Sophos Firewall and Access Points Integration with Purple WiFi

Resumo executivo

Se você gerencia uma infraestrutura Sophos e precisa implantar um Guest WiFi que capture dados primários (first-party data), este guia fornece as etapas exatas de configuração. O Purple integra-se ao Sophos Firewall (séries XG e XGS) e aos pontos de acesso Sophos AP6/APX como um Captive Portal externo, transferindo o gerenciamento de identidade de convidados, a captura de consentimento da GDPR e o login social para o RADIUS em nuvem do Purple. Seu Sophos Firewall continua a aplicar a inspeção profunda de pacotes (DPI) e o gerenciamento unificado de ameaças (UTM) em todo o tráfego. O resultado: uma rede segmentada e em conformidade, onde os convidados se autenticam por meio de uma página de login (splash page) personalizada com a sua marca Purple, os funcionários se conectam via 802.1X com WPA2-Enterprise, e ambientes multi-tenant usam Sophos Private Pre-Shared Keys (PPSK) para atribuição dinâmica de VLAN. O Purple opera em mais de 80.000 locais ativos e processou 440 milhões de logins em 2024 (dados internos do Purple, 2024). É certificado pela ISO 27001, em conformidade com a GDPR e certificado pelo Cyber Essentials.

Detalhamento técnico

Como funciona o redirecionamento

A integração utiliza protocolos RADIUS padrão e redirecionamento HTTP. Quando um usuário do local se associa ao seu SSID de Guest WiFi aberto em um ponto de acesso Sophos AP6 ou APX, o Sophos Firewall intercepta a primeira solicitação HTTP desse dispositivo não autenticado. Em vez de exibir uma página de login armazenada localmente, o firewall emite um redirecionamento 302 para a URL da splash page hospedada na nuvem do Purple - normalmente no formato https://region1.purpleportal.net/access/.

Durante essa fase de pré-autenticação, o dispositivo permanece dentro de um Walled Garden: uma lista de permissões (allowlist) rigorosa de domínios que os dispositivos não autenticados podem acessar. Essa lista de permissões deve incluir os recursos do portal do Purple, quaisquer provedores de login social (Facebook, Google, LinkedIn) e quaisquer endpoints de federação de identidade que você utilize, como Microsoft Entra ID ou Okta. Assim que o usuário conclui a autenticação na splash page do Purple, o RADIUS em nuvem do Purple envia uma mensagem RADIUS Access-Accept para o Sophos Firewall. O firewall atualiza o estado da sessão para autenticado e aplica sua política de segurança pós-autenticação.

Autenticação e bilhetagem (accounting) RADIUS

O Purple oferece RADIUS como serviço (RADIUS-as-a-Service). Você não precisa implantar o FreeRADIUS, Windows NPS ou qualquer infraestrutura RADIUS local para a rede de convidados. Configure o Sophos Firewall para apontar diretamente para os endereços IP do RADIUS em nuvem do Purple.

Duas funções RADIUS são necessárias:

A tarifação (accounting) não é opcional. É o mecanismo pelo qual o Sophos Firewall reporta a duração da sessão, a largura de banda consumida e os eventos de término de sessão de volta para a Purple. Sem os dados de tarifação, o seu painel do WiFi Analytics mostrará métricas de visitantes incompletas. Defina o intervalo provisório de tarifação (accounting interim interval) para 120 segundos para obter um bom equilíbrio entre visibilidade em tempo real e sobrecarga de rede.

O segredo compartilhado (shared secret) do RADIUS deve coincidir exatamente entre a sua configuração do Sophos e o portal Purple. Uma diferença de um único caractere causa falhas silenciosas de autenticação.

Configuração de Walled Garden

O Walled Garden é o elemento de configuração de pré-autenticação mais importante e a fonte mais comum de falhas de implantação. Configure-o em Wireless > Hotspot Settings no Sophos Firewall.

Você deve permitir os seguintes domínios como requisito mínimo:

Sempre permita a resolução de DNS (porta UDP 53) para clientes não autenticados. Sem DNS, os dispositivos não conseguem resolver o hostname do portal Purple e o redirecionamento falha antes mesmo de começar.

