Limites de Tempo de Sessão de WiFi de Convidados: Equilibrar a Experiência do Utilizador e a Segurança

[Música de Introdução - Eletrónica corporativa, profissional e otimista] Anfitrião: Bem-vindo ao Briefing Técnico da Purple. Sou o seu anfitrião e hoje vamos abordar um tema que se situa exatamente na interseção entre a engenharia de rede e a experiência do cliente: Limites de Tempo de Sessão de Guest WiFi. Se é um gestor de TI, um arquiteto de rede ou um diretor de operações de espaços, conhece bem esta luta. A equipa de marketing quer que os convidados se liguem uma vez e nunca mais vejam um ecrã de início de sessão. As equipas de segurança e infraestrutura observam o esgotamento do pool de DHCP e preocupam-se com sessões obsoletas e não autenticadas. Hoje, vamos colmatar essa lacuna. Vamos discutir como definir limites de tempo que mantêm os utilizadores ligados sem comprometer a sua postura de segurança ou a sua disponibilidade de IP. [Som de transição] Anfitrião: Vamos mergulhar nos mecanismos técnicos. Quando falamos de um "limite de tempo de sessão", estamos na verdade a falar de dois temporizadores distintos a operar no seu controlador de rede: o Idle Timeout (Tempo de Inatividade) e o Absolute Timeout (Tempo Absoluto). Pense no Idle Timeout como o seu monitor de inatividade. Este monitoriza a transmissão ativa de dados. Se um dispositivo cliente não enviar nem receber rigorosamente nada durante uma duração especificada, o controlador termina a sessão. O objetivo principal aqui é a recuperação de recursos. Liberta concessões de DHCP e a memória do Access Point alocada a dispositivos que abandonaram fisicamente o seu espaço sem se desligarem formalmente. No entanto, há um detalhe. Os smartphones modernos são incrivelmente agressivos na suspensão de atividade para poupar bateria. Quando entram em suspensão, param de transmitir. Se definir o seu idle timeout de forma demasiado agressiva - por exemplo, cinco minutos - vai desligar dispositivos em modo de suspensão. Quando o utilizador tirar o telemóvel do bolso para verificar um e-mail, será forçado a voltar ao Captive Portal. É uma experiência de utilizador terrível. Para ambientes típicos, um idle timeout entre 30 e 60 minutos é o ideal. Agora, vamos analisar o Absolute Timeout. Este é o temporizador rígido. Determina a duração total máxima de uma sessão, independentemente de o dispositivo estar ou não a transmitir dados ativamente. Assim que este temporizador chega a zero, a sessão é terminada e o utilizador deve reautenticar-se. Por que precisamos disto? Garante a aplicação de limites de utilização diários, assegura que os utilizadores reaceitam periodicamente os seus Termos e Condições e força uma revalidação de segurança. O desafio é que isto é disruptivo. Irá interromper sessões ativas - mesmo chamadas VoIP. Portanto, o seu absolute timeout deve alinhar-se com o tempo de permanência típico no seu espaço. [Som de transição] Anfitrião: Vamos analisar algumas recomendações de implementação para o mundo real. Não existe uma solução única para todos os casos aqui. Pense numa loja de retalho de grande rotação. Os compradores movem-se rapidamente. O seu objetivo é recolher dados analíticos precisos de tráfego pedonal e, talvez, enviar marketing direcionado, evitando simultaneamente a permanência inativa. Neste cenário, um limite de tempo por inatividade de 15 a 30 minutos é perfeito. Se um dispositivo estiver silencioso durante meia hora, o cliente já saiu da loja. O seu limite de tempo absoluto deve ser de cerca de 2 a 4 horas, cobrindo a viagem de compras típica mais longa. E iria querer utilizar o desvio de autenticação MAC - ou MAB - para uma nova autenticação silenciosa ao longo de 7 a 14 dias para monitorizar os clientes que regressam. Agora, compare isso com um ambiente de hotelaria empresarial - um hotel. Os hóspedes esperam uma experiência semelhante à de casa. Se os obrigar a iniciar sessão a cada quatro horas, a sua receção será inundada com reclamações. Aqui, o seu limite de tempo por inatividade precisa de ser muito mais longo - 4 a 8 horas. Os hóspedes deixam os dispositivos nos quartos enquanto vão para a piscina; esses dispositivos não devem ser desligados. O limite de tempo absoluto deve ser de 24 horas ou, idealmente, associado