WiFi como serviço gerenciado: um guia abrangente para empresas
Este guia fornece uma estrutura técnica abrangente para implantar WiFi como serviço gerenciado em ambientes multi-inquilino, incluindo propriedades de aluguel residencial (Build-to-Rent), redes de varejo e locais de hospitalidade. Ele aborda segmentação de VLAN, atribuição dinâmica de VLAN via IEEE 802.1X, segurança WPA3-Enterprise e gerenciamento de sobreposição em nuvem - oferecendo a incorporadores imobiliários, proprietários e operadores de BTR um modelo neutro em termos de fornecedor para isolar o tráfego de residentes, simplificar a conformidade e transformar a infraestrutura de rede compartilhada em um ativo gerador de receita.
Ouça este guia
Ver transcrição do podcast
Resumo executivo
Incorporadoras imobiliárias, proprietários e operadores de Build-to-Rent (BTR) enfrentam uma decisão crítica de infraestrutura: como fornecer internet segura e de alto desempenho em edifícios multi-inquilino sem criar riscos de segurança ou exposição de conformidade. Uma rede compartilhada e plana não é uma arquitetura viável. Ela coloca cada morador, cada sensor IoT e cada inquilino comercial no mesmo domínio de transmissão - a apenas um dispositivo comprometido de uma violação em toda a rede.
O WiFi de serviços gerenciados transforma a infraestrutura compartilhada em um ativo segmentado, gerenciado na nuvem e gerador de receita. A tecnologia principal é a segmentação VLAN IEEE 802.1Q, aplicada por uma política rígida de firewall Default-Deny e autenticada via IEEE 802.1X e RADIUS. Este guia aborda a arquitetura de referência, a sequência de implantação, os padrões de segurança e o caso de negócios para operadores de BTR e incorporadoras imobiliárias que tomarão essa decisão em 2024 e nos anos seguintes.
A Purple opera em mais de 80.000 locais ativos (dados internos da Purple, 2024) e processa 440 milhões de acessos anualmente, fornecendo a escala e a confiabilidade exigidas para implantações corporativas. Garantimos 99,999% de tempo de atividade e possuímos as certificações ISO 27001, GDPR e Cyber Essentials. Nossa plataforma é agnóstica em relação ao hardware, integrando-se com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet.
Análise técnica detalhada: arquitetura e padrões
A transição para um modelo de WiFi de serviços gerenciados exige uma mudança de uma rede plana para uma estrutura segmentada de zero-trust. O objetivo principal é garantir que múltiplos inquilinos independentes coexistam em uma única infraestrutura física sem comprometer a segurança, o desempenho ou a privacidade.
Segmentação VLAN e IEEE 802.1Q
A base de qualquer rede multi-inquilino é a Rede Local Virtual (VLAN). Padronizada sob a norma IEEE 802.1Q, as VLANs dividem uma única estrutura física de switch em múltiplos domínios de transmissão logicamente separados. Quando um cliente se conecta ao seu WiFi, o ponto de acesso marca os quadros de dados desse cliente com um Identificador VLAN (VID) de 12 bits específico. Os switches de sua rede leem essa etiqueta e garantem que o tráfego de uma VLAN nunca seja encaminhado para portas de outra VLAN, a menos que seja explicitamente roteado por um firewall.
Em um edifício BTR, uma arquitetura prática de quatro VLANs funciona da seguinte forma:
| VLAN ID | Segmento | Tipo de tráfego | Método de autenticação |
|---|---|---|---|
| VLAN 10 | Moradores | Dispositivos pessoais, streaming, BYOD | WPA3-Enterprise, 802.1X |
| VLAN 20 | Equipe | Notebooks de gestão, sistemas administrativos | WPA3-Enterprise, 802.1X |
| VLAN 30 | IoT | HVAC, CFTV, fechaduras inteligentes, sensores | Bypass de Autenticação MAC |
| VLAN 40 | WiFi de Visitantes | Acesso de visitantes nas áreas comuns | Captive Portal, WPA3-Personal |
Sem uma implementação adequada de VLAN, a separação de inquilinos é apenas cosmética. Múltiplos SSIDs em uma única LAN plana não oferecem isolamento real. Qualquer dispositivo na rede pode ver o tráfego de broadcast de todos os outros dispositivos. Isso representa uma vulnerabilidade crítica de segurança e uma responsabilidade sob a GDPR.
