Alcatel-Lucent OmniAccess Stellar and guest WiFi: captive portal setup with Purple

Bem-vindo ao briefing técnico da Purple. Hoje estamos a abordar a integração do Alcatel-Lucent Enterprise OmniAccess Stellar com o Purple WiFi. Este briefing destina-se a gestores de TI, arquitetos de rede e diretores de operações de recintos que necessitam de implementar redes sem fios seguras, escaláveis e inteligentes. Comecemos pelo contexto. Tem um recinto. Talvez um hotel, uma cadeia de retalho ou um estádio. Investiu em hardware ALE OmniAccess. Agora precisa de extrair valor de negócio dessa infraestrutura. Precisa de captar dados primários, segmentar os seus utilizadores de forma segura e proporcionar uma experiência de integração simples. É aí que entra a sobreposição de nuvem da Purple. A Purple opera em mais de 80.000 recintos ativos em todo o mundo e processou mais de 440 milhões de inícios de sessão em 2024. É independente de hardware, o que significa que se integra sobre a sua infraestrutura ALE existente sem exigir qualquer substituição de hardware. Toda a lógica de autenticação e recolha de dados reside na nuvem da Purple. O núcleo desta integração baseia-se em RADIUS. Quando um visitante entra no seu recinto e se liga ao SSID público de Guest WiFi, o AP da ALE intercepta o tráfego web do mesmo. Em vez de o deixar aceder diretamente à internet, redireciona o seu browser para um portal cativo alojado pela Purple. Esta é a sua página splash. É onde apresenta a sua marca, recolhe endereços de email ou oferece inícios de sessão sociais através do Facebook, LinkedIn ou Google. Assim que o utilizador submete os seus dados, o servidor RADIUS na nuvem da Purple autentica-o e envia uma mensagem de Access-Accept de volta para o AP da ALE. O AP remove então as regras de firewall e concede acesso à internet. Todo o fluxo demora menos de três segundos. Agora, entremos na análise técnica detalhada. Como configuramos isto na prática? Primeiro, precisa de configurar as definições do servidor RADIUS na sua interface de gestão OmniVista ou Stellar. Irá introduzir os endereços IP do RADIUS da Purple, definir a porta de autenticação para 1812 e a porta de accounting para 1813. Crucialmente, certifique-se de que o RADIUS Accounting está ativado com um intervalo de 300 segundos. É isto que envia os dados de sessão de volta para a Purple para fins de análise e registo de conformidade. Em seguida, temos o Walled Garden. Isto causa problemas em muitas implementações. Antes de um utilizador ser autenticado, ele não tem acesso à internet. Mas precisa de aceder ao portal da Purple para iniciar sessão. Deve colocar os domínios da Purple na lista de permissões da sua lista de acesso pré-autenticação. Os domínios principais são region1.purpleportal.net, venuewifi.com e cloudfront.net. Se estiver a utilizar o início de sessão do Facebook ou LinkedIn, deve também colocar os domínios deles na lista de permissões. Se o Walled Garden estiver incorreto, o portal cativo não irá carregar. Ponto final. Para a configuração do SSID, crie uma nova rede sem fios, defina o nível de segurança para Open e ative a opção de External Captive Portal. Aponte o URL de redirecionamento para o URL da sua página splash específica da Purple, que encontrará no portal da Purple sob as definições de hardware do seu recinto. Passemos para um cenário mais avançado: WiFi Multi-Tenant. Imagine um espaço de coworking ou uma residência de estudantes. Tem vários inquilinos que precisam de ter as suas próprias redes seguras e isoladas. Não quer transmitir 20 SSIDs diferentes. Isso destrói o desempenho de RF e cria uma má experiência para o utilizador. A solução é o PPSK - Private Pre-Shared Keys - combinado com encaminhamento dinâmico de VLAN. Transmite um único SSID seguro. Mas cada inquilino recebe uma frase-passe única. Quando o Inquilino A introduz a sua frase-passe, o AP da ALE envia esse pedido para o servidor RADIUS da Purple. A Purple reconhece a frase-passe, autentica o utilizador e envia de volta uma mensagem Access-Accept. Mas aqui está a parte importante. Essa mensagem inclui atributos RADIUS específicos. O Atributo 64 para Tunnel-Type, definido como 13 para VLAN. O Atributo 65 para Tunnel-Medium-Type, definido como 6 para Ethernet. E o Atributo 81, o Tunnel-Private-Group-ID, que contém o ID da VLAN real. O AP da ALE recebe isto e coloca o Inquilino A diretamente na VLAN 30. Quando o Inquilino B inicia sessão com uma frase-passe diferente, vai parar à VLAN 40. Um único SSID, isolamento total de Layer 2. Isto é o Identity-Based Networking na prática. Vejamos um exemplo