Extreme Networks e Purple WiFi: Integração ExtremeCloud IQ

Extreme Networks e Purple WiFi: Integração ExtremeCloud IQ — Uma Sessão de Informação para Consultores [INTRODUÇÃO — aproximadamente 1 minuto] Bem-vindo. Se gere um ambiente Extreme Networks e lhe foi pedido para fornecer uma experiência de WiFi de convidados que realmente faça algo útil — recolha dados, impulsione o marketing, garanta a conformidade — então esta sessão é exatamente o que precisa. Vou explicar-lhe como o ExtremeCloud IQ e o Purple WiFi se integram: a arquitetura, o fluxo RADIUS, a segmentação de VLANs e os passos práticos para colocar isto em funcionamento no seu ambiente. Quer esteja a gerir um portfólio de hotéis, uma rede de retalho, um estádio ou um campus do setor público, os princípios são os mesmos. Vamos a isso. [APROFUNDAMENTO TÉCNICO — aproximadamente 5 minutos] Primeiro, uma rápida orientação sobre as duas plataformas. O ExtremeCloud IQ é a plataforma de gestão de rede baseada na nuvem da Extreme Networks. Dá-lhe visibilidade e configuração centralizadas em toda a sua infraestrutura de APs — quer se trate de um punhado de APs num único espaço ou de milhares de dispositivos numa propriedade nacional. A plataforma suporta todo o portfólio de APs da Extreme: a série 302 para implementações sensíveis ao custo, as séries 410 e 460 para ambientes de alta densidade, e a série 630 para implementações Wi-Fi 6E onde necessita de máxima capacidade de processamento e eficiência de espetro. O Purple WiFi é uma plataforma empresarial de inteligência de WiFi de convidados. Trata do Captive Portal — a splash page personalizada que os seus convidados veem quando se ligam — e também funciona como um servidor de autenticação RADIUS, um motor de recolha de dados e uma plataforma de automação de marketing. A combinação do ExtremeCloud IQ e do Purple fornece-lhe uma infraestrutura de WiFi de convidados de nível de produção que é tecnicamente robusta e comercialmente valiosa. Agora, vamos falar sobre a arquitetura de integração. O mecanismo central é um redirecionamento de Captive Portal combinado com autenticação RADIUS. Eis como o fluxo funciona na prática. Um dispositivo de convidado associa-se ao seu SSID de convidado. Esse SSID está configurado no ExtremeCloud IQ como uma rede aberta ou WPA3-SAE — sem chave pré-partilhada para convidados. O AP ou o controlador ExtremeCloud IQ interceta o primeiro pedido HTTP do dispositivo e redireciona-o para o URL do Captive Portal do Purple. Este redirecionamento é configurado no ExtremeCloud IQ sob as definições de Captive Portal do SSID — aponta o URL de redirecionamento para o endpoint do portal do seu espaço no Purple. O convidado interage então com o portal Purple. Pode autenticar-se através de início de sessão social, e-mail, verificação por SMS ou um formulário personalizado — o Purple suporta todas estas opções. Assim que concluem o fluxo de autenticação, o backend do Purple envia uma mensagem RADIUS Access-Accept de volta para o ExtremeCloud IQ. O AP move então o dispositivo do estado de pré-autenticação para o acesso total à rede. A configuração do RADIUS no ExtremeCloud IQ é simples. Navega até à Política de Rede para o seu SSID de convidado, vai às definições de AAA e adiciona os detalhes do servidor RADIUS do Purple: o endereço IP ou nome de anfitrião do servidor, o segredo partilhado e a porta de autenticação — que é a padrão UDP 1812. Também vai querer configurar la porta de accounting em UDP 1813 para que o Purple receba dados de sessão para fins de analítica e conformidade. Agora, a atribuição de VLAN. É aqui que a integração se torna verdadeiramente poderosa para a segmentação de rede. O Purple pode devolver um atributo RADIUS — especificamente o atributo Tunnel-Private-Group-ID — na resposta Access-Accept. O ExtremeCloud IQ lê este atributo e atribui o dispositivo do convidado autenticado à VLAN correspondente. Isto