Integração de Access Points Allied Telesis com Purple WiFi

You are a senior network consultant speaking to a client's IT director in a private briefing. Speak in British English with a confident, authoritative, conversational tone. Measured pace, clear diction. No filler words. Occasional natural pauses for emphasis: Bem-vindo a este briefing técnico sobre a integração de pontos de acesso Allied Telesis da Série TQ com o Purple WiFi. Vou orientá-lo através de todo o cenário de implementação, desde o redirecionamento do Captive Portal de convidados até ao isolamento de PPSK multi-tenant. No final disto, terá um roteiro de implementação claro. [medium pause] Comecemos pelo contexto. A Allied Telesis produz a Série TQ, incluindo os pontos de acesso Wi-Fi 6 TQ5403 e TQ6702 GEN2. Estes são APs de classe empresarial que executam o firmware AlliedWare Plus, e estão amplamente implementados em ambientes de hotelaria, retalho e setor público. A Purple é uma plataforma cloud overlay agnóstica em termos de hardware que opera em 80.000 locais e processou 440 milhões de logins em 2024. A integração entre estas duas plataformas é limpa, baseada em normas e pronta para produção. [medium pause] Agora, a primeira coisa que a maioria das equipas de TI precisa de configurar é o redirecionamento do Captive Portal de convidados. O AP Allied Telesis suporta três modos de Captive Portal: click-through, autenticação RADIUS e redirecionamento para página externa. Para a integração com a Purple, utilizará o modo External Page Redirect. Eis como isso funciona na prática. Inicia sessão na GUI do dispositivo AP, navega até Wireless, seleciona o VAP relevante, vai a Advanced Settings e depois ao separador Security. Define o Captive Portal para External Page Redirect. No campo External Page URL, introduz o URL da splash page da Purple fornecido no seu painel da Purple. Esse é o URL que os seus convidados vão aceder quando se ligarem pela primeira vez. [short pause] Agora, o AP intercetará o primeiro pacote HTTP ou HTTPS de cada novo cliente e redirecionará esse tráfego para a sua splash page da Purple. O convidado autentica-se através da Purple, e o servidor RADIUS da Purple envia um Access-Accept de volta para o AP. O AP concede então o acesso à rede. [medium pause] Para a configuração do RADIUS, a Purple fornece-lhe um endereço IP do servidor RADIUS, um segredo partilhado e a porta de autenticação, que é a UDP 1812. O Accounting corre na porta UDP 1813. Configura estes dados em Network Services e depois em RADIUS na GUI do AP. O identificador NAS deve ser definido para o IP de gestão do AP ou para um hostname descritivo. O RADIUS as a Service da Purple trata do backend de autenticação, pelo que não precisa de gerir a sua própria infraestrutura RADIUS. [short pause] Um aspeto a garantir que fica correto é o Walled Garden. Antes de um convidado se autenticar, o AP bloqueia todo o tráfego, exceto para os destinos na lista de permissões. Precisa de adicionar os domínios da plataforma da Purple ao walled garden para que a splash page carregue corretamente. No mínimo, adicione à lista de permissões o domínio da splash page da Purple, quaisquer endpoints de CDN que a Purple utilize para recursos e quaisquer fornecedores de login social que tenha ativado, como o Google ou o Facebook. Configura isto no mesmo painel VAP Advanced Settings, em Walled Garden. [medium pause] Passemos para o WiFi de Funcionários utilizando 802.1X. É aqui que configura o WPA Enterprise num VAP separado. Na GUI do AP, selecione WPA Enterprise no menu suspenso Security e, em seguida, aponte o RADIUS Authentication Group para o seu servidor RADIUS externo, que neste caso é o serviço SecurePass da Purple ou o seu próprio RADIUS baseado em Microsoft Entra ID ou Okta. Os dispositivos dos funcionários autenticam-se utilizando EAP-PEAP com MSCHAPv2, ou EAP-TLS com certificados para ambientes de maior segurança. O AP atua como o autenticador 802.1X, reencaminhando as credenciais para o servidor RADIUS e aplicando a resposta. [short pause] Para a atribuição dinâmica de VLAN na rede de funcionários, ativa a Dynamic VLAN nas definições de Advanced Security do VAP. Quando o servidor RADIUS devolve um Access-Accept, este inclui três atributos padrão: Tunnel-Type definido como VLAN, Tunnel-Medium-Type definido como IEEE 802 e Tunnel-Private-Group-Id definido como o ID da VLAN. O AP lê estes atributos e coloca o dispositivo autenticado na VLAN correta de forma automática. Este é o mecanismo definido na RFC 3580 e funciona de forma consistente em todo o hardware Allied Telesis. [medium pause] Agora vamos falar sobre a capacidade mais interessante para implementações multi-tenant: o Allied Telesis PPSK, ou Private Pre-Shared Key. Isto é por vezes designado por iPSK noutras plataformas. O conceito é simples. Tem um único SSID, mas cada tenant ou grupo de utilizadores recebe uma frase de acesso exclusiva. Quando um dispositivo se liga, o AP envia essa frase de acesso para o servidor RADIUS como o campo de palavra-passe num RADIUS Access-Request. O servidor RADIUS associa a frase de acesso a um registo de utilizador e devolve um Access-Accept com um atributo Tunnel-Private-Group-Id que especifica a VLAN para esse tenant. [short pause] Assim, num edifício de utilização mista, o Tenant A na unidade de retalho liga-se com a sua frase de acesso e entra na VLAN 100. O restaurante no rés do chão utiliza uma frase de acesso diferente e entra na VLAN 300. O WiFi de convidados do edifício