Aquisições escolares de WiFi: 802.1X para colaboradores, dispositivos de alunos, visitantes e filtragem numa única especificação

Uma especificação de WiFi escolar deve listar quatro redes: colaboradores, dispositivos geridos de alunos, visitantes e dispositivos do edifício. Deve definir a autenticação, a segmentação e a filtragem para cada uma delas. Os colaboradores e os dispositivos geridos de alunos devem ligar-se com 802.1X ou chaves por dispositivo, nunca através de uma palavra-passe partilhada. A filtragem deve cumprir as normas de filtragem e monitorização do DfE em todas as redes, incluindo a rede de visitantes.

O que faz realmente uma especificação única de WiFi escolar?

Uma especificação única elimina a lacuna que surge quando três fornecedores gerem, cada um, uma parte da rede. Numa escola típica, um fornecedor vende os pontos de acesso, outro gere o RADIUS e um terceiro filtra o tráfego da Web. Quando um aluno acede a conteúdos prejudiciais na rede de visitantes, nenhum fornecedor assume a responsabilidade individualmente.

Incluir todas as redes num único concurso público de WiFi escolar resolve este problema logo na fase de contratação. Cada rede recebe quatro elementos:

• Um responsável designado.
• Um método de autenticação.
• Uma VLAN, isto é, uma LAN virtual: uma rede lógica que mantém o tráfego separado em comutadores e pontos de acesso partilhados.
• Uma política de filtragem.

Os concorrentes orçamentam com base em todo o parque escolar. O seu responsável pela proteção de menores (DSL) recebe apenas um conjunto de relatórios em vez de três.

Para o WiFi de agrupamentos de academias (multi-academy trusts), a especificação funciona também como um modelo. Cada escola herda as mesmas redes e políticas, existindo variação local apenas quando o agrupamento a autoriza. Uma escola que integre o agrupamento no ano seguinte adota o modelo em vez de realizar o seu próprio processo de aquisição.

Do que necessita antes de redigir o concurso de WiFi escolar?

Reúna cinco elementos antes da elaboração. Cada um deles influencia o que solicitará aos concorrentes.

Uma lista de ativos por escola. Registe os modelos de pontos de acesso, controladores, comutadores e datas de suporte dos fabricantes. O Purple é agnóstico em relação ao hardware e funciona como uma sobreposição na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Se o seu hardware constar dessa lista e ainda contar com suporte, o concurso poderá nem necessitar de um lote para hardware. O artigo Por que motivo a sua próxima atualização de WiFi não necessita de hardware novo apresenta este caso em detalhe.

A sua fonte de identidade. A maioria das escolas utiliza o Microsoft Entra ID ou o Google Workspace para contas de colaboradores e alunos, e alguns agrupamentos utilizam o Okta. A plataforma de WiFi deve autenticar-se com base nesse diretório, e não numa lista secundária de contas.

Um inventário de dispositivos. Contabilize os iPads, Chromebooks e portáteis Windows geridos, e registe quem os gere. Tome nota se uma plataforma de gestão de dispositivos móveis (MDM) já os regista. O MDM é um software que envia configurações, aplicações e credenciais para os dispositivos pertencentes à escola.

A sua configuração atual de filtragem e monitorização. Registe o fornecedor, a data de fim do contrato e o membro sénior da direção responsável. A norma do DfE prevê funções formalmente designadas antes de qualquer decisão tecnológica.

Aprovação de salvaguarda. O seu DSL e o membro do conselho responsável pela segurança online devem aprovar os requisitos de filtragem antes do lançamento do concurso. O documento Keeping Children Safe in Education atribui ao DSL a responsabilidade principal pela segurança online, incluindo a compreensão da filtragem e da monitorização implementadas.

Como descrever cada rede na especificação da rede escolar?

Comece a especificação com uma tabela semelhante à apresentada abaixo. Esta tabela indica a cada concorrente quem utiliza cada rede, como se autenticam e o que é filtrado. Os concorrentes respondem depois linha a linha.

