iPSK para MDU: um guia completo para empresas

Resumo executivo

Para operadores de Build-to-Rent (BTR), incorporadores imobiliários e proprietários de MDU, o WiFi não é mais apenas uma comodidade opcional. É o serviço essencial que os moradores avaliam antes de assinar um contrato de aluguel. As abordagens tradicionais falham em escala: redes PSK compartilhadas expõem os dispositivos de um morador a todos os vizinhos, a autenticação 802.1X Enterprise bloqueia os dispositivos domésticos inteligentes nos quais os moradores confiam, e um roteador físico em cada unidade cria uma interferência severa de radiofrequência (RF) que degrada as velocidades de todo o edifício.

O Identity PSK (iPSK) resolve todos esses três problemas. Ele emite uma senha de WiFi exclusiva para cada residência em uma única rede para todo o edifício. Cada senha é mapeada para uma VLAN isolada, criando uma "bolha de WiFi" privada por morador. Os dispositivos dentro da bolha se descobrem - celulares transmitem para TVs, consoles se conectam à internet, alto-falantes inteligentes respondem a comandos de voz - enquanto permanecem completamente invisíveis para os vizinhos. A Purple oferece isso como uma sobreposição de nuvem agnóstica de hardware, rodando em pontos de acesso Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet que você já possui. O resultado é um prêmio de aluguel de £15 a 30 por unidade por mês, períodos de vacância de 5 a 10 dias mais curtos e uma redução de 30 a 50% nos custos de conectividade por porta em comparação com contratos individuais de banda larga.

Detalhamento técnico

O que o iPSK realmente faz

O iPSK (Identity Pre-Shared Key) - conhecido como PPSK pela HPE Aruba, Personal Private Network pela Cisco Meraki e ePSK pela Cambium e Juniper Mist - permite que um único SSID aceite milhares de senhas diferentes simultaneamente. Cada senha é exclusiva de um morador ou residência. A rede usa essa senha como um sinal de identidade, e não apenas como uma chave de porta.

Quando o dispositivo de um morador se conecta, o ponto de acesso (AP) não verifica simplesmente se a senha está correta. Ele encaminha a solicitação de autenticação para um servidor RADIUS (Remote Authentication Dial-In User Service). O servidor RADIUS valida a senha em relação ao perfil do morador e retorna uma mensagem Access-Accept contendo atributos de política específicos - o mais importante deles, o VLAN ID atribuído àquele morador. O AP então marca todo o tráfego daquele dispositivo com a VLAN correta, colocando-o dentro do segmento de rede isolado do morador.

Essa atribuição dinâmica de VLAN é o mecanismo que cria a bolha de WiFi por morador. O celular, o notebook e a smart TV do Morador A compartilham a mesma VLAN e podem se comunicar livremente usando protocolos de multicast e broadcast (mDNS para AirPlay e Chromecast, SSDP para DLNA). Os dispositivos do Morador B ficam em uma VLAN completamente separada e são invisíveis para o Morador A, embora ambas as residências compartilhem os mesmos pontos de acesso físicos.

Por que o 802.1X não funciona para ambientes residenciais

O IEEE 802.1X é o padrão ouro para autenticação de rede corporativa. Ele exige que cada dispositivo apresente um nome de usuário e senha ou um certificado digital para um servidor RADIUS por meio de uma troca EAP (Extensible Authentication Protocol). O problema em ambientes residenciais é a compatibilidade dos dispositivos. Lâmpadas inteligentes, assistentes de voz, consoles de jogos e a maioria dos sensores de IoT não incluem um suplicante 802.1X. Eles não podem participar de uma troca EAP. Forçar o 802.1X em uma rede residencial significa que os moradores não conseguirão conectar seus dispositivos domésticos inteligentes, gerando uma enxurrada de chamados de suporte e insatisfação significativa dos moradores.

