O Guia Empresarial para Configurar WiFi de Convidados: Segurança, Segmentação e Velocidade

Fale em inglês britânico com um tom confiante, autoritário e de conversa - como um consultor de redes sénior a dar instruções a um CTO antes de uma reunião de conselho de administração. Ritmo medido, dicção clara, inteligência seca ocasional. Profissional mas não rígido: Bem-vindo ao Purple Technical Brief. Eu sou o seu anfitrião e hoje vamos abordar algo que se situa mesmo na intersecção entre a dor de cabeça de TI e uma verdadeira oportunidade de negócio: a configuração correta de WiFi para convidados. Não a versão "ligar um router e esperar pelo melhor". A versão empresarial. Aquela que mantém os seus auditores satisfeitos, os seus convidados ligados e a sua rede corporativa intacta. [curta pausa] Comecemos pelo contexto. O WiFi para convidados já não é um luxo. É infraestrutura. A plataforma da Purple corre em mais de 80.000 locais ativos - desde os hotéis Premier Inn ao Manchester Airports Group, do Harrods ao McDonald's. E a única coisa que cada uma dessas implementações tem em comum? No momento em que o WiFi para convidados vai abaixo, ou é violado, ou falha uma auditoria de conformidade, torna-se a falha de TI mais visível do edifício. Por isso, vamos garantir que a sua não falha. [curta pausa] Secção um: a arquitetura. O que estamos realmente a construir? Uma implementação de WiFi para convidados devidamente concebida tem três zonas de rede distintas, por vezes quatro. A zona um é a sua rede de convidados - apenas acesso à internet, completamente isolada da sua infraestrutura corporativa. A zona dois é a sua rede de funcionários - autenticada, encriptada, com acesso a recursos internos. A zona três é a sua rede IoT - sistemas de gestão de edifícios, impressoras, sensores, todos isolados tanto de convidados como de funcionários. E se estiver no retalho ou na hotelaria, a zona quatro é a sua LAN corporativa, que contém os seus sistemas de ponto de venda e tudo o que toque em dados de titulares de cartões. A palavra crítica aqui é isolada. Não separada por uma palavra-passe. Não num SSID diferente que por acaso partilha a mesma sub-rede. Genuinamente isolada, na camada de rede, utilizando VLANs - Virtual Local Area Networks - com regras de firewall com estado de sessão entre cada zona. [curta pausa] Porque é que isto importa tanto? Duas palavras: PCI-DSS. O PCI-DSS - o Payment Card Industry Data Security Standard - exige que qualquer rede que transporte dados de titulares de cartões esteja completamente segregada de qualquer rede a que os convidados possam aceder. Se o seu WiFi para convidados e os seus terminais de ponto de venda partilharem o mesmo segmento de rede, todo o seu património entra no âmbito do PCI. Isso significa verificações de vulnerabilidade externas trimestrais, testes de penetração anuais e um fardo de conformidade que custa muito mais do que a configuração de VLAN que ignorou. A correção é simples. VLAN 10 para convidados. VLAN 20 para funcionários. VLAN 30 para IoT. VLAN 1 para a sua LAN corporativa. Regras de firewall que negam explicitamente qualquer tráfego da VLAN 10 para as VLANs 20 e 1. Concluído. O seu âmbito do PCI encolhe drasticamente. [curta pausa] Agora vamos falar sobre encriptação. O padrão que deve implementar hoje é o WPA3 - o padrão Wi-Fi Protected Access 3, ratificado pela Wi-Fi Alliance. O WPA3 substitui o WPA2 e aborda duas vulnerabilidades críticas: elimina o vetor de ataque KRACK e introduz a Simultaneous Authentication of Equals - SAE - que previne ataques de dicionário offline contra handshakes capturados. Especificamente para redes de convidados, vale a pena compreender o WPA3 em modo Enhanced Open, também chamado de OWE - Opportunistic Wireless Encryption. O OWE encripta o tráfego entre cada dispositivo e o ponto de acesso sem necessitar de uma palavra-passe. Os convidados ligam-se perfeitamente, mas o seu tráfego é encriptado em trânsito. Acabou-se a monitorização passiva em redes abertas. Para a rede dos seus colaboradores, vai querer WPA3 Enterprise com autenticação 802.1X. O 802.1X é o padrão IEEE para controlo de acesso à rede baseado em portas. Utiliza um servidor RADIUS - Remote Authentication Dial-In User Service - para autenticar cada dispositivo individualmente antes de conceder acesso à rede. O dispositivo apresenta as credenciais, o servidor RADIUS valida-as junto do seu fornecedor de identidade - Microsoft Entra ID, Okta ou Google Workspace são as escolhas canónicas - e só então o ponto de acesso abre a porta. [short pause] Isto leva-nos aos métodos de autenticação. No âmbito do 802.1X, dispõe de várias variantes EAP - Extensible Authentication Protocol. O EAP-TLS utiliza autenticação mútua baseada em certificados. Tanto o servidor como o cliente apresentam certificados. É a opção mais segura e a recomendada para qualquer ambiente onde esteja a implementar dispositivos geridos. O EAP-TTLS e o PEAP - Protected EAP - utilizam um certificado do lado do servidor com credenciais de nome de utilizador e palavra-passe do cliente. São mais fáceis de implementar, mas ligeiramente menos seguros. Para redes de convidados, não utiliza o 802.1X. Utiliza um Captive Portal - uma página web que interseta a sessão do browser do convidado e exige que este se autentique antes de conceder acesso à Internet. O Captive Portal é onde o GDPR entra em vigor. [short pause] O GDPR - Regulamento Geral sobre a Proteção de Dados - exige que quaisquer dados pessoais recolhidos no Captive Portal tenham uma base jurídica. Para o WiFi de convidados, essa base é quase sempre o consentimento. E o consentimento ao abrigo do GDPR deve ser dado livremente, específico, informado e inequívoco. Caixas previamente marcadas não são válidas. Associar o consentimento de marketing ao acesso à rede não é válido. O que é válido é o que a Purple designa por opt-ins de escolha consciente. O convidado vê uma escolha clara e honesta: ligar ao WiFi e, opcionalmente, marcar esta caixa se desejar receber comunicações de marketing. O acesso à rede e o consentimento de marketing são decisões separadas. Isso está em conformidade com o GDPR. É também, aliás, a razão pela qual os dados que recolhe têm maior qualidade - porque as pessoas que fizeram o opt-in queriam realmente fazê-lo. Purple possui certificações ISO 27001, GDPR, CCPA e Cyber Essentials. Isso significa que, ao implementar o Purple como a sua camada de Captive Portal, a estrutura de conformidade já está integrada. Não está a começar do zero. [short pause] Secção dois: a análise técnica aprofundada. Vamos ser específicos sobre hardware e implementação. O Purple é agnóstico em relação ao hardware. É implementado como uma sobreposição na nuvem nos seus pontos de acesso existentes. A lista canónica de hardware abrange Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Se estiver a executar qualquer um destes, configure o seu SSID de convidado para apontar para o endpoint de RADIUS ou Captive Portal do Purple, e a plataforma trata da autenticação, captura de dados e analítica a partir daí. A sequência de implementação para um hotel típico ou centro de conferências é a seguinte. Primeiro, configura as suas VLANs no switch principal. Segundo, cria os seus SSIDs no controlador sem fios - um para convidados, um para funcionários, um para IoT. Terceiro, mapeia cada SSID para a sua VLAN correspondente. Quarto, configura as suas regras de firewall para impor o isolamento de zonas. Quinto, aponta o seu SSID de convidado para o Captive Portal do Purple. Sexto, configura o seu SSID de funcionários para autenticar no seu servidor RADIUS, que por sua vez consulta o seu fornecedor de identidade. Este é o esqueleto. Os detalhes dão-lhe vida. [short pause] Sobre a gestão de largura de banda: as redes de convidados precisam de políticas de QoS - Quality of Service - para evitar que um único dispositivo sature a sua ligação de uplink. Um ponto de partida sensato é 10 megabits por segundo de download e 5 megabits por segundo de upload por dispositivo, com um limite máximo ao nível do SSID. Para locais com implementações de alta densidade - estádios, centros de conferências - deverá considerar o band steering para encaminhar os dispositivos compatíveis para a banda de 5 gigahertz, e potencialmente 6 gigahertz se os seus pontos de acesso suportarem Wi-Fi 6E. Sobre o DNS: a sua VLAN de convidados deve utilizar um resolvedor de DNS que filtre domínios maliciosos. Isto não é opcional se estiver no setor da saúde ou da educação - é uma salvaguarda contra a utilização da sua rede para aceder a conteúdos nocivos. O suplemento Purple Shield disponibiliza isto ao nível da plataforma. [short pause] Secção três: armadilhas de implementação e como evitá-las. Armadilha um: redes planas. Ainda vejo isto em ambientes de retalho. Um SSID, uma sub-rede, convidados e terminais de ponto