Conceber uma Arquitetura de WiFi Multi-Tenant para MDU

Conceber uma Arquitetura de WiFi Multi-Tenant para MDU - Uma Apresentação Técnica Purple. Bem-vindo à série de Apresentações Técnicas Purple. Hoje vamos analisar a arquitetura que serve de base a algumas das implementações de WiFi mais complexas que encontrará em ambientes empresariais - WiFi multi-tenant para edifícios multi-familiares e de utilização mista. Quer seja responsável por um hotel de 300 quartos onde os hóspedes, os funcionários e os sistemas de gestão do edifício partilham a mesma infraestrutura física, por um complexo misto de escritórios e retalho, ou por um bloco de alojamento para estudantes com centenas de inquilinos independentes, o desafio é fundamentalmente o mesmo: como fornecer conectividade fiável, segura e isolada a várias partes independentes através de uma única rede física partilhada? Este não é um exercício teórico. As decisões que tomar na fase de arquitetura determinarão diretamente a sua postura de segurança, a sua exposição à conformidade ao abrigo do GDPR e PCI-DSS e, francamente, se o seu suporte técnico será inundado com reclamações seis meses após a entrada em funcionamento. Por isso, vamos a isso. A base de qualquer arquitetura de WiFi multi-tenant é a segmentação de rede - e o principal mecanismo para alcançar essa segmentação é a marcação de VLAN, definida sob a norma 802.1X IEEE 802.1Q. O conceito é simples: atribui cada tenant, ou cada classe de tráfego, a uma virtual LAN distinta. O tráfego na VLAN 10 não pode aceder ao tráfego na VLAN 20, a menos que o permita explicitamente através de uma política de encaminhamento ou de firewall. Esse isolamento lógico é a sua primeira linha de defesa. Mas é aqui que os arquitetos cometem frequentemente o seu primeiro erro: confundem segmentação de VLAN com segurança. As VLANs proporcionam isolamento, não segurança. Continua a precisar de políticas de firewall entre VLANs, continua a precisar de listas de controlo de acesso e continua a precisar de pensar cuidadosamente sobre qual o encaminhamento inter-VLAN que permite. Uma porta trunk mal configurada pode colapsar todo o seu modelo de segmentação em segundos. Agora, vamos falar sobre a camada física. Num ambiente MDU, dispõe normalmente de uma infraestrutura física partilhada - cablagem, switch fabric e pontos de acesso - que serve vários tenants. Os próprios pontos de acesso transmitem múltiplos SSIDs, cada um mapeado para uma VLAN diferente. Assim, o Tenant A liga-se ao seu SSID, o seu tráfego é marcado com a VLAN 10 no AP, atravessa a switch fabric partilhada numa porta trunk e chega à camada de distribuição, onde é encaminhado para a sub-rede isolada do Tenant A. O tráfego do Tenant B segue o mesmo caminho físico, mas está completamente isolado na camada 2. É aqui que a sua escolha de plataforma de pontos de acesso importa imenso. Precisa de APs que suportem múltiplos mapeamentos SSID-para-VLAN, que consigam gerir a radiofrequência em potencialmente dezenas de unidades muito próximas e que se integrem com um controlador centralizado ou plataforma de gestão na nuvem. O controlador é fundamental - é o que lhe dá a capacidade de aplicar alterações de política, monitorizar o débito por tenant e responder a incidentes sem tocar nos APs individuais. No lado da autenticação, o padrão atual para implementações multi-tenant de nível empresarial é o IEEE 802.1X com autenticação RADIUS. Cada tenant autentica-se no seu próprio servidor RADIUS, ou numa infraestrutura RADIUS partilhada com aplicação de políticas por tenant. O WPA3-Enterprise é agora o padrão de encriptação recomendado - fornece um modo de segurança de 192 bits para ambientes de alta sensibilidade e elimina as vulnerabilidades associadas ao handshake de quatro vias do WPA2. Para segmentos de guest WiFi - e num contexto MDU, terá quase sempre pelo menos um - o modelo típico é o de Captive Portal. O convidado liga-se a um SSID aberto