Nama ff iPSK: um guia completo para empresas

Resumo executivo

A segurança tradicional de WiFi força uma escolha entre duas opções inadequadas. O WPA2-Personal padrão é simples, mas não oferece responsabilidade individual - uma senha vazada compromete toda a rede. O WPA2/3-Enterprise (IEEE 802.1X) oferece controle por usuário, mas quebra a conectividade de consoles de videogame, smart TVs e dispositivos IoT que não conseguem processar certificados digitais.

O Identity Pre-Shared Key (iPSK) resolve essa tensão. Ele atribui uma senha exclusiva a cada usuário ou dispositivo individual em um único SSID, permitindo a atribuição dinâmica de VLAN e isolamento de Camada 2 por meio de um servidor RADIUS central. Para operadores de Build-to-Rent (BTR), incorporadoras imobiliárias e proprietários, o iPSK é o padrão definitivo para conectividade multi-inquilino. Ele suporta 100% dos dispositivos dos residentes, cria uma Rede de Área Privada (PAN) para cada unidade e escala por meio de gerenciamento automatizado de ciclo de vida integrado com provedores de identidade como Microsoft Entra ID, Okta ou Google Workspace. A Purple automatiza todo esse fluxo de trabalho em mais de 80.000 locais ativos, integrando-se com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet.

Mergulho técnico profundo

O funcionamento do Identity PSK

O iPSK modifica o handshake EAPOL padrão de quatro vias do WPA2. Quando um dispositivo cliente se associa a um ponto de acesso usando uma chave pré-compartilhada específica, o ponto de acesso não concede o acesso imediatamente. Em vez disso, ele envia uma mensagem RADIUS-REQUEST para o servidor de autenticação central. Essa solicitação contém atributos específicos do fornecedor - para Cisco Meraki, estes são os atributos Meraki-IPSK, incluindo Meraki-IPSK-Anonce e Meraki-IPSK-EAPOL. O servidor RADIUS executa uma verificação de dicionário em seu banco de dados de iPSKs configurados. Se uma correspondência for encontrada, ele responde com uma mensagem ACCESS-ACCEPT contendo o atributo Tunnel-Password e, crucialmente, uma atribuição dinâmica de VLAN via Tunnel-Private-Group-Id.

Essa arquitetura não requer infraestrutura de certificados. O dispositivo cliente vê uma rede WPA2-Personal padrão e se conecta com uma senha. A complexidade é tratada inteiramente entre o ponto de acesso e o servidor RADIUS.

Isolamento de Camada 2 e Redes de Área Privada

Em um ambiente multi-inquilino, um único SSID em centenas de apartamentos é eficiente para o planejamento de RF, mas cria sérios riscos de segurança sem a segmentação adequada. O iPSK permite a criação de uma Rede de Área Privada (PAN) para cada residente. Quando um morador se autentica com seu iPSK exclusivo, o servidor RADIUS atribui seus dispositivos a uma VLAN específica. A infraestrutura de rede impõe o isolamento de Camada 2 entre essas VLANs. O iPhone do Morador A pode ver sua própria impressora ou Chromecast, mas o Morador B no apartamento ao lado não consegue descobrir ou interagir com esses dispositivos. Essa micro-segmentação é fundamental para a conformidade com a GDPR e para manter a confiança dos moradores.

Como cada morador tem sua própria VLAN isolada, você pode ativar a reflexão mDNS dentro daquela VLAN específica. O mDNS é o protocolo que permite AirPlay, transmissão de Chromecast e impressão sem fio. Ativar a reflexão mDNS dentro da VLAN privada de cada morador permite que seus próprios dispositivos se comuniquem entre si, enquanto permanecem completamente isolados de todos os outros moradores. O resultado é uma experiência semelhante à de uma residência em uma infraestrutura compartilhada.

Implementações de fabricantes de hardware

Fabricantes de hardware corporativo usam terminologias diferentes para PSK por dispositivo, mas a mecânica RADIUS subjacente é consistente. A tabela abaixo mapeia os nomes dos fabricantes para a implementação canônica:

A Purple é agnóstica em relação ao hardware e se integra a todas essas plataformas como uma sobreposição de nuvem, fornecendo uma camada de gerenciamento unificada, independentemente de qual hardware você tenha implantado.

Considerações sobre WPA3 e a banda de 6 GHz

O iPSK opera atualmente em WPA2. O WPA3 usa Autenticação Simultânea de Iguais (SAE), que não é compatível com a abordagem padrão de verificação de dicionário do iPSK. Se você estiver implantando pontos de acesso WiFi 6E ou WiFi 7 que operam na banda de 6 GHz - que exige WPA3 - você precisa de uma estratégia separada para esses clientes. A abordagem prática é manter o WPA2 iPSK nas bandas de 2.4 GHz e 5 GHz para ampla compatibilidade de dispositivos, enquanto usa WPA3-Enterprise para dispositivos compatíveis com 6 GHz. Consulte o nosso guia relacionado Uu PPSK: comparing features and deployment models para uma comparação mais detalhada das implementações de PSK por dispositivo e planejamento de transição para WPA3.