Atribuição Dinâmica de VLAN via 802.1X e RADIUS
Historicamente, os engenheiros segmentavam ambientes sem fio transmitindo um SSID exclusivo para cada inquilino. A proliferação de SSIDs destrói o desempenho. Cada SSID transmitido precisa enviar quadros de gerenciamento (beacons) na taxa básica de dados mais baixa para garantir que dispositivos legados possam se conectar. Transmitir seis ou sete SSIDs por ponto de acesso consome até 30% do tempo de transmissão sem fio disponível apenas com overhead de gerenciamento - antes mesmo que um único byte de dados do usuário seja transmitido.
A abordagem moderna é a Atribuição Dinâmica de VLAN. Você transmite um SSID seguro usando autenticação IEEE 802.1X. Quando um residente se conecta, seu dispositivo (o suplicante) troca credenciais com um servidor RADIUS por meio do ponto de acesso. Uma vez autenticado, o servidor RADIUS envia uma mensagem Access-Accept de volta ao ponto de acesso. Esta mensagem inclui três atributos padrão IETF: Tunnel-Type definido como VLAN, Tunnel-Medium-Type definido como 802 e o Tunnel-Private-Group-ID contendo o VLAN ID específico para aquele usuário.
O ponto de acesso recebe esses atributos e direciona dinamicamente o tráfego daquele usuário para sua VLAN dedicada. Um residente, um funcionário do varejo e um dispositivo IoT podem se conectar ao mesmo SSID, mas seu tráfego é completamente isolado na Camada 2. O switch os trata como se estivessem em redes físicas totalmente separadas.
Para o seu segmento de Guest WiFi em áreas comuns, roteie o tráfego através de uma VLAN de visitantes dedicada para um Captive Portal. O Captive Portal da Purple gerencia o consentimento em conformidade com a GDPR e a captura de dados de primeira parte em um segmento isolado com zero acesso de roteamento às suas redes internas.
Protocolos de segurança: WPA3-Enterprise e WPA3-Personal
A segurança deve ser adequada ao tipo de inquilino. Para o tráfego de residentes e funcionários, implante WPA3-Enterprise com IEEE 802.1X. Isso fornece Simultaneous Authentication of Equals (SAE) para troca de chaves e criptografia de 256 bits, eliminando a vulnerabilidade a ataques de dicionário offline que afetavam o WPA2-Personal. Para Guest WiFi em áreas comuns, o WPA3-Personal ou WPA3-Enhanced Open (OWE) oferece criptografia oportunista sem exigir senha, protegendo os usuários contra interceptação passiva em redes abertas.
Integre seu servidor RADIUS a um provedor de identidade robusto. A Purple oferece suporte para Microsoft Entra ID, Okta e Google Workspace, centralizando o gerenciamento de usuários e automatizando a integração e desligamento de residentes.
Guia de implementação
A implantação de WiFi de serviços gerenciados exige um planejamento meticuloso e uma adesão estrita aos princípios de design de rede. A sequência a seguir se aplica a uma implantação de BTR ou MDU.
Passo 1: Levantamento de RF e seleção de hardware
Realize um levantamento de radiofrequência (RF) antes da aquisição do hardware. Em um edifício residencial, os materiais das paredes, a construção dos pisos e os poços de elevadores criam uma atenuação significativa do sinal. O levantamento determina o posicionamento e a densidade dos pontos de acesso para atingir a força de sinal desejada (normalmente -65 dBm ou melhor) em todas as áreas. A Purple é agnóstica em relação ao hardware e se integra com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Selecione um hardware que suporte Wi-Fi 6 (802.11ax) ou Wi-Fi 6E para implantações residenciais de alta densidade.
Passo 2: Design da arquitetura de VLAN
Mapeie os requisitos dos seus inquilinos antes de configurar um único switch. Defina o número de VLANs, os requisitos de segurança para cada uma e as demandas de largura de banda previstas. Isso orienta o design da sua política de firewall. Documente cada VLAN, sua finalidade, sua faixa de DHCP e suas rotas inter-VLAN permitidas. Essa documentação é essencial para auditorias de conformidade com PCI-DSS e GDPR.
