Como Construir uma Rede WiFi de Campus: Um Guia de TI para Universidades

Bem-vindo ao Purple Enterprise Network Briefing. Hoje estamos a abordar um grande desafio de infraestrutura: como construir uma rede WiFi de campus. Especificamente, estamos a analisar implementações em universidades e grandes recintos. Se é um CTO, Diretor de TI ou arquiteto de rede, este briefing é para si. Vamos deixar de lado a teoria e focar-nos nas realidades práticas de implementação de ambientes sem fios de alta densidade. Comecemos pelo contexto. Uma rede WiFi de campus já não é apenas uma conveniência. É uma infraestrutura crítica. Os estudantes chegam no primeiro dia com três ou quatro dispositivos. O pessoal docente e administrativo precisa de conectividade fiável para videoconferências, aplicações na nuvem e sistemas de gestão de edifícios. E, cada vez mais, o próprio campus está a tornar-se um ambiente inteligente — com sensores IoT, sinalização digital e controlo de acessos, tudo a funcionar na mesma infraestrutura sem fios. O desafio não é apenas a cobertura. É a capacidade. E essa distinção é o conceito mais importante deste briefing. Comecemos pela base: o levantamento do local (site survey). Num ambiente de campus, um levantamento preditivo utilizando plantas de piso é apenas o ponto de partida. Precisa absolutamente de levantamentos ativos no local. Vemos demasiados recintos dependerem exclusivamente de modelos de software. Uma parede de tijolo num auditório do século XIX atenua o sinal de forma muito diferente do gesso cartonado moderno. Um edifício da era vitoriana com paredes de pedra espessas e tetos altos comportar-se-á de forma completamente diferente de um bloco de campus moderno construído de raiz. O seu levantamento ativo deve mapear as zonas de alta densidade — auditórios, associações de estudantes, bibliotecas, refeitórios — e identificar fontes de interferência de RF. Fornos micro-ondas, dispositivos Bluetooth e até redes vizinhas podem degradar o desempenho se não os tiver contabilizado. O resultado do seu levantamento deve ser um mapa de calor que mostre a força do sinal, a utilização de canais e os níveis de interferência em todos os pisos de cada edifício. Isto torna-se a base do seu plano de colocação de pontos de acesso. Agora, ao planear a colocação dos pontos de acesso, a regra de ouro é a capacidade em detrimento da cobertura. Já não se trata apenas de fazer chegar o sinal ao canto da sala. Trata-se de suportar três dispositivos por estudante num auditório com trezentos lugares. Isso significa implementar pontos de acesso de alta densidade, normalmente WiFi 6 ou WiFi 6E, e gerir agressivamente a sobreposição de canais. Para espaços de alta densidade, considere a implementação de pontos de acesso com antenas direcionais que focam a energia de RF para baixo, em direção às áreas de assentos, em vez de antenas omnidirecionais que propagam o sinal em todas as direções e causam interferência entre APs adjacentes. Passando para a arquitetura. Um modelo de três níveis é o padrão para redes de campus empresariais: Gestão, Core e Acesso. No topo, tem o seu controlador WLAN centralizado — seja local (on-premise) ou gerido na cloud. Este é o cérebro da rede. Trata do roaming contínuo, aplicação de políticas, otimização de RF e gestão de firmware em todos os seus pontos de acesso. Os controladores geridos na cloud tornaram-se a escolha dominante para novas implementações porque simplificam a gestão de múltiplos locais e reduzem os custos de hardware local. No meio, tem a sua infraestrutura de switching de distribuição e core. Estes são os seus switches de alta capacidade que agregam o tráfego da camada de acesso e o encaminham para o seu gateway de internet e recursos internos. Na base, tem a sua camada de acesso: switches Power over Ethernet e os próprios pontos de acesso sem fios. Para novas implementações, o PoE Plus é o padrão mínimo, uma vez que os pontos de acesso WiFi 6 consomem mais energia do que os seus antecessores. Agora vamos falar sobre a integração e autenticação de utilizadores — porque é aqui que muitas redes de campus falham na prática. Tem milhares de utilizadores transitórios: estudantes matriculados, funcionários, académicos visitantes, delegados de conferências e o público em geral. Cada grupo tem requisitos de acesso diferentes e implicações de segurança distintas. Para funcionários e estudantes matriculados, a implementação de 802.1X com autenticação EAP é inegociável. Isto associa o acesso sem fios ao seu fornecedor de identidade existente — seja o Active Directory, LDAP ou um serviço de identidade na cloud. Os utilizadores autenticam-se com as suas credenciais institucionais e a rede atribui-lhes dinamicamente a VLAN apropriada. Isto fornece um acesso encriptado, baseado em credenciais, que cumpre os requisitos de normas como a ISO 27001 e Cyber Essentials. Para convidados e utilizadores transitórios, precisa de uma solução de Captive Portal que seja segura, em conformidade e que não gere uma avalanche de pedidos de suporte técnico. É aqui que uma plataforma dedicada de WiFi para convidados acrescenta valor real. Uma solução como a plataforma Guest WiFi da Purple oferece uma integração segura e em conformidade com o GDPR, páginas de splash personalizáveis e, fundamentalmente, análises sobre como o seu espaço está a ser utilizado. Obtém visibilidade sobre padrões de afluência, tempos de permanência e períodos de pico de utilização — informações que têm um valor operacional real. Vamos discutir as VLANs e a segmentação de rede. A segmentação adequada de VLANs é essencial tanto para a segurança como para o desempenho. No mínimo, deve ter VLANs