Como Construir uma Rede WiFi de Campus: Um Guia de TI para Universidades

Bem-vindo ao Purple Enterprise Network Briefing. Hoje estamos a abordar um grande desafio de infraestrutura: como construir uma rede WiFi de campus. Especificamente, estamos a olhar para implementações universitárias e de grandes recintos. Se é um CTO, Diretor de TI ou arquiteto de rede, este briefing é para si. Vamos pôr de parte a teoria e focar-nos nas realidades práticas de implementação de ambientes sem fios de alta densidade. Comecemos pelo contexto. Uma rede WiFi de campus já não é apenas uma conveniência. É uma infraestrutura crítica. Os estudantes chegam no primeiro dia com três ou quatro dispositivos. O pessoal precisa de conectividade fiável para videoconferências, aplicações na nuvem e sistemas de gestão de edifícios. E, cada vez mais, o próprio campus está a tornar-se um ambiente inteligente - com sensores IoT, sinalização digital e controlo de acessos, tudo a correr na mesma infraestrutura sem fios. O desafio não é apenas a cobertura. É a capacidade. E essa distinção é o conceito mais importante deste briefing. Comecemos pela base: o levantamento do local. Num ambiente de campus, um levantamento preditivo utilizando plantas de piso é apenas o ponto de partida. Precisa absolutamente de levantamentos ativos no local. Vemos demasiados recintos confiarem exclusivamente em modelos de software. Uma parede de tijolo num anfiteatro do século XIX atenua o sinal de forma muito diferente do pladur moderno. Um edifício da era vitoriana com paredes grossas de pedra e tetos altos comportar-se-á de forma completamente diferente de um bloco de campus moderno construído de raiz. O seu levantamento ativo deve mapear zonas de alta densidade - auditórios, associações de estudantes, bibliotecas, refeitórios - e identificar fontes de interferência RF. Fornos micro-ondas, dispositivos Bluetooth e até redes vizinhas podem degradar o desempenho se não os tiver tido em conta. O resultado do seu levantamento deve ser um mapa térmico que mostre a força do sinal, a utilização de canais e os níveis de interferência em todos os pisos de todos os edifícios. Isto torna-se a base do seu plano de colocação de pontos de acesso. Agora, ao planear a colocação dos pontos de acesso, a regra de ouro é a capacidade sobre a cobertura. Já não se trata apenas de levar um sinal ao canto da sala. Trata-se de suportar três dispositivos por estudante num anfiteatro com trezentos lugares. Isso significa implementar pontos de acesso de alta densidade, tipicamente WiFi 6 ou WiFi 6E, e gerir a sobreposição de canais de forma agressiva. Para espaços de alta densidade, considere a implementação de pontos de acesso com antenas direcionais que focam a energia RF para baixo, nas áreas de assentos, em vez de antenas omnidirecionais que espalham o sinal em todas as direções e causam interferência entre APs adjacentes. Passando para a arquitetura. Um modelo de três camadas é o padrão para redes empresariais de campus: Gestão, Core e Acesso. No topo, tem o seu controlador WLAN centralizado - quer seja gerido localmente ou na nuvem. Este é o cérebro da rede. Trata do roaming contínuo, da aplicação de políticas, da otimização de RF e da gestão de firmware em todos os seus pontos de acesso. Os controladores geridos na nuvem tornaram-se a escolha dominante para novas implementações porque simplificam a gestão de múltiplos locais e reduzem os custos de hardware local. No meio, tem a sua infraestrutura de comutação core e de distribuição. Estes são os seus switches de alta capacidade que agregam o tráfego da camada de acesso e o encaminham para o seu gateway de internet e recursos internos. Na base, tem a sua camada de acesso: switches Power over Ethernet e os próprios pontos de acesso sem fios. Para novas implementações, o PoE Plus é o padrão mínimo, uma vez que os pontos de acesso WiFi 6 consomem mais energia do que os seus antecessores. Agora vamos falar sobre a integração e autenticação de utilizadores - porque é aqui que muitas redes de campus falham na prática. Tem milhares de utilizadores temporários: estudantes inscritos, funcionários, académicos visitantes, delegados de conferências e o público em geral. Cada grupo tem requisitos de acesso diferentes e implicações de segurança distintas. Para funcionários e estudantes inscritos, a implementação de 802.1X com autenticação EAP é inegociável. Isto associa o acesso sem fios ao seu fornecedor de identidade existente - quer seja o Active Directory, LDAP ou um serviço de identidade na nuvem. Os utilizadores autenticam-se com as suas credenciais institucionais e a rede atribui-os dinamicamente à VLAN apropriada. Isto proporciona um acesso encriptado, baseado em credenciais, que cumpre os requisitos de normas como a ISO 27001 e o Cyber Essentials. Para convidados e utilizadores temporários, necessita de uma solução de Captive Portal que seja segura, conforme com as normas e que não gere um fluxo constante de pedidos de suporte ao helpdesk. É aqui que uma plataforma de WiFi de convidados dedicada adiciona valor real. Uma solução como a plataforma de Guest WiFi da Purple oferece uma integração segura e em conformidade com o GDPR, splash pages personalizáveis e, crucialmente, análise sobre como o seu espaço está a ser utilizado. Ganha visibilidade sobre padrões de afluência, tempos de permanência e períodos de pico de utilização - informações que têm um valor operacional real. Vamos discutir as VLANs e a segmentação de rede. A segmentação de VLAN adequada é essencial tanto para a segurança como para o desempenho. No mínimo, deve ter VLANs separadas para