ou WPA2-Personal, é redirecionado para uma splash page para autenticação ou aceitação de termos, e depois é-lhe concedido acesso exclusivo à internet numa VLAN isolada. Crucialmente, essa VLAN de convidados não deve ter rota para nenhuma VLAN de tenant. Zero. Isso é não negociável, tanto do ponto de vista de segurança como do GDPR. Falemos por um momento sobre o ambiente de radiofrequência, porque é aqui que as implementações MDU se tornam genuinamente complexas. Quando tem múltiplos tenants em unidades adjacentes - pense num corredor de hotel com quartos de ambos os lados, ou num centro comercial com lojas a partilhar paredes - tem um ambiente RF de alta densidade. A interferência de canal partilhado é o seu inimigo. Precisa de um planeamento de RF adequado antes da implementação: um levantamento do local que mapeie a propagação do sinal, identifique as fontes de interferência e oriente a sua estratégia de alocação de canais. A banda de 2.4 GHz oferece três canais sem sobreposição na maioria dos domínios regulamentares - canais 1, 6 e 11. A banda de 5 GHz oferece significativamente mais, razão pela qual as implementações modernas empurram os clientes para os 5 GHz sempre que possível. O Wi-Fi 6 e o Wi-Fi 6E estendem isto ainda mais para a banda de 6 GHz, proporcionando-lhe um espetro limpo e amplamente livre de interferências de dispositivos antigos. Para novas implementações MDU em 2025 e no futuro, a especificação de APs compatíveis com Wi-Fi 6E é a decisão correta - a margem adicional de espetro traz grandes benefícios em ambientes densos. Um padrão de arquitetura que está a ganhar uma tração significativa em grandes implementações MDU é a utilização de uma sobreposição de Software-Defined Networking - especificamente abordagens SD-WAN ou SD-LAN onde as políticas dos tenants são definidas centralmente e enviadas para a periferia. Isto dissocia a camada de política da infraestrutura física, o que significa que pode integrar um novo tenant, modificar a sua alocação de largura de banda ou revogar o seu acesso sem tocar numa única linha de comando do switch. Para os operadores de espaços que gerem dezenas ou centenas de tenants, essa eficiência operacional é transformadora. A IoT é a outra dimensão que não pode ignorar. Num MDU moderno — quer seja um hotel, um complexo comercial ou um bloco residencial — existem sistemas de gestão técnica centralizada, controladores HVAC, iluminação inteligente, controlo de acessos, CCTV e uma gama crescente de outros dispositivos ligados. Estes têm de estar na sua própria VLAN isolada, completamente separados tanto do tráfego dos inquilinos como do tráfego de convidados. Os dispositivos IoT são notoriamente difíceis de atualizar e representam uma superfície de ataque significativa. Segmente-os, monitorize-os e aplique uma filtragem de saída rigorosa para que apenas comuniquem com as suas plataformas de gestão designadas. Muito bem, passemos à prática. Eis como eu abordaria uma implementação MDU de raiz. Comece pelo seu design lógico antes de tocar num único componente de hardware. Mapeie o seu número de inquilinos, as suas classes de tráfego - gestão, corporativo, convidado, IoT, pagamentos - e atribua as VLANs em conformidade. Documente o seu esquema de endereçamento IP. Defina a sua política de encaminhamento inter-VLAN: o que pode comunicar com o quê, e o que é absolutamente proibido. Depois, faça o seu planeamento de RF. Encomende um levantamento de local (site survey) adequado. Não confie nos mapas de cobertura dos fornecedores - na melhor das hipóteses, são otimistas. Precisa de medições reais de sinal no espaço físico, tendo em conta os materiais das paredes, a construção dos pisos e o ambiente de RF dos edifícios vizinhos. Ao especificar o hardware, priorize plataformas que suportem gestão centralizada na nuvem. Os custos operacionais de gerir um parque de APs distribuídos sem um controlador são insustentáveis à escala. Procure