Três SSIDs para a todos governar: guia de configuração de WiFi para convidados, equipe e IoT

ROTEIRO DE PODCAST: 'Três SSIDs para a todos governar: guia de configuração de WiFi para convidados, funcionários e IoT' [INTRODUÇÃO E CONTEXTO - 1 min] Você é um consultor sênior de rede apresentando um briefing confiante e autoritativo para um cliente. Fale em inglês britânico com um tom claro, comedido e profissional. Autoridade calma, não acadêmica. Conversacional, mas preciso. O ritmo é constante e deliberado: Bem-vindo à série de briefings técnicos do Purple WiFi Intelligence. Hoje estamos cobrindo o design de WiFi com três SSIDs - a arquitetura que separa o tráfego de convidados, funcionários e IoT em redes distintas e isoladas usando uma única infraestrutura sem fio. Se você gerencia o WiFi de um hotel, rede de varejo, centro de convenções, estádio ou qualquer local onde opera tanto redes públicas quanto operacionais, este briefing é diretamente relevante para você. [APROFUNDAMENTO TÉCNICO - 5 min] Deixe-me contextualizar primeiro. A maioria dos locais corporativos hoje está operando pelo menos cinco ou seis SSIDs. Há um para convidados, um para funcionários, um para terminais de ponto de venda, um para dispositivos IoT, talvez um oculto para prestadores de serviços e, frequentemente, um legado que ninguém se lembra direito por que existe. Cada um desses SSIDs transmite um frame de beacon a cada 100 milissegundos na menor taxa de dados do rádio. Em um local denso com 50 pontos de acesso no mesmo canal, isso representa centenas de frames de gerenciamento por segundo consumindo tempo de transmissão antes que um único byte de dados do usuário seja transmitido. O consenso do setor é claro: transmita no máximo três SSIDs por rádio. Três é o número que equilibra a segmentação de segurança com o desempenho sem fio. Portanto, o design de três SSIDs é este. SSID um: uma rede Guest WiFi aberta com um Captive Portal para acesso de visitantes. SSID dois: uma rede WPA2 ou WPA3-Enterprise para funcionários e convidados seguros, usando autenticação 802.1X e RADIUS. SSID três: uma rede xPSK para dispositivos IoT, terminais de cartão, sinalização digital e impressoras, usando chaves pré-compartilhadas por dispositivo para atribuir VLANs dinamicamente por identidade do dispositivo. Três SSIDs. Três segmentos de rede completamente isolados. Uma infraestrutura física sem fio. Vamos detalhar cada um deles. Vamos detalhar cada um deles. O SSID um é o seu Guest WiFi. Você configura isso como uma rede aberta - sem chave pré-compartilhada, sem senha WPA2-Personal. O ponto de acesso transmite o SSID sem criptografia na camada de associação. Quando um visitante se conecta, seu dispositivo obtém um endereço IP de um servidor DHCP em sua VLAN de convidados - normalmente a VLAN 10. Cada consulta de DNS e solicitação HTTP é interceptada pelo controlador sem fio ou por um dispositivo de Captive Portal dedicado, que redireciona o navegador do visitante para a sua página de portal.É aqui que a plataforma da Purple se integra. O Captive Portal lida com a autenticação do visitante – seja por meio de login social, registro por e-mail, verificação por SMS ou um código de voucher. Ele captura o consentimento sob a GDPR, registra os dados do visitante como dados proprietários (first-party) e, em seguida, sinaliza ao controlador para conceder o acesso à internet. A sessão do visitante é associada à VLAN 10, e seu firewall aplica uma política rígida: apenas acesso à internet, com uma regra explícita de negação total bloqueando qualquer rota para o seu espaço de endereço interno RFC 1918. O jardim murado (walled garden) é uma etapa de configuração crítica aqui. Antes que o visitante conclua o login no portal, o dispositivo dele precisa alcançar a própria página do portal. Você configura um jardim murado – uma lista de permissões (whitelist) de endereços IP e domínios que são acessíveis sem autenticação. Isso deve incluir o IP ou hostname do seu servidor do Captive Portal, quaisquer endpoints de CDN que ele utilize e quaisquer endpoints de provedores de login social, como os servidores OAuth do Facebook ou