EnGenius Cloud Access Points Integration with Purple WiFi

ARGUMENTO DE PODCAST: Integração de Access Points EnGenius Cloud com o Purple WiFi Plataforma de Inteligência Purple WiFi - Série de Briefing Técnico Duração: Aproximadamente 10 minutos Voz: Inglês do Reino Unido, tom de consultor sénior - confiante, conversacional, autoritário [INTRODUÇÃO - 1 MINUTO] Bem-vindo à Série de Briefing Técnico da Purple. Hoje abordamos algo que surge regularmente em implementações empresariais: a integração de access points EnGenius Cloud com a plataforma de guest WiFi da Purple. Se gere um parque EnGenius, quer sejam access points da série ECW num hotel, numa cadeia de retalho ou num edifício de escritórios multi-inquilino, e deseja adicionar um Captive Portal personalizado com a sua marca, recolher dados de visitantes primários (first-party) e impor uma segmentação de rede adequada, este briefing é para si. Nos próximos dez minutos, quero orientá-lo pelas quatro principais áreas de configuração: redirecionamento do Captive Portal de convidados, configuração do walled garden, WiFi seguro para colaboradores utilizando o 802.1X, e isolamento multi-inquilino utilizando o EnGenius MyPSK com atribuição dinâmica de VLAN. No final, terá uma imagem clara do que configurar exatamente, em que ordem, e onde estão as armadilhas comuns. Vamos a isto. [MERGULHO TÉCNICO PROFUNDO - 5 MINUTOS] Comecemos pelo Captive Portal de convidados, o ponto de partida mais comum para qualquer operador de espaço. O EnGenius Cloud suporta splash pages externas nativamente. Isso significa que, em vez de alojar uma página de início de sessão básica no próprio access point, redireciona os convidados não autenticados para o portal alojado na cloud da Purple. É aqui que vivem a marca, a recolha de dados, a gestão de consentimento e as análises. Eis a sequência de configuração no EnGenius Cloud. Inicie sessão no seu painel EnGenius Cloud e navegue para Configure e, em seguida, SSID. Selecione o seu SSID de convidados. No separador Wireless, defina o tipo de segurança como Open ou WPA2 PSK, dependendo da sua preferência. O modo Open é o padrão para a maioria das implementações de guest WiFi. Em seguida, mude para o separador Captive Portal. Ative o Captive Portal e defina o Authentication Type para Custom RADIUS. Esta é a configuração fundamental. Indica ao access point para encaminhar os pedidos de autenticação para um servidor RADIUS externo, que neste caso é o endpoint RADIUS na cloud da Purple. Agora introduza os dados do RADIUS da Purple. O IP do servidor RADIUS principal é fornecido no seu painel da Purple em Hardware Configuration. A porta de autenticação é a UDP 1812. A porta de accounting é a UDP 1813. Introduza o segredo partilhado. A Purple gera-o para si, e este deve ter pelo menos 22 carateres misturando maiúsculas, minúsculas, números e símbolos. Defina o identificador NAS para coincidir com o nome do seu espaço ou um identificador exclusivo que tenha definido na Purple. De seguida, mude para o separador Splash Page. Selecione External Splash Page URL e insira o URL do portal Purple. Este é o URL que a Purple fornece para o seu local específico. Quando um visitante se liga ao SSID e abre um navegador, o ponto de acesso intercepta o pedido e redireciona-o para este URL, transmitindo parâmetros que incluem o endereço MAC do cliente, o endereço MAC do AP e o URL original que o visitante estava a tentar aceder. Agora o walled garden. Esta é a lista de domínios e endereços IP que os visitantes podem aceder antes de se autenticarem. Sem ela, o próprio portal Purple não consegue carregar, porque o navegador do visitante não consegue aceder aos servidores da Purple. No EnGenius Cloud, o walled garden encontra-se em Captive Portal, depois em Advanced Settings e depois em Walled Garden. Precisa de adicionar o domínio do portal Purple, os endpoints de CDN da Purple e os endpoints de teste de captive portal do sistema operativo. Para dispositivos Apple, é captive.apple.com. Para Android, connectivitycheck.gstatic.com. Para Windows, msftconnecttest.com. Se falhar algum destes, os visitantes nessas plataformas não verão o portal de todo. Se estiver a disponibilizar o login social através do Google ou Facebook, também precisa de incluir na lista de permissões os endpoints de OAuth para esses fornecedores. O Google exige, no