de venda no mesmo domínio de difusão. Isto falha o requisito 1.3 do PCI-DSS, que exige a segmentação de rede entre redes não confiáveis e o ambiente de dados de titulares de cartões. Corrija isso com VLANs antes da sua próxima visita de QSA. Armadilha dois: certificados autoassinados em Captive Portals. Quando um convidado se liga à sua rede e o seu navegador apresenta um aviso de certificado, ou clica para avançar - treinando-o para ignorar avisos de segurança - ou vai embora. Utilize um certificado TLS válido de uma autoridade de certificação reconhecida no seu Captive Portal. O Let's Encrypt é gratuito. Não há desculpa. Terceira armadilha: sem tempo limite de sessão. As sessões de convidados devem expirar. Um tempo limite de sessão de 24 horas é razoável para a hotelaria. Um tempo limite de 4 horas é apropriado para o retalho. Sem um tempo limite, um dispositivo ligado há seis meses ainda tem uma sessão ativa - e potencialmente ainda aparece nas suas análises como um "visitante". Quarta armadilha: ausência de registos de acesso. O GDPR e a maioria dos regulamentos nacionais de telecomunicações exigem que retenha os registos de ligação - endereço IP, endereço MAC, carimbo de data/hora, duração da sessão - por um período definido. A Purple retém estes dados automaticamente e exporta-os em formatos compatíveis com os pedidos das autoridades policiais. Se estiver a executar um Captive Portal personalizado, certifique-se de que o seu registo de dados está configurado e a sua política de retenção está documentada. [pausa curta] Secção quatro: perguntas rápidas. Preciso de um SSID separado para dispositivos IoT? Sim. Os dispositivos IoT são o vetor mais comum para ataques de movimento lateral. Isole-os. Posso utilizar um único ponto de acesso para convidados e funcionários? Sim, se este suportar múltiplos SSIDs mapeados para diferentes VLANs. A maioria dos pontos de acesso empresariais suporta. Certifique-se apenas de que a porta trunk no switch está configurada corretamente. O WPA3 avaria os dispositivos mais antigos? Alguns dispositivos mais antigos não suportam WPA3. Configure o seu SSID no modo de transição WPA2/WPA3 para manter a compatibilidade retroativa, oferecendo simultaneamente WPA3 a dispositivos compatíveis. Qual é a diferença entre Passpoint e um Captive Portal? O Passpoint - também conhecido como Hotspot 2.0 - permite que os dispositivos se liguem automaticamente utilizando uma credencial pré-provisionada, sem interação com um Captive Portal. É ideal para visitantes frequentes ou membros de programas de fidelização. A Purple suporta Passpoint e OpenRoaming, o que estende a ligação automática através de uma rede federada de locais aderentes. [pausa curta] Secção cinco: resumo e próximos passos. Isto é o que deve reter desta sessão informativa. Um: segmente a sua rede. Convidados, funcionários, IoT e LAN corporativa em VLANs separadas com regras de firewall explícitas entre elas. Esta é a ação individual com maior impacto que pode realizar para a segurança e conformidade. Dois: implemente WPA3 onde o seu hardware o suportar. WPA3 Enterprise para funcionários. WPA3 Enhanced Open ou um Captive Portal para convidados. Três: torne o seu Captive Portal em conformidade com o GDPR. Separe o acesso à rede do consentimento de marketing. Utilize opções de autoexclusão de escolha consciente. Retenha os registos de ligação. Quatro: utilize uma sobreposição de nuvem agnóstica de hardware como a Purple. Proporciona-lhe uma experiência de convidado consistente em todo o seu património, independentemente do fabricante do ponto de acesso que estiver a utilizar. E transforma o seu WiFi de convidados de um centro de custos numa fonte de dados primários. Cinco: meça-o. A plataforma de análise da Purple fornece-lhe dados de fluxo de visitantes, tempo de permanência, taxas de visitas de retorno e informações demográficas - tudo derivado de dados de ligação WiFi. Esse é o tipo de inteligência que justifica o investimento em infraestrutura perante uma administração que não quer saber de VLANs, mas quer saber de receitas. [pausa curta] Se quiser aprofundar qualquer um destes tópicos, o guia completo por escrito está disponível no website da Purple. Abrange a configuração de VLAN, a configuração de RADIUS, o mapeamento de dados do GDPR e exemplos práticos de implementações em hotelaria, retalho e estádios. Obrigado por ouvir o Purple Technical Brief. Vemo-nos no próximo.