Rede	Quem a utiliza	Como se autentica	Segmentação	Política de filtragem	Componente Purple
Funcionários	Professores, pessoal de apoio, pessoal de substituição, equipa central do agrupamento	IEEE 802.1X contra o Entra ID, Google Workspace ou Okta; certificados em computadores portáteis geridos	VLAN própria com acesso a MIS, impressoras e partilhas de ficheiros	Política de funcionários, filtrada e registada com identificação pessoal	Purple Access, Shield
Dispositivos geridos de alunos	iPads, Chromebooks e computadores portáteis da escola	Certificado EAP-TLS ou iPSK por dispositivo, distribuído por inscrição no MDM	VLAN própria, sem encaminhamento para os recursos dos funcionários	Política para alunos adaptada à idade, registada por dispositivo	Purple Access, Purple MDM, Shield
Dispositivos próprios dos alunos (opcional, ensino secundário)	Alunos do ensino secundário com telemóveis e computadores portáteis pessoais	802.1X com conta de aluno ou iPSK por aluno	VLAN própria, apenas internet	Política de alunos, registada por aluno	Purple Access, Shield
Visitantes e prestadores de serviços	Pais, membros do conselho, prestadores de serviços, utilizadores do pavilhão	Portal cativo com acesso limitado no tempo ou patrocinado	Isolamento de clientes, apenas internet	Política de visitantes, filtrada e registada	Purple Access, Shield
Dispositivos do edifício	Impressoras, audiovisuais, controlo de acessos, CCTV, sensores	iPSK por dispositivo	VLAN isolada, apenas os serviços de que cada dispositivo necessita	Restrito aos destinos necessários	Purple Access, Shield

Funcionários: 802.1X contra o diretório que já utiliza

O IEEE 802.1X é a norma para controlo de acessos à rede. Um dispositivo tem de se autenticar num servidor RADIUS antes de obter qualquer acesso à rede. O RADIUS (Remote Authentication Dial-In User Service) é o protocolo que valida a credencial e devolve uma aceitação ou rejeição.

Descreva o requisito com clareza: "Os dispositivos dos funcionários autenticam-se com IEEE 802.1X contra o fornecedor de identidade do agrupamento. Não existe qualquer palavra-passe partilhada de funcionários." O Purple Access fornece RADIUS na cloud, pelo que não necessita de implementar nenhum servidor local em cada escola.

Exija dois métodos:

• EAP-TLS para computadores portáteis geridos dos funcionários. Cada dispositivo apresenta um certificado distribuído por MDM, pelo que ninguém tem de introduzir dados.
• PEAP ou chaves individuais para telemóveis dos funcionários. O PEAP envia uma palavra-passe dentro de um túnel TLS encriptado.

Especifique WPA3-Enterprise onde os pontos de acesso e os dispositivos o suportem, utilizando WPA2-Enterprise como recurso de salvaguarda. O artigo Como configurar o WiFi empresarial no iOS e macOS com 802.1X aborda os passos do lado do dispositivo.

Automatize a gestão de entradas, transferências e saídas. Quando a entidade gestora desativa a conta de diretório de um colaborador cessante, o respetivo acesso WiFi deve terminar no mesmo instante. Peça aos concorrentes que expliquem exatamente de que forma as alterações de contas chegam à rede. Isto pode ser através de SCIM, um padrão para sincronizar contas entre sistemas, ou de uma consulta ao diretório em tempo real. Avalie-os pelo intervalo entre a desativação da conta e o término do acesso.

Dispositivos geridos de alunos: registados, não digitados

Uma palavra-passe partilhada em 600 iPads de alunos falha de forma previsível. Assim que um aluno descobre a chave, o seu telemóvel pessoal liga-se a uma rede destinada apenas a dispositivos escolares. Os registos passam a apresentar tráfego que não consegue atribuir a nenhum dispositivo gerido.

