WiFi gerenciado para escritórios servidos e coworking: isolamento de locatários e faturamento

Operadores de escritórios virtuais e coworking isolam os locatários fornecendo a cada empresa membro sua própria identidade de rede. Essa identidade é uma chave de WiFi privada ou um login 802.1X em uma rede compartilhada, mapeada para sua própria VLAN. Visitantes, passes diários e salas de reunião usam um Captive Portal separado. As camadas de largura de banda são vinculadas a cada identidade e faturadas por meio do seu sistema de gestão de espaço de trabalho.

Qual modelo de isolamento de locatários seu escritório virtual deve escolher?

Para a maioria dos operadores, a resposta certa é um design em camadas com três partes:

• Fornecer a cada empresa membro uma chave privada em uma rede compartilhada de membros.
• Mover locatários corporativos com notebooks gerenciados para o 802.1X.
• Colocar todos os visitantes, passes diários e reservas de salas de reunião em uma rede de Captive Portal separada.

Esse design resolve o problema central do WiFi para escritórios virtuais. Dezenas de empresas compartilham os mesmos pontos de acesso, mas cada uma espera uma rede que se comporte como se fosse seu próprio escritório. Os membros querem ver seu próprio impressora e servidor de arquivos, e de mais ninguém. Você quer apenas um ambiente para gerenciar, não uma rede por locatário.

Por que um SSID por empresa não funciona

Um SSID (identificador de conjunto de serviços) é o nome da rede que um dispositivo visualiza. A solução óbvia é um SSID por empresa, mas isso falha em escala. Cada SSID transmite seus próprios frames de beacon, por padrão a cada 102,4 milissegundos segundo o IEEE 802.11. Os beacons são enviados na menor taxa de dados básica, portanto consomem muito tempo de transmissão. Dez locatários significam dez conjuntos de beacons em cada rádio. Esse tempo de transmissão é retirado da capacidade pela qual seus membros estão pagando.

Uma senha compartilhada com isolamento de cliente é o outro atalho comum. O isolamento de cliente impede que os dispositivos se comuniquem entre si, incluindo os notebooks da própria empresa e sua impressora. Quando um membro sai, você altera a senha e todas as outras empresas precisam reconfigurar todos os dispositivos.

O modelo que escala: identidade em uma rede compartilhada

O padrão escalável separa o nome da rede da identidade da rede. Todas as empresas membros se conectam ao mesmo SSID. A credencial apresentada determina onde ela será alocada.

Dois métodos carregam essa identidade:

• Identity pre-shared key (iPSK). Cada empresa, ou cada dispositivo, recebe sua própria senha em um único SSID. Os fornecedores usam nomes diferentes. A Cisco Meraki chama de iPSK, a HPE Aruba chama de MPSK e a Ruckus chama de DPSK. O termo genérico é PPSK (private pre-shared key).
• IEEE 802.1X. Cada pessoa ou dispositivo se autentica individualmente. O PEAP (Protected Extensible Authentication Protocol) usa um nome de usuário e senha. O EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) usa um certificado digital.

Ambos os métodos fazem o handoff para um servidor RADIUS (Remote Authentication Dial-In User Service). O RADIUS verifica a credencial e informa ao ponto de acesso qual VLAN usar. Uma VLAN (virtual local area network) é um segmento de rede logicamente separado. A RFC 3580 define os atributos RADIUS padrão para essa atribuição de VLAN. O tráfego na VLAN de uma empresa não pode alcançar a de outra sem passar pelo seu firewall.

O Purple Multi-Tenant WiFi executa esse modelo como uma sobreposição em nuvem nos pontos de acesso que você já possui. Cada empresa membro recebe uma Private Area Network, uma bolha de rede privada em uma infraestrutura compartilhada. O Cloud RADIUS da Purple verifica a identidade e retorna a VLAN, para que você não precise hospedar nenhum servidor RADIUS no local.

Onde o acesso por PSK por empresa, 802.1X e Captive Portal genuinamente diferem

A tabela compara os quatro modelos que os operadores consideram, nos eixos que decidem uma implantação multilocatária.

