Alcatel-Lucent OmniAccess Stellar e guest WiFi: configuração de captive portal com Purple

Bem-vindo ao briefing técnico da Purple. Hoje vamos cobrir a integração do Alcatel-Lucent Enterprise OmniAccess Stellar com o Purple WiFi. Este briefing destina-se a gestores de TI, arquitetos de rede e diretores de operações de espaços que precisam de implementar redes sem fios seguras, escaláveis e inteligentes. Comecemos pelo contexto. Tem um espaço. Talvez um hotel, uma cadeia de retalho ou um estádio. Investiu em hardware ALE OmniAccess. Agora, precisa de extrair valor de negócio dessa infraestrutura. Precisa de recolher dados primários, segmentar os seus utilizadores de forma segura e proporcionar uma experiência de integração contínua. É aí que entra a sobreposição de nuvem da Purple. A Purple opera em mais de 80.000 espaços ativos em todo o mundo e processou mais de 440 milhões de inícios de sessão em 2024. É independente de hardware, o que significa que se integra sobre a sua infraestrutura ALE existente sem exigir qualquer substituição de hardware. Toda a lógica de autenticação e recolha de dados reside na nuvem da Purple. O núcleo desta integração baseia-se em RADIUS. Quando um visitante entra no seu espaço e se liga ao SSID público de Guest WiFi, o AP da ALE interseta o seu tráfego web. Em vez de o deixar aceder diretamente à internet, redireciona o seu navegador para um Captive Portal alojado pela Purple. Esta é a sua página splash. É aqui que apresenta a sua marca, recolhe endereços de e-mail ou oferece inícios de sessão sociais através do Facebook, LinkedIn ou Google. Assim que o utilizador submete os seus dados, o servidor RADIUS na nuvem da Purple autentica-o e envia uma mensagem de Access-Accept de volta para o AP da ALE. O AP remove então as regras de firewall e concede acesso à internet. Todo o fluxo demora menos de três segundos. Agora, entremos na análise técnica detalhada. Como é que configuramos isto na prática? Primeiro, precisa de configurar as definições do servidor RADIUS na sua interface de gestão OmniVista ou Stellar. Irá introduzir os endereços IP de RADIUS da Purple, definir a porta de autenticação para 1812 e a porta de faturação para 1813. Crucialmente, certifique-se de que o RADIUS Accounting está ativado com um intervalo de 300 segundos. É isto que envia os dados de sessão de volta para a Purple para efeitos de análise e registos de conformidade. Em seguida, temos o Walled Garden. Isto causa problemas em muitas implementações. Antes de um utilizador ser autenticado, não tem acesso à internet. No entanto, precisa de aceder ao portal da Purple para iniciar sessão. Deve colocar os domínios da Purple na lista de permissões da sua lista de acesso de pré-autenticação. Os domínios principais são region1.purpleportal.net, venuewifi.com e cloudfront.net. Se estiver a utilizar o início de sessão do Facebook ou do LinkedIn, também deve colocar os domínios deles na lista de permissões. Se o Walled Garden estiver incorreto, o Captive Portal não irá carregar. Sem exceções. Para a configuração do SSID, crie uma nova rede sem fios, defina o nível de segurança como Open e ative a opção External Captive Portal. Aponte o URL de redirecionamento para o URL específico da sua página splash da Purple, que encontrará no portal da Purple nas definições de hardware do seu espaço. Passemos a um cenário mais avançado: Multi-Tenant WiFi. Imagine um espaço de coworking ou uma residência de estudantes. Tem vários inquilinos que precisam das suas próprias redes seguras e isoladas. Não quer transmitir 20 SSIDs diferentes. Isso destrói o seu desempenho de RF e cria uma experiência de utilizador medíocre. A solução é o PPSK - Private Pre-Shared Keys - combinado com o encaminhamento dinâmico de VLAN. Transmite um único SSID seguro. Mas cada inquilino recebe uma frase-passe única. Quando o Inquilino A introduz a sua frase-passe, o AP ALE envia esse pedido para o servidor Purple RADIUS. A Purple reconhece a frase-passe, autentica o utilizador e envia de volta uma mensagem de Access-Accept. Mas aqui está a parte importante. Essa mensagem inclui atributos RADIUS específicos. Atributo 64 para Tunnel-Type, definido como 13 para VLAN. Atributo 65 para Tunnel-Medium-Type, definido como 6 para Ethernet. E o Atributo 81, o Tunnel-Private-Group-ID, que contém o ID real da VLAN. O AP ALE recebe isto e coloca o Inquilino A diretamente na VLAN 30. Quando o Inquilino B inicia sessão com uma frase-passe diferente, vai parar à VLAN 40. Um SSID, isolamento total de Camada 2. Isto é Networking Baseado em Identidade na prática. Vejamos um exemplo do mundo real. Um