Integração da Alta Labs com o Purple WiFi: Configuração e Configuração do Captive Portal

Resumo executivo

Os pontos de acesso Alta Labs AP6 e AP6 Pro integram-se com o Captive Portal na nuvem da Purple utilizando autenticação RADIUS padrão e redirecionamento HTTP. O AP intercetará o tráfego de convidados não autenticados, redireciona-o para a sua splash page da Purple e concede acesso assim que o servidor RADIUS da Purple devolve um Access-Accept. Para ambientes multi-tenant, a tecnologia AltaPass da Alta Labs atribui a cada dispositivo ligado uma VLAN e uma política de largura de banda exclusivas com base na palavra-passe utilizada - sem necessidade de SSIDs adicionais. Este guia fornece os passos de configuração exatos, as listas de domínios de walled garden e os parâmetros RADIUS para implementar a integração do zero. A Purple opera em mais de 80.000 locais ativos e processou 440 milhões de inícios de sessão em 2024 (dados internos da Purple). O hardware da Alta Labs é uma excelente opção para MSPs e instaladores de escritórios inteligentes que necessitam de segmentação de nível empresarial a um preço competitivo.

Arquitetura técnica

A integração assenta em três camadas: a plataforma de gestão na nuvem da Alta Labs, o hardware AP6 ou AP6 Pro na periferia e a infraestrutura na nuvem da Purple que lida com a autenticação e análise de dados.

Quando um convidado se liga ao SSID aberto ou WPA3-OWE, o AP coloca o dispositivo num estado restrito de pré-autenticação. Todo o tráfego HTTP de saída é intercetado e redirecionado para o URL da splash page da Purple. O dispositivo só pode aceder aos domínios explicitamente listados no walled garden até que a autenticação seja concluída. Assim que o convidado submete as suas credenciais na splash page da Purple, o servidor RADIUS da Purple envia um Access-Accept para o AP, que remove a restrição e concede acesso total à Internet. A Purple regista os dados da sessão - tipo de dispositivo, tempo de permanência, método de início de sessão - e disponibiliza-os no painel de WiFi Analytics .

Para redes de funcionários e de back-of-house, o mesmo hardware AP lida com a autenticação WPA2/WPA3-Enterprise (IEEE 802.1X). O AP atua como o cliente RADIUS, encaminhando os pedidos de autenticação para a infraestrutura SecurePass da Purple, que por sua vez valida as credenciais no Microsoft Entra ID, Okta ou Google Workspace. A resposta RADIUS Access-Accept transporta o atributo Tunnel-Private-Group-Id, que o AP utiliza para colocar o dispositivo na VLAN correta de forma dinâmica.

Guia de implementação

Passo 1: Adicionar o local e o hardware na Purple

Antes de aceder ao controlador da Alta Labs, registe a implementação na Purple.

1. Inicie sessão no portal de gestão da Purple e navegue para Management > Locations.
2. Selecione Venues and Groups > Add venue e conclua o assistente de criação de locais.
3. No seu local, selecione Hardware > Adicionar hardware > Adicionar novo hardware.
4. Defina o tipo de hardware para WiFi AP e selecione o tipo de AP adequado.
5. Introduza o endereço MAC de cada unidade Alta Labs AP6 ou AP6 Pro.
6. Clique em Ver Manual Online para obter os endereços IP do servidor RADIUS, as portas e o segredo partilhado para este local. Registe estes valores - irá precisar deles no Passo 3.

Passo 2: Configurar o SSID de convidados no Alta Labs

Inicie sessão na plataforma Alta Labs Cloud Management em manage.alta.inc.

1. Navegue até Definições > WiFi e selecione o SSID destinado ao acesso de convidados.
2. Em Definições Avançadas, defina o tipo de rede para Guest. Isto força o isolamento de clientes automaticamente.
3. Desloque-se até à secção Hotspot e selecione External.
4. No campo Redirect URL, cole o URL da splash page da Purple fornecido nas definições de hardware do seu local (ex. https://region1.purpleportal.net/access/).
5. Introduza o Authorisation Secret (segredo partilhado RADIUS) das definições do seu local Purple.
6. Clique em Guardar.

Passo 3: Configurar a autenticação RADIUS

Com o redirecionamento externo configurado, configure as definições de RADIUS para que o AP possa comunicar com a infraestrutura de autenticação da Purple.