Passo 3: Configuração do firewall principal
A sua arquitetura de VLAN depende inteiramente das políticas de roteamento do seu firewall principal. Configure uma política estrita de negação por padrão (Default-Deny). Cada caminho inter-VLAN deve ser bloqueado por padrão, permitindo apenas exceções explícitas e específicas de porta. Por exemplo, sua VLAN de IoT (VLAN 30) deve ter permissão apenas para alcançar os endpoints de nuvem específicos exigidos pelo seu sistema de gestão predial. Ela nunca deve ter permissão para rotear para a VLAN de Residentes (VLAN 10). Essa política de Default-Deny limita o raio de alcance de qualquer dispositivo comprometido a uma única VLAN isolada.
Passo 4: Integração com RADIUS e provedor de identidade
Implante ou configure seu servidor RADIUS e integre-o ao provedor de identidade escolhido - Microsoft Entra ID, Okta ou Google Workspace. Configure os atributos RADIUS para retornar o VLAN ID correto para cada grupo de usuários após a autenticação bem-sucedida. Teste a Atribuição Dinâmica de VLAN com um grupo piloto antes da implantação em todo o edifício.
Passo 5: Captive Portal e captura de dados
Para a sua VLAN de WiFi de Convidados, configure o Captive Portal da Purple para apresentar termos de serviço em conformidade com a GDPR e coletar consentimentos de aceitação consciente para comunicações de marketing. A plataforma de WiFi Analytics da Purple captura dados primários sobre o comportamento dos visitantes, tempo de permanência e taxas de retorno - fornecendo aos operadores de propriedades inteligência acionável sobre a utilização do local.
Passo 6: QoS e gerenciamento de largura de banda
Em um ambiente compartilhado, você deve evitar que um vizinho barulhento consuma toda a largura de banda disponível. Defina políticas de Qualidade de Serviço (QoS) para cada VLAN. Uma implantação típica de BTR pode alocar 100 Mbps de largura de banda garantida por unidade residencial, com capacidade de burst até a capacidade de backhaul disponível. As VLANs de funcionários e IoT recebem níveis de prioridade mais baixos. Isso garante uma experiência previsível e justa para todos os residentes.
Melhores práticas
As seguintes recomendações refletem as orientações padrão do setor da IEEE, da Wi-Fi Alliance e da experiência operacional da Purple em mais de 80.000 locais.
Desative a VLAN 1. A maioria dos switches usa a VLAN 1 como a VLAN nativa padrão em portas de tronco. Os invasores exploram isso para ataques de salto de VLAN (VLAN hopping). Desative a VLAN 1 e configure as portas de tronco para usar um ID de VLAN não utilizado e não roteável como a VLAN nativa.
Audite sua contagem de SSIDs. Se você estiver transmitindo mais de quatro SSIDs por ponto de acesso, estará degradando o desempenho sem fio. Transite para a atribuição dinâmica de VLAN via 802.1X para consolidar SSIDs e recuperar tempo de antena. Para obter um guia detalhado sobre a arquitetura de SSID, leia Três SSIDs para governar todos: guest, Passpoint e IoT WiFi .
Gerencie os tempos de concessão de DHCP por segmento. Na sua VLAN de WiFi de visitantes, defina os tempos de concessão para uma ou duas horas para evitar o esgotamento de endereços IP em ambientes de alta rotatividade. As VLANs de residentes e corporativas podem usar com segurança concessões de 24 horas.
Segregue o tráfego de funcionários e residentes. Nunca coloque a equipe de gerenciamento do edifício na mesma VLAN que os residentes. Leia nosso guia sobre Como Segregar com Segurança as Redes WiFi de Funcionários e Visitantes para obter etapas detalhadas de configuração.
Implemente o 802.11r para roaming contínuo. Em um edifício residencial de vários andares, os residentes se movem constantemente entre os pontos de acesso. Ative a Transição Rápida de BSS (802.11r) e o Opportunistic Key Caching (OKC) para garantir que o estado de autenticação seja armazenado em cache nos pontos de acesso. Isso elimina os atrasos de autenticação à medida que os residentes se movem pelo edifício.
