Integração do SonicWall TZ e SonicWave com o Purple WiFi

INTEGRAÇÃO DO SONICWALL TZ E SONICWAVE COM O PURPLE WIFI Purple WiFi Intelligence Platform - Série de Briefings Técnicos Duração: Aproximadamente 10 minutes Voz: Inglês do Reino Unido, tom de consultor sênior - confiante, conversacional, autoritativo --- SEGMENTO 1: INTRODUÇÃO E CONTEXTO (aproximadamente 1 minuto) Boas-vindas à Série de Briefings Técnicos da Purple. Hoje abordaremos uma das integrações tecnicamente mais complexas no espaço de WiFi corporativo: firewalls SonicWall TZ e pontos de acesso SonicWave, implantados juntamente com a Purple para autenticação de visitantes, controle de acesso de funcionários e isolamento de rede multi-tenant. Se você é um engenheiro de segurança de TI ou um MSP gerenciando locais — hotéis, redes de varejo, centros de conferências ou empreendimentos de uso misto — este briefing é para você. Vamos passar rapidamente pela arquitetura, pelas etapas de configuração e pelos pontos onde as implantações costumam falhar. A SonicWall é uma excelente escolha no mercado de PMEs e empresas de médio porte. Os firewalls da série TZ são amplamente implantados, e os APs SonicWave integram-se nativamente por meio do SonicOS e do Wireless Network Manager. Ao adicionar a Purple, você obtém uma camada de WiFi para visitantes gerenciada na nuvem com splash pages personalizadas, autenticação baseada em RADIUS e captura de dados primários — tudo sem substituir sua infraestrutura SonicWall existente. Vamos entrar na arquitetura. --- SEGMENTO 2: MERGULHO TÉCNICO PROFUNDO (aproximadamente 5 minutos) Há quatro casos de uso distintos para cobrir aqui, e cada um tem um caminho de configuração diferente. WiFi para visitantes com redirecionamento de Captive Portal. Exceções de Walled Garden. WiFi seguro para funcionários usando 802.1X. E isolamento multi-tenant usando chaves pré-compartilhadas privadas (PPSK) da SonicWall com direcionamento de VLAN dinâmico. Vamos começar com o WiFi para visitantes e o Captive Portal da SonicWall. O SonicOS usa um mecanismo chamado Lightweight Hotspot Messaging (LHM) para lidar com redirecionamentos externos de Captive Portal. Quando um visitante se conecta ao seu SSID de visitantes e abre um navegador, o SonicWall intercepta essa solicitação HTTP e a redireciona para a URL da splash page da Purple. O visitante se autentica na plataforma da Purple — via login social, e-mail ou clique — e a Purple envia uma autorização LHM de volta ao SonicWall na porta TCP 4043. O SonicWall então libera o acesso à internet para o endereço MAC desse dispositivo. A configuração no SonicOS 7.x funciona da seguinte maneira. Primeiro, navegue até Object, depois Match Objects e Zones. Edite a zona atribuída ao seu WiFi de visitantes — normalmente uma WLAN ou zona personalizada. Em Guest Services, ative tanto "Enable Guest Services" e "External Guest Authentication". Em seguida, vá para Configure, Guest Services, General. Defina o Client Redirect Protocol como HTTP. Insira o hostname do portal da Purple como endereço do servidor web — que é portal.purple.ai. Defina o caminho de redirecionamento para a URL da splash page específica do seu local, que a Purple fornece no painel do cliente. A porta é 4043. Na guia Auth Pages, configure a URL de login para a URL do portal externo da Purple. Configure a URL de logout se desejar gerenciar o encerramento da sessão. Na guia Advanced, ative "Allow unauthenticated users to access HTTPS sites" apenas se precisar oferecer suporte a dispositivos que priorizam HTTPS - mas esteja ciente de que isso enfraquece a imposição do redirecionamento. Depois de salvo, o SonicOS cria automaticamente uma política de NAT e uma regra de acesso WAN-para-WAN permitindo TCP 4043. Não exclua essas regras geradas automaticamente. Elas são o que permite a conclusão do handshake do LHM. Agora, a configuração do Walled Garden. Antes que um visitante se autentique, o dispositivo dele precisa alcançar determinados domínios para que a splash page funcione. A plataforma da Purple depende de seus próprios endpoints de CDN e API. As investigações de detecção de Captive Portal do sistema operacional - captive.apple.com para dispositivos iOS, connectivitycheck.gstatic.com para Android e msftconnecttest.com para Windows - devem todas ser incluídas na lista de permissões. Se você estiver oferecendo login social, adicione accounts.google.com, oauth2.googleapis.com, apis.google.com e gstatic.com para o Google. Adicione www.facebook.com, graph.facebook.com, connect.facebook.net e o domínio de CDN fbcdn.net