	Senha compartilhada	iPSK por empresa	802.1X (PEAP ou EAP-TLS)	Captive Portal
Como um dispositivo se conecta	Uma senha para cada locatário	Uma senha por empresa ou por dispositivo	Login pessoal ou certificado de dispositivo	Página de sign-in na web após conectar
O que separa os locatários	Apenas isolamento de cliente	VLAN atribuída por RADIUS por empresa	VLAN atribuída por RADIUS por empresa ou função	Isolamento de cliente em uma VLAN de convidados
Impressoras, telas e IoT	Suportado	Suportado	Limitado em dispositivos sem tela	Não adequado
Integração de uma nova empresa	Compartilhar a senha existente	Criar uma chave	Criar contas ou emitir certificados	Nenhuma, os visitantes fazem autoatendimento
Quando uma empresa sai	Trocar a chave de todo o edifício	Excluir uma chave	Desativar contas no diretório	A sessão expira por um temporizador
Padrão de segurança	WPA2 ou WPA3-Personal	WPA2-Personal, WPA3-Personal onde o fornecedor suportar	WPA2 ou WPA3-Enterprise	Aberto ou OWE, além do portal
Melhor adequação	Não recomendado para uso multilocatário	Pequenas e médias empresas membros	Locatários corporativos com dispositivos gerenciados	Visitantes, passes diários, salas de reunião, eventos

O OWE (Opportunistic Wireless Encryption, RFC 8110) criptografa uma rede aberta sem uma senha. Ele protege os visitantes no SSID de convidados contra a interceptação passiva.

O que o projeto de VLAN precisa atrás dos pontos de acesso

A Purple controla a identidade e a atribuição de VLAN. Seus switches e firewall ainda aplicam a separação, portanto o projeto da rede cabeada importa tanto quanto o da rede sem fio.

• Uma VLAN por empresa membro, cada uma com seu próprio escopo DHCP (Dynamic Host Configuration Protocol) para endereços IP.
• Bloqueio padrão (default-deny) entre VLANs no firewall. Permita o acesso à internet, além de qualquer serviço compartilhado que você escolher expor, como uma impressora do edifício.
• Portas cabeadas correspondentes. Portas no escritório privado de uma empresa terminam na mesma VLAN que o seu WiFi. A estação de trabalho na mesa e o laptop veem a mesma rede.
• Isolamento de cliente na VLAN de convidados, para que os visitantes não consigam alcançar os dispositivos uns dos outros.

Planeje para endereços de dispositivos randomizados

Dispositivos Apple a partir do iOS 14 e dispositivos Android a partir do Android 10 usam um endereço MAC aleatório por rede por padrão. Qualquer projeto que reconheça membros pelo endereço de hardware falhará, seja para passes diários ou faturamento. Vincule o acesso e a cobrança à chave ou ao login, nunca ao endereço MAC.

Quando o iPSK por empresa é a escolha certa

O iPSK atende à maioria dos membros de coworking. Ele funciona em qualquer dispositivo com suporte a WPA2-Personal, incluindo impressoras, smart TVs e equipamentos de sala de conferência. Os membros não precisam de departamento de TI nem de configuração além de digitar uma senha. Você gerencia um registro por empresa.

Decida logo no início entre chaves por empresa ou por dispositivo. Uma chave por empresa é mais simples de emitir. Chaves por dispositivo ou por pessoa permitem revogar um telefone perdido sem alterar a senha de todos. Muitos operadores os combinam: uma chave da empresa para hardware compartilhado e chaves pessoais para a equipe.

Verifique um detalhe antes de comprar. O WPA3-Personal substitui o handshake PSK pelo SAE (Simultaneous Authentication of Equals). Confirme se seus pontos de acesso suportam múltiplas chaves por SSID no WPA3-Personal, não apenas no WPA2-Personal.

Os cenários a seguir são projetos práticos, com resultados medidos na própria rede.

Cenário prático: um hotel com um andar de escritórios privativos

Situação. Um hotel urbano de 180 quartos converteu seu primeiro andar em 12 escritórios privativos. Todos os 12 locatários compartilhavam uma única senha, separada da rede de hóspedes. Quando um locatário se mudava, o hotel alterava a senha e outras 11 empresas reconfiguravam todos os dispositivos. A impressora de rede de um locatário ficava visível para todo o andar.