Guia de implantação

Passo 1: Configuração do servidor RADIUS

A base de uma implantação de iPSK é uma infraestrutura RADIUS robusta. O servidor deve suportar os atributos específicos do fabricante exigidos pelos seus pontos de acesso. Para Cisco Meraki, configure o dicionário de atributos Meraki-IPSK. Para HPE Aruba, configure o atributo Aruba-MPSK-Passphrase. O servidor RADIUS deve ser altamente disponível - uma interrupção do RADIUS impedirá novas autenticações de clientes. Use um serviço RADIUS hospedado na nuvem com instâncias redundantes em vez de um único servidor local.

Passo 2: Provisionamento de SSID e VLAN

Configure um único SSID em toda a propriedade. Ative o iPSK com autenticação RADIUS na controladora sem fio ou no painel de gerenciamento na nuvem. Defina o pool de VLAN para atribuição dinâmica - por exemplo, VLAN 100 a VLAN 600 para um empreendimento de 500 unidades. Certifique-se de que os switches de rede principais estejam configurados para realizar o trunking de todas essas VLANs para os pontos de acesso, e que o roteamento inter-VLAN seja estritamente controlado pela política de firewall para manter o isolamento.

Para o padrão de design de três SSIDs - Resident WiFi, Staff WiFi e IoT WiFi - consulte nosso artigo relacionado Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi .

Passo 3: Integração do provedor de identidade

O gerenciamento manual de chaves não é escalável além de algumas unidades. Integre sua plataforma de gerenciamento de rede com um Provedor de Identidade (IdP). O Purple se integra com Microsoft Entra ID, Okta e Google Workspace. Quando um novo morador assina um contrato e é adicionado ao seu sistema de gestão de propriedades, a integração gera automaticamente um iPSK exclusivo, atribui uma VLAN e envia as credenciais por e-mail para o morador antes da data de mudança. Quando o contrato termina e o morador é removido do sistema, o Purple revoga a chave automaticamente.

Passo 4: Configuração de Change of Authorization (CoA)

A revogação da chave no banco de dados RADIUS não desconecta imediatamente um dispositivo já associado. A autenticação RADIUS ocorre apenas durante o handshake de conexão inicial. Para forçar a desconexão imediata no término do contrato, configure sua plataforma de gerenciamento para enviar uma mensagem de Change of Authorization (CoA) diretamente para a controladora sem fio. Isso instrui a controladora a derrubar a sessão do cliente imediatamente. Verifique se o CoA está funcionando de ponta a ponta em seu ambiente de teste antes do go-live.

Passo 5: Integração de dispositivos e experiência do morador

Os moradores conectam seus smartphones, laptops e smart TVs usando seu iPSK exclusivo. A rede os coloca automaticamente em sua Rede de Área Privada. Para dispositivos sem interface gráfica - consoles de videogame, termostatos inteligentes, impressoras sem fio - o morador insere o iPSK durante o processo padrão de configuração de WiFi no dispositivo. Sem Captive Portal, sem certificado, sem chamados de suporte técnico.

Para implantações em hospitalidade , o iPSK elimina a reclamação mais comum dos hóspedes: o login recorrente no Captive Portal. Para ambientes de varejo , ele permite a segmentação segura de dispositivos da equipe na mesma infraestrutura física que o Guest WiFi . Para ambientes de saúde , ele isola dispositivos IoT médicos confidenciais em uma VLAN dedicada, ao mesmo tempo em que oferece conectividade simples para pacientes e visitantes.

Melhores práticas

Automatize o gerenciamento do ciclo de vida. Nunca gerencie chaves manualmente. Use uma camada de orquestração como o Purple para automatizar a criação e a revogação de chaves com base em datas de locação ou status de contratação. O gerenciamento manual falha em escala e cria brechas de segurança quando os residentes saem.

Imponha um isolamento estrito de Camada 2. Fornecer chaves exclusivas é apenas metade da solução. Verifique se o isolamento de Camada 2 está funcionando corretamente usando ferramentas de varredura de rede para confirmar que os dispositivos em VLANs diferentes não conseguem se descobrir via mDNS ou tráfego de broadcast. Esta é a etapa mais comumente ignorada nas implantações iniciais.

Planeje para a randomização de endereços MAC. Os smartphones modernos randomizam seu endereço MAC para proteger a privacidade do usuário. Se a sua implantação de iPSK depender estritamente de MAC Address Bypass (MAB), a randomização interromperá a autenticação. Certifique-se de que sua infraestrutura use a verificação de iPSK baseada em EAPOL, que não exige o pré-registro de endereços MAC.

