Como construir uma rede WiFi de campus: Um guia de TI para universidades

Bem-vindo ao boletim de rede corporativa da Purple. Hoje estamos abordando um grande desafio de infraestrutura: como construir uma rede WiFi para campus. Especificamente, estamos analisando implantações em universidades e locais de grande porte. Se você é um CTO, Diretor de TI ou arquiteto de rede, este boletim é para você. Vamos deixar de lado a teoria e focar nas realidades práticas de implantação em ambientes sem fio de alta densidade. Vamos começar com o contexto. Uma rede WiFi de campus não é mais apenas uma conveniência. É uma infraestrutura crítica. Os alunos chegam no primeiro dia com três ou quatro dispositivos. A equipe precisa de conectividade confiável para videoconferências, aplicativos em nuvem e sistemas de gerenciamento predial. E, cada vez mais, o próprio campus está se tornando um ambiente inteligente - com sensores IoT, sinalização digital e controle de acesso, todos operando na mesma infraestrutura sem fio. O desafio não é apenas a cobertura. É a capacidade. E essa distinção é o conceito mais importante deste boletim. Vamos começar com a base: o levantamento de local (site survey). Em um ambiente de campus, um levantamento preditivo usando plantas baixas é apenas o ponto de partida. Você precisa absolutamente de levantamentos ativos e no local. Vemos muitos locais confiarem exclusivamente em modelos de software. Uma parede de tijolos em um auditório do século XIX atenua o sinal de forma muito diferente de uma parede de drywall moderna. Um edifício da era vitoriana com paredes de pedra espessas e tetos altos se comportará de maneira totalmente diferente de um bloco de campus moderno construído sob medida. Seu levantamento ativo deve mapear zonas de alta densidade - auditórios, grêmios estudantis, bibliotecas, refeitórios - e identificar fontes de interferência de RF. Fornos de micro-ondas, dispositivos Bluetooth e até redes vizinhas podem prejudicar o desempenho se você não os tiver considerado. O resultado do seu levantamento deve ser um mapa térmico mostrando a força do sinal, a utilização de canais e os níveis de interferência em cada andar de cada edifício. Isso se torna a base do seu plano de posicionamento dos pontos de acesso. Agora, ao planejar o posicionamento dos pontos de acesso, a regra de ouro é capacidade acima de cobertura. Não se trata mais apenas de levar o sinal até o canto da sala. Trata-se de suportar três dispositivos por aluno em um auditório de trezentos lugares. Isso significa implantar pontos de acesso de alta densidade, normalmente WiFi 6 ou WiFi 6E, e gerenciar a sobreposição de canais de forma agressiva. Para espaços de alta densidade, considere a implantação de pontos de acesso com antenas direcionais que focam a energia de RF para baixo, nas áreas de assentos, em vez de antenas omnidirecionais que espalham o sinal em todas as direções e causam interferência entre os APs adjacentes. Movendo para a arquitetura. Um modelo de três camadas é o padrão para redes corporativas de campus: Gerenciamento, Core e Acesso. No topo, você tem o seu controlador WLAN centralizado - seja local ou gerenciado na nuvem. Este é o cérebro da rede. Ele lida com roaming contínuo, aplicação de políticas, otimização de RF e gerenciamento de firmware em todos os seus pontos de acesso. Os controladores gerenciados na nuvem tornaram-se a escolha dominante para novas implantações porque simplificam o gerenciamento de múltiplos locais e reduzem os custos de hardware local. No meio, você tem a sua infraestrutura de switching de núcleo e distribuição. Estes são os seus switches de alta capacidade que agregam o tráfego da camada de acesso e o roteiam para o seu gateway de internet e recursos internos. Na parte inferior, você tem a sua camada de acesso: switches Power over Ethernet e os próprios pontos de acesso sem fio. Para novas implantações, o PoE Plus é o padrão mínimo, pois os pontos de acesso WiFi 6 consomem mais energia do que os seus predecessores. Agora vamos falar sobre integração de usuários e autenticação - porque é aqui que muitas redes de campus falham na prática. Você tem milhares de usuários transitórios: estudantes matriculados, funcionários, acadêmicos visitantes, delegados de conferências e o público em geral. Cada grupo tem requisitos de acesso diferentes e diferentes implicações de segurança. Para funcionários e estudantes matriculados, a implementação de 802.1X com autenticação EAP é inegociável. Isso vincula o acesso sem fio ao seu provedor de identidade existente - seja Active Directory, LDAP ou um serviço de identidade em nuvem. Os usuários se autenticam com suas credenciais institucionais, e a rede os atribui dinamicamente à VLAN apropriada. Isso fornece acesso criptografado, baseado em credenciais, que atende aos requisitos de padrões como ISO 27001 e Cyber Essentials. Para convidados e usuários transitórios, você precisa de uma solução de Captive Portal que seja segura, em conformidade e que não gere uma enxurrada de chamados no suporte. É aqui que uma plataforma de WiFi para convidados dedicada agrega valor real. Uma solução como a plataforma Guest WiFi do Purple oferece integração segura e em conformidade com o GDPR, páginas de splash personalizáveis e, fundamentalmente, análises sobre como o seu local está sendo utilizado. Você ganha visibilidade sobre os padrões de fluxo de pessoas, tempos de permanência e períodos de pico de uso - uma inteligência que tem valor operacional real. Vamos discutir VLANs e segmentação de rede. A segmentação adequada de VLAN é essencial tanto para a segurança quanto para o desempenho. No mínimo, você