do mundo real. Um hotel de 200 quartos implementou esta arquitetura nos seus APs ALE OmniAccess Stellar existentes. Precisavam de servir os hóspedes do hotel, o pessoal interno e um restaurante no rés-do-chão como três segmentos de rede completamente separados. Em vez de implementarem três SSIDs, utilizaram PPSK com encaminhamento dinâmico de VLAN. O resultado foi um único SSID, três VLANs isoladas e uma redução significativa nos custos de gestão em comparação com a abordagem anterior de múltiplos SSIDs. Agora, vamos discutir recomendações de implementação e armadilhas a evitar. Primeiro, mantenha um design independente de hardware. Construa as suas políticas na Purple, não no controlador local. Isto permite-lhe escalar ou mudar de fornecedores de hardware mais tarde sem reconstruir as suas políticas de segurança do zero. Segundo, preste atenção às versões de firmware. Certifique-se de que os seus APs da ALE estão a executar firmware que suporte explicitamente a atribuição dinâmica de VLAN via RADIUS. Versões mais antigas de firmware Stellar podem não suportar totalmente o atributo Tunnel-Private-Group-ID. Verifique as notas de lançamento da ALE antes de implementar. Terceiro, o DNS é o seu melhor amigo e o seu pior inimigo. Se o seu Captive Portal não estiver a aparecer, verifique primeiro o seu âmbito de DHCP. Se o cliente não estiver a receber um servidor DNS válido, não conseguirá resolver o URL do portal e todo o processo é interrompido. Este é o problema de suporte mais comum em implementações de Captive Portal. Quarto, para WiFi seguro de funcionários utilizando 802.1X, utilize PEAP com MSCHAPv2 para a maioria dos ambientes, ou EAP-TLS para implementações baseadas em certificados. O servidor RADIUS da Purple suporta ambos. Os dispositivos dos funcionários autenticam-se no Microsoft Entra ID ou Okta, e o servidor RADIUS devolve a atribuição de VLAN apropriada para o segmento de rede dos funcionários. Vamos fazer uma sessão rápida de perguntas e respostas. Pergunta: Posso utilizar esta integração para conformidade com PCI-DSS num ambiente de retalho? Resposta: Sim. Ao utilizar o encaminhamento dinâmico de VLAN, pode garantir que os dispositivos de ponto de venda são sempre colocados numa VLAN isolada, completamente separada do tráfego de convidados. Isto cumpre os requisitos de segmentação de rede ao abrigo da PCI-DSS 4.0. Pergunta: A Purple requer um equipamento físico de hardware no local? Resposta: Não. A Purple é uma sobreposição na nuvem. Comunica diretamente com o seu hardware ALE existente através de RADIUS padrão pela internet. Não há nada para instalar fisicamente. Pergunta: O que acontece se a nuvem da Purple estiver inacessível? Resposta: Pode configurar uma política de contingência no AP ALE. Para redes de convidados, pode permitir o acesso aberto como contingência. Para redes de funcionários, configure uma contingência de recusa total para manter a segurança. Pergunta: Posso capturar dados analíticos a partir da integração? Resposta: Sim. Cada sessão autenticada gera um perfil de visitante na plataforma Purple. Obtém o tempo de permanência, a frequência de visitas, o tipo de dispositivo e os dados demográficos do formulário de registo. Isto alimenta diretamente o seu CRM através da biblioteca da Purple com mais de 400 conectores. Para resumir as principais conclusões do briefing de hoje. Um: A integração do ALE OmniAccess com a Purple utiliza RADIUS padrão nas portas 1812 and 1813. Não são necessários protocolos proprietários. Dois: O Walled Garden é crítico. Se falhar este passo, o Captive Portal não irá carregar. Adicione os domínios da Purple à lista de permissões antes de qualquer outra coisa. Três: PPSK com encaminhamento dinâmico de VLAN é a arquitetura certa para ambientes multi-tenant. Um SSID, palavras-passe únicas, VLANs isoladas por inquilino. Quatro: Os atributos RADIUS 64, 65 e 81 são os três necessários para a atribuição dinâmica de VLAN. Se algum deles estiver em falta, o encaminhamento falha. Cinco: A Purple é agnóstica em termos de hardware. As suas políticas residem na nuvem, não no controlador. Isto dá-lhe flexibilidade para escalar em diferentes fornecedores de hardware. O seu próximo passo é iniciar sessão no seu portal Purple, navegar até às definições de hardware do seu local e obter as suas credenciais RADIUS específicas e o URL da página de destino. Em seguida, siga os passos de configuração descritos neste guia para ligar a sua infraestrutura ALE OmniAccess à nuvem Purple. Obrigado por ouvir este briefing técnico da Purple. Para mais informações, visite purple.ai.