802.1X para WiFi de Funcionários

Para o WiFi de funcionários, use 802.1X (controle de acesso à rede baseado em porta IEEE 802.1X) com WPA2-Enterprise ou WPA3-Enterprise. Configure o AP Sophos para usar EAP-TLS (baseado em certificado) ou PEAP-MSCHAPv2 (usuário/senha) em relação ao seu servidor RADIUS interno ou a um provedor de identidade em nuvem, como o Microsoft Entra ID.

O servidor RADIUS retorna atributos de atribuição de VLAN para colocar os dispositivos de funcionários autenticados na VLAN interna correta. Este é o mesmo mecanismo de VLAN dinâmica descrito abaixo para PPSK, aplicado à autenticação corporativa.

Mantenha o SSID e a VLAN do WiFi de funcionários completamente separados do SSID e da VLAN do Guest WiFi. Nunca faça ponte (bridge) do tráfego de convidados para as sub-redes de gerenciamento ou corporativas. Essa separação é um requisito do PCI DSS se qualquer segmento de rede lidar com dados de portadores de cartão.

Sophos PPSK e atribuição dinâmica de VLAN para ambientes multi-tenant

Em ambientes multi-tenant — espaços de coworking, blocos residenciais build-to-rent, acomodações estudantis ou concessões de varejo — você precisa isolar diferentes grupos de usuários no nível da rede sem transmitir um SSID separado para cada inquilino. A transmissão de múltiplos SSIDs aumenta a sobrecarga de radiofrequência e complica o gerenciamento.

Os pontos de acesso Sophos AP6 suportam PPSK (Private Pre-Shared Key), também conhecido como Identity PSK ou PSK por usuário. O PPSK permite que um único SSID aceite várias senhas exclusivas, cada uma mapeada para uma VLAN específica por meio de atributos RADIUS.

O fluxo de atribuição dinâmica de VLAN funciona da seguinte forma:

1. Um residente ou membro se conecta ao SSID compartilhado único e insere seu PPSK exclusivo.
2. O AP Sophos envia um RADIUS Access-Request para o servidor RADIUS configurado, incluindo o PPSK como credencial.
3. O servidor RADIUS valida o PPSK e retorna um Access-Accept com os seguintes atributos de VLAN:
   • Tunnel-Type = VLAN (valor 13)
   • Tunnel-Medium-Type = IEEE-802 (valor 6)
   • Tunnel-Private-Group-ID = `` (ex: 100)
4. O AP Sophos marca o tráfego do dispositivo com o VLAN ID retornado, posicionando-o no segmento de rede isolado correto.

Isso é Identity-Based Networking: um SSID, múltiplas VLANs isoladas, impulsionadas pela credencial exclusiva do usuário.

Guia de implementação

Passo 1: Recuperar credenciais do Purple

Faça login no portal Purple. Navegue até Management > Locations > [Seu Local] > Hardware > Add Hardware. Selecione Sophos como o tipo de hardware. O portal exibe:

• Endereços IP dos servidores RADIUS primário e secundário
• Segredo compartilhado do RADIUS
• URL do Captive Portal (ex: https://region1.purpleportal.net/access/)
• URL de redirecionamento (ex: https://region1.purpleportal.net/access/?res=success)
• Lista completa de domínios do Walled Garden

Anote todos os quatro valores antes de prosseguir.

Passo 2: Configurar servidores RADIUS no Sophos Firewall

Navegue até Authentication > Servers no Sophos Firewall (ou Sophos Central > Wireless > SSIDs > [SSID] > Advanced Settings para configurações gerenciadas por AP).

1. Clique em Add para criar uma nova entrada de servidor RADIUS.
2. Defina o Server IP para o endereço IP do RADIUS primário do Purple.
3. Defina a Authentication port para 1812.
4. Defina a Accounting port para 1813.
5. Insira o Shared secret obtido no portal Purple.
6. Repita o processo para o servidor RADIUS secundário do Purple.

Para o Sophos AP6 gerenciado via Sophos Central, configure o servidor RADIUS na seção Advanced Settings > Backend authentication do SSID.

Passo 3: Configurar o Walled Garden

Navegue até Wireless > Hotspot Settings no Sophos Firewall.

1. Em Walled garden, clique em Add new item.
2. Adicione cada domínio da lista fornecida pelo Purple.
3. Certifique-se de que o DNS (porta UDP 53) seja permitido para clientes não autenticados por meio de uma regra de firewall de pré-autenticação.
4. Clique em Apply.

