EnGenius Cloud Access Points Integration with Purple WiFi

Resumo Executivo

A dependência de uma chave pré-partilhada comum para o WiFi corporativo expõe os locais a riscos de segurança significativos e impede a recolha de dados primários (first-party data) valiosos. Este guia detalha a integração dos Pontos de Acesso EnGenius Cloud com a plataforma de Guest WiFi da Purple para fornecer redes sem fios seguras, segmentadas e mensuráveis em ambientes de hotelaria , retalho e multi-inquilino. Ao implementar a autenticação IEEE 802.1X para funcionários, atribuição dinâmica de VLAN através do EnGenius MyPSK para residentes e inquilinos, e um Captive Portal alojado na nuvem para convidados, as equipas de TI podem impor controlos de acesso rigorosos, transformando simultaneamente a infraestrutura sem fios num ativo de business intelligence.

A Purple processa 440 milhões de inícios de sessão anualmente em mais de 80.000 locais ativos (dados internos da Purple, 2024). A plataforma possui certificação ISO 27001, está em conformidade com o GDPR e CCPA, e é agnóstica em termos de hardware - razão pela qual se integra perfeitamente com a EnGenius, a par da Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi. Este guia abrange as quatro camadas de configuração necessárias para implementar a Purple no hardware EnGenius Cloud: redirecionamento do Captive Portal de convidados, configuração de Walled Garden, WiFi seguro para funcionários e isolamento de múltiplos inquilinos utilizando o EnGenius MyPSK.

Análise Técnica Detalhada

Visão Geral da Arquitetura

A integração entre a EnGenius Cloud e a Purple baseia-se em protocolos RADIUS padrão e redirecionamento HTTP. Quando um convidado se liga a um ponto de acesso EnGenius ECW num SSID com Captive Portal ativado, o AP intercepta o primeiro pedido HTTP e redireciona o browser para a página de splash alojada na nuvem da Purple. Este redirecionamento passa vários parâmetros para o portal - incluindo client_mac, ap_mac e userurl - que a Purple utiliza para monitorizar a sessão e devolver uma decisão de autenticação.

Para funcionários e dispositivos operacionais, a arquitetura muda do redirecionamento do Captive Portal para o controlo de acesso à rede baseado em porta IEEE 802.1X. O ponto de acesso EnGenius atua como o autenticador, encaminhando mensagens de Extensible Authentication Protocol (EAP) para o servidor RADIUS da Purple através da porta UDP 1812. Após uma autenticação bem-sucedida, o servidor RADIUS devolve uma mensagem Access-Accept contendo atributos de atribuição de VLAN, instruindo o AP a colocar o dispositivo no segmento de rede correto.

Plataforma EnGenius Cloud

A EnGenius Cloud é uma plataforma de gestão de rede na nuvem que suporta os pontos de acesso da série ECW (incluindo os modelos WiFi 7 ECW220, ECW230 e ECW520) e os switches geridos da série ECS. A plataforma fornece um painel centralizado para a gestão de SSID, configuração RADIUS, etiquetagem de VLAN e definições de Captive Portal em todos os dispositivos de uma organização. A EnGenius Cloud suporta três tipos de autenticação de Captive Portal baseados em RADIUS: EnGenius Authentication (utilizando o Cloud RADIUS integrado), Custom RADIUS (apontando para um servidor externo como a Purple) e Voucher Service.

Para implementações empresariais, o Custom RADIUS é o tipo de autenticação correto para a integração com a Purple. Este modo instrui o ponto de acesso a encaminhar os pedidos de autenticação para o endpoint RADIUS da Purple, ativando o portal, as análises e as capacidades de recolha de dados da Purple.

EnGenius MyPSK e isolamento multi-tenant

Em ambientes como propriedades destinadas a arrendamento (build-to-rent), alojamento de estudantes, escritórios de serviços ou espaços de coworking, a transmissão de um SSID separado para cada inquilino degrada o desempenho da radiofrequência. Cada SSID adicional gera tramas de sinalização (beacon frames) que consomem tempo de antena e reduzem a capacidade disponível para o tráfego de dados. O EnGenius MyPSK (também designado por PPSK ou Private Pre-Shared Key) resolve este problema ao permitir até 500 PSKs exclusivas num único SSID.