Para implementações de alta disponibilidade, configure o servidor RADIUS secundário utilizando o endereço IP de cópia de segurança fornecido pela Purple.

Passo 4: Definir o walled garden

O walled garden permite domínios específicos antes de a autenticação ser concluída. Entradas em falta irão interromper o fluxo do Captive Portal ou impedir o carregamento de inícios de sessão sociais. Introduza os seguintes domínios no campo Additional Authorised Hosts / IPs na configuração do Hotspot da Alta Labs.

Infraestrutura Purple (obrigatório)

Sondas de Captive Portal do SO (obrigatório)

Início de sessão social (adicionar por fornecedor ativado)

AltaPass PPSK e segmentação multi-tenant

AltaPass é a implementação pendente de patente da Alta Labs de Private Pre-Shared Keys (PPSK). Permite que um único SSID suporte múltiplas palavras-passe exclusivas, com cada palavra-passe a mapear para uma VLAN, limite de largura de banda, agendamento e regra de desvio de hotspot distintos. Isto elimina a necessidade de transmitir SSIDs separados para cada inquilino, grupo de funcionários ou categoria de dispositivos.

Configurar o AltaPass no painel da Alta Labs

1. Selecione o seu SSID e navegue até à secção de gestão de palavras-passe.
2. Clique no botão roxo de tipo de rede à esquerda de cada entrada de palavra-passe.
3. Atribua um ID de VLAN à palavra-passe. Os clientes que se ligarem com esta palavra-passe serão colocados na sub-rede VLAN especificada.
4. Defina os limites de largura de banda (upload e download) por palavra-passe, conforme necessário.
5. Ative ou desative o desvio de hotspot por palavra-passe. Os dispositivos IoT e terminais POS normalmente desviam o Captive Portal.
6. Aplique restrições de agendamento, se necessário (por exemplo, restringir o acesso à internet para determinados dispositivos fora do horário de expediente).

Para um edifício residencial de 72 frações, isto significa um SSID e mais de 72 palavras-passe exclusivas - uma por fração, uma para a administração, uma para o sistema de automação do edifício. Cada palavra-passe mapeia para uma VLAN e sub-rede isoladas. Os residentes no plano standard recebem 100 Mbps. Os residentes premium recebem 300 Mbps. A equipa de gestão do edifício não tem restrições. Os dispositivos IoT são isolados numa VLAN dedicada com inspeção profunda de pacotes ativada. Este é o modelo de implementação que reduz o número de SSIDs de 72 para um.

Atribuição dinâmica de VLAN via RADIUS

Para redes de funcionários 802.1X, a atribuição de VLAN funciona através de atributos RADIUS em vez de PPSK. A resposta RADIUS Access-Accept deve incluir:

Importante: defina a VLAN predefinida no SSID para VLAN 1 (ou deixe-a sem tag) ao utilizar VLANs atribuídas por RADIUS. Se a VLAN predefinida estiver definida para um valor específico, o AP pode sobrepor a atribuição do RADIUS com a predefinição configurada. Este é um comportamento conhecido no firmware atual da Alta Labs.

Boas práticas

As seguintes recomendações aplicam-se a qualquer implementação da Alta Labs com a Purple, independentemente do tipo de local.

Utilize a resolução de DNS dinâmico para as entradas do walled garden. Os fornecedores de OAuth e CDNs rodam endereços IP frequentemente. Uma lista de permissões de IP estático irá degradar-se com o tempo. Configure o controlador da Alta Labs para resolver domínios do walled garden dinamicamente e defina um TTL de DNS não inferior a 30 segundos para evitar uma carga excessiva de consultas.

Defina o âmbito do walled garden com precisão. Adicione à lista de permissões apenas os domínios necessários para o fluxo de autenticação. A inclusão excessiva de domínios na lista de permissões - particularmente a adição de entradas com caracteres universais para domínios grandes - cria um vetor de desvio que compromete o propósito do Captive Portal. Teste com dispositivos não autenticados antes do lançamento. Utilize um dispositivo que nunca se tenha ligado à rede. Os dispositivos previamente autenticados podem ter autorizações MAC ou entradas DNS em cache que ocultam falhas no walled garden. Teste todos os métodos de início de sessão que pretende disponibilizar.

Reveja os domínios do walled garden trimestralmente. A Apple, a Google e a Meta atualizam periodicamente as suas estruturas de domínios OAuth. Integre uma revisão trimestral no seu calendário operacional para detetar desvios antes que estes afetem os utilizadores.

