Como Segmentar Redes WiFi de Colaboradores e de Convidados com Segurança: Melhores Práticas para LANs Empresariais

Fale com um tom confiante e de conversação em inglês britânico - como um consultor sénior a dar instruções a um cliente. Ritmo comedido, autoritário mas acessível. Sem palavras de preenchimento. --- INTRODUÇÃO E CONTEXTO (aproximadamente 1 minuto) --- Muito bem, vamos a isso. Se é responsável pela rede de um espaço - seja um hotel, uma cadeia de retalho, um estádio ou um edifício de uma autarquia local - há uma pergunta que surge mais do que quase qualquer outra: como dar aos convidados um WiFi decente sem colocar a sua rede corporativa em risco? A resposta curta é a segmentação. Mas a resposta mais longa - aquela que realmente o leva a uma rede segura, em conformidade e gerível - envolve a autenticação 802.1X, o isolamento de VLAN, o RADIUS na nuvem e um ciclo de vida de credenciais que não depende de alguém se lembrar de alterar uma palavra-passe partilhada quando um membro da equipa se vai embora. Nos próximos dez minutos, vou orientá-lo exatamente sobre como arquitetar e implementar uma rede devidamente segmentada. Iremos cobrir as bases técnicas, as etapas de configuração específicas do fornecedor para a Cisco Meraki e Juniper Mist, dois cenários de implementação do mundo real e as armadilhas que apanham a maioria das equipas de surpresa. Vamos a isso. --- MERGULHO TÉCNICO PROFUNDO (aproximadamente 5 minutos) --- Comecemos pelos aspetos fundamentais. A segmentação de rede significa manter o tráfego da sua equipa e o tráfego dos seus convidados em redes física ou logicamente separadas, de modo a que um dispositivo de convidado - ou um dispositivo de convidado comprometido - não possa aceder aos seus sistemas de ponto de venda, ao seu ERP, à sua infraestrutura de CCTV ou a qualquer outra coisa na sua LAN corporativa. A forma padrão de fazer isso na Camada 2 é com VLANs - Virtual Local Area Networks. Atribui o SSID da sua equipa a uma VLAN, por exemplo, VLAN 10, e o SSID dos seus convidados a outra, por exemplo, VLAN 20. Os seus switches geridos e pontos de acesso reforçam essa separação ao nível do hardware. Um convidado na VLAN 20 é encaminhado para a internet e mais nada. Um membro da equipa na VLAN 10 é encaminhado para a LAN corporativa e para a internet, com base nas regras de firewall que definiu. Esse é o modelo básico. Mas é aqui que a maioria dos espaços falha: utilizam uma frase secreta partilhada - uma PSK - para a rede da equipa. Toda a gente a conhece. É escrita num Post-it. Nunca muda. Quando alguém sai, a credencial permanece ativa. Isso não é segmentação. Isso é uma falsa sensação de segurança. A abordagem correta para a equipa é o 802.1X - que é a norma IEEE para controlo de acesso à rede baseado em portas. Em vez de uma frase secreta partilhada, cada membro da equipa autentica-se com a sua própria credencial de identidade - normalmente a sua conta de diretório corporativo do Microsoft Entra ID, Okta ou Google Workspace. O ponto de acesso envia esse pedido de autenticação para um servidor RADIUS, que o valida junto do seu fornecedor de identidade e concede ou recusa o acesso. Sem segredos partilhados. Sem credenciais que sobrevivam a uma saída de funcionário. O método de autenticação que funciona melhor na maioria das implementações empresariais é o EAP-TTLS - Extensible Authentication Protocol Tunnelled Transport Layer Security. Este cria um túnel encriptado entre o dispositivo e o servidor RADIUS e depois autentica dentro desse túnel utilizando PAP. Isto significa que as credenciais nunca são expostas por via aérea. Agora, o próprio servidor RADIUS é um componente crítico. Tradicionalmente, executaria o seu próprio servidor RADIUS no local - um Cisco ISE, uma máquina FreeRADIUS, algo do género. Mas, cada vez mais, as organizações estão a mudar para um RADIUS nativo na nuvem, o que remove a dependência local, melhora a resiliência e simplifica a gestão. O produto SecurePass da Purple faz exatamente isto - fornece um serviço RADIUS na nuvem contra o qual os seus pontos de acesso se autenticam através de RadSec, que é RADIUS sobre TLS na porta 2083. Isso dá-lhe tráfego RADIUS encriptado, e não o tradicional RADIUS baseado em UDP que envia atributos em texto limpo. Para o lado dos