Defina este requisito: "Os dispositivos geridos de alunos recebem a respetiva credencial de rede através do registo por MDM. Nenhum aluno ou membro da equipa digita ou conhece a chave." Dois métodos cumprem este requisito:

• Certificados EAP-TLS, um por dispositivo. Esta é a opção mais robusta.
• iPSK (chave pré-partilhada de identidade, também denominada PPSK). Cada dispositivo obtém a sua própria chave no mesmo nome de rede, pelo que pode revogar um dispositivo sem afetar os restantes.

O MDM Purple regista dispositivos geridos de alunos para que a credencial seja fornecida com a configuração do dispositivo. Um iPad perdido traduz-se numa única credencial revogada, e não numa alteração de chave em toda a escola.

Os dispositivos partilhados em carrinhos necessitam de uma linha adicional na especificação. Os registos de filtragem identificarão o dispositivo e não o aluno. Peça aos concorrentes que demonstrem como os registos dos dispositivos se articulam com os seus registos de requisições ou horários. Deste modo, o seu DSL pode identificar quem estava com o dispositivo no momento em questão.

Visitantes e prestadores de serviços: com limite de tempo e devidamente filtrados

Os visitantes entram através de um portal cativo. Trata-se de uma página Web apresentada antes de ser concedido o acesso à rede. Especifique três tipos de acesso:

• Acesso a eventos para encarregados de educação e grupos comunitários, com validade até ao término do evento.
• Acesso patrocinado para membros dos órgãos de gestão e profissionais visitantes, aprovado por um colaborador identificado.
• Acesso para prestadores de serviços, com validade até à data de término do contrato.

Recolha apenas os dados de que necessita, nos termos do GDPR, com opções de consentimento explícito e consciente para qualquer finalidade que vá além do acesso. O Guest WiFi da Purple opera este modelo em mais de 80 000 espaços ativos em 90 países.

A rede de visitantes não está isenta de filtragem. A norma do DfE aplica a filtragem a contas de visitantes e a todos os dispositivos que utilizam a ligação de banda larga da escola.

Cenário prático: uma escola secundária com cedências de espaços em horário pós-laboral. Uma escola secundária cede o seu pavilhão desportivo e auditório a grupos comunitários quatro noites por semana. Aos utilizadores externos era facultada a palavra-passe do WiFi para colaboradores a partir de um cartão plastificado. Os seus dispositivos ficavam no VLAN para colaboradores, ao abrigo da política de filtragem para colaboradores.

A escola tomou três medidas:

1. Migrou os colaboradores para 802.1X, eliminando qualquer chave partilhada de colaboradores suscetível de ser transmitida.
2. Atribuiu a cada uma das quatro cedências semanais o seu próprio código de portal cativo, que expira no termo da reserva.
3. Aplicou a política de filtragem de visitantes a todos os dispositivos dos utilizadores externos.

O resultado modelado é quantificável. As credenciais partilhadas de funcionários em circulação passaram de uma para zero. Cada cedência de espaço passou a ter o seu próprio código com validade limitada. Cada sessão de utilizador externo no registo de filtragem tem agora associado um código que corresponde a uma referência de reserva.

Dispositivos do edifício: isolados por predefinição

Impressoras, sistemas audiovisuais, controlo de acessos e videovigilância (CCTV) raramente suportam 802.1X. Atribua a cada dispositivo, ou classe de dispositivos, a sua própria iPSK numa VLAN isolada. Limite cada dispositivo apenas aos serviços de que necessita. Um projetor não precisa de rota para o servidor MIS.

Filtragem e monitorização em todas as redes: o que exigem as normas do DfE

As normas de filtragem e monitorização do DfE, integradas nos seus padrões digitais e tecnológicos para escolas e colégios, definem quatro expectativas:

1. Identificar e atribuir funções e responsabilidades para gerir os sistemas de filtragem e monitorização.
2. Rever a prestação de filtragem e monitorização pelo menos uma vez por ano letivo.
3. Bloquear conteúdos prejudiciais e inadequados sem afetar de forma injustificada o ensino e a aprendizagem.
4. Dispor de estratégias de monitorização eficazes que respondam às necessidades de proteção de menores (safeguarding) da escola.