significa que pode segmentar dinamicamente o seu tráfego de convidados: os convidados standard vão para uma VLAN, os convidados VIP ou membros de fidelização vão para outra, os dispositivos dos funcionários vão para uma terceira. Tudo isto é impulsionado pela lógica de perfil de utilizador do Purple, sem necessidade de intervenção manual na camada de rede. Do ponto de vista de segurança e conformidade, esta arquitetura alinha-se com os princípios IEEE 802.1X para controlo de acesso baseado em portas, embora a autenticação inicial seja baseada em portal e não em certificados. A troca RADIUS garante que os dispositivos não autenticados nunca alcancem a rede de produção. Para a conformidade PCI DSS — relevante se tiver qualquer processamento de pagamentos na mesma rede física — esta segmentação de VLAN é um controlo crítico. Para a conformidade com o GDPR, os mecanismos de recolha de dados do Purple incluem a gestão de consentimento integrada no fluxo do portal, pelo que tem um registo auditável do consentimento de cada convidado no momento da autenticação. Do lado do ExtremeXOS — para aqueles que utilizam switches ExtremeXOS locais em vez de nuvem pura — a abordagem de configuração é semelhante, mas utiliza a CLI do ExtremeXOS ou o legado Extreme Management Centre. Configura o SSID no AP utilizando os comandos sem fios do ExtremeXOS, define o perfil do servidor RADIUS e define o URL de redirecionamento do Captive Portal. A principal diferença é que, numa implementação pura do ExtremeCloud IQ, tudo isto é gerido centralmente através da consola na nuvem, o que reduz significativamente o esforço de configuração por local. Deixe-me também mencionar o cenário de compatibilidade de APs. A integração com o Purple funciona em toda a gama de APs da Extreme geridos pelo ExtremeCloud IQ. Os 302i e 302e são as suas opções de entrada de gama para interiores e exteriores — perfeitamente adequados para hotéis e retalho. Os 410i and 410e são os cavalos de batalha para ambientes de alta densidade, como centros de conferências e estádios. A série 460 adiciona a capacidade Wi-Fi 6, e a série 630 traz o Wi-Fi 6E com suporte para a banda de 6 GHz. Todos estes APs suportam os mecanismos de redirecionamento de Captive Portal e autenticação RADIUS nos quais a integração com o Purple se apoia. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS — aproximadamente 2 minutos] Muito bem, vamos falar sobre o que pode correr mal e como evitá-lo. O erro mais comum são as entradas de Walled Garden mal configuradas. Quando um dispositivo de convidado está no estado de pré-autenticação — antes de concluir o portal Purple — o AP precisa de permitir a resolução de DNS e o acesso HTTP/HTTPS ao domínio do portal Purple. Se bloquear o Walled Garden de forma demasiado estrita, o redirecionamento nunca acontece e os convidados apenas veem um tempo limite de ligação esgotado. Certifique-se de que coloca na whitelist os domínios do portal do Purple e quaisquer endpoints de CDN que utilizem para os recursos do portal. O segundo problema comum são as divergências no segredo partilhado do RADIUS. Isto parece óbvio, mas em grandes implementações com múltiplos locais, é fácil ter um segredo partilhado configurado de forma diferente no ExtremeCloud IQ em comparação com o que o Purple tem registado. Verifique sempre o segredo partilhado em ambos os lados antes de entrar em produção e utilize um segredo forte, gerado aleatoriamente — não algo como "purple123". Terceiro: validação de certificados para o redirecionamento do Captive Portal. Os sistemas operativos móveis modernos — o iOS em particular — são cada vez mais rigorosos quanto à validade dos certificados HTTPS. Os endpoints do portal do Purple utilizam certificados TLS válidos, mas se estiver a executar qualquer tipo de inspeção SSL ou proxy no caminho da sua rede, poderá quebrar o redirecionamento inadvertidamente. Exclua