convidados, o modelo é diferente. Os convidados não têm contas de diretório corporativo. Ligam-se a um SSID separado - normalmente protegido com um Captive Portal que recolhe um início de sessão baseado em consentimento, ou através de Passpoint, que é o padrão Hotspot 2.0 da Wi-Fi Alliance que permite uma autenticação automática e contínua sem uma página de boas-vindas. A plataforma da Purple suporta ambos. O SSID de convidados reside na sua própria VLAN, encaminha apenas para a internet e está completamente isolado da rede de funcionários e da LAN corporativa. Permita-me falar sobre o Passpoint por um momento, porque é cada vez mais importante. O Passpoint - também conhecido como Hotspot 2.0 ou OpenRoaming - permite que um dispositivo se ligue automaticamente a uma rede confiável utilizando uma credencial que já possui, como uma credencial de operadora móvel ou uma identidade da aplicação Purple. O dispositivo e a rede negociam a autenticação utilizando EAP-TTLS ou EAP-TLS sem que o utilizador tenha de interagir com uma página de boas-vindas. Para locais com grande afluência - aeroportos, estádios, centros comerciais - isto melhora drasticamente a experiência de ligação ao mesmo tempo que mantém a segurança. Agora vamos falar sobre duas plataformas de hardware específicas: Cisco Meraki e Juniper Mist, porque estas são as duas plataformas empresariais mais comuns que vemos nos locais. No Cisco Meraki, configura o seu SSID de funcionários em Wireless, Access Control. Define a segurança para Enterprise com o meu servidor RADIUS, apenas WPA2, sem página de boas-vindas. De seguida, adiciona os seus servidores RADIUS - no caso da Purple, rad1-secure.purple.ai e rad2-secure.purple.ai, ambos na porta 2083, com RadSec ativado. Também configura o Hotspot 2.0 em Wireless, Hotspot 2.0 - ativando-o, definindo o nome do operador, a lista de domínios e o domínio NAI com EAP-TTLS como o método. Os detalhes completos passo a passo estão na documentação de suporte da Purple, que irei referenciar no final. No Juniper Mist, aceda a Network, WLANs, adicione uma nova WLAN, defina o tipo de segurança como WPA2 Enterprise 802.1X, ative o Passpoint e configure os seus servidores de autenticação como RadSec apontando para a infraestrutura da Purple. Também precisa de instalar o certificado RadSec em Organisation Settings. Mais uma vez, os valores de configuração e passos exatos encontram-se no artigo de suporte da Purple - recomendo sempre seguir a documentação em direto em vez de codificar valores rígidos a partir de um podcast. A parte do ciclo de vida das credenciais é onde as Identity-Based Networks realmente mostram o seu valor. Quando um colaborador entra, a sua conta no Microsoft Entra ID ou Okta é aprovisionada e este obtém acesso à WiFi automaticamente. Quando muda de funções, o seu perfil de acesso é atualizado. Quando sai - e este é o ponto crítico - a sua conta é desaprovisionada e a Purple revoga o seu acesso à WiFi em tempo real. Sem palavra-passe partilhada para alterar. Sem processos manuais. Sem janela de exposição. É a isto que a Purple chama o fluxo de trabalho de "joiners, movers, leavers", ou JML, e é a diferença entre uma rede genuinamente segura e uma que apenas parece segura. - RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS (aproximadamente 2 minutos) - Muito bem, vamos falar sobre o que corre mal na prática, porque existem alguns modos de falha que vejo repetidamente. O primeiro é a configuração incorreta de VLAN. Configura os SSIDs corretamente, mas as portas trunk nos seus switches não estão a transportar ambas as VLANs, ou as suas regras de encaminhamento inter-VLAN são demasiado permissivas. Um convidado na VLAN 20 acaba por conseguir fazer ping a dispositivos na VLAN 10. Teste sempre com um dispositivo de convidado após a implementação - tente aceder a um endereço IP interno. Se conseguir, as suas regras de firewall precisam de ser reforçadas. O segundo é o failover de RADIUS. Se configurar apenas um servidor RADIUS e este ficar inacessível, a equipa não se consegue autenticar. Configure sempre rad1-secure e rad2-secure como primário e secundário. A infraestrutura de RADIUS-as-a-Service na nuvem da Purple foi concebida para alta disponibilidade, mas o seu ponto de acesso precisa de conhecer ambos os endpoints. O