Solução de problemas e mitigação de riscos
Mesmo com um design robusto, problemas surgem. Compreender os modos de falha comuns ajuda a manter seus compromissos de SLA.
Proliferação de SSIDs e baixo desempenho. Se o rendimento do cliente for ruim, apesar das conexões de fibra de alta velocidade, audite sua contagem de SSIDs. Transmitir mais de quatro SSIDs por ponto de acesso consome tempo de antena excessivo. Consolide os SSIDs e implemente a atribuição dinâmica de VLAN para recuperar o desempenho. Configuração incorreta de porta de tronco (Trunk port). Se um usuário se autenticar com sucesso via RADIUS, mas não receber um endereço IP, verifique as portas de tronco do seu switch. O ponto de acesso está tentando colocar o usuário em uma VLAN específica, mas essa VLAN não é permitida no tronco da porta do switch. Certifique-se de que todas as VLANs dos inquilinos estejam explicitamente marcadas em cada porta de tronco entre o ponto de acesso e o switch de distribuição.
Dispositivos IoT legados e spoofing de MAC. Muitas smart TVs e sensores prediais não suportam 802.1X. Use o MAC Authentication Bypass (MAB) para atribuir esses dispositivos a uma VLAN de IoT isolada. Como os endereços MAC podem ser falsificados, aplique regras rígidas de firewall a esse segmento, restringindo o acesso apenas aos servidores externos necessários. Nunca coloque dispositivos IoT na mesma VLAN que o tráfego de residentes ou funcionários.
Esgotamento de DHCP em VLANs de convidados. Em ambientes com alta rotatividade, os pools de DHCP podem se esgotar se os tempos de concessão (lease times) forem muito longos. Monitore a utilização do pool de DHCP e defina os tempos de concessão para uma ou duas horas em todas as VLANs de convidados e visitantes.
Escopo de conformidade expandido. Se um inquilino varejista em seu edifício processa pagamentos com cartão, o segmento de rede dele se enquadra no escopo do PCI-DSS. O isolamento adequado de VLAN e as políticas de firewall Default-Deny podem reduzir o escopo de auditoria do PCI-DSS em até 70% (dados operacionais da Purple, 2024), reduzindo diretamente os custos anuais de conformidade.
-
ROI e impacto nos negócios
O WiFi de serviços gerenciados transforma a rede de um centro de custo em um ativo estratégico para operadores de BTR e incorporadores imobiliários.
Satisfação e retenção de residentes. A conectividade é consistentemente classificada entre as três principais comodidades pelos residentes de BTR. Um serviço de WiFi gerenciado com SLAs garantidos e alocação de largura de banda por unidade diferencia sua propriedade em um mercado competitivo e reduz a rotatividade.
Eficiência operacional. Uma plataforma de gerenciamento em nuvem centraliza o controle em todo o seu portfólio de propriedades. O painel de controle de tela única da Purple elimina a necessidade de equipe de TI local para gerenciar pontos de acesso individuais. Alterações de rede, integração de novos residentes e atualizações de políticas de segurança são aplicadas remotamente em minutos.
Dados primários e análise. A plataforma WiFi Analytics da Purple captura dados primários em conformidade com o GDPR sobre o comportamento dos visitantes em áreas comuns. Os operadores imobiliários obtêm inteligência acionável sobre a utilização de comodidades, horários de pico de ocupação e engajamento dos residentes - dados que informam as decisões de gestão imobiliária e apoiam os relatórios ESG.
Redução de custos de conformidade. A segmentação adequada de VLAN reduz o escopo de auditoria do PCI-DSS para quaisquer inquilinos varejistas em seu edifício. A conformidade com o GDPR está integrada ao Captive Portal da Purple, com opções de consentimento consciente e políticas automatizadas de retenção de dados.
A Purple possui as certificações ISO 27001, GDPR, CCPA, Cyber Essentials e B Corp. Fundada em 2012, coletamos 29 bilhões de pontos de dados em nossa rede, fornecendo a profundidade analítica que os operadores imobiliários corporativos exigem.
