Integração de Cisco WLC e Catalyst com Purple WiFi: Guia Passo a Passo de Acesso de Convidados

Resumo executivo

As redes sem fios empresariais devem servir grupos de utilizadores distintos em simultâneo: convidados que necessitam de um acesso à internet sem fricção, colaboradores que exigem acesso seguro aos recursos corporativos e dispositivos sem interface (headless) ou de inquilinos que necessitam de isolamento mútuo. Depender de uma única Chave Pré-Partilhada (PSK) para qualquer um destes grupos é um risco de segurança. Uma única credencial comprometida expõe todo o segmento, e a revogação do acesso exige a alteração de uma palavra-passe global que perturba todos os dispositivos na rede.

Este guia detalha a integração de Controladores LAN Sem Fios (WLC) Cisco e hardware da série Catalyst 9800 com a sobreposição de nuvem da Purple. Fornecemos a configuração passo a passo para três níveis de autenticação distintos: uma rede Guest WiFi aberta com redirecionamento de Captive Portal fornecido pela Purple, uma rede Secure Staff WiFi utilizando autenticação por certificado 802.1X EAP-TLS, e um ambiente Multi-Tenant WiFi utilizando Chaves Pré-Partilhadas de Identidade (iPSK) da Cisco com atribuição dinâmica de VLAN. Ao implementar esta arquitetura, isola o tráfego de recursos corporativos do tráfego de visitantes, automatiza o controlo de acessos baseado em identidade e recolhe dados primários através da plataforma de WiFi Analytics da Purple. A Purple opera em mais de 80.000 locais ativos e registou 440 milhões de inícios de sessão em 2024 (dados internos da Purple), tornando-se uma sobreposição de nuvem comprovada para infraestruturas Cisco em grande escala.

Análise técnica aprofundada: a arquitetura de três níveis

Uma implementação sem fios empresarial moderna em hardware Cisco deve atender a perfis de utilizador distintos com diferentes requisitos de segurança e acesso. A integração entre o Cisco WLC e a Purple permite que uma infraestrutura de hardware unificada sirva estes perfis através de mecanismos de autenticação distintos, todos geridos a partir de um único controlador Catalyst 9800.

Nível 1: Guest WiFi - Autenticação Web Centralizada (CWA)

Para visitantes em ambientes de Hospitality e Retail , o objetivo é uma adesão com baixa fricção combinada com uma recolha de dados em conformidade. Isto é alcançado utilizando um SSID aberto associado à Autenticação Web Centralizada (CWA). Quando um convidado se liga, o Cisco WLC aplica uma Lista de Controlo de Acesso (ACL) de pré-autenticação - o jardim vedado (walled garden). Esta ACL bloqueia o tráfego geral de internet ao mesmo tempo que permite o tráfego para os domínios do Captive Portal da Purple, DNS e endpoints de início de sessão social.

Quando o convidado tenta navegar, o WLC intercepta o pedido HTTP e emite um redirecionamento para a splash page da Purple. O convidado autentica-se através do método escolhido (login social, registo por e-mail ou código de voucher). A Purple atua então como o servidor RADIUS, enviando uma mensagem RADIUS Change of Authorization (CoA) de volta para o WLC. O CoA instrui o WLC a mover o cliente do estado de pré-autenticação para um estado pós-autenticação numa VLAN de convidados isolada, concedendo acesso à internet. Cada login é registado na plataforma de analytics da Purple, capturando dados primários em conformidade com o GDPR e a CCPA.

Tier 2: Staff WiFi - 802.1X EAP-TLS

Os dispositivos corporativos exigem o nível mais elevado de segurança. O IEEE 802.1X define o Network Access Control baseado em porta (PNAC) e, quando combinado com EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), fornece uma autenticação baseada em certificados que elimina totalmente as palavras-passe. Os certificados digitais são implementados nos dispositivos corporativos através de Mobile Device Management (MDM) - Microsoft Intune, Jamf ou equivalente. O Cisco WLC atua como o Autenticador, transmitindo mensagens EAP entre o suplicante (dispositivo) e o servidor RADIUS. O servidor RADIUS valida o certificado e devolve um Access-Accept com atributos opcionais de atribuição de VLAN.

Como a autenticação depende de certificados em vez de palavras-passe, não existem credenciais para roubar. Se um dispositivo for perdido ou um colaborador sair, o certificado é revogado. O acesso termina instantaneamente sem interromper qualquer outro utilizador. Para uma abordagem abrangente das normas de segurança empresarial, incluindo WPA3 e Zero Trust, consulte o nosso guia sobre Enterprise WiFi Security: A Complete Guide for 2026 .

Tier 3: Multi-Tenant WiFi - Cisco iPSK e atribuição dinâmica de VLAN

Em ambientes como alojamento de estudantes, espaços de coworking ou centros comerciais, necessita de redes privadas e segmentadas para diferentes inquilinos sem transmitir dezenas de SSIDs. O Cisco Identity PSK (iPSK) resolve isto. Todos os inquilinos ligam-se a um único SSID. O WLC envia um pedido de autenticação MAC para o servidor RADIUS para cada dispositivo que se liga. O servidor RADIUS devolve a PSK específica para esse inquilino como um atributo cisco-av-pair, juntamente com os atributos RADIUS padrão da IETF para atribuir dinamicamente o cliente à VLAN correta.

