O Guia Corporativo para Configuração de WiFi para Visitantes: Segurança, Segmentação e Velocidade

Fale em inglês britânico com um tom confiante, autoritário e de conversação - como um consultor sênior de redes instruindo um CTO antes de uma reunião de diretoria. Ritmo moderado, dicção clara, humor sutil e ocasional. Profissional, mas não rígido: Bem-vindo ao Purple Technical Brief. Eu sou o seu anfitrião, e hoje estamos cobrindo algo que fica bem na interseção entre a dor de cabeça de TI e uma oportunidade real de negócios: configurar o WiFi para convidados corretamente. Não a versão "conecte um roteador e torça pelo melhor". A versão corporativa. Aquela que mantém seus auditores felizes, seus convidados conectados e sua rede corporativa intacta. [curta pausa] Vamos começar com o contexto. O WiFi para convidados não é mais apenas um diferencial. É infraestrutura. A plataforma da Purple roda em mais de 80.000 locais ativos - de hotéis Premier Inn ao Manchester Airports Group, de Harrods ao McDonald's. E qual é a única coisa que cada uma dessas implantações tem em comum? No momento em que o WiFi para convidados cai, ou é violado, ou falha em uma auditoria de conformidade, ele se torna a falha de TI mais visível do edifício. Então vamos garantir que a sua não seja. [curta pausa] Seção um: a arquitetura. O que estamos realmente construindo? Uma implantação de WiFi para convidados projetada adequadamente tem três zonas de rede distintas, às vezes quatro. A zona um é a sua rede de convidados - apenas acesso à internet, completamente isolada de sua infraestrutura corporativa. A zona dois é a sua rede de funcionários - autenticada, criptografada, com acesso a recursos internos. A zona três é a sua rede IoT - sistemas de gestão predial, impressoras, sensores, todos isolados de convidados e funcionários. E se você estiver no varejo ou na hotelaria, a zona quatro é a sua LAN corporativa, que contém seus sistemas de ponto de venda e qualquer coisa que toque em dados de titulares de cartões. A palavra crítica aqui é isolada. Não separada por uma senha. Não em um SSID diferente que por acaso compartilha a mesma sub-rede. Genuinamente isolada, na camada de rede, usando VLANs - Redes Locais Virtuais - com regras de firewall stateful entre cada zona. [curta pausa] Por que isso importa tanto? Duas palavras: PCI-DSS. PCI-DSS - o Padrão de Segurança de Dados do Setor de Cartões de Pagamento - exige que qualquer rede que transporte dados de titulares de cartões seja completamente segregada de qualquer rede que os convidados possam acessar. Se o seu WiFi para convidados e seus terminais de ponto de venda compartilharem o mesmo segmento de rede, todo o seu patrimônio entra no escopo do PCI. Isso significa varreduras externas trimestrais de vulnerabilidade, testes anuais de penetração e uma carga de conformidade que custa muito mais do que a configuração de VLAN que você ignorou. A correção é simples. VLAN 10 para convidados. VLAN 20 para funcionários. VLAN 30 para IoT. VLAN 1 para sua LAN corporativa. Regras de firewall que negam explicitamente qualquer tráfego da VLAN 10 para as VLANs 20 e 1. Pronto. Seu escopo PCI encolhe drasticamente. [curta pausa] Agora vamos falar sobre criptografia. O padrão que você deve implantar hoje é o WPA3 - o padrão Wi-Fi Protected Access 3, ratificado pela Wi-Fi Alliance. O WPA3 substitui o WPA2 e aborda duas vulnerabilidades críticas: ele elimina o vetor de ataque KRACK e introduz a Simultaneous Authentication of Equals - SAE - que evita ataques de dicionário offline contra handshakes capturados. Para redes de convidados especificamente, vale a pena entender o WPA3 no modo Enhanced Open, também chamado de OWE - Opportunistic Wireless Encryption. O OWE criptografa o tráfego entre cada dispositivo e o ponto de acesso sem exigir uma senha. Os convidados se conectam perfeitamente, mas seu tráfego é criptografado em trânsito. Chega de farejamento passivo em redes abertas. Para a rede de funcionários, você deseja o WPA3 Enterprise com autenticação 802.1X. O 802.1X é o padrão IEEE para controle de acesso à rede baseado em porta. Ele usa um servidor RADIUS - Remote Authentication Dial-In User Service - para autenticar cada dispositivo individualmente antes de conceder acesso à rede. O dispositivo apresenta credenciais, o servidor RADIUS as valida em seu provedor de identidade - Microsoft Entra ID, Okta