Definições principais
VLAN (Virtual Local Area Network)
Uma partição lógica de uma rede de Camada 2 que isola domínios de transmissão em um switch físico compartilhado, padronizada sob a norma IEEE 802.1Q.
Essencial para separar o tráfego de residentes, funcionários, IoT e convidados em um edifício multi-tenant. Sem VLANs, todos os dispositivos compartilham o mesmo domínio de transmissão e podem ver o tráfego uns dos outros.
IEEE 802.1Q
O padrão de rede que suporta VLANs em uma rede Ethernet IEEE 802.3 ao inserir uma tag de 32 bits nos frames Ethernet, contendo um Identificador de VLAN (VID) de 12 bits.
O protocolo técnico que torna possível a segmentação de rede em switches e pontos de acesso corporativos. Todos os switches e pontos de acesso de nível corporativo suportam 802.1Q.
Atribuição Dinâmica de VLAN
Um método onde um servidor RADIUS instrui um ponto de acesso a colocar um usuário autenticado em uma VLAN específica, independentemente do SSID ao qual ele se conectou, usando atributos de túnel IETF na mensagem Access-Accept.
Permite que os operadores do local isolem com segurança diferentes tenants sem transmitir múltiplos SSIDs, eliminando a sobrecarga de tempo de transmissão da proliferação de SSIDs e mantendo o isolamento por tenant.
RADIUS (Remote Authentication Dial-In User Service)
Um protocolo de rede que fornece gerenciamento centralizado de Autenticação, Autorização e Contabilização (AAA) para usuários que se conectam a um serviço de rede.
O componente de servidor principal que valida as credenciais do usuário e atribui os atributos de VLAN corretos durante a autenticação 802.1X. A Purple se integra com Microsoft Entra ID, Okta e Google Workspace como provedores de identidade upstream.
IEEE 802.1X
Um padrão IEEE para Controle de Acesso à Rede baseado em porta (PNAC), que fornece um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN. Ele define os papéis de Supplicant (dispositivo cliente), Authenticator (ponto de acesso) e Authentication Server (RADIUS).
A estrutura de segurança corporativa necessária para WPA3-Enterprise, garantindo que apenas dispositivos autorizados possam acessar a rede. Obrigatória para qualquer segmento de rede regulamentado ou corporativo.
Captive Portal
Uma página web que um usuário de uma rede de acesso público é obrigado a visualizar e interagir antes que o acesso à rede seja concedido, normalmente usada para apresentar termos de serviço e coletar consentimento.
Usado em redes WiFi de convidados para capturar dados primários em conformidade com o GDPR, apresentar termos de serviço e gerenciar o consentimento de marketing. O Captive Portal da Purple suporta aceites de escolha consciente e se integra com a plataforma de WiFi Analytics.
Bypass de Autenticação MAC (MAB)
Um método de concessão de acesso à rede com base no endereço MAC do dispositivo de conexão, usado quando o dispositivo não suporta autenticação 802.1X EAP.
Necessário para conectar dispositivos IoT sem interface, smart TVs, controladores de HVAC e hardware legado à rede. Como os endereços MAC podem ser falsificados, o MAB deve sempre ser combinado com regras rígidas de firewall na VLAN de IoT.
Movimentação lateral
As técnicas que os invasores cibernéticos usam para se mover progressivamente por uma rede após o comprometimento inicial, buscando alvos de alto valor, como sistemas de gerenciamento ou terminais de pagamento.
A segmentação de VLAN adequada e as regras de firewall de negação por padrão são projetadas especificamente para conter violações e evitar a movimentação lateral. Um dispositivo comprometido na VLAN de IoT não pode alcançar as VLANs de residentes ou funcionários.
WPA3-Enterprise
A certificação de segurança corporativa da Wi-Fi Alliance para redes sem fio, exigindo autenticação IEEE 802.1X e fornecendo Autenticação Simultânea de Iguais (SAE) com criptografia de 256 bits.
O padrão de segurança obrigatório para qualquer segmento de rede que trafegue dados pessoais, financeiros ou regulamentados. Substitui o WPA2-Enterprise e elimina a vulnerabilidade a ataques de dicionário offline.
