Como Construir uma Rede WiFi para Campus: Um Guia de IT para Universidades

Bem-vindo ao Purple Enterprise Network Briefing. Hoje vamos abordar um grande desafio de infraestrutura: como construir uma rede WiFi para campus. Especificamente, estamos a analisar implementações em universidades e grandes recintos. Se é CTO, Diretor de TI ou arquiteto de rede, este briefing é para si. Vamos ignorar a teoria e focar-nos nas realidades práticas de implementação de ambientes sem fios de alta densidade. Comecemos pelo contexto. Uma rede WiFi de campus já não é apenas uma conveniência. É uma infraestrutura crítica. Os estudantes chegam no primeiro dia com três ou quatro dispositivos. O pessoal docente e administrativo precisa de conectividade fiável para videoconferências, aplicações na nuvem e sistemas de gestão de edifícios. E, cada vez mais, o próprio campus está a tornar-se um ambiente inteligente - com sensores IoT, sinalização digital e controlo de acessos, tudo a funcionar na mesma infraestrutura sem fios. O desafio não é apenas a cobertura. É a capacidade. E essa distinção é o conceito mais importante deste briefing. Comecemos pelas fundações: o levantamento do local (site survey). Num ambiente de campus, um levantamento preditivo que utilize plantas de piso é apenas o ponto de partida. Precisa obrigatoriamente de levantamentos ativos no local. Vemos demasiados recintos dependerem exclusivamente de modelos de software. Uma parede de tijolo num auditório do século XIX atenua o sinal de forma muito diferente de uma parede de gesso cartonado moderna. Um edifício da era vitoriana com paredes grossas de pedra e tetos altos comportar-se-á de forma completamente diferente de um bloco de campus moderno construído de raiz. O seu levantamento ativo deve mapear as zonas de alta densidade - auditórios, associações de estudantes, bibliotecas, refeitórios - e identificar fontes de interferência de RF. Fornos micro-ondas, dispositivos Bluetooth e até redes vizinhas podem degradar o desempenho se não os tiver contabilizado. O resultado do seu levantamento deve ser um mapa de calor que mostre a força do sinal, a utilização de canais e os níveis de interferência em todos os pisos de todos os edifícios. Isto torna-se a base do seu plano de posicionamento dos pontos de acesso. Agora, ao planear o posicionamento dos pontos de acesso, a regra de ouro é privilegiar a capacidade em detrimento da cobertura. Já não se trata apenas de fazer chegar o sinal ao canto da sala. Trata-se de suportar três dispositivos por estudante num auditório com trezentos lugares. Isso significa implementar pontos de acesso de alta densidade, tipicamente WiFi 6 ou WiFi 6E, e gerir a sobreposição de canais de forma agressiva. Para espaços de alta densidade, considere a implementação de pontos de acesso com antenas direcionais que focam a energia de RF para baixo, em direção às áreas de assentos, em vez de antenas omnidirecionais que propagam o sinal em todas as direções e causam interferência entre APs adjacentes. Passando para a arquitetura. Um modelo de três camadas é o padrão para redes de campus empresariais: Gestão, Core e Acesso. No topo, tem o seu controlador WLAN centralizado — quer seja no local ou gerido na cloud. Este é o cérebro da rede. Ele lida com roaming contínuo, aplicação de políticas, otimização de RF e gestão de firmware em todos os seus pontos de acesso. Os controladores geridos na cloud tornaram-se a escolha dominante para novas implementações porque simplificam a gestão de vários locais e reduzem os custos de hardware no local. No meio, tem a sua infraestrutura de comutação de core e distribuição. Estes são os seus switches de alta capacidade que agregam o tráfego da camada de acesso e o encaminham para o seu gateway de internet e recursos internos. Na base, tem a sua camada de acesso: switches Power over Ethernet e os próprios pontos de acesso sem fios. Para novas implementações, o PoE Plus é o padrão mínimo, pois os pontos de acesso WiFi 6 consomem mais energia do que os seus antecessores. Agora vamos falar sobre a integração e autenticação de utilizadores - porque é aqui que muitas redes de campus falham na prática. Tem milhares de utilizadores transitórios: estudantes inscritos, funcionários, académicos visitantes, delegados de conferências e o público em geral. Cada grupo tem requisitos de acesso diferentes e diferentes implicações de segurança. Para funcionários e estudantes inscritos, a implementação de 802.1X com autenticação EAP é inegociável. Isto associa o acesso sem fios ao seu fornecedor de identidade existente - quer seja Active Directory, LDAP ou um serviço de identidade na cloud. Os utilizadores autenticam-se com as suas credenciais institucionais e a rede atribui-lhes dinamicamente a VLAN apropriada. Isto fornece um acesso encriptado, baseado em credenciais, que cumpre os requisitos de normas como a ISO 27001 e o Cyber Essentials. Para convidados e utilizadores transitórios, precisa de uma solução de Captive Portal que seja segura, em conformidade e que não gere uma avalanche de pedidos de suporte. É aqui que uma plataforma dedicada de WiFi para convidados acrescenta valor real. Uma solução como a plataforma de Guest WiFi da Purple oferece uma integração segura, em conformidade com o GDPR, páginas de splash personalizáveis e, fundamentalmente, dados analíticos sobre como o seu espaço está a ser utilizado. Ganha visibilidade sobre padrões de afluência, tempos de permanência e períodos de pico de utilização - informações com valor operacional real. Vamos discutir VLANs e segmentação de rede. A segmentação adequada de VLAN é essencial tanto para a segurança como para o desempenho. No mínimo, deve ter VLANs separadas para