utiliza uma terceira frase de acesso e entra na VLAN 400, onde o Captive Portal da Purple está ativo. Tudo isto corre num único SSID. Sem proliferação de SSID. Limpo, escalável e fácil de gerir. [medium pause] Do lado da Purple, configura os registos de utilizador PPSK no painel da Purple ou através da interface do RADIUS as a Service. Cada tenant recebe uma frase de acesso exclusiva mapeada para um ID de VLAN. O servidor RADIUS da Purple trata da correspondência e devolve o Tunnel-Private-Group-Id correto. Quando precisar de revogar o acesso de um tenant, elimina ou desativa o seu registo PPSK na Purple. O AP aplica a alteração na tentativa de autenticação seguinte. [medium pause] Deixe-me dar-lhe dois cenários do mundo real onde isto é importante. Primeiro, um hotel de conferências com 250 quartos. O hotel opera três redes: WiFi de convidados com splash page da Purple e login social, WiFi de funcionários em 802.1X associado ao Active Directory via Microsoft Entra ID, e uma rede de delegados de conferência para eventos. Os APs Allied Telesis TQ6702 GEN2 gerem as três em VAPs separados com VLANs separadas. A Purple gere a splash page de convidados, recolhe dados primários para o CRM do hotel e fornece análises sobre os períodos de pico de utilização. A equipa de TI do hotel gere a rede dos funcionários através do SecurePass da Purple sem manter um servidor RADIUS separado no local. [short pause] Segundo cenário: um parque comercial com 12 lojistas independentes. O proprietário quer oferecer WiFi como serviço a cada lojista sem lhes dar acesso ao tráfego uns dos outros. Implementam APs Allied Telesis em todo o local com um único SSID. Cada lojista recebe uma PPSK exclusiva. O servidor RADIUS da Purple mapeia cada PPSK para uma VLAN dedicada. O proprietário pode integrar um novo lojista em menos de dez minutos, criando um novo registo PPSK na Purple e entregando a palavra-passe ao lojista. Não é necessária qualquer reconfiguração do AP. [medium pause] Agora, alguns erros a evitar. O problema mais comum que vemos são os walled gardens mal configurados. Se se esquecer de adicionar um endpoint de CDN da Purple à lista de permissões, a splash page irá carregar parcialmente ou falhar em determinados dispositivos. Teste com um dispositivo novo que não tenha DNS em cache antes de entrar em produção. Segundo, incompatibilidades de segredo partilhado RADIUS. O segredo configurado no AP deve corresponder exatamente ao segredo na configuração do servidor RADIUS da Purple. Uma diferença de um único caráter causa falhas de autenticação silenciosas. Utilize um gestor de palavras-passe para gerar e armazenar o segredo. Terceiro, a VLAN Dinâmica não ativar. Nos APs Allied Telesis, a VLAN Dinâmica está desativada por predefinição, mesmo quando o WPA Enterprise está ativo. Deve ativá-la explicitamente nas definições de Segurança Avançada do VAP. Vemos esta falha regularmente. Quarto, conflito de autenticação PPSK e MAC. Se tiver a autenticação MAC ativada no mesmo VAP que o PPSK, a ordem de autenticação é importante. Verifique a documentação do AP para a sua versão de firmware para confirmar qual o método que tem precedência. [medium pause] Perguntas rápidas que recebo das equipas de TI. Posso utilizar o servidor RADIUS da Purple tanto para o Captive Portal de convidados como para o 802.1X de funcionários na mesma implementação? Sim. O RADIUS as a Service da Purple suporta ambos os fluxos de autenticação. Configura grupos ou políticas RADIUS separados na Purple para cada caso de utilização. Os APs Allied Telesis suportam WPA3 com Captive Portal? O TQ6702 GEN2 com firmware 5.5.4-2.3 ou posterior suporta a cifra WPA3 CCMP. No entanto, o Captive Portal com redirecionamento externo normalmente funciona num SSID aberto ou WPA2 Personal. O 802.1X de funcionários pode utilizar WPA3 Enterprise. O que acontece se o servidor RADIUS da Purple estiver inacessível? O AP irá recusar novas tentativas de autenticação. As sessões existentes continuam até expirarem. Deve configurar um servidor RADIUS secundário no grupo RADIUS do AP para redundância. A plataforma da Purple mantém 99,999% de uptime, mas a defesa em profundidade é uma boa prática. [medium pause] Para resumir. Os APs Allied Telesis da série TQ integram-se com a Purple através de três mecanismos principais: redirecionamento de Captive Portal externo para WiFi de convidados, WPA Enterprise com RADIUS para 802.1X de funcionários e PPSK com VLAN dinâmica para isolamento de multi-inquilinos. Os atributos RADIUS de que necessita são Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802 e Tunnel-Private-Group-Id com o ID da VLAN. A Purple fornece o backend de RADIUS as a Service, a plataforma de splash page e a camada de análise. [short pause] Os seus próximos passos: obtenha as credenciais RADIUS da Purple no seu painel de controlo, configure o redirecionamento de página externa no seu VAP de convidados, adicione as entradas de walled garden, ative a VLAN Dinâmica no seu VAP de funcionários e execute um teste de autenticação para cada segmento de rede antes de entrar em produção. Se estiver a implementar PPSK para multi-inquilinos, planeie o seu esquema de numeração de VLAN antes de começar, porque alterar os IDs de VLAN após os lojistas estarem ativos requer coordenação. [medium pause] Esta é a apresentação. Para a referência de configuração passo a passo completa, o diagrama de arquitetura Mermaid e a tabela de atributos RADIUS, consulte o guia escrito. Obrigado pelo seu tempo.