O iPSK usa WPA2-Personal ou WPA3-Personal no nível do cliente, que todos os dispositivos de consumo suportam. A lógica de identidade de nível corporativo é executada inteiramente no backend entre o AP e o servidor RADIUS, invisível para o dispositivo de conexão.

Fluxo de autenticação em detalhes

A sequência abaixo descreve o que acontece a partir do momento em que o dispositivo de um morador se conecta:

1. O dispositivo transmite uma solicitação de busca (probe request) e se associa ao SSID.
2. O dispositivo envia sua frase secreta durante o handshake de quatro vias WPA2/WPA3.
3. O AP intercepta a frase secreta e cria um RADIUS Access-Request, incluindo o endereço MAC do dispositivo e a frase secreta como um atributo Cisco AV-Pair (psk-mode e psk-password).
4. O servidor RADIUS na nuvem (o RADIUS-as-a-Service da Purple) valida a frase secreta no banco de dados de moradores.
5. Em caso de sucesso, o servidor RADIUS retorna um Access-Accept com o VLAN ID, política de QoS e perfil de largura de banda para aquele morador.
6. O AP atribui o dispositivo à VLAN especificada e conclui a associação.
7. O dispositivo recebe um endereço IP do escopo DHCP para aquela VLAN e fica online dentro do seu segmento isolado.

Toda a sequência é concluída em menos de 500 milissegundos e é transparente para o morador.

Notas de implementação do fabricante

O conceito principal é padronizado, mas as implementações dos fabricantes diferem em termos de nomenclatura e configuração:

A camada de RADIUS em nuvem da Purple abstrai essas diferenças de fornecedores, apresentando uma interface de gerenciamento única, independentemente do hardware subjacente.

Guia de implementação

Passo 1: Segmentação de rede e endereçamento IP

Redes residenciais de alta densidade exigem um planejamento cuidadoso de sub-rede. Uma residência típica conecta de 15 a 25 dispositivos. Um edifício de 200 unidades pode hospedar de 3.000 a 5.000 dispositivos simultâneos no pico. Uma sub-rede /24 padrão fornece 254 endereços IP utilizáveis - insuficiente até mesmo para um único andar.

Use sub-redes /20 ou /21 para VLANs de clientes. Uma /20 fornece 4.094 endereços utilizáveis; uma /21 fornece 2.046. Atribua uma VLAN de gerenciamento dedicada para sua infraestrutura de rede, uma VLAN separada para sistemas de IoT prediais (controle de acesso, CFTV, HVAC) e VLANs de residentes individuais tratadas dinamicamente pelo servidor RADIUS.

Habilite o isolamento de clientes entre VLANs no nível do AP, mas garanta que a comunicação intra-VLAN seja permitida para que os dispositivos dentro da mesma bolha do residente possam se comunicar livremente.

Passo 2: Integração do RADIUS-as-a-Service

O RADIUS em nuvem da Purple elimina a necessidade de implantar e manter infraestrutura RADIUS local. Configure seus APs para apontar para os endpoints RADIUS da Purple (primário e secundário para redundância). A Purple opera com 99,999% de tempo de atividade, garantindo a disponibilidade da autenticação mesmo durante janelas de manutenção.

Para propriedades que usam o Microsoft Entra ID ou Okta como seu provedor de identidade, a Purple se integra via SCIM (System for Cross-domain Identity Management) para sincronizar os perfis dos residentes automaticamente. Isso significa que quando um residente é adicionado ou removido em seu provedor de identidade, seu iPSK é provisionado ou revogado sem intervenção manual.

Passo 3: Automatizando o ciclo de vida do inquilino

A eficiência operacional do iPSK depende da integração com o seu Sistema de Gerenciamento de Propriedade (PMS). O fluxo de trabalho deve ser:

Na assinatura do contrato: O PMS aciona uma chamada de API para a Purple. A Purple gera um iPSK exclusivo para a unidade, armazena-o no perfil do residente e envia a senha por e-mail para o residente. Sem necessidade de envolvimento manual de TI.