se estiver oferecendo login pelo Facebook. No SonicOS, adicione-os como objetos de endereço FQDN em Object, Match Objects, Addresses. Em seguida, crie regras de acesso na zona de convidados que permitam que dispositivos não autenticados alcancem esses FQDNs. Use a resolução de DNS dinâmico - o SonicOS resolve objetos FQDN em intervalos regulares - em vez de entradas de IP estático, que sofrerão desvios à medida que os intervalos de IP da CDN mudarem. Passando para o Secure Staff WiFi com 802.1X. É aqui que os APs SonicWave e o servidor RADIUS da Purple trabalham juntos. O AP SonicWave atua como o autenticador na troca 802.1X. O solicitante é o dispositivo da equipe. O servidor RADIUS da Purple é o servidor de autenticação. O método EAP que você escolher depende do seu provedor de identidade. Se você estiver usando o Microsoft Entra ID ou o Okta, o PEAP-MSCHAPv2 é a escolha mais comum porque funciona com credenciais de nome de usuário e senha. Se você implantou certificados de dispositivo - que é a abordagem recomendada para dispositivos gerenciados - use o EAP-TLS. No Wireless Network Manager, navegue até Policies, Policy Hierarchy, selecione sua política de AP e clique na guia 802.1X. Insira o endereço IP do servidor RADIUS da Purple - disponível no painel de controle do seu estabelecimento da Purple na seção de configurações de RADIUS. O segredo compartilhado é gerado pela Purple e deve corresponder exatamente em ambos os lados. Configure a porta de autenticação para 1812 e a porta de tarifação para 1813. Para as configurações de EAP, selecione o método que corresponda à configuração do seu provedor de identidade. Do lado da Purple, crie uma política de RADIUS para autenticação de funcionários. Mapeie o SSID de funcionários para uma VLAN específica - por exemplo, VLAN 200 para funcionários. O servidor RADIUS da Purple retorna a atribuição de VLAN usando três atributos padrão: Tunnel-Type definido como VLAN, Tunnel-Medium-Type definido como 802 e Tunnel-Private-Group-ID definido como o ID da VLAN como uma string - ou seja, "200" para a VLAN 200. O firewall SonicWall e o AP SonicWave honram esses atributos e colocam o dispositivo do funcionário autenticado na VLAN correta de forma automática. Agora, o caso de uso mais interessante em termos de arquitetura: PPSK e isolamento multi-tenant. As Private Pre-Shared Keys permitem que você execute um único SSID e atribua a cada tenant, residente ou grupo de usuários uma senha exclusiva. Quando um dispositivo se conecta usando uma PPSK específica, o AP SonicWave envia essa chave para o servidor RADIUS da Purple para validação. A Purple busca a chave, identifica o tenant ou grupo de usuários associado e retorna a atribuição de VLAN apropriada por meio do atributo Tunnel-Private-Group-ID. O SonicWall então direciona esse dispositivo para a VLAN correta - totalmente isolado de outros tenants no mesmo SSID. Isso é Redes Baseadas em Identidade na prática. Você não gerencia SSIDs por tenant. Você gerencia identidades por tenant. Em um empreendimento de uso misto com dez unidades comerciais, um único SSID transmite por todo o edifício. Cada tenant recebe sua própria PPSK. Cada PPSK mapeia para uma VLAN e sub-rede dedicadas. Os dispositivos do Tenant A nunca veem o tráfego do Tenant B, mesmo compartilhando os mesmos pontos de acesso físico. A configuração de PPSK no SonicOS requer o modo PPSK baseado em RADIUS no SSID. No Wireless Network Manager, edite o SSID, defina o modo de segurança como WPA2-Enterprise com PPSK e aponte o servidor RADIUS para a Purple. A Purple gerencia a tabela de mapeamento de PPSK para VLAN centralmente. Quando você adiciona um novo tenant, você cria uma nova PPSK na Purple, atribui a ela uma VLAN, e a alteração se propaga para todos os APs SonicWave naquele local sem alterar a configuração do firewall. --- SEGMENTO 3: RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS (aproximadamente 2 minutos) Deixe-me apresentar as três coisas que mais costumam dar errado em implantações de SonicWall e Purple. Primeiro: a porta LHM. A porta TCP 4043 deve estar aberta da WAN para a interface WAN do SonicWall. Se o seu provedor de internet ou firewall de upstream bloquear essa porta, o handshake de autorização LHM nunca será concluído e os convidados ficarão travados na página de splash após a autenticação. Eles veem um login bem-sucedido no lado da Purple, mas o SonicWall nunca recebe o sinal de autorização. Teste isso com um telnet ou comando curl para a porta 4043 a partir de um IP externo antes do lançamento. Segundo: tempo de