Integração Alcatel-Lucent Enterprise (ALE) OmniAccess com Purple WiFi

Resumo executivo

Os pontos de acesso Alcatel-Lucent Enterprise (ALE) OmniAccess Stellar integram-se com a Purple utilizando protocolos RADIUS padrão e redirecionamento para Captive Portal externo. Não é necessário middleware proprietário. A Purple funciona como uma sobreposição na nuvem, operando sobre a sua infraestrutura ALE existente e gerindo a autenticação, a captura de dados e as políticas de sessão sem exigir alterações de hardware.

Este guia aborda três cenários de implementação. Primeiro, WiFi para Convidados com redirecionamento para Captive Portal externo e configuração de Walled Garden. Segundo, WiFi seguro para Funcionários utilizando 802.1X com PEAP ou EAP-TLS. Terceiro, WiFi Multi-Tenant utilizando Chaves Pré-Partilhadas Privadas (PPSK) e direcionamento dinâmico de VLAN através dos Atributos RADIUS 64, 65 e 81.

A Purple serve mais de 80.000 locais ativos e processou mais de 440 milhões de inícios de sessão em 2024 (dados internos da Purple, 2024). Detém as certificações ISO 27001, GDPR, CCPA e Cyber Essentials. A plataforma opera com um tempo de atividade de 99,999%, tornando-a um backend de autenticação fiável para implementações empresariais.

Se é um gestor de TI ou arquiteto de rede a implementar hardware ALE OmniAccess em ambientes de hotelaria, retalho, eventos ou setor público, este guia fornece-lhe os passos exatos de configuração para passar do hardware para uma Rede Baseada em Identidade totalmente operacional.

Arquitetura técnica e fluxo de integração

A integração da Purple com o ALE OmniAccess Stellar baseia-se em dois protocolos padrão: RADIUS para autenticação e faturação (accounting), e redirecionamento HTTP/HTTPS para a disponibilização do Captive Portal. O AP ALE funciona como o Network Access Server (NAS), encaminhando os pedidos de autenticação para o servidor RADIUS na nuvem da Purple e aplicando as políticas devolvidas na resposta Access-Accept.

Figura 1: Fluxo de autenticação entre o dispositivo do visitante, o AP ALE OmniAccess Stellar e o RADIUS na nuvem da Purple.

O fluxo funciona da seguinte forma. Um visitante liga-se ao SSID de WiFi para Convidados aberto. O AP ALE atribui um endereço IP temporário a partir do pool de DHCP de pré-autenticação e intercetará o primeiro pedido HTTP ou HTTPS do visitante. O AP redireciona o browser para o URL do Captive Portal da Purple, transmitindo o endereço MAC do cliente e o identificador NAS do AP como parâmetros de URL. O visitante autentica-se através da splash page da Purple - utilizando e-mail, início de sessão através de redes sociais ou verificação por SMS. O servidor RADIUS da Purple valida a sessão e devolve uma mensagem Access-Accept ao AP ALE. O AP concede acesso à Internet e começa a enviar atualizações de RADIUS Accounting para a Purple no intervalo configurado. Para implementações avançadas que utilizam PPSK e encaminhamento dinâmico de VLAN, a mensagem RADIUS Access-Accept também inclui atributos de atribuição de VLAN. O AP ALE utiliza-os para colocar o tráfego do cliente diretamente no segmento de VLAN correto, isolando-o de outros utilizadores na mesma infraestrutura física.

Guia de implementação

Parte 1: WiFi de convidados com Captive Portal externo

Esta secção abrange a configuração do Captive Portal Alcatel-Lucent para redirecionamento externo para a Purple. Estes passos aplicam-se aos APs ALE OmniAccess Stellar geridos através do OmniVista Cirrus, OmniVista 2500 ou da interface web Stellar Express.

Passo 1: Obter as credenciais RADIUS da Purple

Inicie sessão no seu portal Purple. Navegue para Gestão > Locais, selecione o seu local e abra a secção Hardware. Adicione uma nova entrada de hardware e selecione Alcatel-Lucent OmniAccess Stellar como o tipo de hardware. A Purple gera um segredo partilhado RADIUS único, o IP do servidor de autenticação e o URL do Captive Portal para o seu local. Registe estes valores antes de prosseguir.