Monitore o desempenho do RADIUS. O iPSK impõe uma carga mais pesada ao servidor RADIUS do que o 802.1X padrão devido às verificações de dicionário necessárias durante o handshake EAPOL. Monitore a latência de autenticação e dimensione a infraestrutura RADIUS de acordo. Em implantações com dezenas de milhares de chaves, certifique-se de que o banco de dados RADIUS esteja indexado corretamente.

Referência IEEE 802.1X e PCI-DSS. Para propriedades que incluem varejo ou espaços de coworking, a segmentação de rede fornecida pelo iPSK apoia a conformidade com o PCI-DSS, isolando os ambientes de cartões de pagamento do tráfego geral dos residentes. Documente sua segmentação de VLAN e controles de acesso RADIUS como parte de sua trilha de auditoria PCI-DSS.

Solução de problemas e mitigação de riscos

Timeouts de autenticação

Se o servidor RADIUS demorar muito para processar os parâmetros EAPOL e encontrar um iPSK correspondente, o dispositivo cliente sofrerá timeout e não conseguirá se conectar. Isso é comum em implantações com dezenas de milhares de chaves. Mitigue isso garantindo que o banco de dados RADIUS esteja indexado no campo PSK e usando um serviço de cloud RADIUS de alto desempenho. A documentação do Cisco Meraki observa que um timeout do handshake EAPOL após a mensagem dois é um comportamento esperado durante a busca inicial - o AP reinicia o handshake assim que o servidor RADIUS retorna o PMK.

Falhas de atribuição de VLAN

Se um cliente se conectar, mas não receber um endereço IP, o servidor RADIUS pode estar falhando em passar os atributos de VLAN corretos, ou o switch de rede pode não ter a VLAN atribuída configurada. Verifique o atributo Tunnel-Private-Group-Id na mensagem ACCESS-ACCEPT do RADIUS usando uma captura de pacotes, e verifique se a porta do switch está fazendo o trunking da VLAN atribuída para o ponto de acesso.

A randomização de MAC quebrando o iPSK baseado em MAB

Se os residentes relatarem falhas de conexão intermitentes, particularmente após atualizações do iOS ou Android, a randomização de MAC é a causa mais provável. Migre para a verificação de iPSK baseada em EAPOL (Cisco Easy PSK a partir do MR 32.1.3+) que não requer endereços MAC pré-registrados.

Dispositivos se conectando, mas não alcançando a VLAN correta

Em implantações Cisco Meraki, a substituição de VLAN via RADIUS exige que o SSID seja configurado no modo Bridge com a marcação de VLAN habilitada e a substituição de RADIUS definida como "Override VLAN tag". Verifique esta configuração se os clientes estiverem caindo na VLAN padrão do SSID em vez da VLAN atribuída.

ROI e impacto nos negócios

O iPSK entrega valor de negócios mensurável para incorporadores imobiliários e proprietários em três dimensões.

Redução de custos de hardware. Eliminar roteadores individuais de nível de consumo de cada apartamento remove uma despesa de capital e operacional significativa. Um empreendimento de 250 unidades implantando um roteador de consumo por unidade a £80 cada representa £20.000 apenas em hardware, além dos custos contínuos de substituição e suporte. A infraestrutura compartilhada com iPSK elimina isso completamente.

Melhoria do ambiente de RF. Cada roteador de consumo transmite seu próprio SSID, criando redes WiFi concorrentes que degradam a qualidade do sinal para todos os residentes. Remover roteadores individuais e substituí-los por uma implantação de pontos de acesso planejada profissionalmente reduz a interferência e melhora a taxa de transferência para cada residente.

Satisfação e retenção de residentes. Os residentes recebem seu iPSK exclusivo antes da mudança, fornecendo WiFi instantâneo desde o primeiro dia. Isso remove a reclamação de conectividade mais comum em empreendimentos BTR. O WiFi gerenciado com um nível de serviço claro é cada vez mais um diferencial no mercado de BTR, onde os residentes comparam as comodidades diretamente.

Eficiência operacional. O provisionamento e a revogação automatizados de credenciais eliminam os chamados de suporte relacionados a redefinições de senha, configuração de mudança de entrada e procedimentos de mudança de saída. A plataforma de WiFi Analytics da Purple fornece dados de uso e monitoramento da saúde da rede, dando aos gerentes de propriedade visibilidade sobre sua infraestrutura sem exigir equipe de TI dedicada no local.

Para operadores de transporte e do setor público que gerenciam ambientes multi-tenant, a mesma arquitetura se aplica. O SLA de 99,999% de tempo de atividade da Purple, a certificação ISO 27001 e a conformidade com o GDPR a tornam uma escolha confiável para ambientes regulamentados onde a disponibilidade da rede e a proteção de dados são inegociáveis.