A norma é específica quanto ao sistema de filtragem. Deve aplicar-se a contas de convidados, dispositivos pertencentes à escola e qualquer dispositivo que utilize a ligação de banda larga da escola. Deve:

• Filtrar todo o tráfego de internet, incluindo qualquer ligação de reserva.
• Ser adequado à idade e à capacidade dos alunos.
• Processar conteúdos multilingues, imagens, erros ortográficos comuns e abreviaturas.
• Identificar e bloquear formas de contorno, tais como VPN e serviços de proxy.
• Emitir alertas sempre que um conteúdo seja bloqueado.

O fornecedor de filtragem deve ser membro da Internet Watch Foundation (IWF). Deve estar registado na lista da Counter-Terrorism Internet Referral Unit (CTIRU) e bloquear conteúdos ilegais, incluindo material de abuso sexual de menores. Os relatórios de filtragem devem apresentar:

• O nome ou ID do dispositivo e o endereço IP e, sempre que possível, o indivíduo.
• A hora e a data da tentativa de acesso.
• O termo de pesquisa ou conteúdo bloqueado.

Transforme cada ponto num requisito numerado e solicite a cada concorrente provas concretas, e não apenas uma resposta afirmativa. Essas provas devem incluir a respetiva filiação na IWF, o estatuto na CTIRU e a sua resposta publicada às definições de filtragem adequada do UK Safer Internet Centre.

O Purple Shield aplica a filtragem por rede. As redes de alunos, de funcionários e de visitantes podem ter, cada uma, uma política diferente sob um único conjunto de registos. Como o Purple Access reconhece quem ou o que se autenticou, um pedido bloqueado é mapeado diretamente para um funcionário identificado, um dispositivo gerido ou um código de visitante. Esta identidade é exatamente o que o requisito de elaboração de relatórios do DfE exige.

Relatórios, suporte e implementação num agrupamento escolar (trust)

Relatórios. Solicite relatórios a três níveis: por rede, por escola e à escala de todo o agrupamento. O responsável pela proteção de menores (DSL) necessita de relatórios e alertas relativos a pedidos bloqueados. O gestor administrativo precisa de dados sobre ligações e capacidade. O conselho geral necessita de elementos comprovativos para a revisão anual. Os relatórios da rede de visitantes podem ser integrados com o WiFi Analytics para dados de eventos e cedências de instalações.

Suporte. Especifique os tempos de resposta durante o dia escolar, durante as férias e para escalamentos de salvaguarda. Indique a rota de escalamento para um alerta de filtragem emitido fora de horas. Exija certificações. A Purple detém a certificação ISO 27001 e Cyber Essentials, cumpre a GDPR e opera com 99,999% de disponibilidade.

Implementação. Inclua uma escola-piloto no contrato antes da implementação em todo o agrupamento. Agende as restantes escolas para períodos de férias. Peça aos concorrentes um plano de execução em paralelo: a antiga rede com chave partilhada permanece ativa brevemente enquanto os dispositivos migram, sendo depois descontinuada numa data fixa.

Cenário prático: um agrupamento de oito escolas. Um agrupamento de duas escolas secundárias e seis escolas básicas geria oito configurações de WiFi diferentes. A filtragem estava dispersa por três contratos distintos. Os iPads dos alunos de cada escola ligavam-se através de uma chave partilhada.

O agrupamento seguiu quatro passos:

1. Emitiu uma especificação única com a tabela de rede de cinco linhas apresentada acima.
2. Especificou uma sobreposição na cloud (cloud overlay) nos seus pontos de acesso Cisco Meraki e HPE Aruba existentes.
3. Realizou um projeto-piloto numa escola básica durante as férias da Páscoa.
4. Implementou nas restantes sete escolas durante o verão.

O resultado previsto: oito chaves partilhadas de alunos reduzidas a zero. Três contratos de filtragem transformaram-se num conjunto único de políticas por rede. Oito relatórios anuais de revisão separados deram lugar a um relatório único para todo o agrupamento.