plataformas que lhe ofereçam políticas de largura de banda por SSID, relatórios por inquilino e integração com a sua infraestrutura RADIUS. Relativamente às armadilhas: o modo de falha mais comum que vejo é a configuração insuficiente das portas trunk. Os arquitetos desenham um esquema de VLAN excelente e depois esquecem-se de permitir explicitamente as VLANs relevantes em cada ligação trunk no caminho. O tráfego cai silenciosamente, os inquilinos queixam-se e a equipa de suporte passa dias a localizar o problema. Documente as suas configurações de trunk meticulosamente e valide-as durante a colocação em funcionamento. A segunda armadilha é a proliferação de SSIDs. Cada SSID que transmite consome tempo de antena para tramas de sinalização (beacon frames). Num ambiente denso, transmitir oito ou dez SSIDs por AP degrada o desempenho de todos. Mantenha a sua contagem de SSIDs no mínimo necessário - normalmente não mais de quatro por rádio. Utilize a atribuição dinâmica de VLAN através de atributos RADIUS em vez de SSIDs separados para servir múltiplos inquilinos a partir de um único SSID. A terceira armadilha é negligenciar o plano de gestão. A sua VLAN de gestão - aquela em que os seus APs, switches e controladores comunicam - tem de estar completamente isolada de todas as VLANs de inquilinos e convidados. Se um inquilino conseguir aceder ao seu plano de gestão, tem uma vulnerabilidade de segurança crítica. Utilize gestão fora de banda (out-of-band) sempre que possível, e aplique ACLs rigorosas ao tráfego de gestão. Agora, permita-me abordar algumas questões que surgem de forma consistente nestas implementações. Quantos inquilinos pode um único AP suportar? De forma prática, a maioria dos APs empresariais consegue gerir de 20 a 30 clientes ativos em simultâneo por rádio antes que o desempenho diminua. Num MDU denso, planeie um AP por cada 15 a 20 dispositivos ativos, e não por unidade física. Preciso de um AP separado por inquilino? Não - esse é todo o objetivo da multi-inquilinice baseada em VLAN. Múltiplos inquilinos partilham o mesmo AP, com o isolamento de tráfego a ser imposto na camada de rede. Qual é a alocação de largura de banda correta por inquilino? Não existe uma resposta universal, mas um ponto de partida comum é de 10 a 25 megabits por segundo garantidos com capacidade de burst até à capacidade de uplink disponível. Utilize políticas de QoS para impor isto e evitar que um único inquilino sature o uplink partilhado. Como lidar com um inquilino que precisa do seu próprio firewall? Forneça-lhe uma VLAN dedicada e um ponto de entrega encaminhado. Eles ligam o seu próprio CPE ou firewall a esse ponto de entrega, e tudo o que estiver por trás dele é da sua responsabilidade. Para reunir tudo isto: uma arquitetura WiFi multi-inquilino bem concebida para um MDU assenta em quatro pilares. Primeiro, uma segmentação rigorosa de VLAN com políticas de firewall impostas entre segmentos. Segundo, uma gestão centralizada baseada em controlador que lhe confere visibilidade operacional e controlo de políticas à escala. Terceiro, um exercício adequado de planeamento de RF que tenha em conta o ambiente físico e a densidade da implementação. E quarto, um modelo de segurança que aborde os requisitos de autenticação, encriptação, isolamento de IoT e conformidade desde o primeiro dia. As organizações que fazem isto bem obtêm resultados mensuráveis: redução dos custos de suporte, integração mais rápida de inquilinos, postura de conformidade demonstrável para auditorias e capacidade de monetizar a conectividade como um serviço, em vez de a tratar como um centro de custos. Se está a planear uma implementação num MDU e quer explorar a forma como a plataforma da Purple pode fornecer a camada de analítica, gestão de guest WiFi e relatórios ao nível do inquilino sobre a sua infraestrutura de rede, os recursos indicados no guia são um bom ponto de partida. Obrigado por ouvir. Até à próxima.