O que foi feito. O hotel criou um SSID de membro com 12 iPSKs, cada um mapeado para sua própria VLAN. As portas cabeadas em cada escritório foram movidas para a VLAN correspondente. O hotel manteve o Guest WiFi em seu próprio SSID de Captive Portal para hóspedes nos quartos e no lobby.

Resultado. As empresas afetadas por uma saída caíram de 12 para uma. O hotel operou dois SSIDs em vez dos 13 que um projeto de rede por locatário exigiria. Cada impressora tornou-se visível apenas dentro da VLAN de sua própria empresa. O mesmo padrão se aplica a qualquer um dos Hotels que esteja adicionando espaço de trabalho à sua oferta.

Quando o 802.1X com identidade do membro é a escolha certa

Mova um locatário para o 802.1X quando ele tiver sua própria equipe de TI e laptops gerenciados. Faça o mesmo quando sua política de segurança exigir acesso baseado em certificado, como é comum para membros dos setores financeiro e de saúde.

O EAP-TLS elimina completamente as senhas compartilhadas. Cada laptop gerenciado possui um certificado e a revogação dele remove o acesso desse dispositivo. O PEAP usa as credenciais do diretório do locatário. Isso é mais fácil de implantar, mas herda a expiração de senha e as chamadas de suporte decorrentes.

As redes baseadas em identidade da Purple vinculam o acesso à rede à identidade, em vez de uma chave secreta compartilhada. O Purple se conecta ao Microsoft Entra ID, Okta e Google Workspace. Entradas, movimentações e saídas de funcionários são então tratadas na camada de identidade. Um ex-colaborador desativado no diretório da empresa perde o acesso ao WiFi na próxima autenticação, sem nenhuma ação da sua equipe.

A segurança pessoal e corporativa não podem compartilhar o mesmo SSID, pois usam métodos de autenticação diferentes. Os clientes corporativos precisam, portanto, de um segundo SSID de membro. Mantenha apenas um, compartilhado por todos os clientes 802.1X, com VLANs atribuídas por empresa.

Para operadoras com vários centros, considere o Passpoint (Hotspot 2.0). Ele permite que um dispositivo se conecte a uma rede de forma automática e segura usando um perfil armazenado. O OpenRoaming é a federação da Wireless Broadband Alliance construída sobre o Passpoint, e o Purple oferece suporte a ele. Com qualquer um dos dois, os membros se deslocam entre seus locais sem precisar fazer login novamente.

Cenário prático: um centro de inovação municipal

Situação. Um centro empresarial administrado pela prefeitura abriga 40 startups e uma equipe de desenvolvimento econômico municipal com 25 pessoas. O TI da prefeitura exige 802.1X para seus laptops gerenciados. A equipe municipal havia instalado seus próprios pontos de acesso ao lado dos do centro, duplicando o hardware em dois andares.

O que foi feito. O centro consolidou a infraestrutura em um único parque de pontos de acesso com três SSIDs. O primeiro é um SSID de membro com 40 iPSKs mapeados para 40 VLANs. O segundo é um SSID 802.1X usando EAP-TLS integrado ao diretório da prefeitura, mapeado para a VLAN da prefeitura. O terceiro é um SSID de visitante com um Captive Portal.

Resultado. A segunda infraestrutura de pontos de acesso em dois andares foi removida. O centro opera com três SSIDs, em comparação com os 41 que seriam necessários no modelo de um por empresa. Os ex-funcionários da prefeitura perdem o WiFi assim que o TI os desativa no diretório, sem nenhuma intervenção da equipe do centro.

Como se encaixam os visitantes, passes diários e salas de reunião?

Os visitantes nunca acessam a rede de membros. Um Captive Portal é a página web que um dispositivo visualiza antes de obter acesso à internet. Ele fica em seu próprio SSID de visitante e VLAN com isolamento de cliente.