Passo 4: Criar o SSID de convidados

Navegue até Wireless > Wireless Settings > SSIDs (ou Sophos Central > Wireless > SSIDs).

1. Clique em Add SSID.
2. Defina o Encryption mode como Open (sem chave pré-compartilhada).
3. Em Advanced Settings > Captive portal, ative o Captive Portal.
4. Selecione Backend authentication como o tipo de autenticação.
5. Insira o IP do servidor RADIUS Purple, a porta 1812 e o segredo compartilhado.
6. Defina a Redirect URL para a URL da splash page da Purple.
7. Atribua o SSID a uma VLAN de convidados dedicada (ex: VLAN 100).
8. Ative o Client isolation para evitar o tráfego de convidado para convidado.

Passo 5: Criar regras de firewall pós-autenticação

Navegue até Rules and policies > Firewall rules.

1. Crie uma regra permitindo o tráfego da VLAN de convidados para a zona WAN.
2. Aplique filtragem web para bloquear categorias maliciosas.
3. Aplique limitação de tráfego para restringir a largura de banda por usuário (recomendado: 10 Mbps de download, 5 Mbps de upload para redes de convidados).
4. Bloqueie explicitamente todo o tráfego da VLAN de convidados para qualquer VLAN interna que contenha sistemas de PDV, PMS ou recursos corporativos.

Passo 6: Configurar PPSK para ambientes multi-tenant (opcional)

1. No Sophos Central, crie um SSID WPA2-Personal.
2. Ative a RADIUS VLAN assignment nas configurações avançadas do SSID.
3. Configure o servidor RADIUS para aceitar credenciais PPSK e retornar os atributos de VLAN apropriados por grupo de usuários.
4. Emita PPSKs exclusivos para cada grupo de inquilinos através do portal Purple ou de sua interface de gerenciamento RADIUS.

Melhores práticas

Segregue o tráfego na Camada 2 e Camada 3. Sempre coloque o WiFi de convidados em uma VLAN dedicada. Crie regras de firewall explícitas para bloquear todo o tráfego da VLAN de convidados para o espaço de endereçamento RFC 1918 nos segmentos internos. Isso atende aos requisitos de segmentação de rede do PCI DSS e evita a movimentação lateral caso um dispositivo de convidado seja comprometido.

Use o modo Bridge para implantações de alta densidade. Em ambientes com mais de 200 conexões simultâneas de convidados - hotéis, estádios, centros de conferências - configure o SSID de convidados no modo Bridge. Isso direciona o tráfego para uma VLAN gerenciada por servidores DHCP corporativos, evitando que o AP ou firewall Sophos se torne um gargalo de DHCP. Um hotel de 500 quartos com 70% de ocupação e dois dispositivos por hóspede gera cerca de 700 concessões de DHCP simultaneamente. O DHCP corporativo lida com isso; o DHCP integrado do AP não.

Use um certificado SSL publicamente confiável. Configure o Sophos Firewall para apresentar um certificado assinado por uma CA pública para a interface de redirecionamento. Certificados autoassinados geram avisos de segurança do navegador no iOS e Android, aumentando as taxas de abandono do portal. Isso é particularmente importante em ambientes de hospitalidade , onde a experiência do hóspede afeta diretamente as notas de avaliação.Configure a autenticação e a tarifação (accounting) do RADIUS. A autenticação (porta 1812) concede o acesso. A tarifação (porta 1813) monitora o uso. Ambos são necessários para que os relatórios do Purple funcionem corretamente. Os dados de tarifação alimentam as métricas de duração de sessão, relatórios de largura de banda e identificação de visitantes recorrentes no painel do Purple.

Planeje seu Walled Garden antes de entrar em operação. Teste o Captive Portal em pelo menos um dispositivo iOS e um dispositivo Android antes de implantar em produção. As duas plataformas possuem mecanismos diferentes de detecção de Captive Portal e podem se comportar de maneira distinta com configurações incompletas de Walled Garden. Use uma captura de pacotes no Sophos Firewall para identificar quaisquer domínios bloqueados durante a fase de pré-autenticação.