Overlay em nuvem
Um plano de gerenciamento e controle baseado em nuvem que fica acima do hardware de rede física existente, fornecendo configuração, monitoramento e análise centralizados sem substituir a infraestrutura subjacente.
O overlay em nuvem da Purple se integra com Cisco Meraki, HPE Aruba, Ruckus e outros fornecedores de hardware, fornecendo um único painel de gerenciamento em todo o portfólio de propriedades sem exigir a substituição de hardware.
Exemplos práticos
Um operador de BTR está desenvolvendo um edifício residencial de 200 unidades com comércio no térreo e uma academia para residentes. Eles precisam fornecer internet segura aos residentes, gerenciar os sensores de IoT do edifício e oferecer WiFi público na área comercial. Como eles devem projetar a arquitetura de rede?
Implante uma única infraestrutura de rede física com hardware de nível corporativo - por exemplo, pontos de acesso Cisco Meraki MR57 e switches MS390. Implemente uma arquitetura de quatro VLANs: VLAN 10 para Residentes (WPA3-Enterprise, 802.1X, 100 Mbps garantidos por unidade), VLAN 20 para IoT do Edifício (com bypass de autenticação MAC, restrita apenas a endpoints de nuvem de gerenciamento do edifício), VLAN 30 para PDV Comercial (WPA3-Enterprise, 802.1X, segmento isolado PCI-DSS) e VLAN 40 para WiFi de Visitantes Públicos (Captive Portal, WPA3-Personal, concessões DHCP de 1 hora). Transmita um único SSID de 802.1X para residentes, funcionários do comércio e dispositivos IoT, usando um servidor RADIUS para atribuição dinâmica de VLAN. Transmita um SSID aberto separado com um Captive Portal Purple para visitantes públicos. Configure o firewall principal com uma política estrita de negação por padrão (Default-Deny), permitindo apenas rotas inter-VLAN explícitas onde for operacionalmente necessário. Integre o servidor RADIUS com o Microsoft Entra ID para gerenciamento de identidade dos residentes.
Um gerente de TI de um hotel percebe uma degradação severa no desempenho do WiFi no centro de conferências durante um grande evento. A rede transmite atualmente sete SSIDs diferentes para acomodar vários clientes corporativos e visitantes públicos. Como eles podem resolver esse problema de desempenho?
A degradação do desempenho é causada pela sobrecarga de quadros de gerenciamento gerada pela transmissão de sete SSIDs. O gerente de TI deve consolidar a rede. Ele deve fazer a transição para um modelo de dois SSIDs: um SSID 802.1X seguro para todos os clientes corporativos e funcionários, e um SSID aberto com um Captive Portal Purple para visitantes públicos. Eles devem integrar um servidor RADIUS para autenticar os usuários corporativos e atribuí-los dinamicamente às suas respectivas VLANs de cliente. Cada cliente corporativo recebe uma VLAN dedicada (por exemplo, VLAN 100 para o Cliente A, VLAN 101 para o Cliente B) por meio de atributos RADIUS. O servidor RADIUS mapeia as credenciais do provedor de identidade de cada usuário para o ID de VLAN correto. As políticas de QoS são configuradas por VLAN para garantir faixas de largura de banda para clientes de conferência premium.
Questões práticas
Q1. Você está implantando uma solução de WiFi gerenciado para uma propriedade BTR de 150 unidades. O sistema de gerenciamento predial exige acesso à rede para controladores HVAC e fechaduras inteligentes, que não oferecem suporte a 802.1X. Como você conecta esses dispositivos com segurança sem expor a rede dos residentes?
Dica: Considere como a rede pode identificar dispositivos sem credenciais de usuário e como restringir seu acesso apenas aos destinos necessários.
Ver resposta modelo
Use MAC Authentication Bypass (MAB) para autenticar os controladores HVAC e fechaduras inteligentes com base em seus endereços MAC. O servidor RADIUS identifica cada dispositivo pelo endereço MAC e o atribui a uma VLAN de IoT isolada e dedicada (por exemplo, VLAN 30). Como os endereços MAC podem ser forjados, configure uma política de firewall estrita de negação por padrão (Default-Deny) para a VLAN 30, permitindo explicitamente o tráfego apenas para os endpoints de nuvem específicos exigidos pelo sistema de gerenciamento predial. Bloqueie todo o roteamento entre a VLAN 30 e a VLAN de Residentes (VLAN 10). Isso garante que um dispositivo IoT comprometido não possa alcançar os dispositivos ou dados dos residentes.