Três tipos de visitantes precisam de regras diferentes:

• Visitantes de membros. Clientes e entrevistados que chegam para uma empresa membro recebem acesso de visitante com tempo limitado pela recepção ou pelo portal. Eles não recebem a chave da empresa.
• Titulares de passes diários. Emita uma credencial no check-in que expire no horário de fechamento. O titular de um passe diário que migra para um plano de hot-desk passa a usar uma chave pessoal no SSID de membro.
• Reservas de salas de reunião. Clientes externos que reservam salas recebem um código válido pelo período da reserva. Os membros que reservam uma sala já possuem sua própria rede e não precisam de nada adicional.

Os logins de visitantes são dados pessoais sob o GDPR, portanto, colete apenas o necessário. Solicite consentimento de marketing por meio de seleções conscientes e ativas (opt-in), em vez de caixas pré-marcadas. Defina os períodos de retenção para registros de login e logs de rede antes de entrar em operação. O guia GDPR data retention for shared WiFi operators: how long you can keep guest login data and network logs aborda esses limites.

Visitantes com passe diário e de salas de reunião são seus futuros membros. Os dados de visitantes com opt-in fornecem à sua equipe de vendas dados primários sobre quem visita, com que frequência e quais espaços eles reservam. O WiFi Analytics mostra a frequência das visitas e o tempo de permanência em lounges e salas de reunião, o que direciona a precificação e o layout.

Cenário prático: um espaço de eventos dentro do ambiente de trabalho

Situação. Um espaço de trabalho flexível com um salão de eventos para 300 pessoas realiza eventos noturnos semanais. A equipe da recepção fornecia aos participantes a senha dos membros, porque a rede de convidados não tinha um modo de evento.

O que foi feito. Cada evento recebeu seu próprio código de acesso no SSID de convidados, válido das 17:00 às 23:00. Um limite por dispositivo de 10 Mbps protegeu o tráfego dos membros em uplinks compartilhados. O portal ofereceu aos participantes um opt-in de escolha consciente para acompanhamento do organizador.

Resultado. Nenhum participante recebeu a senha dos membros a partir daquele momento. O acesso terminava às 23:00 sem nenhuma alteração manual. Cada opt-in se tornou um dado primário que a equipe de eventos pôde usar para a próxima reserva.

Quanto custa operar cada modelo e como funciona o faturamento

Custos operacionais por modelo

Fora as taxas de licença, o custo real de cada modelo é o tempo da equipe e a infraestrutura de suporte.

• O iPSK tem o menor custo administrativo por tenant: uma chave por empresa, uma exclusão por pessoa que se desliga. O RADIUS em nuvem elimina o servidor que você precisaria hospedar e atualizar.
• O 802.1X com PEAP depende do diretório do tenant. Espere chamados no suporte quando as senhas expirarem e os dispositivos se desconectarem da rede.
• O 802.1X com EAP-TLS precisa de PKI (infraestrutura de chaves públicas) para emitir certificados, além de gerenciamento de dispositivos para instalá-los. O custo de configuração é o mais alto, e a exposição contínua é a menor.
• O Captive Portal quase não exige administração por visitante. Seu custo principal é o trabalho de conformidade com o GDPR em relação à retenção e ao consentimento.

O hardware raramente é o gerador de custos. Uma sobreposição em nuvem roda nos pontos de acesso que você já possui, conforme detalhado em Por que sua próxima atualização de WiFi não precisa de novo hardware.

Modelos de faturamento que a rede pode aplicar

O faturamento só é defensável quando a rede aplica o que está na fatura. Cada modelo abaixo associa uma cobrança a um controle e aos dados que a comprovam.

Modelo de faturamento	Como você cobra	O que aplica o controle	Dados necessários
Incluído	WiFi incluído na taxa de assinatura	Chave da empresa ou login ativo enquanto a assinatura estiver ativa	Status ativo ou revogado por empresa
Níveis de largura de banda	Adicional mensal, por exemplo, 100 Mbps, 500 Mbps ou 1 Gbps	Limite de taxa associado à identidade da empresa	Throughput por VLAN da empresa
Uplink dedicado	Repasse de uma linha dedicada acrescido de margem	O roteamento de políticas envia a VLAN da empresa para seu próprio uplink	Utilização do uplink por mês
Passe diário	Por dia, na recepção ou online	Credencial que expira no horário de encerramento	Registro de emissão e expiração por credencial
Sala de reunião	Incluído no preço de reserva da sala	Código válido para a janela de reserva	Referência de reserva vinculada a cada código

Limites de taxa são vinculados por identidade por meio de atributos específicos do fabricante RADIUS ou por política de grupo nos pontos de acesso. O mecanismo difere por fabricante, portanto, teste cada camada em seu próprio hardware antes de precificá-la.