terceiro - e este é o que causa maior dor operacional - é não integrar com o seu fornecedor de identidade desde o primeiro dia. As equipas começam frequentemente com contas RADIUS locais, com a intenção de migrar para o Entra ID ou Okta mais tarde. Essa migração é dolorosa. Faça-o bem logo no início. A automatização de JML por si só justifica o esforço. O quarto erro comum é tratar a rede de convidados como algo secundário. O seu SSID de convidados precisa de uma recolha de consentimento em conformidade com o GDPR, gestão de largura de banda para evitar que um único convidado sature a ligação e isolamento de clientes para que os convidados não consigam ver os dispositivos uns dos outros. A plataforma da Purple trata do lado do consentimento e da análise. O seu ponto de acesso trata do isolamento de clientes - certifique-se de que está ativado. Do lado da conformidade: se processar pagamentos com cartões em qualquer parte da mesma infraestrutura de rede física, o âmbito do PCI-DSS é uma preocupação real. A segmentação adequada de VLAN, combinada com uma firewall que impeça o tráfego entre VLAN entre as redes de convidados e de pagamentos, é a base. O seu QSA vai querer ver provas dessa segmentação. Documente as suas atribuições de VLAN, as suas regras de firewall e a configuração do seu ponto de acesso. - PERGUNTAS E RESPOSTAS RÁPIDAS (aproximadamente 1 minuto) - Algumas perguntas que me fazem regularmente. Posso ter funcionários e convidados no mesmo ponto de acesso? Sim - os pontos de acesso empresariais modernos da Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, entre outros, suportam múltiplos SSIDs com marcação de VLAN num único rádio. Não precisa de hardware separado. Preciso de WPA3? O WPA3 é preferível para novas implementações, particularmente para a rede de convidados, porque fornece confidencialidade direta (forward secrecy) e protege contra ataques de dicionário offline. Mas o WPA2 Enterprise com 802.1X continua a ser robusto para os funcionários, e a maior parte do hardware empresarial suporta-o. Se o seu hardware suportar WPA3, ative-o. E quanto ao BYOD - funcionários a usar dispositivos pessoais? É aqui que a autenticação baseada em certificados, ou EAP-TLS, se torna valiosa. Pode emitir certificados de dispositivos através do seu MDM para dispositivos geridos, e restringir o WiFi dos funcionários apenas a dispositivos autenticados por certificado. Os dispositivos pessoais não geridos são direcionados para um SSID de BYOD separado com acesso mais restrito. Como funciona a plataforma de analítica da Purple juntamente com a segmentação? A Purple recolhe dados de primeira entidade dos inícios de sessão de WiFi de convidados - com consentimento - e apresenta-os através da plataforma de WiFi Analytics. O tráfego dos funcionários é separado e não está sujeito à mesma recolha de analítica. As duas redes são estruturalmente distintas, o que é exatamente como deve ser. - RESUMO E PRÓXIMOS PASSOS (aproximadamente 1 minuto) - Para resumir. A segmentação segura de WiFi de funcionários e convidados resume-se a cinco pontos. Um: VLANs separadas para tráfego de funcionários e convidados, aplicadas ao nível do switch e do ponto de acesso. Dois: 802.1X com EAP-TTLS para autenticação de funcionários - sem palavras-passe partilhadas. Três: RADIUS na nuvem com RadSec para uma infraestrutura de autenticação encriptada e resiliente. Quatro: Passpoint ou Captive Portal para convidados, com recolha de consentimento em conformidade com o GDPR. Cinco: integração com o fornecedor de identidade para JML automatizado - para que quem sai perca o acesso no momento em que a sua conta é desaprovisonada. Se estiver a implementar em Cisco Meraki ou Juniper Mist, a documentação de suporte da Purple tem os passos de configuração exatos. Se estiver a avaliar a plataforma de forma mais ampla - incluindo SecurePass para a identidade dos funcionários, WiFi Analytics para obter informações sobre convidados e a aplicação Purple para uma conectividade Passpoint simplificada - o ponto de partida é purple.ai. Por hoje é tudo. Se achou isto útil, partilhe-o com o seu arquiteto de rede ou com o seu diretor de operações de instalações. E se tiver um cenário de implementação específico que gostaria que abordássemos, entre em contacto connosco.