Q2. Um lojista em seu edifício BTR multi-inquilino relata que seus terminais de Ponto de Venda (PDV) estão falhando nas varreduras de conformidade PCI-DSS porque estão visíveis para dispositivos na rede pública de convidados. Qual é a falha arquitetônica e como remediá-la?
Dica: Pense sobre o isolamento de Camada 2 e as políticas de roteamento de Camada 3 entre o segmento de PDV e o segmento de convidados.
Ver resposta modelo
A falha arquitetônica é a segmentação de rede inadequada. Ou os terminais de PDV e os dispositivos públicos de convidados estão na mesma rede plana (mesma VLAN e sub-rede), ou o firewall principal está configurado para rotear tráfego entre a VLAN de PDV e a VLAN de Convidados sem restrição. A remediação é colocar os terminais de PDV em uma VLAN dedicada e isolada (por exemplo, VLAN 30) com uma política estrita de roteamento inter-VLAN de negação por padrão (Default-Deny) no firewall. A VLAN de Convidados não deve ter rota permitida para a VLAN de PDV. Isso coloca o segmento de PDV em conformidade com o PCI-DSS, isolando o tráfego do ambiente de dados de portadores de cartão (CDE) de todos os outros segmentos de rede.
Q3. Seu painel de monitoramento de rede mostra alta utilização de canal e baixo desempenho do cliente em todos os pontos de acesso em um centro de conferências, mesmo durante períodos de pouca atividade, quando poucos usuários estão conectados. Atualmente, você está transmitindo seis SSIDs por ponto de acesso. Qual é a causa mais provável e qual é a remediação recomendada?
Dica: Considere o impacto dos frames de gerenciamento no tempo de transmissão sem fio (airtime), independentemente do número de clientes conectados.
Ver resposta modelo
O problema de desempenho é causado pela proliferação de SSIDs. A transmissão de seis SSIDs por ponto de acesso consome uma parte significativa do tempo de transmissão sem fio (airtime) com frames de gerenciamento de beacon, independentemente de quantos clientes estão conectados. Cada SSID deve transmitir beacons na menor taxa de dados compatível para garantir a compatibilidade com dispositivos legados. A remediação é consolidar os SSIDs. Implemente a Atribuição Dinâmica de VLAN via 802.1X e um servidor RADIUS. Isso permite que você transmita um único SSID seguro e atribua dinamicamente os usuários às suas VLANs corretas após a autenticação, recuperando o tempo de transmissão sem fio (airtime) e melhorando a taxa de transferência para todos os clientes conectados. Limite a contagem total de SSIDs a quatro ou menos por ponto de acesso.
Continue a ler esta série
Provedor de WiFi gerenciado: um guia abrangente para empresas
Este guia abrangente explora a arquitetura técnica, as estratégias de implantação e o valor comercial de contratar um provedor de WiFi gerenciado. Ele oferece recomendações práticas para líderes de TI sobre segmentação de rede, protocolos de autenticação e proteção de ambientes multi-tenant.
Provedores de WiFi gerenciado: um guia completo para empresas
Este guia equipa incorporadores imobiliários, proprietários e operadores de BTR com a arquitetura técnica e as estratégias de implementação necessárias para selecionar e implantar provedores de WiFi gerenciado. Ele aborda iPSK, segmentação de VLAN, gerenciamento em nuvem e padrões de conformidade, e mostra como a integração da camada de inteligência da Purple transforma uma rede que gera custos em um ativo de dados primários.
Soluções de WiFi gerenciado: um guia completo para empresas
Este guia detalha como projetar, implantar e gerenciar redes WiFi corporativas em propriedades de múltiplos locais. Ele aborda segmentação de VLAN, autenticação baseada em identidade e arquitetura gerenciada em nuvem para garantir segurança e eficiência operacional.