Integração por meio do seu sistema de gestão de espaço de trabalho

A sua plataforma de gestão de espaço de trabalho já mantém o registro de membros. O objetivo é que cada evento de membro acione o evento de rede correspondente:

1. Um contrato assinado cria a chave da empresa ou a VLAN corporativa.
2. Um upgrade de plano altera o limite de taxa para essa identidade.
3. Uma data de saída revoga a chave ao final do contrato.

Configurado dessa forma, quem sai perde o acesso no dia em que o contrato termina, e não no dia em que alguém se lembra. Peça a qualquer fornecedor, incluindo a Purple, para demonstrar esse fluxo em sua plataforma antes de assinar. Para um contexto mais amplo sobre a operação de redes de nível empresarial, consulte WiFi nos negócios.

Como decidir para o seu espaço de trabalho: design e lista de verificação do comprador

Matriz de decisão

Sua situação	Recomendação
Até 50 pequenas empresas membros com dispositivos mistos	Um SSID de membro iPSK mais um SSID de Captive Portal de visitantes
Clientes corporativos com TI própria e laptops gerenciados	Adicione um SSID 802.1X com EAP-TLS, VLAN por cliente
Vários centros com membros que transitam entre eles	SSIDs idênticos em todos os locais, além de Passpoint ou OpenRoaming
Eventos de grande porte e aluguel de salas de reunião	Códigos com limite de tempo no SSID de visitantes com limites por dispositivo
Clientes que aceitam pagamentos com cartão	VLAN dedicada e regras de firewall documentadas para limitar o escopo do PCI-DSS

As diretrizes do PCI-DSS reconhecem a segmentação de rede como uma forma de reduzir o escopo de uma avaliação. Documente as regras de firewall que isolam a VLAN de um cliente que processa pagamentos, pois o avaliador as solicitará.

Lista de verificação de design

1. Limite a estrutura a três SSIDs: iPSK de membro, 802.1X de membro e visitante.
2. Crie uma VLAN e um escopo DHCP por empresa membro.
3. Defina bloqueio padrão (default-deny) entre VLANs, com regras explícitas de permissão para serviços compartilhados.
4. Mapeie as portas cabeadas de escritórios privativos para a VLAN de cada empresa.
5. Habilite o isolamento de clientes e OWE no SSID de visitantes.
6. Defina camadas de largura de banda e teste cada limite de taxa em seus pontos de acesso.
7. Vincule passes diários e cobranças a credenciais, nunca a endereços MAC.
8. Defina períodos de retenção para dados de visitantes e logs de rede antes do lançamento.

Lista de verificação do comprador

1. Suporte a hardware. A plataforma roda em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet? A Purple é agnóstica em relação ao hardware nas oito marcas.
2. Uma plataforma para cada modelo. Ela pode gerenciar o acesso por iPSK, 802.1X e Captive Portal a partir de um único painel de controle?
3. VLANs dinâmicas. O serviço RADIUS retorna uma VLAN por identidade usando atributos padrão RFC 3580?
4. Limites de taxa por identidade. As camadas de largura de banda podem ser vinculadas a uma empresa em vez de a um SSID?
5. Automação do ciclo de vida. Os eventos de associação podem criar, alterar e revogar o acesso à rede sem etapas manuais?
6. Conformidade. Procure por ISO 27001, GDPR, CCPA e Cyber Essentials. A Purple possui as quatro certificações e é uma B Corp certificada.
7. Disponibilidade. Qual o tempo de atividade com o qual o fornecedor se compromete? A plataforma da Purple opera com 99,999% de tempo de atividade.
8. Controle para múltiplos locais. Você consegue aplicar uma única política em todos os centros com a marca local? Veja WiFi para visitantes em múltiplos locais para franquias: controle central com marca local.

