Qual é a diferença entre uma rede WiFi de convidados e sua rede principal?

ROTEIRO DE PODCAST: "Qual é a Diferença Entre uma Rede WiFi de Convidados e a Sua Rede Principal?" DURAÇÃO: ~10 minutos | VOZ: Inglês Britânico, Masculino, Tom de Consultor Sênior --- [INTRODUÇÃO - 1 MINUTO] Bem-vindos de volta. Vou direto ao ponto hoje, porque este é um daqueles tópicos que parecem enganosamente simples - mas que causam sérios problemas para as organizações quando não são tratados adequadamente. A questão é: qual é realmente a diferença entre uma rede WiFi de convidados e a sua rede corporativa principal, e por que essa distinção importa enormemente do ponto de vista de segurança, conformidade e operação? Não importa se você gerencia uma rede de hotéis, propriedades de varejo, um centro de convenções ou uma instalação do setor público, no momento em que você oferece WiFi para visitantes, você introduz um vetor de risco em sua infraestrutura. A forma como você gerencia essa separação - no nível de SSID, no nível de VLAN e através da sua arquitetura de autenticação - determinará se o seu WiFi de convidados é um ativo de negócios ou uma vulnerabilidade. Vamos começar. --- [ANÁLISE TÉCNICA DETALHADA - 5 MINUTOS] Vamos começar com o fundamental. Sua rede corporativa - o que chamaríamos de sua rede principal - é o ambiente onde residem os sistemas essenciais para os seus negócios. Isso inclui seus controladores de domínio, seus servidores de arquivos, seus terminais de PDV, sua infraestrutura de CFTV, seus sistemas de ERP, seus bancos de dados de RH. O acesso a esses recursos deve ser rigidamente controlado, autenticado via IEEE 802.1X com certificados ou credenciais, e restrito a dispositivos conhecidos e gerenciados. Sua rede sem fio de convidados, por outro lado, é um ambiente compartilhado, apenas de internet, para visitantes, clientes e prestadores de serviços que precisam de conectividade, mas não têm absolutamente nenhum motivo para acessar seus recursos internos. No momento em que um convidado se conecta, ele deve cair em um segmento de rede completamente isolado, sem visibilidade de - e sem rota para - nada do seu lado corporativo. Agora, é aqui que muitas organizações erram. Elas pensam que simplesmente ter um SSID separado - um nome de rede diferente - é isolamento suficiente. Não é. Um SSID é apenas uma etiqueta. Sem a marcação de VLAN adequada no switch e no ponto de acesso, o tráfego de ambos os SSIDs ainda pode atravessar o mesmo domínio de transmissão de Camada 2. Isso significa que um dispositivo no seu SSID "GuestWiFi" poderia, em teoria, ver o tráfego do seu SSID corporativo se a infraestrutura de switching subjacente não estiver configurada corretamente. A arquitetura correta é o mapeamento de SSID para VLAN. Seu SSID de convidados se mapeia para uma VLAN dedicada - digamos, VLAN 10 - que é interligada por meio de seus switches gerenciados e terminada em uma interface de firewall separada ou em uma zona de DMZ. Essa VLAN tem uma rota para a internet e nada mais. Seu SSID corporativo se mapeia para a VLAN 20, que roteia através do seu firewall principal com acesso total aos recursos internos. As duas VLANs nunca trocam tráfego, a menos que você tenha configurado explicitamente o roteamento inter-VLAN com as ACLs apropriadas - o que, para o tráfego de convidados, você não deve fazer. No lado do ponto de acesso, a maioria dos controladores sem fio de nível empresarial - quer você use Cisco Meraki, Aruba, Juniper Mist ou Ruckus - suporta múltiplos SSIDs por rádio com atribuição de VLAN por SSID. Essa é uma funcionalidade padrão. O que você precisa garantir é que seus pontos de acesso estejam conectados a portas trunk em seus switches, e não a portas de acesso, para que as tags de VLAN sejam preservadas por todo o caminho de volta até a sua camada de distribuição. Agora vamos falar sobre autenticação. Para a sua rede corporativa, o padrão-ouro é o IEEE 802.1X com um backend RADIUS - idealmente com EAP-TLS baseado em certificados em vez de métodos de usuário e senha. Isso garante que apenas dispositivos ingressados no domínio ou provisionados com certificados possam se autenticar. Se você estiver operando uma infraestrutura RADIUS, vale a pena analisar o RadSec - que é o RADIUS sobre TLS - que criptografa o tráfego de autenticação entre seus pontos de acesso e seu servidor RADIUS. Há um guia detalhado sobre isso em [RadSec: Securing RADIUS Authentication Traffic with TLS](/guides/radsec-radius-over-tls) se você quiser se aprofundar. Para a sua rede de convidados, o modelo de autenticação é fundamentalmente diferente. Você não está lidando com dispositivos gerenciados. Você está lidando com smartphones, tablets e laptops pessoais que pertencem a pessoas que você nunca viu. A abordagem padrão aqui é um Captive Portal - uma página de login baseada na web que intercepta a primeira requisição HTTP ou HTTPS do convidado e o redireciona para uma página de registro ou de termos de serviço. É aqui que plataformas como a solução de guest WiFi da Purple agregam valor significativo: em vez de apenas apresentar uma página de login básica, você captura dados primários - nome, e-mail, informações demográficas - com consentimento explícito em conformidade com o GDPR, que alimentam diretamente seus fluxos de trabalho de CRM e automação de marketing. No lado da criptografia, o WPA3 é agora o padrão recomendado para ambas as redes. Para a sua rede