Passo 2: Configurar o servidor RADIUS no AP ALE

Na sua interface de gestão ALE, navegue para as definições de autenticação e adicione um novo perfil de servidor RADIUS.

Ative um servidor RADIUS secundário utilizando o IP de cópia de segurança do portal Purple. Isto garante a redundância caso o servidor primário esteja temporariamente inacessível.

Passo 3: Configurar o Walled Garden

O Walled Garden define os domínios a que um dispositivo pode aceder antes de a autenticação estar concluída. Configure as seguintes entradas na lista de acesso pré-autenticação:

Domínios principais da Purple (obrigatórios):

Domínios de início de sessão social (adicione conforme necessário):

A omissão de qualquer domínio necessário fará com que o método de início de sessão correspondente falhe de forma silenciosa. Teste cada método de início de sessão após a configuração.

Passo 4: Configurar o SSID de WiFi de convidados

Crie um novo perfil WLAN com as seguintes definições:

Passo 5: Atribuir o SSID a um grupo de APs

Aplique o perfil WLAN ao grupo de APs relevante no OmniVista. Verifique se os APs estão a transmitir o SSID e se os clientes se conseguem associar antes de testar o fluxo do Captive Portal.

Parte 2: WiFi seguro para colaboradores utilizando 802.1X

Para o WiFi de colaboradores, utilize WPA2-Enterprise ou WPA3-Enterprise com autenticação 802.1X. Isto elimina as palavras-passe partilhadas e associa o acesso a identidades de utilizadores individuais geridas no Microsoft Entra ID, Okta ou Google Workspace.

Passo 1: Configurar o SSID 802.1X

Crie um perfil WLAN separado para os colaboradores. Defina o tipo de segurança como WPA2-Enterprise ou WPA3-Enterprise e atribua o servidor RADIUS da Purple como o backend de autenticação. O servidor RADIUS da Purple reencaminha os pedidos de autenticação para o seu fornecedor de identidade através de LDAP ou SAML.

Passo 2: Selecionar o método EAP

Na maioria das implementações, utilize PEAP com MSCHAPv2. Isto requer apenas um certificado do lado do servidor e funciona com os suplicantes padrão do Windows, macOS, iOS e Android. Para ambientes de maior segurança, utilize EAP-TLS com certificados de cliente emitidos através da sua PKI.

Passo 3: Atribuir os colaboradores a uma VLAN dedicada

Configure o servidor RADIUS da Purple para devolver Tunnel-Private-Group-ID = ID da sua VLAN de colaboradores na resposta Access-Accept. Isto garante que os dispositivos dos colaboradores fiquem no segmento de rede corporativo, separados do tráfego de convidados na Camada 2.

Parte 3: WiFi Multi-Tenant utilizando PPSK e encaminhamento dinâmico de VLAN

O PPSK (Private Pre-Shared Key) - também designado por iPSK (Identity PSK) em documentação de alguns fabricantes - permite que um único SSID sirva múltiplos grupos de utilizadores isolados. Cada grupo recebe uma frase de acesso exclusiva. O servidor RADIUS mapeia cada frase de acesso para uma VLAN específica, proporcionando isolamento de rede por tenant sem a sobrecarga de RF de múltiplos SSIDs.

Figura 2: Segmentação de VLAN multi-tenant PPSK num único SSID ALE OmniAccess.

Passo 1: Criar o SSID PPSK

Crie um novo perfil WLAN e defina o tipo de autenticação como WPA2-PSK com validação PSK suportada por RADIUS. No firmware Stellar 4.0.8.16 e superior (para modelos AP1301 e superiores), a atribuição dinâmica de VLAN via RADIUS é suportada em Express Mode. Para modelos mais antigos ou firmware anterior, utilize o modo gerido pelo OmniVista.

Passo 2: Definir as frases de acesso dos tenants na Purple

No portal Purple, crie um grupo PPSK para cada tenant. Atribua uma frase de acesso exclusiva por tenant e mapeie cada frase de acesso ao respetivo ID de VLAN. A Purple armazena estes mapeamentos na sua base de dados RADIUS.

Passo 3: Configurar atributos RADIUS para encaminhamento de VLAN

Certifique-se de que o servidor RADIUS Purple devolve os seguintes atributos padrão IETF em cada resposta Access-Accept:

Todos os três atributos têm de estar presentes. Se algum estiver em falta, o ALE AP ignora a atribuição de VLAN e coloca o cliente na VLAN predefinida.