Aplique o Sophos Synchronized Security pós-autenticação. Os pontos de acesso Sophos AP6 suportam o Synchronized Security, que se integra ao Sophos Endpoint Protection. Se um dispositivo convidado for identificado como comprometido (status vermelho de Security Heartbeat), o AP pode restringir automaticamente esse dispositivo ao Walled Garden, isolando-o da internet sem intervenção manual. Este é um controle de segurança significativo para ambientes de saúde e varejo .

Para um contexto mais amplo de segurança de WiFi corporativo, consulte nosso guia sobre Segurança de WiFi Corporativo: Um Guia Completo para 2026 .

Solução de problemas e mitigação de riscos

Sintoma: A página do portal não carrega (tela em branco ou tempo limite esgotado) Causa: Walled Garden incompleto. O Sophos Firewall está bloqueando o acesso aos recursos de CSS/JS do Purple ou às APIs de login social antes da autenticação. Solução: Ative a captura de pacotes no Sophos Firewall para a VLAN de convidados. Identifique os domínios bloqueados. Adicione-os ao Walled Garden. Verifique se o DNS é permitido antes da autenticação.

Sintoma: O portal carrega, mas a autenticação sempre falha Causa: Incompatibilidade do segredo compartilhado do RADIUS ou as portas UDP 1812/1813 estão bloqueadas. Solução: Verifique o segredo compartilhado caractere por caractere tanto na configuração do Sophos quanto no portal Purple. Use nmap -sU -p 1812,1813 a partir da CLI do Sophos para confirmar a acessibilidade UDP.

Sintoma: Os relatórios mostram duração de sessão zero e nenhum dado de largura de banda Causa: A tarifação (accounting) do RADIUS não está configurada ou está bloqueada. Solução: Verifique se o servidor de tarifação está configurado na porta 1813 com o segredo compartilhado correto. Certifique-se de que nenhuma ACL intermediária bloqueie a saída UDP 1813.

Sintoma: Alerta de certificado nos dispositivos dos convidados Causa: O Sophos Firewall está usando um certificado autoassinado para a interface de redirecionamento. Solução: Faça o upload de um certificado assinado por uma CA pública (Let's Encrypt, DigiCert ou similar) no Sophos Firewall e atribua-o como o certificado da página de login em Wireless > Hotspot Settings.

Sintoma: Usuários de PPSK caem na VLAN errada Causa: Os atributos de VLAN do RADIUS não estão configurados corretamente ou o AP Sophos não está aceitando a atribuição dinâmica de VLAN. Correção: Verifique se o servidor RADIUS retorna Tunnel-Type = 13, Tunnel-Medium-Type = 6 e Tunnel-Private-Group-ID = . Confirme se a atribuição de VLAN RADIUS está habilitada no SSID no Sophos Central.

ROI e impacto nos negócios

A implantação do Purple na infraestrutura Sophos converte o WiFi de convidados de um custo de utilidade em um ativo de dados primários (first-party). O caso de negócios é direto.

Um hotel de 200 quartos operando com 70% de ocupação e uma estadia média de 1,8 noites gerará aproximadamente 50.000 perfis de hóspedes verificados por ano por meio do Captive Portal de opt-in de escolha consciente do Purple. Cada perfil inclui nome, endereço de e-mail, dados demográficos e histórico de visitas. Esses dados alimentam diretamente as campanhas de marketing por e-mail, gerando aumentos mensuráveis nas reservas diretas e na receita de Alimentos e Bebidas.

Para ambientes de varejo , as análises do Purple identificam o tempo de permanência, a frequência de visitas repetidas e os períodos de pico de movimento. Uma rede de varejo com 50 locais pode usar esses dados para otimizar a escala de funcionários, ajustar o tempo promocional e medir o impacto dos eventos na loja na frequência de visitas.

Para operadoras do setor público e de transporte , o Purple fornece registros de consentimento da GDPR auditáveis e apoia a conformidade com os regulamentos de Sistemas de Rede e Informação (NIS) do Reino Unido para operadoras de serviços essenciais.

O SLA de 99,999% de tempo de atividade do Purple garante que o serviço de autenticação de convidados não se torne um ponto único de falha para sua rede. A arquitetura RADIUS em nuvem significa que não há servidor de autenticação local para manter, atualizar ou substituir.

Para obter orientações de integração relacionadas, consulte o guia Alta Labs Integration with Purple WiFi: Setup and Captive Portal Configuration .