separadas para funcionários, estudantes, convidados e dispositivos IoT. A sua VLAN de IoT é particularmente importante. Sensores de edifícios inteligentes, controladores de AVAC, sinalização digital e câmaras de segurança nunca devem partilhar um segmento de rede com dispositivos de utilizadores. Um dispositivo IoT com uma vulnerabilidade não deve ser capaz de comunicar com o portátil de um estudante. Agora vamos falar sobre roaming — porque a transição contínua é crítica para a experiência do utilizador. À medida que um utilizador caminha da biblioteca para a cafetaria, a sua chamada VoIP não deve cair. A sua transmissão de vídeo não deve sofrer buffering. A sua aplicação na nuvem não deve expirar. Alcançar isto exige um ajuste cuidadoso da potência de transmissão e a implementação de normas de roaming rápido. As três normas que precisa de conhecer são a 802.11k, 802.11v e 802.11r. Juntas, estas são por vezes designadas como a trifeta do roaming rápido. A 802.11k permite que os pontos de acesso forneçam aos clientes uma lista de APs vizinhos, para que o dispositivo saiba para onde fazer roaming antes de ser necessário. A 802.11v permite que a rede sugira a um cliente que deve fazer roaming para um AP melhor. E a 802.11r permite a transição rápida de BSS, reduzindo drasticamente o tempo de autenticação durante um roaming — o que é crítico para aplicações de voz e em tempo real. Mas nada disto funciona se a sua potência de transmissão estiver mal configurada. Se os seus APs estiverem a emitir na potência máxima, os dispositivos clientes vão agarrar-se a um AP mesmo quando existe outro mais próximo disponível. Este é o clássico problema do "sticky client". O dispositivo deteta um sinal forte de um AP distante e recusa-se a fazer roaming para um mais próximo, resultando num desempenho degradado para esse utilizador e numa carga desnecessária no AP distante. A solução é ajustar o tamanho das suas células. Reduza a potência de transmissão para que as células de cobertura dos APs adjacentes se sobreponham apenas ligeiramente — normalmente entre quinze a vinte por cento. E desative as taxas de dados mais baixas — um, dois e cinco vírgula cinco megabits por segundo — nos seus pontos de acesso. Quando permite que os dispositivos se liguem a estas velocidades antigas, eles vão manter uma ligação fraca indefinidamente. Desativar estas taxas força o dispositivo a desligar-se e a fazer roaming para um AP mais forte. É altura de algumas perguntas rápidas baseadas no que ouvimos com mais frequência da parte dos clientes. Pergunta um: Devemos separar os dispositivos IoT na sua própria rede? Absolutamente. Coloque os dispositivos IoT — ecrãs inteligentes, sensores de AVAC, sistemas de controlo de acessos — numa VLAN dedicada com regras de firewall estritas. Não permita que congestionem as suas redes de dados principais e não permita que comuniquem lateralmente com os dispositivos dos utilizadores. Pergunta dois: Como lidamos com dispositivos antigos que não suportam autenticação moderna? Para dispositivos que não conseguem efetuar 802.1X — como smart TVs mais antigas ou consolas de jogos em alojamentos de estudantes — implemente o MAC Authentication Bypass, ou MAB. Isto permite-lhe registar endereços MAC de dispositivos específicos e atribuí-los a uma VLAN adequada sem exigir autenticação baseada em credenciais. Pergunta três: E quanto à cobertura exterior? É essencial e, muitas vezes, é deixada para segundo plano. Utilize pontos de acesso robustecidos e resistentes às intempéries com antenas direcionais para cobrir pátios, áreas de esplanada e instalações desportivas. Os APs exteriores precisam de suportar temperaturas extremas, humidade e resistência ao vandalismo — não instale unidades de interior no exterior. Quarta questão: Como lidamos com a segurança do plano de gestão? Garanta que a interface de gestão do seu controlador está numa VLAN de gestão dedicada, acessível apenas a partir de estações de trabalho de administradores autorizados. Ative a autenticação de dois fatores para todas as contas de administrador. E reveja regularmente a postura de segurança dos seus pontos de acesso. Para resumir as principais conclusões do briefing de hoje. Primeiro: desenhe para capacidade, não apenas para cobertura. Num ambiente de campus moderno, o estrangulamento quase nunca é a força do sinal — é a capacidade de servir eficientemente centenas de dispositivos simultâneos. Segundo: realize levantamentos de RF ativos e no local. Não confie apenas em modelos preditivos. Os materiais de construção, as fontes de interferência e o layout físico precisam de ser validados no mundo real. Terceiro: implemente uma arquitetura de três níveis com gestão centralizada. Um controlador gerido na nuvem oferece-lhe visibilidade e controlo sobre todo o seu parque de equipamentos. Quarto: utilize o 802.1X para funcionários e estudantes, e um Captive Portal seguro para convidados. Aproveite a sua plataforma de WiFi de convidados para recolher dados analíticos e impulsionar a inteligência operacional. Quinto: sintonize a sua rede para um roaming contínuo. Implemente o 802.11k, v e r. Reduza a potência de transmissão. Desative as taxas de dados legadas. Elimine os clientes persistentes (sticky clients). E sexto: segmente a sua rede com VLANs. Mantenha o tráfego de IoT, convidados, funcionários e estudantes separado. Para um aprofundamento técnico mais detalhado, incluindo diagramas de arquitetura, exemplos práticos e uma lista de verificação de implementação completa, leia o nosso guia completo sobre como construir uma rede WiFi de campus no website da Purple. Obrigado por ouvir o Purple Enterprise Network Briefing.