Como verificar as respostas dos concorrentes e a rede ativa?

Avalie demonstrações, não documentos. Peça a cada concorrente pré-selecionado para realizar cinco tarefas em direto:

• Desativar uma conta de funcionário no seu diretório e demonstrar o cancelamento do acesso WiFi.
• Revogar as credenciais de um iPad de um aluno sem afetar os restantes.
• Apresentar um pedido bloqueado com ID do dispositivo, data/hora e termo pesquisado.
• Demonstrar a rede de visitantes a aplicar a respetiva política de filtragem.
• Mostrar uma vista ao nível da escola e uma vista ao nível do agrupamento dos mesmos dados.

Após a implementação, execute testes de aceitação a partir de cada rede. Utilize a ferramenta SWGfL Test Filtering para verificar se o conteúdo IWF e CTIRU está bloqueado nas ligações dos funcionários, dos alunos, dos visitantes e de backup. Em seguida, verifique a segmentação: tente aceder a recursos dos funcionários a partir de um dispositivo de aluno e da rede de visitantes. Instale uma aplicação de VPN comum num dispositivo de teste e confirme se o filtro a deteta. Registe os resultados; estes constituirão o primeiro registo da sua revisão anual.

O que pode correr mal e como resolver?

A linha de backup não tem filtragem. As escolas com uma ligação de banda larga secundária filtram frequentemente apenas a principal. A norma do DfE abrange todas as ligações à internet, pelo que deve incluir a ligação de backup explicitamente na especificação.

Os certificados expiram a meio do período escolar. Se os certificados dos dispositivos dos alunos caducarem em março, um ano letivo inteiro perde a ligação à rede. Exija a renovação através de MDM antes da expiração, com alertas para o gestor de rede 30 dias antes.

Os dispositivos mais antigos não suportam 802.1X. Alguns equipamentos audiovisuais e impressoras mais antigas apenas suportam uma chave pré-partilhada. Transfira-os para iPSK por dispositivo no VLAN de dispositivos das instalações em vez de manter uma chave partilhada ativa.

O bloqueio excessivo perturba as aulas. A norma exige que o ensino não seja afetado de forma injustificada. Defina uma via de pedido de desbloqueio no próprio dia para os professores, com todas as alterações registadas para a revisão anual.

Os telemóveis dos funcionários solicitam a validação de um certificado. Os telemóveis não geridos solicitam aos funcionários que aceitem o certificado de servidor RADIUS na primeira ligação. Publique um guia de adesão de uma página com capturas de ecrã e envie perfis para dispositivos geridos, para que a mensagem nunca seja apresentada.

Os dispositivos em carrinhos produzem registos anónimos. Os registos ao nível do dispositivo só se tornam provas a nível individual quando correspondem a um registo de requisição. Estabeleça o processo de requisição com o seu DSL antes da entrada em funcionamento.

Quanto custa e qual é o retorno?

Não permita que os concorrentes apresentem um valor global único. Peça-lhes que indiquem os preços separadamente para seis elementos:

• Número de escolas.
• Redes por escola.
• Dispositivos geridos.
• Suplementos.
• Implementação pontual.
• Renovação anual.

A Purple define os preços através de três planos: Connect, Capture e Engage. O SecurePass, o Verify e o Shield estão disponíveis como suplementos de segurança. A reutilização de hardware suportado elimina a maior rubrica de investimento de capital da maioria dos concursos.

O retorno resulta da redução de trabalho e de contratos:

• Sem chaves partilhadas para alternar. As palavras-passe partilhadas de funcionários e alunos já não precisam de ser alteradas após cada fuga.
• Revogação automática para quem sai. Os colaboradores que saem perdem o acesso ao WiFi quando os RH desativam a sua conta de diretório.
• Um pacote de revisão anual. A revisão do DfE baseia-se num único conjunto de relatórios e não num por escola.
• Menos contratos. O WiFi, o RADIUS e a filtragem passam de três contratos para apenas um.