endpoints de autenticação do Google. O SSID dois é o seu WiFi para funcionários. Ele utiliza WPA2-Enterprise ou WPA3-Enterprise, o que significa autenticação 802.1X. Quando um funcionário se conecta, o dispositivo dele inicia uma troca EAP com o ponto de acesso, que atua como o autenticador e encaminha as credenciais para o seu servidor RADIUS. O servidor RADIUS valida a identidade junto ao seu provedor de identidade e retorna uma mensagem de Access-Accept. A chave para a atribuição dinâmica de VLAN são três atributos RADIUS específicos nessa mensagem Access-Accept. O Atributo 64, Tunnel-Type, deve ser definido com o valor 13, que significa VLAN. O Atributo 65, Tunnel-Medium-Type, deve ser definido com o valor 6, que significa IEEE 802. E o Atributo 81, Tunnel-Private-Group-ID, contém o ID real da VLAN como uma string. Quando o ponto de acesso recebe esses atributos, ele associa dinamicamente aquela sessão à VLAN especificada. Um funcionário da equipe de finanças se autentica e entra na VLAN 20. Um prestador de serviços se autentica com uma credencial diferente e entra na VLAN 30 com acesso mais restrito. Mesmo SSID, mesma rede física, segmentos lógicos completamente diferentes. O serviço de RADIUS em nuvem da Purple gerencia a camada de autenticação RADIUS para o WiFi de funcionários, integrando-se ao seu provedor de identidade e retornando os atributos de VLAN dinâmica corretos por usuário. O SSID três é o seu WiFi de IoT. O xPSK resolve um problema que nem as redes abertas nem o 802.1X conseguem resolver de forma limpa. Dispositivos IoT, terminais de cartão, players de sinalização digital e impressoras não conseguem se autenticar com 802.1X. Mas você não pode colocá-los em uma rede WPA2-Personal plana com uma única senha compartilhada, porque um dispositivo comprometido teria acesso a todos os outros dispositivos naquele segmento. O xPSK mantém um banco de dados de senhas exclusivas, uma por dispositivo ou grupo de dispositivos. O dispositivo se conecta usando sua chave exclusiva. A controladora valida a chave e retorna os atributos de VLAN dinâmica. Um terminal de cartão se conecta e entra na VLAN 50, sua rede de pagamento isolada por PCI DSS. Um termostato inteligente se conecta e entra na VLAN 40, sua rede IoT com roteamento restrito. A terminologia do fabricante varia. A Cisco Meraki chama de iPSK. A HPE Aruba chama de MPSK. A Ruckus chama de DPSK. A Juniper Mist e a Ubiquiti UniFi chamam de PPSK. A arquitetura subjacente é idêntica em todos os cinco fabricantes. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS - 2 min] Você é um consultor sênior de rede apresentando um briefing confiante e autoritativo para um cliente. Fale com um tom claro, comedido e profissional. Autoridade calma, não acadêmica. Conversacional, mas preciso. O ritmo é constante e deliberado: Agora vamos falar sobre as armadilhas de implementação e cenários do mundo real. A primeira armadilha são as portas de tronco desconfiguradas. Suas portas de switch que transportam várias VLANs devem ser configuradas como portas de tronco 802.1Q, não como portas de acesso. Se uma porta de tronco for acidentalmente configurada como uma porta de acesso, todo o tráfego colapsa em uma única VLAN e sua segmentação desaparece silenciosamente. Sempre audite a configuração do seu switch após qualquer alteração. A segunda armadilha é um walled garden incompleto. Se a sua página de Captive Portal não carregar porque você não incluiu os endpoints corretos na lista de permissões, os visitantes verão uma tela em branco e presumirão que o WiFi está com problemas. Teste seu walled garden a partir de um dispositivo novo, sem cache de DNS, antes de entrar em operação. A terceira armadilha é a randomização de endereços MAC. Dispositivos modernos iOS e Android usam um endereço MAC randomizado para cada rede à qual se conectam. Se o seu sistema xPSK depender da vinculação de endereço MAC para associar um dispositivo à sua chave exclusiva, você terá falhas de autenticação quando um dispositivo rotacionar seu endereço. Use implementações do fabricante que vinculeem a sessão à própria chave, em vez do MAC. Deixe-me