Os três atributos RADIUS da IETF que impulsionam a atribuição dinâmica de VLAN são:

O Tunnel-Private-Group-ID é codificado como uma string, conforme definido no RFC 2868. O ID da VLAN deve existir no WLC para que a atribuição seja bem-sucedida.

Guia de implementação: Configuração do Cisco Catalyst 9800 WLC

Os passos seguintes detalham a configuração para um Cisco Catalyst 9800 WLC com IOS-XE para integração com a Purple para redirecionamento de Guest WiFi. Para implementações legadas de AireOS WLC, as definições equivalentes estão disponíveis no portal de suporte da Purple.

Passo 1: Configurar a autenticação e a monitorização (accounting) RADIUS

Deve apontar o WLC para os servidores RADIUS da Purple para gerir a autenticação de convidados e a monitorização de sessões.

1. Navegue para Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add.
2. Introduza o endereço IP do servidor RADIUS primário da Purple, defina a porta de autenticação (auth-port) para 1812, a porta de monitorização (acct-port) para 1813 e introduza o segredo partilhado (shared secret) do portal da Purple.
3. Ative o Support for CoA - isto é obrigatório para o redirecionamento do Captive Portal.
4. Repita o processo para o servidor RADIUS secundário da Purple.
5. Navegue para RADIUS > Server Groups > + Add e crie um grupo que contenha ambos os servidores.
6. Navegue para AAA Method List > Authorization > + Add, defina o Tipo (Type) para network e aponte-o para o grupo de servidores RADIUS.
7. Navegue para AAA Method List > Accounting > + Add, defina o Tipo (Type) para identity e aponte-o para o mesmo grupo.

Os comandos CLI equivalentes no IOS-XE são:

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Passo 2: Definir a ACL de pré-autenticação (walled garden)

A ACL de pré-autenticação permite o tráfego para a splash page da Purple e serviços essenciais antes de o utilizador se autenticar. Este é o walled garden.

1. Navegue para Configuration > Security > ACL > + Add.
2. Crie uma ACL Estendida IPv4 com o nome Purple_Guest_Walled_Garden.
3. Adicione regras para rejeitar (deny) o tráfego para o IP de gestão do WLC e para os IPs dos servidores RADIUS.
4. Adicione regras para permitir (permit) DNS (porta UDP 53) para os seus servidores DNS.
5. Adicione regras para permitir (permit) o tráfego para as gamas de IP e domínios do walled garden da Purple (obtenha a lista atualizada no portal de suporte da Purple para o seu tipo de hardware específico).
6. Adicione uma regra final permit ip any any - o WLC redirecionará o tráfego permitido para o CPU para processamento do portal.

Passo 3: Configurar a WLAN de convidados

1. Navegue para Configuration > Tags & Profiles > WLANs > + Add.
2. Crie uma WLAN com o nome Guest-WiFi com o seu SSID escolhido.
3. Em Security > Layer 2, defina a segurança para None (Open).
4. Em Security > Layer 3, ative a Web Policy e defina o tipo de Web Auth para External.
5. Introduza o seu URL de acesso da Purple no campo de redirecionamento.
6. Aplique a ACL Purple_Guest_Walled_Garden.
7. Em Security > AAA Servers, atribua os servidores RADIUS da Purple tanto à Autenticação como à Monitorização (Accounting).

Passo 4: Configurar o Policy Profile

1. Navegue até Configuration > Tags & Profiles > Policy > + Add.
2. Em Access Policies, atribua a VLAN 20 (ou a sua VLAN de convidados designada).
3. Em Advanced, ative Allow AAA Override e NAC State.
4. Atribua a lista de métodos de accounting da Purple.

O equivalente em CLI:

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

Passo 5: Configurar iPSK para implementações multi-tenant ou IoT

Para iPSK, a configuração da WLAN difere da configuração de convidados. A WLAN utiliza WPA2-PSK com MAC filtering ativado, e o Policy Profile tem o AAA Override ativo para aceitar a PSK por cliente e a VLAN do servidor RADIUS.

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

O servidor RADIUS (configurado na Purple ou na sua plataforma RADIUS) devolve os seguintes atributos por grupo de tenant:

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID = 

Melhores práticas

A adesão a padrões estabelecidos garante estabilidade, segurança e conformidade regulamentar em toda a sua implementação.

Imponha uma validação rigorosa de certificados. Ao implementar 802.1X, configure os dispositivos dos clientes via MDM para confiar explicitamente na autoridade de certificação do seu servidor RADIUS e especifique o nome do servidor esperado. A não imposição desta regra deixa os clientes vulneráveis a ataques de rogue access point, onde um atacante apresenta um certificado fraudulento para capturar credenciais. Este é um requisito obrigatório, não uma recomendação.