Cada chave está associada a uma VLAN específica. Quando um residente se liga utilizando a sua chave exclusiva, o ponto de acesso coloca-o automaticamente no segmento de rede designado. A encriptação é feita por utilizador: cada chave gera uma Pairwise Master Key (PMK) única, pelo que um inquilino não consegue desencriptar o tráfego aéreo de outro inquilino, mesmo partilhando o mesmo SSID. Esta é uma vantagem de segurança fundamental face a uma única PSK partilhada, onde qualquer utilizador que conheça a palavra-passe pode desencriptar todo o tráfego da rede.

As chaves MyPSK suportam datas de expiração, o que as torna ideais para cenários de acesso por tempo limitado: a chave de um estudante expira no final do ano letivo, a chave de um prestador de serviços expira quando o seu contrato termina e a chave de um participante numa conferência expira à meia-noite do último dia do evento.

Guia de implementação

Passo 1: Definir a arquitetura de VLAN

Antes de configurar qualquer SSID, defina a estrutura de VLAN nos seus switches ECS. Uma implementação típica utiliza três VLANs:

Passo 2: Configurar o Captive Portal de convidados (configuração do Captive Portal EnGenius)

Esta é a configuração principal para implementar a splash page da EnGenius com o Purple.

1. Inicie sessão no seu painel EnGenius Cloud em cloud.engenius.ai .
2. Navegue até Configure > SSID e selecione a sua rede de convidados (ex.: "VenueGuest").
3. No separador Wireless, defina o Security Type como Open. Isto é o padrão para WiFi de convidados; os convidados são identificados e autenticados na camada do portal, não na camada de associação.
4. Mude para o separador Captive Portal e ative o portal.
5. Defina o Authentication Type como Custom RADIUS.
6. Introduza os detalhes do servidor RADIUS do Purple:

1. Mude para o separador Splash Page.
2. Selecione External Splash Page URL.
3. Introduza o URL do portal Purple para o seu espaço (formato: https://portal.purple.ai/[venue-id]).
4. Clique em Apply.

Passo 3: Configurar o Walled Garden

O Walled Garden (lista branca de WiFi de convidados do EnGenius) deve ser configurado para permitir o acesso pré-autenticação aos domínios necessários para o carregamento do portal. Navegue até Captive Portal > Advanced Settings > Walled Garden e adicione as seguintes entradas:

Infraestrutura Purple:

• *.purple.ai
• *.purpleportal.net

Sondas de Captive Portal do SO (obrigatório):

• captive.apple.com (iOS e macOS)
• connectivitycheck.gstatic.com (Android)
• msftconnecttest.com (Windows)

Início de sessão social (se ativado):

• Google: accounts.google.com, oauth2.googleapis.com, apis.google.com, *.gstatic.com
• Facebook: www.facebook.com, graph.facebook.com, connect.facebook.net, *.fbcdn.net
• Microsoft Entra ID: login.microsoftonline.com, login.live.com

Utilize sempre nomes de domínio em vez de endereços IP estáticos. Os fornecedores de início de sessão social utilizam intervalos de IP dinâmicos e encaminhamento anycast; uma lista branca de IP estático degradar-se-á com o tempo à medida que os endereços CDN mudam.

Passo 4: Configurar WiFi seguro para colaboradores (802.1X)

A configuração RADIUS da EnGenius para WiFi de colaboradores utiliza WPA2 Enterprise para fornecer autenticação baseada em certificados e sem palavra-passe.