ou Google Workspace são as escolhas canônicas - e só então o ponto de acesso abre a porta. [short pause] Isso nos leva aos métodos de autenticação. Dentro do 802.1X, você tem diversas variantes de EAP - Extensible Authentication Protocol. O EAP-TLS usa autenticação mútua baseada em certificado. Tanto o servidor quanto o cliente apresentam certificados. É a opção mais segura e a recomendada para qualquer ambiente onde você esteja implantando dispositivos gerenciados. O EAP-TTLS e o PEAP - Protected EAP - usam um certificado do lado do servidor com credenciais de nome de usuário e senha do cliente. Eles são mais fáceis de implantar, mas um pouco menos seguros. Para redes de convidados, você não usa 802.1X. Você usa um Captive Portal - uma página web que intercepta a sessão do navegador do convidado e exige que ele se autentique antes de conceder acesso à internet. O Captive Portal é onde o GDPR entra. [short pause] O GDPR - o General Data Protection Regulation - exige que quaisquer dados pessoais que você colete no Captive Portal tenham uma base legal. Para WiFi de convidados, essa base é quase sempre o consentimento. E o consentimento sob o GDPR deve ser dado livremente, de forma específica, informada e inequívoca. Caixas pré-marcadas não contam. Vincular o consentimento de marketing ao acesso à rede não conta. O que conta é o que a Purple chama de opt-ins de escolha consciente. O convidado vê uma escolha clara e honesta: conectar-se ao WiFi e, opcionalmente, marcar esta caixa se desejar receber comunicações de marketing. O acesso à rede e o consentimento de marketing são decisões separadas. Isso está em conformidade com o GDPR. Isso também é, aliás, o motivo pelo qual os dados coletados são de maior qualidade - porque as pessoas que optaram por participar realmente queriam. Purple possui certificações ISO 27001, GDPR, CCPA e Cyber Essentials. Isso significa que, quando você implementa Purple como sua camada de Captive Portal, a estrutura de conformidade já está integrada. Você não está começando do zero. [short pause] Seção dois: o aprofundamento técnico. Vamos falar especificamente sobre hardware e implantação. Purple é agnóstico em relação a hardware. Ele é implantado como uma sobreposição em nuvem em seus pontos de acesso existentes. A lista canônica de hardware cobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Se você estiver executando qualquer um deles, basta configurar seu SSID de convidados para apontar para o endpoint do RADIUS ou do Captive Portal do Purple, e a plataforma cuida da autenticação, captura de dados e analytics a partir daí. A sequência de implantação para um hotel ou centro de conferências típico funciona da seguinte forma. Primeiro, você configura suas VLANs no switch principal. Segundo, você cria seus SSIDs na controladora sem fio - um para convidados, um para a equipe, um para IoT. Terceiro, você mapeia cada SSID para sua respectiva VLAN. Quarto, você configura suas regras de firewall para impor o isolamento de zonas. Quinto, você aponta seu SSID de convidados para o Captive Portal do Purple. Sexto, você configura seu SSID de equipe para autenticar em seu servidor RADIUS, que por sua vez consulta seu provedor de identidade. Esse é o esqueleto. Os detalhes dão vida ao projeto. [short pause] Sobre gerenciamento de largura de banda: as redes de convidados precisam de políticas de QoS - Quality of Service - para evitar que um único dispositivo sature seu uplink. Um ponto de partida sensato é 10 megabits por segundo de download e 5 megabits por segundo de upload por dispositivo, com um limite rígido no nível do SSID. Para locais com implantações de alta densidade - estádios, centros de conferência - você vai querer considerar o direcionamento de banda (band steering) para forçar dispositivos compatíveis a usar a banda de 5 gigahertz, e potencialmente 6 gigahertz se seus pontos de acesso suportarem WiFi 6E. Sobre DNS: sua VLAN de convidados deve usar um resolvedor de DNS que filtre domínios maliciosos. Isso não é opcional se você estiver na área de saúde ou educação - é uma proteção contra o uso de sua rede para acessar conteúdo nocivo. O add-on Purple Shield oferece isso no nível da plataforma. [short pause] Seção três: armadilhas de implementação e como evitá-las. Armadilha um: redes planas. Ainda vejo isso em ambientes de varejo. Um SSID, uma sub-rede, convidados e terminais