hotel de 200 quartos implementou esta arquitetura nos seus APs ALE OmniAccess Stellar existentes. Precisavam de servir os hóspedes do hotel, a equipa de apoio administrativo e um restaurante no rés-do-chão como três segmentos de rede completamente separados. Em vez de implementarem três SSIDs, utilizaram PPSK com encaminhamento dinâmico de VLAN. O resultado foi um único SSID, três VLANs isoladas e uma redução significativa nos custos de gestão em comparação com a abordagem anterior de múltiplos SSIDs. Agora vamos discutir recomendações de implementação e armadilhas. Primeiro, mantenha um design agnóstico em relação ao hardware. Construa as suas políticas na Purple, não no controlador local. Isto permite-lhe dimensionar ou trocar de fornecedores de hardware mais tarde sem reconstruir as suas políticas de segurança do zero. Segundo, tenha atenção às versões de firmware. Certifique-se de que os seus APs ALE estão a executar firmware que suporta explicitamente a atribuição dinâmica de VLAN através de RADIUS. Versões mais antigas de firmware Stellar podem não suportar totalmente o atributo Tunnel-Private-Group-ID. Verifique as notas de lançamento da ALE antes de implementar. Terceiro, o DNS é o seu amigo e o seu inimigo. Se o seu Captive Portal não estiver a aparecer, verifique primeiro o seu âmbito DHCP. Se o cliente não estiver a receber um servidor DNS válido, não conseguirá resolver o URL do portal, e todo o processo é interrompido. Este é o problema de suporte mais comum em implementações de Captive Portal. Quarto, para um WiFi de funcionários seguro utilizando 802.1X, utilize PEAP com MSCHAPv2 para a maioria dos ambientes, ou EAP-TLS para implementações baseadas em certificados. O servidor Purple RADIUS suporta ambos. Os dispositivos dos funcionários autenticam-se no Microsoft Entra ID ou Okta, e o servidor RADIUS devolve a atribuição de VLAN apropriada para o segmento de rede dos funcionários. Vamos fazer uma sessão rápida de perguntas e respostas. Pergunta: Posso utilizar esta integração para conformidade com PCI-DSS num ambiente de retalho? Resposta: Sim. Ao utilizar o direcionamento dinâmico de VLAN, pode garantir que os dispositivos de ponto de venda são sempre colocados numa VLAN isolada, completamente separada do tráfego de convidados. Isto cumpre os requisitos de segmentação de rede ao abrigo do PCI-DSS 4.0. Pergunta: O Purple requer um equipamento físico de hardware no local? Resposta: Não. O Purple é uma sobreposição na nuvem. Comunica diretamente com o seu hardware ALE existente através de RADIUS padrão pela internet. Não há nada para instalar fisicamente. Pergunta: O que acontece se a nuvem do Purple estiver inacessível? Resposta: Pode configurar uma política de contingência no AP da ALE. Para redes de convidados, pode permitir o acesso aberto como contingência. Para redes de funcionários, configure uma contingência de rejeição total para manter a segurança. Pergunta: Posso recolher dados analíticos a partir da integração? Resposta: Sim. Cada sessão autenticada gera um perfil de visitante na plataforma Purple. Obtém o tempo de permanência, a frequência de visitas, o tipo de dispositivo e os dados demográficos do formulário de registo. Isto alimenta diretamente o seu CRM através da biblioteca do Purple de mais de 400 conectores. Para resumir os principais pontos da apresentação de hoje. Um: A integração do ALE OmniAccess com o Purple utiliza RADIUS padrão nas portas 1812 e 1813. Não são necessários protocolos proprietários. Dois: O Walled Garden é fundamental. Se falhar esta configuração, o Captive Portal não será carregado. Adicione os domínios do Purple à lista de permissões antes de qualquer outra coisa. Três: PPSK com direcionamento dinâmico de VLAN é a arquitetura certa para ambientes de múltiplos inquilinos. Um SSID, palavras-passe exclusivas, VLANs isoladas por inquilino. Quatro: Os atributos RADIUS 64, 65 e 81 são os três de que necessita para a atribuição dinâmica de VLAN. Se algum deles faltar, o direcionamento falha. Cinco: O Purple é agnóstico em relação ao hardware. As suas políticas residem na nuvem, não no controlador. Isto dá-lhe flexibilidade para escalar entre diferentes fornecedores de hardware. O seu próximo passo é iniciar sessão no seu portal Purple, navegar até às definições de hardware do seu espaço e obter as suas credenciais RADIUS específicas e o URL da splash page. Depois, siga os passos de configuração descritos neste guia para ligar a sua infraestrutura ALE OmniAccess à nuvem do Purple. Obrigado por acompanhar esta apresentação técnica do Purple. Para mais informações, visite purple.ai.