Na mudança: O residente conecta seus dispositivos usando a senha recebida por e-mail. Todos os dispositivos são colocados imediatamente em sua VLAN isolada. A experiência é idêntica à configuração de um roteador de banda larga residencial.

Durante a estadia: O residente usa o aplicativo Purple para adicionar novos dispositivos, verificar o status da conectividade e gerenciar sua rede. Dispositivos IoT sem tela (tomadas inteligentes, sensores) podem ser registrados por endereço MAC através do portal de autoatendimento.

Na desocupação: O PMS aciona uma chamada de API de revogação. A Purple invalida imediatamente o iPSK do residente. Nenhum outro residente é afetado. A VLAN da unidade é limpa e fica pronta para o próximo residente.

Passo 4: Planejamento de RF e posicionamento dos pontos de acesso

Substituir roteadores individuais por uma rede gerenciada reduz drasticamente o número de transmissores de rádio no edifício. Em um prédio de 200 unidades, remover 200 roteadores domésticos elimina uma fonte significativa de interferência de canal compartilhado. Implante APs corporativos em corredores ou em posições estrategicamente projetadas dentro das unidades, visando uma intensidade de sinal de -65 dBm ou superior no ponto mais distante de cada unidade.

Para edifícios com paredes grossas de concreto ou plantas complexas, utilize APs de montagem em parede implantados dentro das unidades, em vez de APs instalados nos corredores. Coordene com as ferramentas de planejamento de RF do seu fornecedor de AP (Cisco Meraki RF Planner, Aruba AirMatch, Ruckus SmartRF) para modelar a cobertura antes da instalação.

-

Melhores práticas

Gerenciamento de tráfego de broadcast

A alta densidade de dispositivos amplifica o tráfego de broadcast. Quadros mDNS, ARP e SSDP de milhares de dispositivos podem consumir um tempo de antena significativo. Ative a conversão Multicast-to-Unicast nos seus APs para converter quadros de broadcast em transmissões unicast direcionadas. Isso reduz o desperdício de tempo de antena e melhora a vida útil da bateria de dispositivos móveis.

Especificamente para mDNS, implante um gateway ou proxy mDNS (disponível nativamente em Cisco Meraki, Aruba e Ruckus) para lidar com a descoberta de serviços em VLANs onde for necessário, como para serviços de impressão em todo o edifício em áreas comuns.

Tipos de NAT para jogos e CGNAT

A exaustão de endereços IPv4 em implantações de grande porte exige o uso de Carrier-Grade NAT (CGNAT). No entanto, configurações rígidas de CGNAT interrompem o tráfego de jogos peer-to-peer, resultando em NAT Estrito ou Tipo 3 em consoles PlayStation e Xbox. Configure seu gateway para suportar UPnP (Universal Plug and Play) ou PCP (Port Control Protocol) para VLANs de residentes. Isso permite que os consoles negociem automaticamente mapeamentos de portas abertas sem a necessidade de regras de firewall manuais.

Segurança e conformidade com o GDPR

Os dados de WiFi dos residentes estão inseridos em um contexto sensível de privacidade. Os residentes possuem uma relação contínua com a operadora, e a exposição de dados se estende por anos em vez de minutos. As principais considerações de conformidade incluem:

Isolamento de residentes como requisito de privacidade: Sob o GDPR, as operadoras têm o dever de cuidado para evitar que um residente acesse os dados ou dispositivos de outro. O isolamento de VLAN do iPSK é o mecanismo técnico que atende a esse requisito.

Retenção de dados: Retenha os logs de conexão de WiFi identificáveis do residente apenas pelo tempo operacionalmente necessário. Seis meses é um limite comum para fins de segurança e conformidade.

Residência de dados: A Purple armazena dados em infraestrutura baseada na UE por padrão, com opções de residência de dados específica para o Reino Unido pós-Brexit. A Purple possui as certificações ISO 27001, GDPR e Cyber Essentials.