A escala é importante ao avaliar a maturidade operacional de um fornecedor. A Purple foi fundada em 2012 e opera em mais de 80.000 locais ativos em mais de 90 países. Nossos próprios dados mostram 440 milhões de logins em 2024.

Perguntas frequentes

O Purple Multi-Tenant WiFi pode ser executado nos pontos de acesso que já possuímos?

Sim. A Purple é agnóstica em relação ao hardware e roda como uma sobreposição em nuvem no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Você mantém seus pontos de acesso, switches e firewall. A Purple adiciona Cloud RADIUS, identidade por empresa e atribuição de VLAN no topo, sem necessidade de substituição completa de infraestrutura. Confirme se o seu modelo suporta múltiplas chaves pré-compartilhadas em um único SSID antes de planejar uma implantação de iPSK.

Os membros podem trazer seus próprios dispositivos com segurança?

Sim, desde que os dispositivos de cada empresa fiquem em sua própria VLAN. Com o iPSK, o celular, notebook e impressora de um membro conectam-se usando a chave da empresa e enxergam apenas a rede dessa empresa. Com o 802.1X, cada pessoa faz login com uma credencial ou certificado pessoal. De qualquer forma, outro locatário no mesmo ponto de acesso não consegue alcançar esses dispositivos sem passar pelo seu firewall.

Como o WiFi é faturado em espaços de trabalho flexíveis?

A maioria dos operadores inclui o WiFi padrão na taxa de associação e vende níveis de largura de banda ou links dedicados como adicionais. Os passes diários são cobrados por dia, e o WiFi para salas de reunião é incorporado ao preço da reserva. O faturamento só se sustenta quando a rede o aplica, portanto, cada limite de taxa deve estar vinculado à identidade da empresa. O rendimento por VLAN da empresa passa então a respaldar a fatura.

Precisamos de um SSID separado para cada empresa membro?

Não. Um SSID de membro com uma chave por empresa escala para dezenas de locatários sem adicionar sobrecarga de beacon. Adicione um segundo SSID apenas para locatários corporativos com 802.1X, pois a segurança pessoal e a corporativa não podem compartilhar o mesmo nome de rede. Adicione um SSID de visitante para os usuários temporários. Três SSIDs cobrem a maioria dos escritórios compartilhados, independentemente de quantas empresas você hospede.

Como migrar de uma senha compartilhada sem interromper os membros?

Execute o novo SSID de membros paralelamente ao antigo e faça a migração empresa por empresa. Emita a chave de cada empresa, mova as portas de rede do escritório para a VLAN correspondente e confirme se os dispositivos funcionam antes de iniciar a próxima. Desative a senha compartilhada assim que a última empresa tiver sido migrada. Mapeie as impressoras e equipamentos audiovisuais por escritório primeiro, pois dispositivos sem interface de usuário causam a maior parte das interrupções.

Os dados de login de visitantes em uma rede de coworking para convidados estão em conformidade com o GDPR?

Sim, se você os coletar com base legal e os mantiver apenas pelo tempo necessário. O Purple está em conformidade com o GDPR e possui certificação ISO 27001, e seu captive portal usa opt-ins de escolha consciente para consentimento de marketing. Como operador, você ainda define os períodos de retenção para dados de login e logs de rede. Acorde esses períodos antes do lançamento e publique-os em seu aviso de privacidade.

Devemos escolher iPSK ou 802.1X para as empresas membros?

Escolha iPSK para a maioria das empresas membros e 802.1X para clientes corporativos com dispositivos gerenciados. O iPSK funciona em todos os dispositivos WPA2-Personal, incluindo impressoras e telas, e precisa de uma chave por empresa. O 802.1X com EAP-TLS oferece a cada dispositivo seu próprio certificado e vincula o acesso ao diretório do cliente, ao custo do gerenciamento de certificados. Muitos escritórios virtuais e de co-working executam ambos nos mesmos pontos de acesso.