de ponto de venda no mesmo domínio de broadcast. Isso viola o requisito 1.3 do PCI-DSS, que exige a segmentação de rede entre redes não confiáveis e o ambiente de dados de portadores de cartão. Corrija isso com VLANs antes da próxima visita do QSA. Armadilha dois: certificados autoassinados em Captive Portals. Quando um convidado se conecta à sua rede e o navegador exibe um aviso de certificado, ele clica para continuar - o que o treina a ignorar avisos de segurança - ou ele vai embora. Use um certificado TLS válido de uma autoridade certificadora reconhecida em seu Captive Portal. Let's Encrypt é gratuito. Não há desculpa. Armadilha três: sem expiração de sessão. As sessões de convidados devem expirar. Um limite de sessão de 24 horas é razoável para hotelaria. Um limite de 4 horas é apropriado para varejo. Sem um limite de sessão, um dispositivo conectado há seis meses ainda tem uma sessão ativa - e potencialmente ainda aparece em seus relatórios analíticos como um "visitante". Armadilha quatro: falta de logs de acesso. O GDPR e a maioria das regulamentações nacionais de telecomunicações exigem que você retenha logs de conexão - endereço IP, endereço MAC, registro de data/hora, duração da sessão - por um período definido. A Purple retém esses dados automaticamente e os exporta em formatos compatíveis com solicitações de autoridades policiais. Se você estiver executando um portal cativo do tipo faça você mesmo, certifique-se de que seu registro de logs esteja configurado e que sua política de retenção esteja documentada. [pausa curta] Seção quatro: perguntas rápidas. Preciso de um SSID separado para dispositivos IoT? Sim. Dispositivos IoT são o vetor mais comum para ataques de movimentação lateral. Isole-os. Posso usar um único ponto de acesso para convidados e funcionários? Sim, se ele suportar múltiplos SSIDs mapeados para diferentes VLANs. A maioria dos pontos de acesso corporativos suporta. Apenas certifique-se de que a porta de tronco no switch esteja configurada corretamente. O WPA3 quebra dispositivos mais antigos? Alguns dispositivos mais antigos não suportam WPA3. Configure seu SSID no modo de transição WPA2/WPA3 para manter a compatibilidade com versões anteriores, oferecendo WPA3 aos dispositivos compatíveis. Qual é a diferença entre Passpoint e um portal cativo? O Passpoint - também conhecido como Hotspot 2.0 - permite que os dispositivos se conectem automaticamente usando uma credencial pré-provisionada, sem interação com um portal cativo. É ideal para visitantes frequentes ou membros de programas de fidelidade. A Purple suporta Passpoint e OpenRoaming, que estende a conexão automática por meio de uma rede federada de locais participantes. [pausa curta] Seção cinco: resumo e próximos passos. Aqui está o que você deve levar deste briefing. Um: segmente sua rede. Convidados, funcionários, IoT e LAN corporativa em VLANs separadas com regras de firewall explícitas entre elas. Esta é a ação individual mais impactante que você pode realizar para segurança e conformidade. Dois: implemente WPA3 onde seu hardware for compatível. WPA3 Enterprise para funcionários. WPA3 Enhanced Open ou um portal cativo para convidados. Tres: torne seu portal cativo em conformidade com o GDPR. Separe o acesso à rede do consentimento de marketing. Use opt-ins de escolha consciente. Retenha os logs de conexão. Quatro: use uma camada de nuvem agnóstica de hardware como a Purple. Ela oferece uma experiência de convidado consistente em todo o seu patrimônio, independentemente do fornecedor do ponto de acesso que você esteja usando. E transforma o seu WiFi de convidados de um centro de custo em uma fonte de dados proprietários. Cinco: meça isso. A plataforma de analytics da Purple fornece dados de fluxo de pessoas, tempo de permanência, taxas de retorno e insights demográficos - tudo derivado de dados de conexão WiFi. Esse é o tipo de inteligência que justifica o investimento em infraestrutura para uma diretoria que não se importa com VLANs, mas se importa com receita. [pausa curta] Se quiser se aprofundar em qualquer um desses tópicos, o guia escrito completo está disponível no site da Purple. Ele aborda a configuração de VLAN, a configuração de RADIUS, o mapeamento de dados do GDPR e exemplos práticos de implantações em hospitalidade, varejo e estádios. Obrigado por ouvir o Purple Technical Brief. Nos vemos no próximo.