Consentimento: Os residentes devem aceitar uma política de uso aceitável clara no momento do onboarding. O portal de autoatendimento da Purple inclui fluxos de consentimento configuráveis.

-

Estudos de caso reais

Estudo de caso 1: Empreendimento BTR de 350 unidades

A incorporadora imobiliária que gerencia um complexo BTR de 350 unidades em uma grande cidade do Reino Unido enfrentava três problemas: 350 roteadores de consumo individuais gerando interferência severa de RF, uma espera média de 72 horas para a ativação da banda larga que atrasava as mudanças e uma equipe de suporte que gastava 40% do seu tempo com chamados relacionados a WiFi.

O operador implantou o Multi-Tenant WiFi da Purple em todo o edifício usando os APs Cisco Meraki existentes. A Purple se integrou ao PMS existente da propriedade via API. Após a assinatura do contrato, os residentes receberam seu iPSK exclusivo por e-mail. No dia da mudança, a conectividade foi instantânea. O ambiente de RF melhorou significativamente com a remoção de 350 roteadores de consumo, e as velocidades médias em todo o edifício aumentaram em 35%. Os chamados de suporte relacionados a WiFi caíram 60% nos primeiros três meses, devido ao portal de gerenciamento de dispositivos em autoatendimento e à eliminação de problemas de pareamento de dispositivos inteligentes.

Estudo de caso 2: Acomodação estudantil de 1.200 leitos

Um provedor de acomodação estudantil projetada para esse fim (PBSA) precisava integrar 1.200 estudantes em um único final de semana no início do ano letivo. O sistema anterior de PSK compartilhado exigia que a equipe distribuísse manualmente folhas com senhas e atendesse a centenas de chamadas de suporte de estudantes que não conseguiam conectar consoles de jogos e smart TVs.

Com o iPSK implantado via Purple em pontos de acesso HPE Aruba, cada estudante recebeu sua senha exclusiva com o pacote de boas-vindas antes da chegada. Os estudantes registraram seus dispositivos sem tela (consoles, smart TVs) via aplicativo Purple durante a semana anterior à mudança. No final de semana de chegada, a equipe de TI lidou com menos de 20 chamadas de suporte de conectividade entre os 1.200 estudantes - uma redução de 94% em relação ao ano anterior. A configuração do proxy mDNS resolveu todos os problemas de pareamento de Chromecast e AirPlay que anteriormente geravam o maior volume de chamados.

-

ROI e impacto nos negócios

Para operadores de BTR e MDU, o caso financeiro para WiFi iPSK gerenciado é claro. A pesquisa da British Property Federation e os próprios dados da Purple de mais de 80.000 locais ativos apoiam as seguintes referências:

O impacto no resultado operacional líquido (NOI) se acumula em três vetores: o prêmio direto de aluguel, a redução na perda de receita por período de vacância e a redução nos custos gerais de suporte de TI. Em um edifício de 200 unidades com um prêmio de £20 por unidade por mês, o aumento anual de receita é de £48.000. Eliminar 200 roteadores de consumo a um custo médio de substituição de £80 cada economiza £16.000 apenas em hardware ao longo de um ciclo de cinco anos, antes de contabilizar a economia de energia e o tempo de manutenção.O modelo de precificação da Purple é por unidade por mês, sem contrato de banda larga associado, o que significa que a operadora captura todo o valor da comodidade do WiFi em vez de compartilhá-lo com um provedor de internet terceirizado.

Leitura adicional

Para tópicos relacionados ao design de rede, consulte Três SSIDs para controlar todos eles: guest, Passpoint e IoT WiFi e o guia de referência iPSK: um guia completo para empresas . Para a plataforma subjacente, explore WiFi para Visitantes e WiFi Analytics . A Purple atende operadoras nos setores de Hotelaria , Varejo , Saúde e Transporte .