1. Crie um novo SSID (ex.: "VenueStaff").
2. No separador Wireless, defina o Security Type como WPA2 Enterprise.
3. Selecione Custom RADIUS e introduza o IP do servidor RADIUS, a porta 1812 e o segredo partilhado.
4. Não é necessário nenhum Captive Portal. Os dispositivos dos colaboradores autenticam-se silenciosamente através de 802.1X.
5. Configure o seu servidor RADIUS para devolver os seguintes atributos em Access-Accept:

Para a seleção do método EAP: PEAP-MSCHAPv2 é a escolha prática para ambientes que utilizam o Microsoft Entra ID ou Active Directory. O EAP-TLS oferece uma segurança mais robusta ao eliminar totalmente as palavras-passe, mas requer uma Infraestrutura de Chaves Públicas e uma solução de MDM para implementar os certificados de cliente. Force a validação rigorosa dos certificados de servidor em todos os dispositivos cliente através de Política de Grupo (Windows) ou de perfis MDM (macOS, iOS, Android) para evitar o roubo de credenciais por parte de pontos de acesso falsos.

Passo 5: Configurar o EnGenius MyPSK para isolamento multi-tenant

Configuração do EnGenius MyPSK para um ambiente multi-tenant:

1. Crie um novo SSID (ex. "VenueResident").
2. No separador Wireless, defina o Tipo de Segurança para WPA2 PSK ou WPA3 Personal.
3. Ative o MyPSK (Private PSK).
4. Clique em Add PSK para criar chaves individuais, ou utilize o Auto-Generate para criar lotes de até 50 de cada vez.
5. Para cada PSK, atribua um VLAN ID e, opcionalmente, defina uma Start Date e uma Expiration Date.
6. Distribua cada PSK exclusivo ao inquilino ou residente correspondente.

Quando o contrato de arrendamento de um inquilino terminar, elimine ou expire o respetivo PSK. O acesso é revogado imediatamente sem afetar nenhum outro inquilino na rede.

Melhores práticas

Force a validação rigorosa de certificados em clientes 802.1X. O PEAP-MSCHAPv2 só é seguro se os clientes estiverem configurados para validar o certificado do servidor RADIUS em relação a uma CA fidedigna. Sem isso, um ponto de acesso falso pode apresentar um certificado fraudulento e recolher credenciais. Implemente as definições de validação através de Objetos de Política de Grupo para Windows e perfis de configuração MDM para todas as outras plataformas. Isto é inegociável para qualquer implementação num ambiente regulado.

Utilize a resolução de DNS dinâmico na Walled Garden. A Google, a Apple e a Meta utilizam gamas de IP dinâmicas para os seus endpoints OAuth e CDN. Configure as entradas da Walled Garden como nomes de domínio e garanta que o seu controlador EnGenius Cloud os resolve de forma dinâmica. Uma whitelist de IPs estáticos causará falhas de autenticação à medida que os IPs da CDN rodam.

Segmente dispositivos IoT com o MAC Authentication Bypass. Os dispositivos headless, tais como impressoras, ecrãs e sensores IoT, não conseguem autenticar-se através de 802.1X. Utilize o MAC Authentication Bypass (MAB) para os identificar e colocar numa VLAN restrita com regras de firewall que impeçam o movimento lateral. O MAB não é um controlo de segurança - é um mecanismo de identificação de dispositivos. Trate os dispositivos autenticados por MAB como não fidedignos.

Implemente a monitorização (accounting) RADIUS. Ative o servidor de accounting na configuração RADIUS do EnGenius Cloud, apontando para o endpoint de accounting da Purple no UDP 1813. Isto envia a duração da sessão, o volume de dados e a informação do dispositivo para a plataforma WiFi Analytics da Purple, fornecendo os dados de utilização do espaço que justificam o investimento na infraestrutura. Reveja o Walled Garden trimestralmente. Os fornecedores de OAuth e as CDNs alteram as suas estruturas de domínio. A Apple atualizou os seus domínios de Sign In duas vezes em 2023. Inclua uma revisão trimestral do Walled Garden no seu calendário operacional. Para obter mais orientações sobre práticas de segurança de WiFi empresarial, consulte o nosso Guia de Segurança de WiFi Empresarial .

Resolução de problemas e mitigação de riscos

Sintoma: O Captive Portal não carrega em dispositivos iOS. Causa: captive.apple.com não está no Walled Garden. O iOS utiliza este endpoint para detetar a presença de um Captive Portal e acionar o Captive Network Assistant. Sem ele, o dispositivo reporta "Sem Ligação à Internet" e nunca abre o navegador do portal. Resolução: Adicione captive.apple.com ao Walled Garden no EnGenius Cloud em Captive Portal > Advanced Settings.