deve ter VLANs separadas para funcionários, estudantes, convidados e dispositivos IoT. A sua VLAN de IoT é particularmente importante. Sensores de edifícios inteligentes, controladores de HVAC, sinalização digital e câmeras de segurança nunca devem compartilhar um segmento de rede com dispositivos de usuários. Um dispositivo IoT com uma vulnerabilidade não deve ser capaz de se comunicar com o laptop de um estudante. Agora vamos falar sobre roaming - porque a transição contínua é crítica para a experiência do usuário. À medida que um usuário caminha da biblioteca para o refeitório, sua chamada VoIP não deve cair. Sua transmissão de vídeo não deve sofrer buffer. Seu aplicativo em nuvem não deve expirar o tempo limite. Alcançar isso exige um ajuste cuidadoso da potência de transmissão e a implementação de padrões de roaming rápido. Os três padrões que você precisa conhecer são 802.11k, 802.11v e 802.11r. Juntos, eles são às vezes chamados de a tríplice do roaming rápido. O 802.11k permite que os pontos de acesso forneçam aos clientes uma lista de APs vizinhos, para que o dispositivo saiba para onde fazer o roaming antes que seja necessário. O 802.11v permite que a rede sugira a um cliente que ele deve fazer roaming para um AP melhor. E o 802.11r viabiliza a transição rápida de BSS, reduzindo drasticamente o tempo de autenticação durante um roaming - o que é crítico para aplicações de voz e em tempo real. Mas nada disso funciona se a sua potência de transmissão estiver desconfigurada. Se os seus APs estiverem transmitindo em potência máxima, os dispositivos clientes vão se prender a um AP mesmo quando houver outro mais próximo disponível. Este é o clássico problema do cliente persistente (sticky client). O dispositivo vê um sinal forte de um AP distante e se recusa a fazer o roaming para um mais próximo, resultando em desempenho degradado para aquele usuário e carga desnecessária no AP distante. A solução é ajustar o tamanho das suas células de cobertura. Reduza a potência de transmissão de modo que as células de cobertura dos APs adjacentes apenas se sobreponham - normalmente em torno de quinze a vinte por cento. E desative as taxas de dados mais baixas - um, dois e cinco vírgula cinco megabits por segundo - em seus pontos de acesso. Quando você permite que os dispositivos se conectem a essas velocidades legadas, eles se mantêm presos a um sinal fraco indefinidamente. Desativar essas taxas força o dispositivo a derrubar a conexão e fazer o roaming para um AP mais forte. Hora de algumas perguntas rápidas com base no que mais ouvimos dos clientes. Pergunta um: Devemos separar os dispositivos IoT em sua própria rede? Com certeza. Coloque os dispositivos IoT - como telas inteligentes, sensores de HVAC, sistemas de controle de acesso - em uma VLAN dedicada com regras rígidas de firewall. Não permita que eles congestionem suas redes de dados principais e não permita que eles se comuniquem lateralmente com os dispositivos dos usuários. Pergunta dois: Como lidamos com dispositivos legados que não suportam autenticação moderna? Para dispositivos que não conseguem utilizar 802.1X - como smart TVs mais antigas ou consoles de jogos em alojamentos estudantis - implemente o MAC Authentication Bypass, ou MAB. Isso permite que você registre endereços MAC de dispositivos específicos e os atribua a uma VLAN apropriada sem exigir autenticação baseada em credenciais. Pergunta três: E quanto à cobertura externa? Ela é essencial, e muitas vezes é deixada para depois. Use pontos de acesso robustos e à prova de intempéries com antenas direcionais para cobrir pátios, áreas de estar ao ar livre e instalações esportivas. Os APs externos precisam suportar temperaturas extremas, umidade e resistência a vandalismo - não implante unidades internas em ambientes externos. Quarta pergunta: Como lidamos com a segurança do plano de gerenciamento? Garanta que a interface de gerenciamento do seu controlador esteja em uma VLAN de gerenciamento dedicada, acessível apenas a partir de estações de trabalho de administradores autorizados. Ative a autenticação de múltiplos fatores para todas as contas de administrador. E revise a postura de segurança dos seus pontos de acesso regularmente. Para resumir os principais pontos da apresentação de hoje. Primeiro: projete para capacidade, não apenas para cobertura. Em um ambiente de campus moderno, o gargalo quase nunca é a força do sinal - é a capacidade de atender a centenas de dispositivos simultâneos de forma eficiente. Segundo: realize pesquisas de RF ativas no local. Não confie apenas em modelos preditivos. Materiais de construção, fontes de interferência e layout físico precisam ser validados no mundo real. Terceiro: implemente uma arquitetura de três camadas com gerenciamento centralizado. Um controlador gerenciado na nuvem oferece visibilidade e controle sobre todo o seu patrimônio. Quarto: use 802.1X para funcionários e alunos, e um Captive Portal seguro para visitantes. Aproveite a sua plataforma de WiFi para visitantes para capturar análises e impulsionar a inteligência operacional. Quinto: sintonize sua rede para um roaming contínuo. Implemente 802.11k, v e r. Reduza a potência de transmissão. Desative taxas de dados legadas. Elimine clientes persistentes. E sexto: segmente sua rede com VLANs. Mantenha o tráfego de IoT, visitantes, funcionários e alunos separado. Para um aprofundamento técnico, incluindo diagramas de arquitetura, exemplos práticos e um checklist completo de implementação, leia nosso guia completo sobre como criar uma rede WiFi de campus no site da Purple. Obrigado por ouvir o Purple Enterprise Network Briefing.