura também traz um benefício de conformidade significativo. Sob os requisitos do PCI DSS, as redes de Guest WiFi devem ser completamente isoladas de qualquer segmento de rede que processe dados de portadores de cartão. Ao colocar o SSID de convidados em uma VLAN dedicada e aplicar políticas rígidas de firewall no Sophos Firewall para bloquear todos os destinos de espaço de IP privado RFC 1918, você atende a esse requisito de forma limpa. A Purple, que opera em 80.000 locais ativos e processou 440 milhões de logins em 2024, possui certificação ISO 27001, está em conformidade com o GDPR e possui a certificação Cyber Essentials, de modo que a história de conformidade se estende também à camada de identidade. Agora vamos passar para as recomendações de implementação. Ao configurar isso, você tem uma decisão crucial a tomar em relação à atribuição de IP: modo NAT versus modo Bridge. Se você estiver implantando uma pequena filial de varejo com talvez cinquenta a cem conexões simultâneas de convidados, o modo NAT é perfeitamente adequado. O AP Sophos distribui endereços DHCP para convidados a partir de uma sub-rede interna dedicada e os traduz à medida que o tráfego sai. É simples e exige o mínimo de infraestrutura adicional. Mas se você estiver implantando um ambiente de alta densidade, como um hotel de quinhentos quartos, um centro de convenções com vários eventos simultâneos ou um estádio, você deve usar o modo Bridge. No modo Bridge, o AP Sophos direciona o tráfego de convidados diretamente para uma VLAN dedicada, permitindo que seus servidores DHCP corporativos principais lidem com a carga. Isso evita que o ponto de acesso ou o firewall se torne um gargalo de DHCP durante eventos de pico de conexão. O modo Bridge também garante que a plataforma Purple veja o endereço IP real do cliente, o que é vital para análises precisas e solução de problemas. Vamos falar sobre a sequência de configuração passo a passo, porque a ordem importa aqui. Comece no portal Purple. Recupere suas credenciais do servidor RADIUS: os endereços IP do servidor, segredos compartilhados, a URL do Captive Portal e a URL de redirecionamento. Estas são as quatro informações críticas que você precisa antes de mexer na configuração do Sophos. Depois, acesse o Sophos Central ou a interface de gerenciamento do seu firewall local. Defina seus servidores RADIUS primeiro, autenticação na porta 1812, bilhetagem (accounting) na porta 1813. Em seguida, configure seu Walled Garden nas configurações de Hotspot. Depois, crie o seu SSID de visitantes, defina a criptografia como Aberta (Open), habilite o Captive Portal e insira a URL do portal Purple. E, finalmente, defina suas regras de firewall pós-autenticação. Especificamente para o Walled Garden, você deve permitir, no mínimo, os seguintes domínios: o domínio do portal Purple, normalmente region1.purpleportal.net; venuewifi.com; e quaisquer domínios de login social que seus visitantes utilizem, como facebook.com, accounts.google.com e seus domínios de CDN associados. Se você estiver usando o Microsoft Entra ID ou Okta para federação de identidade, esses domínios também devem ser incluídos. E quanto aos problemas comuns? Onde as implantações costumam falhar? O problema número um, sem dúvida, é um Walled Garden incompleto. Se um visitante se conecta e se depara com uma tela em branco ou tempo limite de conexão esgotado, isso quase sempre significa que o Sophos Firewall está bloqueando o acesso aos arquivos CSS da Purple, recursos de JavaScript ou às APIs de login social antes da autenticação. Você deve garantir que cada domínio obrigatório seja explicitamente permitido nessa política de pré-autenticação. A Purple fornece uma lista abrangente de domínios obrigatórios. Use-a por completo. Além disso, não se esqueça do DNS. Clientes não autenticados devem ter permissão para resolver consultas de DNS, caso contrário, o redirecionamento simplesmente não funcionará. O dispositivo precisa resolver o hostname do portal Purple antes mesmo de tentar carregar a página. O segundo erro mais comum são os erros de certificado. Certifique-se de que seu Sophos Firewall esteja apresentando um certificado SSL válido e