mínimo, accounts.google.com, oauth2.googleapis.com e apis.google.com. O Facebook exige www.facebook.com, graph.facebook.com e connect.facebook.net. A documentação de suporte da Purple disponibiliza uma lista de walled garden atualizada para cada método de autenticação. Utilize-a como referência, pois estes domínios sofrem alterações. Agora vamos passar para o WiFi seguro para colaboradores utilizando o 802.1X. Este é um SSID separado. O tipo de segurança aqui é WPA2 Enterprise ou WPA3 Enterprise. No EnGenius Cloud, no separador SSID Wireless, selecione WPA2 Enterprise e, em seguida, escolha Custom RADIUS. Insira os mesmos detalhes do servidor RADIUS. O endpoint RADIUS da Purple, a porta 1812 e o segredo partilhado. A diferença em relação à configuração de visitantes é que aqui não existe captive portal. Os dispositivos dos colaboradores autenticam-se silenciosamente utilizando o protocolo IEEE 802.1X. O dispositivo apresenta um certificado ou nome de utilizador e palavra-passe ao servidor RADIUS, que os valida e devolve uma mensagem Access-Accept juntamente com os atributos de atribuição de VLAN. Os atributos RADIUS que geram a atribuição dinâmica de VLAN são o Tunnel-Type definido como VLAN, o Tunnel-Medium-Type definido como 802 e o Tunnel-Private-Group-ID definido com o número da VLAN. Assim, se a VLAN dos seus colaboradores for a VLAN 20, o servidor RADIUS devolve o Tunnel-Private-Group-ID com o valor de 20. O ponto de acesso EnGenius lê este atributo e coloca automaticamente o dispositivo autenticado na VLAN 20. Isto significa que pode ter um único SSID a servir várias funções de colaboradores, finanças, operações, TI, prestadores de serviços, cada um a entrar numa VLAN diferente com base na sua pertença a grupos de diretório, tudo sem qualquer configuração manual de VLAN por dispositivo. Para o método EAP, o PEAP-MSCHAPv2 é a escolha mais comum para ambientes que utilizam o Active Directory ou o Microsoft Entra ID. Requer um certificado no lado do servidor no servidor RADIUS e credenciais de utilizador/palavra-passe no cliente. O EAP-TLS é mais seguro. Utiliza certificados em ambos os lados. Contudo, requer uma infraestrutura PKI e uma implementação MDM para enviar os certificados para os dispositivos. Para a maioria dos operadores de espaços, o PEAP-MSCHAPv2 com validação estrita de certificados imposta via Política de Grupo (GPO) ou MDM é a escolha prática. Agora, a parte tecnicamente mais interessante: EnGenius MyPSK e isolamento multi-tenant. O MyPSK, também designado por PPSK ou Private Pre-Shared Key, resolve um problema específico em ambientes multi-tenant. Num empreendimento de arrendamento de longa duração, num escritório partilhado ou numa residência de estudantes, pretende-se que cada inquilino ou residente tenha a sua própria palavra-passe de WiFi exclusiva. Mas não se pretende criar um SSID separado para cada inquilino. Isso criaria congestionamento de radiofrequência e sobrecarga de gestão. O MyPSK permite criar até 500 chaves pré-partilhadas exclusivas por SSID. Cada chave está associada a uma VLAN específica. Quando um residente se liga utilizando a sua chave exclusiva, o ponto de acesso coloca-o automaticamente na sua VLAN designada. O tráfego do Inquilino A nunca toca no segmento de rede do Inquilino B. A encriptação é também feita por utilizador. Cada chave gera uma Pairwise Master Key exclusiva, pelo que um inquilino não consegue desencriptar o tráfego de rede sem fios de outro inquilino, mesmo partilhando o mesmo SSID. Na EnGenius Cloud, configura o MyPSK nas definições de segurança do SSID. Selecione WPA2 PSK ou WPA3 Personal e, em seguida, ative o MyPSK. Pode depois criar PSKs individualmente ou gerar automaticamente lotes de até 50 de cada vez. Para cada PSK, atribui um ID de VLAN e, opcionalmente, define uma data de expiração. Quando um contrato de arrendamento termina ou um estudante se licencia, basta expirar ou eliminar a sua PSK. O acesso é revogado imediatamente sem afetar nenhum outro inquilino. Para a integração do Purple num ambiente MyPSK, os inquilinos virados para os visitantes ainda podem ser direcionados através de um Captive Portal na sua VLAN. Os funcionários e os inquilinos operacionais contornam o portal por completo. A segmentação de VLAN garante que os dados analíticos do Purple sejam corretamente atribuídos por segmento de rede. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - 2 MINUTOS] Permita-me que lhe apresente a sequência de implementação que recomendo para uma primeira implementação sem falhas. Comece pela arquitetura de VLAN antes de mexer na configuração de WiFi. Defina a VLAN 10 para visitantes, a VLAN 20 para funcionários, a VLAN 30 para inquilinos, ou qualquer que seja a numeração que se ajuste ao seu esquema existente. Configure primeiro estas VLANs nos seus switches ECS, com as atribuições adequadas de portas trunk e de acesso. Os pontos de acesso precisam de receber tráfego etiquetado (tagged) na porta de uplink para cada VLAN que planeia utilizar. Depois configure os SSIDs no EnGenius Cloud por esta ordem: primeiro o SSID de convidados, porque é o mais simples. Valide o redirecionamento do Captive Portal para a Purple antes de prosseguir. A seguir, configure o SSID dos colaboradores com 802.1X. Teste com um dispositivo conhecido antes de implementar em toda a infraestrutura. Por fim, configure o MyPSK se necessitar de isolamento multi-tenant. As armadilhas. Primeiro, o walled garden. Esta é a principal causa de falhas na implementação de Captive Portals. Se os convidados não conseguirem aceder ao portal, verifique primeiro o walled garden. Segundo, a divergência no segredo partilhado do RADIUS. O segredo partilhado deve ser idêntico tanto na configuração do EnGenius Cloud como na configuração do servidor RADIUS da Purple. Uma diferença de um único caráter faz com que todas as autenticações falhem silenciosamente. Terceiro, a configuração do trunk de VLAN no switch. Se a porta do switch ECS que liga ao ponto de acesso não estiver configurada como trunk transportando todas as VLANs necessárias, a atribuição dinâmica de VLAN irá falhar. Quarto, a validação de certificados nos clientes 802.1X. Se os dispositivos dos colaboradores não estiverem configurados para validar o certificado do servidor RADIUS, ficam vulneráveis a roubo de credenciais através de pontos de acesso falsos. Imponha isto através de Política de Grupo para Windows e perfis MDM para todos os restantes. [PERGUNTAS E RESPOSTAS RÁPIDAS - 1 MINUTO] Algumas perguntas que ouço regularmente sobre implementações da EnGenius e Purple. Posso usar o RADIUS do EnGenius Cloud em vez do RADIUS da Purple? Sim, para autenticação interna. Mas para WiFi de convidados com as análises e o portal da Purple, precisa de apontar para o endpoint RADIUS da Purple. Ambos podem coexistir em SSIDs diferentes. O MyPSK funciona com WPA3? Sim. A EnGenius suporta WPA3 e o modo misto WPA2/WPA3 com MyPSK, para que os dispositivos compatíveis com WPA3 obtenham autenticação SAE enquanto os dispositivos mais antigos recorrem ao WPA2 PSK, tudo utilizando a mesma chave por utilizador. A Purple suporta a contabilidade (accounting) RADIUS para dados de sessão? Sim. Ative o servidor de accounting na configuração RADIUS do EnGenius Cloud, apontando para o endpoint de accounting da Purple em UDP 1813. Isto envia a duração da sessão e o volume de dados para as análises da Purple. [RESUMO E PRÓXIMOS PASSOS - 1 MINUTO] Para resumir. Os pontos de acesso EnGenius Cloud integram-se de forma limpa com a plataforma de WiFi de convidados da Purple através de quatro camadas de configuração. O redirecionamento do Captive Portal de convidados utiliza RADIUS Personalizado e um URL de splash page externo a apontar para a Purple. A lista de permissões do walled garden garante que o portal carrega antes da autenticação. O WiFi dos colaboradores utiliza WPA2 Enterprise com 802.1X e atribuição dinâmica de VLAN através de atributos RADIUS. E o isolamento multi-tenant utiliza o EnGenius MyPSK para atribuir chaves únicas por utilizador vinculadas a VLANs específicas, com datas de expiração opcionais para acessos com limite de tempo. A Purple opera em 80.000 locais e processou 440 milhões de inícios de sessão apenas em 2024. A plataforma é certificada pela norma ISO 27001, em conformidade com o GDPR, e independente do hardware, razão exata pela qual funciona perfeitamente com a EnGenius a par de Cisco Meraki, HPE Aruba, Ruckus e o resto do ecossistema de hardware empresarial. Se está pronto para implementar, comece com o guia de configuração do walled garden na documentação de suporte da Purple e, em seguida, conclua a configuração do SSID no EnGenius Cloud. O guia passo a passo completo está disponível em purple.ai. Obrigado por ouvir.