A substituição de fornecedores separados de WiFi para visitantes, RADIUS e filtragem de DNS apresenta detalhadamente a justificação da consolidação para infraestruturas multissítio.

Perguntas frequentes

A Purple pode funcionar nos pontos de acesso que as nossas escolas já possuem?

Sim. A Purple é agnóstica em relação ao hardware e funciona como uma sobreposição na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Se os seus pontos de acesso constarem dessa lista e ainda tiverem suporte do fornecedor, o concurso de WiFi da sua escola poderá não necessitar de um lote de hardware. Peça aos concorrentes para confirmarem as datas de suporte para cada modelo na sua lista de ativos antes da avaliação.

A filtragem tem de se aplicar à rede de visitantes?

Sim. As normas de filtragem e monitorização do DfE aplicam a filtragem a contas de visitantes e a todos os dispositivos que utilizem a ligação de banda larga da escola. A sua rede de visitantes necessita da sua própria política de filtragem, registada como qualquer outra rede. O Purple Shield aplica a filtragem por rede, para que visitantes, alunos e funcionários possam ter políticas diferentes sob um único conjunto de relatórios.

Como é que os iPads e Chromebooks geridos dos alunos se ligam sem uma palavra-passe partilhada?

Recebem uma credencial exclusiva através da adesão ao MDM, quer seja um certificado EAP-TLS ou um iPSK por dispositivo. Nenhum aluno ou professor vê ou digita a chave. O MDM da Purple inscreve os dispositivos geridos dos alunos para que a credencial chegue com a configuração do dispositivo. Um dispositivo perdido resulta numa única credencial revogada, e não numa alteração de palavra-passe em toda a escola.

Os colaboradores podem iniciar sessão com as suas contas Microsoft Entra ID ou Google Workspace?

Sim. O Purple Access autentica os colaboradores através do IEEE 802.1X no Microsoft Entra ID, Okta ou Google Workspace através de RADIUS na nuvem. Não mantém nenhuma lista separada de contas WiFi. Quando o agrupamento desativa a conta de diretório de alguém que sai, o respetivo acesso à rede termina em simultâneo. Peça aos concorrentes para demonstrarem essa sequência em direto durante a avaliação.

A filtragem deve ser adquirida com o WiFi ou concursada separadamente?

Especifique a filtragem por rede dentro da especificação do WiFi, qualquer que seja a via escolhida. Comprar ambos em conjunto através do Purple Access e do Purple Shield significa que cada pedido bloqueado inclui a identidade que se autenticou. Essa identidade é o que o requisito de relatório do DfE solicita. Contratos separados tornam esse vínculo mais difícil de comprovar na sua revisão anual.

Um agrupamento pode fazer um projeto-piloto numa escola antes de avançar para todas as escolas?

Sim. Defina uma escola-piloto no contrato com testes de aceitação e, em seguida, agende as restantes escolas para períodos de férias escolares. A sobreposição na nuvem da Purple permite que cada escola herde o modelo de rede do agrupamento. Cada escola mantém variações locais apenas onde o agrupamento o autoriza, para que a configuração do projeto-piloto se torne o padrão do agrupamento.

Os dados dos visitantes são tratados em conformidade com o GDPR?

Sim. A Purple está em conformidade com o GDPR e possui a certificação ISO 27001. O portal cativo pode recolher o mínimo necessário para o acesso, com opções de consentimento informado para qualquer elemento adicional. Defina o seu próprio período de retenção na especificação. Peça a todos os concorrentes para indicarem onde os dados dos visitantes são armazenados e quem lhes pode aceder.

Como devemos solicitar aos concorrentes a fixação de preços num concurso de WiFi para escolas?

Peça preços discriminados por escola, rede, dispositivo gerido, módulo adicional, implementação pontual e renovação anual. A Purple define os preços através dos seus planos Connect, Capture e Engage, com o SecurePass, o Verify e o Shield como módulos adicionais. Uma discriminação linha a linha permite-lhe comparar os concorrentes de forma justa. Revela também a poupança decorrente da reutilização de pontos de acesso que já possui.