Isole o tráfego de convidados na camada de rede. O WiFi de convidados deve terminar numa VLAN dedicada que esteja protegida por firewall de todos os recursos corporativos. O PCI DSS 4.0 exige que os ambientes de dados de titulares de cartões sejam isolados das redes públicas. Um convidado na VLAN 20 não deve ter rota para a rede corporativa na VLAN 10.

Utilize iPSK para dispositivos IoT, não MAC Authentication Bypass. Os endereços MAC são transmitidos em texto simples e são fáceis de falsificar. O iPSK fornece segurança criptográfica para dispositivos headless. Para obter orientações sobre como os dispositivos de ecrã e IoT interagem com protocolos sem fios, consulte What Is Wireless Display: Protocols & Best Practices 2026 .

Defina termos de utilização claros. O seu Captive Portal deve apresentar um acordo de termos de utilização antes de conceder o acesso. Este é um requisito do GDPR para a recolha de dados e uma necessidade legal para as políticas de utilização da rede. Para redes internas de colaboradores, consulte Staff WiFi Terms and Conditions: Legal and Compliance Essentials .

Implemente redundância RADIUS. Configure sempre um servidor RADIUS primário e secundário. A Purple fornece dois endereços IP de servidor para este fim. Uma única falha no servidor RADIUS impedirá todos os inícios de sessão de convidados.

Resolução de problemas e mitigação de riscos

Mesmo com uma configuração cuidadosa, surgem problemas de integração. Aborde os modos de falha mais comuns de forma sistemática antes de escalar.

Problema: Os convidados ligam-se, mas a splash page não aparece.

Este é o problema mais comum. A ACL de pré-autenticação está a bloquear o DNS. Sem DNS, o cliente não consegue resolver o pedido HTTP inicial e o sistema operativo não irá acionar o mini-browser do Captive Portal. Verifique se a porta UDP 53 é permitida para os seus servidores DNS na ACL do walled garden. No WLC, execute show wireless client summary para confirmar se o cliente está num estado Webauth Pending em vez de Run.

Problema: Os clientes iPSK não se conseguem ligar ou vão parar à VLAN errada.

A VLAN especificada em Tunnel-Private-Group-ID não existe no WLC, ou os atributos cisco-av-pair estão mal formados. Execute debug radius all no WLC para inspecionar a resposta RADIUS em bruto. Verifique se o ID da VLAN foi criado em Configuration > Layer 2 > VLAN > VLAN List.

Problema: Os clientes da equipa com 802.1X falham a autenticação de forma intermitente.

Isto deve-se normalmente a um timeout do servidor RADIUS ou a um problema de fidedignidade do certificado no cliente. Verifique os registos do servidor RADIUS para mensagens Access-Reject. Nos clientes Windows, verifique se o perfil de WiFi está configurado para validar o certificado do servidor e se especifica a CA fidedigna correta.

Problema: O CoA da Purple não é processado pelo WLC.

A chave secreta partilhada do CoA deve corresponder à chave secreta partilhada do RADIUS configurada no WLC. No IOS-XE 17.4 e posterior, a chave CoA é configurada separadamente da chave secreta partilhada. Verifique se ambas correspondem aos valores no portal da Purple.

ROI e impacto empresarial

A transição de redes PSK básicas para uma arquitetura estruturada e baseada em identidade com a Purple proporciona resultados de negócio mensuráveis nos setores de Hotelaria , Retalho , Saúde e Transportes .

Primeiro, a arquitetura elimina o custo operacional de gerir palavras-passe partilhadas. Quando os colaboradores saem, o utilizador revoga o seu certificado. Não precisa de alterar uma palavra-passe global e atualizar todos os dispositivos da infraestrutura. Segundo, a integração com o Captive Portal da Purple transforma um centro de custos de TI num gerador de receitas. A plataforma da Purple recolhe dados primários em conformidade a cada início de sessão, permitindo campanhas de marketing automatizadas e análises de visitantes. Com 29 mil milhões de pontos de dados recolhidos em toda a rede Purple (dados internos da Purple), la plataforma fornece informações acionáveis sobre o comportamento dos visitantes, tempo de permanência e taxas de retorno.

Para os operadores de espaços que realizam inquéritos para compreender a satisfação dos visitantes, a plataforma Purple integra-se diretamente com os fluxos de trabalho de pesquisa. Consulte Design of a Survey: A Practical Guide for Venues para obter orientações sobre como estruturar inquéritos eficazes para espaços, disponibilizados através do Captive Portal.

Ao integrar o hardware de classe empresarial da Cisco com a sobreposição na nuvem da Purple, obtém uma rede segura e escalável que contribui ativamente para os objetivos comerciais do espaço. A Purple possui certificação ISO 27001, conformidade com o GDPR e CCPA, certificação Cyber Essentials e certificação B Corp - cumprindo os requisitos de conformidade das equipas de compras empresariais.