Passo 4: Verificar o trunking de VLAN no uplink

Certifique-se de que todas as VLANs de inquilinos estão etiquetadas na porta de uplink entre o ALE AP e o switch de distribuição. Um AP não consegue direcionar o tráfego para uma VLAN que não seja permitida no seu trunk de uplink.

Melhores práticas

As seguintes recomendações refletem as práticas padrão para implementações sem fios empresariais e alinham-se com os requisitos IEEE 802.1X, PCI DSS 4.0 e GDPR.

Separar o WiFi de Convidados do WiFi de Funcionários na Camada 2. Nunca coloque o tráfego de convidados e funcionários na mesma VLAN. Utilize a atribuição de VLAN orientada por RADIUS para impor esta separação de forma automática, independentemente do AP ao qual o utilizador se liga.

Utilizar HTTPS para todos os redirecionamentos do Captive Portal. Instale um certificado SSL válido no ALE AP para ativar o redirecionamento HTTPS. Isto evita que os browsers mostrem avisos de segurança na splash page, o que reduz as taxas de abandono e alinha-se com os requisitos do GDPR para o manuseamento seguro de dados.

Definir o intervalo de Accounting do RADIUS para 300 segundos. Isto fornece à Purple atualizações regulares de sessão para garantir a precisão das análises. Um intervalo superior a 600 segundos corre o risco de perder dados de sessão se um cliente se desligar sem uma desautenticação limpa.

Testar o Walled Garden antes do lançamento oficial. Ligue um dispositivo de teste ao SSID do WiFi de Convidados e tente aceder a cada fornecedor de login social. Se um login falhar, o domínio correspondente está em falta no Walled Garden.

Segmentar dispositivos IoT utilizando PPSK. Em ambientes de retalho e hotelaria, os dispositivos IoT, tais como sinalização digital, terminais de pagamento e sensores ambientais, devem receber um PPSK exclusivo mapeado para uma VLAN isolada. Isto evita que um dispositivo IoT comprometido aceda à rede mais ampla.

Para mais informações sobre as normas e arquitetura de segurança de WiFi empresarial, consulte o nosso guia de segurança de WiFi empresarial .

Resolução de problemas e mitigação de riscos

A tabela seguinte abrange os modos de falha mais comuns nas integrações ALE OmniAccess e Purple.

Para problemas persistentes de RADIUS, ative o registo de depuração (debug logging) no AP ALE e capture a troca de mensagens RADIUS. Procure por mensagens de Access-Reject e verifique o código do motivo de rejeição. Os códigos comuns incluem 16 (falha de autenticação) e 18 (atributo em falta).

ROI e impacto empresarial

A implementação do Purple em hardware ALE OmniAccess converte uma rede passiva num ativo de dados ativo. Cada sessão autenticada gera um perfil de visitante: endereço de e-mail, frequência de visitas, tempo de permanência e tipo de dispositivo. Estes dados primários (first-party data) alimentam diretamente o seu CRM através da biblioteca do Purple de mais de 400 conectores.

A Harrods alcançou um ROI de marketing de 57x com a sua implementação de Guest WiFi, ao utilizar a recolha de dados do Purple para impulsionar as inscrições no programa de fidelização (estudo de caso Purple, 2023). A AGS Airports gerou um ROI de 842% ao implementar WiFi Pago com largura de banda segmentada em toda a sua propriedade (estudo de caso Purple, 2022).

Para operadores de hotelaria , o Captive Portal é o ponto de contacto principal para a recolha de dados dos hóspedes. Para ambientes de retalho , permite a análise do comportamento dos clientes e promoções direcionadas. Para interfaces de transportes , fornece dados de fluxo de passageiros e registo de sessões em conformidade com as normas.

A plataforma de Guest WiFi do Purple e as ferramentas de WiFi Analytics oferecem-lhe a infraestrutura de relatórios para medir estes resultados. Acompanhe as taxas de autenticação, a duração das sessões, as taxas de visitantes repetidos e a conversão de opt-in a partir de um único painel de controlo.

Para orientações de integração relacionadas, consulte o guia de integração WatchGuard Firebox , que abrange uma arquitetura semelhante baseada em RADIUS numa plataforma de hardware diferente.