funcionários, estudantes, convidados e dispositivos IoT. A sua VLAN de IoT é particularmente importante. Sensores de edifícios inteligentes, controladores de AVAC, sinalização digital e câmaras de segurança nunca devem partilhar um segmento de rede com os dispositivos dos utilizadores. Um dispositivo IoT com uma vulnerabilidade não deve ser capaz de comunicar com o portátil de um estudante. Agora vamos falar sobre roaming - porque a transição contínua é crítica para a experiência do utilizador. À medida que um utilizador caminha da biblioteca para a cafetaria, a sua chamada VoIP não deve cair. A sua transmissão de vídeo não deve sofrer interrupções. A sua aplicação na nuvem não deve expirar. Alcançar isto exige um ajuste cuidadoso da potência de transmissão e a implementação de normas de roaming rápido. As três normas que precisa de conhecer são a 802.11k, 802.11v e 802.11r. Juntas, estas são por vezes designadas como a trifecta do roaming rápido. A 802.11k permite que os pontos de acesso forneçam aos clientes uma lista de APs vizinhos, para que o dispositivo saiba para onde fazer roaming antes de ser necessário. A 802.11v permite que a rede sugira a um cliente que este deve fazer roaming para um AP melhor. E a 802.11r permite uma transição BSS rápida, reduzindo drasticamente o tempo de autenticação durante um roaming - o que é crítico para aplicações de voz e em tempo real. Mas nada disto funciona se a sua potência de transmissão estiver mal configurada. Se os seus APs estiverem a emitir na potência máxima, os dispositivos clientes vão manter-se ligados a um AP mesmo quando há outro mais próximo disponível. Este é o clássico problema do "sticky client" (cliente colado). O dispositivo deteta um sinal forte de um AP distante e recusa-se a fazer roaming para um mais próximo, resultando numa degradação do desempenho para esse utilizador e numa carga desnecessária no AP distante. A solução é ajustar o tamanho das suas células. Reduza a potência de transmissão para que as células de cobertura dos APs adjacentes apenas se sobreponham - normalmente cerca de quinze a vinte por cento. E desative as taxas de dados mais baixas - um, dois e cinco vírgula cinco megabits por segundo - nos seus pontos de acesso. Quando permite que os dispositivos se liguem a estas velocidades antigas, estes vão manter um sinal fraco indefinidamente. Desativar estas taxas força o dispositivo a desligar a ligação e a fazer roaming para um AP mais forte. É hora de algumas perguntas rápidas com base no que ouvimos mais frequentemente dos clientes. Pergunta um: Devemos separar os dispositivos IoT na sua própria rede? Absolutamente. Coloque os dispositivos IoT - ecrãs inteligentes, sensores de AVAC, sistemas de controlo de acessos - numa VLAN dedicada com regras de firewall estritas. Não permita que congestionem as suas redes de dados principais e não permita que comuniquem lateralmente com os dispositivos dos utilizadores. Pergunta dois: Como lidamos com dispositivos antigos que não suportam autenticação moderna? Para dispositivos que não conseguem efetuar 802.1X - como Smart TVs mais antigas ou consolas de videojogos em alojamentos de estudantes - implemente o MAC Authentication Bypass, ou MAB. Isto permite-lhe registar endereços MAC de dispositivos específicos e atribuí-los a uma VLAN adequada sem exigir autenticação baseada em credenciais. Pergunta três: E quanto à cobertura exterior? É essencial e é frequentemente esquecida. Utilize pontos de acesso robustos e resistentes às intempéries com antenas direcionais para cobrir pátios, áreas de esplanada e instalações desportivas. Os APs exteriores precisam de suportar temperaturas extremas, humidade e oferecer resistência ao vandalismo - não instale unidades de interior no exterior. Quarta questão: Como lidamos com a segurança do plano de gestão? Garanta que a interface de gestão do seu controlador está numa VLAN de gestão dedicada, acessível apenas a partir de estações de trabalho de administradores autorizados. Ative a autenticação multi-factor para todas as contas de administrador. E reveja regularmente a postura de segurança dos seus pontos de acesso. Para resumir as principais conclusões do briefing de hoje. Primeiro: desenhe para capacidade, não apenas para cobertura. Num ambiente de campus moderno, o estrangulamento quase nunca é a força do sinal - é a capacidade de servir eficientemente centenas de dispositivos simultâneos. Segundo: realize levantamentos de RF ativos no local. Não dependa apenas de modelos preditivos. Os materiais de construção, as fontes de interferência e a disposição física precisam de ser validados no mundo real. Terceiro: implemente uma arquitetura de três camadas com gestão centralizada. Um controlador gerido na nuvem oferece visibilidade e controlo sobre todo o seu parque tecnológico. Quarto: utilize 802.1X para funcionários e estudantes, e um Captive Portal seguro para convidados. Aproveite a sua plataforma de WiFi de convidados para recolher dados analíticos e impulsionar a inteligência operacional. Quinto: sintonize a sua rede para um roaming contínuo. Implemente o 802.11k, v e r. Reduza a potência de transmissão. Desative taxas de dados legadas. Elimine clientes persistentes. E sexto: segmente a sua rede com VLANs. Mantenha o tráfego de IoT, convidados, funcionários e estudantes separado. Para uma análise técnica mais aprofundada, incluindo diagramas de arquitetura, exemplos práticos e uma checklist completa de implementação, leia o nosso guia completo sobre como construir uma rede WiFi de campus no website da Purple. Obrigado por ouvir o Purple Enterprise Network Briefing.