os domínios do portal Purple de quaisquer políticas de inspeção SSL. Quarto: dados de accounting. Não salte a configuração do RADIUS accounting. Os registos de accounting são o que o Purple utiliza para construir a analítica de sessão — tempo de permanência, frequência de visitas, tipo de dispositivo. Se não configurar o accounting, perde uma parte significativa do valor analítico que o Purple fornece. É um passo de configuração de cinco minutos que desbloqueia muito valor a jusante. Finalmente, teste a sua atribuição de VLAN antes de entrar em produção. Utilize um dispositivo de teste e verifique se, após a autenticação, o dispositivo vai para a VLAN correta. Verifique isto com um simples traceroute ou confirmando a gama de endereços IP que o dispositivo recebe. As falhas na atribuição dinâmica de VLAN são silenciosas — o dispositivo obtém acesso à rede, mas no segmento errado — pelo que precisa de o verificar ativamente. [PERGUNTAS E RESPOSTAS RÁPIDAS — aproximadamente 1 minuto] Posso utilizar o Purple com o ExtremeCloud IQ sem RADIUS — apenas com um redirecionamento simples? Sim, pode configurar um redirecionamento básico de Captive Portal sem RADIUS, mas perde a atribuição dinâmica de VLAN e os dados de accounting de sessão. Para qualquer coisa além de uma splash page básica, o RADIUS é fortemente recomendado. O Purple suporta WPA3? Sim. A autenticação baseada em portal do Purple é compatível com WPA3-SAE no SSID. O fluxo RADIUS é independente do protocolo de segurança sem fios. Posso executar o Purple em múltiplos locais da Extreme a partir de uma única conta Purple? Absolutamente. A arquitetura multi-espaço do Purple foi concebida exatamente para isso. Cada local mapeia para um espaço no Purple, e configura os detalhes do servidor RADIUS por espaço. As políticas de rede do ExtremeCloud IQ podem ser aplicadas por local, pelo que a configuração escala de forma limpa. E quanto ao roaming entre APs dentro de um local? O ExtremeCloud IQ lida com o roaming dentro do local de forma transparente. Assim que um convidado é autenticado através do Purple, a sessão RADIUS persiste e o convidado não precisa de se autenticar novamente quando faz roaming entre APs no mesmo local. [RESUMO E PRÓXIMOS PASSOS — aproximadamente 1 minuto] Para resumir: a integração do ExtremeCloud IQ e do Purple é uma arquitetura amplamente comprovada que fornece WiFi de convidados com recolha de dados, autenticação RADIUS, segmentação dinâmica de VLAN e analítica completa — tudo gerido centralmente através da consola na nuvem do ExtremeCloud IQ. Os passos principais para colocar isto em funcionamento são: configure o seu SSID de convidado no ExtremeCloud IQ com o redirecionamento de Captive Portal a apontar para o Purple, adicione os detalhes do servidor RADIUS do Purple na política AAA, configure as suas entradas de Walled Garden, ative o RADIUS accounting e verifique a atribuição de VLAN pós-autenticação. Se está a avaliar isto para uma implementação em hotelaria ou retalho, o caso de ROI é simples: a plataforma de analítica do Purple transforma o seu WiFi de convidados de um centro de custos num ativo de dados primários (first-party data). Combinado com a infraestrutura de nível empresarial da Extreme, obtém uma solução que escala de um único espaço para uma propriedade nacional sem alterações arquitetónicas. Para os seus próximos passos: obtenha os detalhes do servidor RADIUS do Purple com o seu gestor de conta Purple, aceda à política de rede do ExtremeCloud IQ para o seu SSID de convidado e execute a lista de verificação de configuração. A maioria das implementações entra em funcionamento no prazo de um dia para um único local. Obrigado por ouvir. Se quiser aprofundar qualquer um destes tópicos — design de Captive Portal, estratégia de segmentação de VLAN ou configuração de analítica — a documentação e a equipa de suporte do Purple são o contacto ideal a seguir.