publicamente confiável para a interface de redirecionamento. Se você usar o certificado autoassinado padrão, iPhones modernos e dispositivos Android exibirão avisos de segurança graves, e seus visitantes abandonarão a conexão completamente. Este é um problema particularmente crítico em ambientes de hospitalidade, onde a experiência do visitante é primordial. O terceiro erro comum são os erros de timeout do RADIUS. Se o portal carregar, mas a autenticação falhar consistentemente, verifique se os segredos compartilhados coincidem exatamente entre a sua configuração do Sophos e o portal Purple. Mesmo a diferença de um único caractere fará com que todas as tentativas de autenticação falhem silenciosamente. Verifique também se nenhum firewall intermediário está bloqueando as portas UDP 1812 e 1813 entre a sua infraestrutura Sophos e os servidores RADIUS na nuvem da Purple. Vamos encerrar com uma sessão de perguntas e respostas rápidas baseada nas dúvidas mais comuns que recebemos dos clientes. Pergunta um: o uso do Purple ignora as políticas de segurança do meu Sophos Firewall? Absolutamente não. O Purple lida com a autenticação e a captura de identidade. Uma vez autenticado, todo o tráfego de convidados flui através da política pós-autenticação do seu Sophos Firewall. É exatamente aqui que você aplica filtragem web, bloqueia tráfego peer-to-peer e formata a largura de banda. Pense desta forma: a pré-autenticação é permissiva para permitir o login; a pós-autenticação é punitiva para proteger a rede. Pergunta dois: preciso implantar servidores RADIUS locais? Não. O Purple oferece RADIUS-as-a-Service. Você configura os APs Sophos para apontarem diretamente para os endereços IP de RADIUS em nuvem do Purple. Não há necessidade de implantar e manter FreeRADIUS ou Windows NPS para a rede de convidados. Pergunta três: posso usar o Purple tanto com o Sophos AP6 quanto com a série APX mais antiga? Sim. A abordagem de integração é consistente em ambas as gerações de hardware. No entanto, observe que a Sophos anunciou uma data de fim de vida para a série APX em 31 de dezembro de 2027. Se você estiver planejando uma nova implantação, invista na série AP6, que suporta Wi-Fi 6 e Wi-Fi 6E. Pergunta quatro: e quanto à conformidade com a GDPR? O Purple captura o consentimento explícito no nível do portal, apresentando seus termos e condições e avisos de processamento de dados antes da autenticação. Esses dados de consentimento são armazenados na plataforma Purple e são auditáveis. O papel do Sophos Firewall é puramente de aplicação de rede. Para resumir os principais pontos do briefing de hoje. Primeiro: segregue totalmente seus SSIDs de funcionários e convidados. Funcionários no 802.1X com WPA2-Enterprise. Convidados no Purple com um Captive Portal externo. Segundo: configure meticulosamente seu Walled Garden. É o ponto de falha mais comum e o elemento de configuração de pré-autenticação mais importante. Terceiro: use o modo Bridge para qualquer implantação de alta densidade para evitar gargalos de DHCP e garantir visibilidade precisa do IP do cliente. Quarto: configure os servidores de autenticação e tarifação (accounting) RADIUS. A tarifação não é opcional se você deseja análises significativas. Quinto: aproveite o Sophos PPSK para ambientes Multi-Tenant para habilitar Redes Baseadas em Identidade com atribuição dinâmica de VLAN. Um SSID, múltiplas redes isoladas. Sexto: aplique as políticas de segurança da Sophos estritamente pós-autenticação. Filtragem web, controle de aplicativos e formatação de largura de banda devem ser aplicados na política de firewall pós-autenticação. Ao executar essa integração corretamente, você transforma o WiFi de convidados de um centro de custo em um ativo em conformidade, seguro e gerador de receita. A combinação da profundidade de segurança da Sophos com a inteligência de marketing do Purple é genuinamente poderosa para qualquer operador de local que queira levar a sério sua estratégia de dados e experiência do convidado. Obrigado por ouvir o Purple Architecture Briefing. Se você quiser discutir seus requisitos específicos de implantação, visite purple.ai para falar com a equipe de soluções.