funcionários, estudantes, convidados e dispositivos IoT. A sua VLAN de IoT é particularmente importante. Sensores de edifícios inteligentes, controladores de AVAC, sinalética digital e câmaras de segurança nunca devem partilhar um segmento de rede com dispositivos de utilizadores. Um dispositivo IoT com uma vulnerabilidade não deve conseguir comunicar com o portátil de um estudante. Agora vamos falar sobre roaming - porque a transição contínua é crítica para a experiência do utilizador. À medida que um utilizador caminha da biblioteca para a cafetaria, a sua chamada VoIP não deve cair. A sua transmissão de vídeo não deve sofrer paragens por buffer. A sua aplicação na nuvem não deve expirar por limite de tempo. Alcançar isto requer um ajuste cuidadoso da potência de transmissão e a implementação de padrões de roaming rápido. Os três padrões que precisa de conhecer são o 802.11k, 802.11v e 802.11r. Juntos, estes são por vezes chamados de a trifeta do roaming rápido. O 802.11k permite que os pontos de acesso forneçam aos clientes uma lista de APs vizinhos, para que o dispositivo saiba para onde fazer roam antes de precisar de o fazer. O 802.11v permite que a rede sugira a um cliente que este deve fazer roam para um AP melhor. E o 802.11r permite a transição rápida de BSS, reduzindo drasticamente o tempo de autenticação durante um roam - o que é crítico para aplicações de voz e em tempo real. Mas nada disto funciona se a sua potência de transmissão estiver mal configurada. Se os seus APs estiverem a emitir na potência máxima, os dispositivos clientes vão manter-se ligados a um AP mesmo quando existe um mais próximo disponível. Este é o clássico problema do cliente pegajoso (sticky client). O dispositivo deteta um sinal forte de um AP distante e recusa-se a fazer roam para um mais próximo, resultando num desempenho degradado para esse utilizador e numa carga desnecessária no AP distante. A solução é ajustar os tamanhos das suas células de cobertura. Reduza a potência de transmissão de modo a que as células de cobertura de APs adjacentes se sobreponham apenas ligeiramente - tipicamente cerca de quinze a vinte por cento. E desative as taxas de dados mais baixas - um, dois e cinco vírgula cinco megabits por segundo - nos seus pontos de acesso. Quando permite que os dispositivos se liguem a estas velocidades antigas, eles vão manter-se ligados a um sinal fraco indefinidamente. Desativar estas taxas força o dispositivo a desligar-se e a fazer roam para um AP mais forte. É hora de algumas perguntas rápidas baseadas no que ouvimos mais frequentemente dos clientes. Pergunta um: Devemos separar os dispositivos IoT para a sua própria rede? Absolutamente. Coloque os dispositivos IoT - ecrãs inteligentes, sensores de AVAC, sistemas de controlo de acessos - numa VLAN dedicada com regras de firewall estritas. Não permita que congestionem as suas redes de dados primárias e não permita que comuniquem lateralmente com os dispositivos dos utilizadores. Pergunta dois: Como lidamos com dispositivos antigos que não suportam autenticação moderna? Para dispositivos que não conseguem efetuar a autenticação 802.1X - como smart TVs mais antigas ou consolas de videojogos em alojamentos de estudantes - implemente o MAC Authentication Bypass, ou MAB. Isto permite-lhe registar endereços MAC de dispositivos específicos e atribuí-los a uma VLAN adequada sem necessitar de autenticação baseada em credenciais. Pergunta três: E quanto à cobertura exterior? É essencial e é frequentemente pensada como uma prioridade secundária. Utilize pontos de acesso robustos e resistentes às intempéries com antenas direcionais para cobrir pátios, áreas de esplanada e instalações desportivas. Os APs exteriores precisam de suportar temperaturas extremas, humidade e resistência ao vandalismo - não instale unidades de interior no exterior. Quarta pergunta: Como lidamos com a segurança do plano de gestão? Certifique-se de que a interface de gestão do seu controlador está numa VLAN de gestão dedicada, acessível apenas a partir de estações de trabalho de administradores autorizados. Ative a autenticação multifator para todas as contas de administrador. E reveja regularmente a postura de segurança dos seus pontos de acesso. Para resumir as principais conclusões do briefing de hoje. Primeiro: desenhe a pensar na capacidade, não apenas na cobertura. Num ambiente de campus moderno, o estrangulamento quase nunca é a força do sinal - é a capacidade de servir centenas de dispositivos simultâneos de forma eficiente. Segundo: realize estudos de RF ativos no local. Não confie apenas em modelos preditivos. Os materiais de construção, as fontes de interferência e a disposição física precisam de ser validados no mundo real. Terceiro: implemente uma arquitetura de três níveis com gestão centralizada. Um controlador gerido na nuvem oferece-lhe visibilidade e controlo em toda a sua infraestrutura. Quarto: utilize 802.1X para funcionários e estudantes, e um Captive Portal seguro para convidados. Aproveite a sua plataforma de WiFi de convidados para recolher análises e impulsionar a inteligência operacional. Quinto: sintonize a sua rede para um roaming contínuo. Implemente 802.11k, v e r. Reduza a potência de transmissão. Desative taxas de dados legadas. Elimine clientes persistentes. E sexto: segmente a sua rede com VLANs. Mantenha o tráfego de IoT, convidados, funcionários e estudantes separado. Para uma análise técnica mais aprofundada, incluindo diagramas de arquitetura, exemplos práticos e uma lista de verificação completa de implementação, leia o nosso guia completo sobre como construir uma rede WiFi de campus no website da Purple. Obrigado por ouvir o Purple Enterprise Network Briefing.