diretamente à data de check-out através de uma integração com o Sistema de Gestão de Propriedades. E, finalmente, considere um grande centro de transportes, como um aeroporto ou um estádio. Os tempos de permanência são altamente variáveis e a exaustão de endereços IP é um risco crítico e imediato. Tem dezenas de milhares de dispositivos transitórios. Neste ambiente, a conservação de recursos supera uma UX sem interrupções. Precisa de um limite de tempo por inatividade agressivo - 15 minutos - para recuperar rapidamente os IPs. O seu limite de tempo absoluto pode ser de 4 horas e, geralmente, necessita de uma nova autenticação manual para gerir os utilizadores que consomem muita largura de banda. [Som de transição] Apresentador: Antes de passarmos para as Perguntas e Respostas, quero destacar alguns erros críticos a evitar. Primeiro: Concessões de DHCP desalinhadas. Este é o erro de configuração número um que vemos. Não defina um limite de tempo de sessão de 2 horas e uma concessão de DHCP de 8 horas. Se uma sessão estiver inativa, o IP deve estar livre. O seu tempo de concessão de DHCP deve corresponder de perto ou exceder ligeiramente o seu limite de tempo de sessão absoluto. Segundo: Ignorar a aleatorização de MAC. O iOS e o Android utilizam endereços MAC privados por predefinição agora. Se a sua rede depende fortemente da nova autenticação baseada em MAC para essa experiência de regresso sem interrupções, precisa de instruir os utilizadores. Utilize a sua splash page para os instruir a desativar a aleatorização de MAC para o seu SSID específico se pretenderem uma ligação sem interrupções de vários dias. Terceiro: Operar às escuras. Utilize os seus dados analíticos de WiFi. Analise a duração das suas sessões. Se 90% dos seus utilizadores saem naturalmente em 45 minutos, definir um limite de tempo absoluto de 12 horas é apenas correr riscos desnecessários. Baseie os seus temporizadores em dados reais de tempo de permanência. [Som de transição] Apresentador: Vamos fazer uma sessão rápida de Perguntas e Respostas com base nas perguntas comuns dos clientes. Pergunta 1: "Os utilizadores queixam-se de que têm de iniciar sessão sempre que voltam do almoço. Como podemos resolver isto?" Resposta: Aumente o seu limite de tempo por inatividade. Se o almoço for de uma hora, um limite de tempo por inatividade de 30 minutos irá desligá-los. Aumente-o para 90 minutos. Pergunta 2: "Estamos a ficar sem endereços IP todas as tardes, mas o nosso espaço não está cheio. Porquê?" Resposta: Sessões fantasma. O seu tempo limite de inatividade está desativado ou definido para um valor demasiado longo, o que significa que os dispositivos que saíram há horas ainda mantêm as concessões de IP. Reduza o tempo limite de inatividade para 30 minutos e encurte o tempo de concessão DHCP. Pergunta 3: 'De que forma é que o Opportunistic Wireless Encryption, ou OWE, afeta os tempos limite?' Resposta: O OWE fornece encriptação individualizada para redes abertas sem palavra-passe. Não altera diretamente o funcionamento dos tempos limite, mas melhora significativamente a sua postura de segurança durante a sessão, tornando os tempos limite absolutos mais longos ligeiramente menos arriscados de uma perspetiva de monitorização passiva. [Som de transição] Apresentador: Para resumir: Os tempos limite de sessão são o ponto de equilíbrio entre a experiência do utilizador e a segurança da rede. Utilize o seu tempo limite de inatividade para gerir o comportamento dos dispositivos e os recursos de rede. Utilize o seu tempo limite absoluto para gerir o comportamento humano e a conformidade. Adapte estas definições ao seu setor específico - a hotelaria precisa de temporizadores longos, o retalho precisa de temporizadores médios e os transportes de alta densidade precisam de temporizadores agressivos. Alinhe as suas concessões DHCP, tenha em conta a aleatorização de MAC e permita que as suas análises guiem a sua configuração. Se acertar nisto, reduzirá os pedidos de suporte, protegerá a sua rede e proporcionará a conectividade contínua que os seus convidados esperam. Obrigado por se juntar a este Briefing Técnico da Purple. Até à próxima, mantenha as suas redes seguras e os seus convidados ligados. [Música de encerramento - Desvanece]