de convidados, o WPA3-SAE - Simultaneous Authentication of Equals - oferece forward secrecy, o que significa que mesmo se a chave pré-compartilhada for comprometida, o tráfego de sessões passadas não poderá ser descriptografado. Para a sua rede corporativa, o WPA3-Enterprise com modo de 192 bits oferece o mais alto nível de proteção para ambientes confidenciais. Mais um detalhe no lado técnico: isolamento de clientes. Na sua VLAN de convidados, você deve habilitar o isolamento de clientes sem fio - às vezes chamado de isolamento de AP - o que impede que os dispositivos dos convidados se comuniquem entre si no mesmo SSID. Sem isso, um dispositivo de convidado poderia tentar sondar ou atacar outros dispositivos de convidados na mesma rede. Isso é particularmente importante em ambientes de alta densidade, como saguões de hotéis, centros de conferências e lojas de varejo, onde centenas de dispositivos podem estar conectados simultaneamente. - [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS - 2 MINUTES] Certo, vamos falar sobre o que dá errado na prática. O erro mais comum que vejo são organizações implementando WiFi para convidados em hardware doméstico ou não gerenciado que não oferece suporte à marcação de VLAN adequada. Se seus pontos de acesso não puderem realizar o entroncamento de VLANs, você não conseguirá uma segmentação de rede adequada. Ponto final. Este é um requisito de infraestrutura inegociável. O segundo erro é a disputa de largura de banda. Sem políticas de QoS, um único convidado transmitindo vídeo em 4K pode saturar seu uplink e prejudicar o desempenho dos usuários corporativos. Você precisa de limitação de taxa na VLAN de convidados - normalmente um limite de download por cliente entre 5 e 20 megabits por segundo, dependendo da capacidade do seu uplink - e priorização de tráfego que garanta que o tráfego corporativo sempre tenha precedência. Terceiro: DNS e DHCP. Sua VLAN de convidados deve ter seu próprio escopo DHCP com uma faixa de IP separada - algo como 192.168.100.0/24 - e deve usar um resolvedor de DNS público como 8.8.8.8 ou 1.1.1.1, não seu servidor DNS interno. Se os convidados estiverem resolvendo o DNS por meio do seu servidor interno, você criou um vetor de vazamento de informações e, potencialmente, uma superfície de ataque de reoneração de DNS. Quarto, e isso é fundamental para os setores de hotelaria e varejo: conformidade com PCI-DSS. Se a infraestrutura de cartões de pagamento - seus terminais de POS, seus gateways de pagamento - compartilhar qualquer segmento de rede com o seu WiFi de convidados, você quase certamente estará violando os requisitos do PCI-DSS. O ambiente de dados do portador do cartão deve ser completamente isolado. Uma VLAN de convidados devidamente segmentada, sem roteamento entre VLANs para sua rede de POS, é um requisito fundamental para a conformidade com o PCI. Finalmente, registro e monitoramento. Sua rede de convidados deve ter seu próprio fluxo NetFlow ou syslog enviado para o seu SIEM. Você precisa ser capaz de demonstrar, para fins de GDPR e interceptação legal, quem estava conectado, quando e qual tráfego gerou. A plataforma de análise do Purple captura eventos de conexão, tempo de permanência e dados de frequência de visitas que alimentam diretamente essa trilha de auditoria. - [PERGUNTAS E RESPOSTAS RÁPIDAS - 1 MINUTO] Perguntas rápidas que recebo regularmente: "Posso usar os mesmos pontos de acesso físicos para ambas as redes?" - Sim, com certeza. Esse é todo o propósito do multi-SSID com marcação de VLAN. Um AP, múltiplas redes lógicas. "Preciso de conexões de internet separadas para convidados e corporativo?" - Não, mas você precisa de políticas de firewall separadas e, idealmente, de interfaces ou subinterfaces WAN separadas para aplicar QoS e modelagem de tráfego de forma independente. "E quanto aos dispositivos IoT - para onde eles vão?" - Eles ganham sua própria VLAN, separada tanto da rede de convidados quanto da corporativa. A IoT é um terceiro segmento de rede, não um subconjunto de nenhuma das duas. "O WPA2 ainda é aceitável para redes de convidados?" - É funcional, mas o WPA3 é fortemente preferido. O WPA2 com TKIP está obsoleto. Se você ainda estiver executando TKIP em qualquer lugar, corrija isso hoje. - [RESUMO E PRÓXIMOS PASSOS - 1 MINUTO] Para resumir: a diferença entre uma rede guest WiFi e a sua rede principal não é apenas uma questão de uma senha diferente ou de um nome de SSID diferente. É uma separação arquitetônica fundamental implementada no nível de VLAN, aplicada pela sua infraestrutura de switching e firewall, com modelos de autenticação, políticas de QoS e requisitos de monitoramento distintos para cada uma. Faça isso da forma certa e você terá uma implantação de guest WiFi que é segura, em conformidade e - com a plataforma certa por cima - um verdadeiro ativo de dados primários para suas equipes de marketing e operações. Faça isso da forma errada e você terá um risco de movimentação lateral sentado em sua recepção, transmitindo em 2.4 e 5 gigahertz. Se você quiser se aprofundar no lado da autenticação, confira o guia RadSec. E se você estiver avaliando plataformas de guest WiFi, a solução da Purple em purple.ai cobre todo o ecossistema - desde o Captive Portal e a captura de dados em conformidade com a GDPR até WiFi analytics e inteligência de locais de atendimento. Obrigado por ouvir. Nos vemos no próximo. - - - FIM DO SCRIPT