apresentar dois cenários do mundo real. Cenário um: um hotel de 200 quartos. O hotel precisa fornecer WiFi de convidados em todos os quartos e áreas públicas, WiFi da equipe para a recepção, governança e gerência, e conectividade IoT para termostatos inteligentes, sistemas de IPTV e controladores de fechadura de porta. Eles implantam três SSIDs em seus pontos de acesso Cisco Meraki. O SSID um, a rede de convidados, usa o captive portal da Purple com registro por e-mail e captura de consentimento em conformidade com o GDPR. Os hóspedes se autenticam, caem na VLAN 10 e obtêm acesso apenas à internet com um limite de taxa de 20 megabits por segundo por cliente. O SSID dois, a rede da equipe, usa WPA3-Enterprise com autenticação RADIUS contra o Microsoft Entra ID. A equipe da recepção cai na VLAN 20 com acesso ao sistema de gerenciamento de propriedade. A equipe de governança cai na VLAN 21 com acesso apenas ao aplicativo de governança. O SSID três, a rede IoT, usa Meraki iPSK. Cada termostato inteligente possui uma chave exclusiva mapeada para a VLAN 40. Cada controlador de fechadura de porta possui uma chave exclusiva mapeada para a VLAN 41. Os sistemas de IPTV têm chaves mapeadas para a VLAN 42. Todas as VLANs de IoT não têm acesso à internet e possuem regras rígidas de firewall que limitam a comunicação aos seus servidores de gerenciamento específicos. [Q&A RÁPIDO - 1 min] Agora, algumas perguntas rápidas. Preciso de um servidor RADIUS separado para xPSK? Isso depende do fornecedor e da escala. Para implantações de pequeno porte, o Cisco Meraki iPSK e o HPE Aruba MPSK-Local podem armazenar chaves diretamente no controlador sem um servidor RADIUS. Para escala corporativa, você precisa de um servidor RADIUS central — seja sua própria instância do FreeRADIUS ou NPS, ou um serviço de RADIUS em nuvem como o da Purple. O WPA3-Enterprise é obrigatório? Ainda não, mas implemente-o onde os dispositivos dos seus clientes o suportarem. O modo de segurança de 192 bits do WPA3 e os Protected Management Frames eliminam vários vetores de ataque presentes no WPA2. Execute o WPA3 em modo de transição para manter a compatibilidade com versões anteriores. Como faço para lidar com BYOD no SSID da equipe? Use PEAP-MSCHAPv2 para autenticação baseada em credenciais, que funciona com dispositivos pessoais sem exigir a implantação de certificados. Se precisar de uma segurança mais forte, implante o EAP-TLS com certificados enviados por meio do seu MDM. Qual é a configuração mínima viável para um local de pequeno porte? Três SSIDs, três VLANs, um firewall com regras inter-VLAN e um captive portal para convidados. Essa é a sua linha de base. Você pode adicionar RADIUS e xPSK à medida que seu parque de dispositivos crescer. [RESUMO E PRÓXIMOS PASSOS - 1 min] Para resumir: o design de três SSIDs oferece a segmentação de que você precisa sem a sobrecarga de tempo de transmissão (airtime) de executar cinco ou seis redes separadas. O WiFi de convidados com um captive portal lida com o acesso de visitantes e a conformidade com o GDPR. O WiFi da equipe com 802.1X e atribuição dinâmica de VLAN lida com o controle de acesso baseado em identidade. O WiFi de IoT com xPSK lida com dispositivos headless com isolamento por dispositivo. Seus próximos passos: faça uma auditoria na sua contagem atual de SSIDs. Se você estiver transmitindo mais de três, planeje uma consolidação. Revise seu design de VLAN e as regras de firewall inter-VLAN. E se você ainda não usa um captive portal gerenciado com captura de dados em conformidade com o GDPR, essa é a mudança de maior valor que você pode fazer na sua rede de convidados hoje. A plataforma da Purple oferece suporte a essa arquitetura de três SSIDs em mais de 80.000 locais ativos em todo o mundo. Oferecemos o captive portal de Guest WiFi, o RADIUS em nuvem para Staff WiFi e as integrações com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi para fazer com que todo o design funcione como um único sistema gerenciado. Obrigado por ouvir este briefing técnico da Purple. Os links para o guia escrito completo e os diagramas de arquitetura estão nas notas do episódio.