Segmente os dispositivos IoT desde o início. Utilize o AltaPass para atribuir dispositivos IoT a uma VLAN dedicada com o bypass de hotspot ativado. Misturar o tráfego de IoT com o tráfego de convidados ou funcionários cria riscos desnecessários e complica a resposta a incidentes.

Para uma visão mais ampla da arquitetura de segurança de WiFi empresarial, consulte o nosso guia sobre Segurança de WiFi Empresarial: Um Guia Completo para 2026 .

Resolução de problemas e mitigação de riscos

A splash page não aparece no iOS. A causa mais comum é a falta da entrada captive.apple.com no walled garden. O iOS utiliza este domínio para detetar Captive Portals. Se a verificação for bloqueada, o Captive Network Assistant nunca é iniciado e o utilizador vê um erro de conectividade genérico.

O início de sessão social apresenta um ecrã em branco ou erro de CORS. Verifique o walled garden para identificar subdomínios de CDN ou API em falta. O *.fbcdn.net do Facebook e o gstatic.com da Google são as entradas omitidas com maior frequência. Utilize as ferramentas de programador do navegador numa sessão não autenticada para identificar quais os pedidos de domínio que estão a falhar.

A atribuição de VLAN falha com o AltaPass. Verifique se a porta do switch a montante que liga ao AP está configurada como uma porta trunk e permite as VLANs etiquetadas. Uma porta de switch em modo de acesso irá rejeitar silenciosamente as tramas etiquetadas, deixando o cliente sem um endereço IP.

O tempo limite de autenticação RADIUS expirou. Confirme se as portas UDP 1812 e 1813 estão abertas para o exterior na firewall de fronteira. Verifique se o segredo partilhado na configuração da Alta Labs coincide exatamente com o valor nas definições de local da Purple - uma diferença de um único caráter fará com que todos os pedidos de autenticação falhem.

A atribuição dinâmica de VLAN coloca os utilizadores na VLAN errada. Defina a VLAN predefinida no SSID 802.1X para a VLAN 1. Se a VLAN predefinida estiver definida para um valor específico, o AP pode sobrepor-se à VLAN atribuída pelo RADIUS. Este é um comportamento ao nível do firmware confirmado no fórum da comunidade da Alta Labs.

ROI e impacto empresarial

A implementação de hardware da Alta Labs com o Purple Guest WiFi proporciona retornos mensuráveis em três dimensões: eficiência operacional, captura de dados e postura de segurança.

Do lado operacional, a consolidação de múltiplos SSIDs numa única rede gerida pelo AltaPass reduz os custos de gestão e melhora o desempenho sem fios. Menos SSIDs significam menos tráfego de tramas de sinalização (beacon frames), o que se traduz diretamente num maior débito para todos os dispositivos ligados.

No lado dos dados, o Captive Portal da Purple recolhe dados primários verificados a cada início de sessão. Os espaços que utilizam os planos Capture e Engage da Purple reportam um aumento de 40% nas adesões à base de dados de marketing em comparação com o WiFi de convidados não gerido (dados internos da Purple). Esses dados alimentam diretamente o WiFi Analytics , proporcionando às equipas de marketing visibilidade sobre padrões de afluência, tempo de permanência e taxas de visitas repetidas.

No lado da segurança, a atribuição dinâmica de VLAN isola o tráfego de convidados, funcionários e IoT na periferia. Combinada com a infraestrutura certificada ISO 27001 da Purple e o tratamento de dados em conformidade com o GDPR, esta arquitetura cumpre os requisitos de segmentação de rede PCI DSS para espaços que processam pagamentos com cartão.

Especificamente para implementações na hotelaria , a combinação de splash pages personalizadas com a marca, integrações de programas de fidelização e controlos de largura de banda por dispositivo cria uma experiência de convidado diferenciada sem adicionar complexidade à equipa de operações de rede.

Para ambientes de retalho , a capacidade de segmentar terminais POS do WiFi de convidados na mesma infraestrutura física - utilizando regras de desvio AltaPass - elimina a necessidade de cablagem ou hardware separados, reduzindo tanto as despesas de capital como as operacionais.

Guias relacionados: Arista Cognitive Wi-Fi Integration com Purple WiFi | Configuração de Walled Garden para Guest WiFi