Sintoma: A autenticação falha silenciosamente - o RADIUS não devolve resposta. Causa: Incompatibilidade de segredo partilhado (shared secret) entre o EnGenius Cloud e a configuração do servidor RADIUS Purple. A diferença de um único caráter faz com que todos os pedidos de autenticação sejam descartados. Resolução: Introduza novamente o segredo partilhado em ambos os sistemas. Copie e cole a partir de uma fonte de texto simples para evitar a substituição por carateres invisíveis.

Sintoma: O cliente 802.1X autentica-se mas não recebe endereço IP. Causa: A porta de uplink do switch ECS não está configurada como trunk, ou a VLAN devolvida pelo servidor RADIUS não é permitida no trunk. Resolução: Verifique a configuração da porta do switch. A porta deve ser um trunk que transporte todas as VLANs referenciadas nas respostas do RADIUS.

Sintoma: O cliente MyPSK liga-se mas consegue aceder a dispositivos de outros inquilinos (tenants). Causa: O isolamento de clientes (client isolation) não está ativado no SSID, ou a configuração da VLAN no switch não está a isolar corretamente os segmentos. Resolução: Ative o isolamento de clientes no SSID no EnGenius Cloud. Verifique se cada VLAN está configurada com as regras de encaminhamento inter-VLAN adequadas no router ou firewall a montante.

Sintoma: O botão de login social carrega mas a autenticação falha. Causa: Falta um ou mais subdomínios do fornecedor de OAuth no Walled Garden. A Google e a Meta utilizam múltiplos subdomínios para os seus fluxos de autenticação. Resolução: Capture a saída da consola do navegador a partir de um dispositivo não autenticado para identificar qual o domínio que está a ser bloqueado. Adicione o domínio em falta ao Walled Garden. Consulte a documentação da Lista de Permissões de Domínios do Walled Garden da Purple para obter a lista atualizada.

ROI e impacto empresarial

A implementação da Purple com o EnGenius Cloud transforma a infraestrutura sem fios de um centro de custos num ativo de dados. Os operadores dos espaços recolhem dados demográficos de primeira parte totalmente em conformidade com o GDPR de convidados através de opt-ins de escolha consciente, permitindo campanhas de marketing direcionadas e uma interação mensurável. Para as equipas de TI, a transição para o 802.1X e MyPSK elimina a sobrecarga operacional de gerir palavras-passe partilhadas, reduz os pedidos de suporte relacionados com problemas de acesso e fornece visibilidade granular sobre a utilização da rede.

Para operadores de hotelaria , o Premier Inn - um cliente Purple - utiliza os dados de WiFi dos hóspedes para impulsionar a adesão ao programa de fidelização e personalizar as comunicações pós-visita. Para ambientes de retalho , a combinação de análises de tráfego pedonal da plataforma de WiFi Analytics da Purple e os dados de tempo de permanência fornece informações de merchandising que justificam o investimento na infraestrutura independentemente dos benefícios de segurança.

Em ambientes multi-inquilino, o MyPSK elimina a necessidade de infraestruturas de rede física separadas por inquilino. Um único ponto de acesso EnGenius ECW pode servir 500 inquilinos isolados num único SSID, reduzindo os custos de hardware e simplificando a gestão contínua. Quando um inquilino se muda, a sua PSK é eliminada em segundos - sem necessidade de alteração de palavra-passe, sem qualquer impacto nos restantes residentes.

A plataforma da Purple é agnóstica em termos de hardware, o que significa que a mesma configuração Purple, análises e camada de recolha de dados funcionam em hardware Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Se as suas instalações incluem uma mistura de EnGenius e outros fornecedores, a Purple fornece um painel de controlo único para a gestão de WiFi de convidados em todos eles. Para obter orientações de implementação relacionadas, consulte o nosso guia de integração DrayTek Vigor .