resolução de objetos FQDN. O SonicOS resolve os objetos de endereço FQDN na inicialização e, em seguida, em um intervalo configurável. Se você adicionar um novo domínio ao walled garden e a resolução ainda não tiver sido atualizada, os dispositivos não autenticados não conseguirão alcançá-lo. Force uma atualização manual após adicionar novos objetos FQDN ou defina o intervalo de atualização de DNS para 60 segundos em implantações de alto tráfego. Terceiro: configuração de subinterface VLAN. A atribuição dinâmica de VLAN via RADIUS só funciona se as VLANs de destino existirem como subinterfaces no SonicWall antes de o primeiro dispositivo se autenticar. Se uma resposta RADIUS retornar Tunnel-Private-Group-ID 110, mas a VLAN 110 não existir como uma subinterface no SonicWall, o dispositivo será desconectado ou retornará para a VLAN padrão. Crie e teste todas as subinterfaces VLAN antes de ativar a atribuição de VLAN por RADIUS. Para MSPs que gerenciam múltiplos locais, o painel em nuvem da Purple permite gerenciar políticas RADIUS, tabelas PPSK e configurações de splash page de forma centralizada. Você pode enviar alterações de configuração para todos os locais a partir de uma única interface. Essa é a vantagem operacional de uma abordagem de sobreposição em nuvem: o hardware SonicWall permanece no lugar e a Purple lida com a camada de identidade e política acima dele. --- SEGMENTO 4: PERGUNTAS E RESPOSTAS RÁPIDAS (aproximadamente 1 minuto) Algumas perguntas que surgem regularmente. "Posso usar APs SonicWave no modo autônomo com a Purple?" Sim, mas você perde algumas funcionalidades. No modo autônomo, os APs SonicWave gerenciam sua própria configuração de RADIUS localmente. Você ainda pode direcioná-los para o servidor RADIUS da Purple para 802.1X. Mas para PPSK com atribuição dinâmica de VLAN, você precisa do SonicWall TZ como proxy RADIUS ou do Wireless Network Manager gerenciando a política do AP de forma centralizada. "A Purple suporta WPA3 no SonicWave?" O suporte a WPA3 no SonicWave depende da versão do firmware e do modelo do AP. Os APs da série SonicWave 600 suportam WPA3. Para casos de uso de Captive Portal, o WPA3 com Opportunistic Wireless Encryption é compatível com o fluxo de redirecionamento LHM da Purple, mas teste em sua versão de firmware específica antes de implantar em escala. "Como a Purple lida com a GDPR para dados de convidados coletados pela splash page?" A Purple possui certificação ISO 27001, está em conformidade com a GDPR e possui certificação Cyber Essentials. O consentimento é capturado na splash page com caixas de seleção de opt-in configuráveis. A Purple armazena dados primários de acordo com sua política de retenção de dados. Os convidados podem acessar e excluir seus dados por meio do portal de autoatendimento da Purple. "Quais atributos RADIUS a Purple retorna para atribuição dinâmica de VLAN?" Três atributos: Tunnel-Type com valor VLAN, Tunnel-Medium-Type com valor 802 e Tunnel-Private-Group-ID com o ID da VLAN como uma string. Esses são os atributos padrão RFC 2868 suportados pelo SonicOS e SonicWave. --- SEGMENTO 5: RESUMO E PRÓXIMOS PASSOS (aproximadamente 1 minuto) Para resumir. Os firewalls SonicWall TZ e APs SonicWave se integram à Purple por meio de dois mecanismos principais: LHM para redirecionamento do Captive Portal de convidados e RADIUS para autenticação 802.1X de funcionários e isolamento multilocatário baseado em PPSK. As principais etapas de configuração são: ativar a Autenticação Externa de Convidados na zona de convidados, configurar a URL do portal Purple na porta 4043, criar seus objetos de FQDN de walled garden, configurar o RADIUS na política do AP SonicWave no Wireless Network Manager e criar suas subinterfaces VLAN no SonicWall antes de ativar a atribuição dinâmica de VLAN.Para implantações multi-tenant, o PPSK com direcionamento de VLAN baseado em RADIUS é a arquitetura ideal. Um SSID, um conjunto de APs, isolamento completo de tenants por meio de atribuição de VLAN baseada em identidade. Se você está planejando uma implantação ou revisando uma existente, a equipe técnica da Purple pode fornecer arquivos de configuração RADIUS específicos para o local e listas de domínios de walled garden. A plataforma Purple suporta 80.000 locais ativos e processou 440 milhões de logins em 2024 – os padrões de integração que cobrimos hoje são comprovados em escala. Obrigado por ouvir. O guia escrito completo, com tabelas de configuração passo a passo e diagramas de arquitetura Mermaid, está disponível no site da Purple. --- FIM DO SCRIPT