Integração de Firmware Personalizado OpenWrt com Purple WiFi

Resumo executivo

O OpenWrt é o firmware de eleição para equipas de TI que necessitam de independência de hardware sem sacrificar o controlo de nível empresarial. Implementado em ambientes de hotelaria, retalho e setor público, oferece uma pilha de rede baseada em Linux totalmente configurável. No entanto, por predefinição, o OpenWrt é uma tela em branco. Sem uma camada de identidade estruturada, as redes de convidados tornam-se ingeríveis, as redes de funcionários permanecem inseguras e os ambientes multi-tenant colapsam numa única rede plana.

Este guia fornece o manual de integração definitivo para ligar o OpenWrt ao RADIUS na nuvem e à plataforma de Captive Portal da Purple. Abrangemos quatro cenários de implementação distintos: redirecionamento de Captive Portal de convidados utilizando CoovaChilli, configuração de walled garden com iptables, WiFi seguro para funcionários utilizando hostapd com IEEE 802.1X, e segmentação multi-tenant utilizando Private Pre-Shared Keys (PPSK) com atribuição dinâmica de VLAN. No final, terá os parâmetros de configuração exatos, os modos de falha comuns e as matrizes de decisão necessárias para implementar uma rede orientada para a identidade, pronta para produção e em conformidade com o GDPR em qualquer hardware compatível com OpenWrt.

A Purple opera em mais de 80.000 locais ativos e processou 440 milhões de inícios de sessão em 2024 (dados internos da Purple, 2024). A arquitetura aqui descrita é a mesma que é implementada em grande escala em cadeias de hotelaria, redes de retalho e interfaces de transportes.

Análise técnica detalhada

A arquitetura de Captive Portal CoovaChilli

Ao implementar o Guest WiFi no OpenWrt, o CoovaChilli é o controlador de acessos padrão do setor. Funciona como um daemon de Captive Portal que interpeta o tráfego de clientes não autenticados, fornece endereços IP através do seu servidor DHCP interno na interface virtual tun0 e aplica políticas de walled garden utilizando regras de iptables que gere diretamente.

O fluxo de autenticação funciona da seguinte forma. Um dispositivo convidado associa-se ao SSID aberto. O CoovaChilli atribui ao dispositivo um endereço IP do seu pool interno (normalmente 10.1.0.0/24). Quando o dispositivo envia o seu primeiro pedido HTTP, o CoovaChilli interseta-o e emite um redirecionamento HTTP 302 para o URL da splash page da Purple. Durante esta fase de pré-autenticação, o dispositivo é isolado - apenas consegue aceder aos domínios explicitamente listados no walled garden.

Uma vez que o convidado se autentica no portal Purple, o servidor RADIUS na cloud da Purple envia uma mensagem Access-Accept para o CoovaChilli na porta UDP 1812. O CoovaChilli atualiza então as suas regras de iptables para permitir o acesso à internet para esse endereço MAC específico e começa a transmitir dados de contabilidade (duração da sessão, bytes transferidos) para o servidor de contabilidade RADIUS da Purple na porta UDP 1813. A contabilidade não é opcional - é o mecanismo através do qual a Purple preenche o seu painel de WiFi Analytics com dados de sessão.

Walled garden: iptables e listas de permissões de domínios

O walled garden é o elemento de configuração mais crítico operacionalmente em qualquer implementação de Captive Portal. O CoovaChilli gere o walled garden através de dois mecanismos: o parâmetro uamallowed para endereços IP individuais e o parâmetro uamdomains para listas de permissões baseadas em domínio com inspeção de DNS.

Para uma integração Purple, as entradas mínimas obrigatórias no walled garden são:

Nota sobre a gestão de Apple CNA: Se incluir captive.apple.com no walled garden, os dispositivos iOS detetarão a conectividade à internet antes da autenticação e suprimirão a janela pop-up do Captive Network Assistant. A maioria das implementações no setor da hotelaria exclui deliberadamente este domínio para acionar o aviso automático do portal. A escolha correta depende do design da experiência do convidado.

WiFi seguro para funcionários: hostapd e IEEE 802.1X

As redes de convidados exigem uma adesão sem fricção. As redes de funcionários exigem segurança absoluta. Para utilizadores internos, o OpenWrt utiliza o hostapd para facilitar a autenticação IEEE 802.1X. Nesta arquitetura, o ponto de acesso OpenWrt atua como o Autenticador, reencaminhando mensagens do Extensible Authentication Protocol (EAP) entre o dispositivo cliente (Suplicante) e o servidor RADIUS da Purple.

Para dispositivos corporativos, o EAP-TLS é a norma obrigatória. Baseia-se na autenticação mútua de certificados - tanto o servidor como o dispositivo cliente apresentam certificados digitais - eliminando por completo as palavras-passe e os riscos associados de roubo de credenciais ou phishing. Para ambientes que ainda não estejam preparados para uma Public Key Infrastructure (PKI) completa, o PEAP-MSCHAPv2 constitui uma opção provisória razoável, utilizando um túnel encriptado para proteger as credenciais de nome de utilizador e palavra-passe.

Quando um membro do pessoal se autentica com sucesso, o servidor RADIUS devolve atributos de autorização. O atributo fundamental para a segmentação de rede é o Tunnel-Private-Group-ID, que instrui o OpenWrt a atribuir dinamicamente o utilizador à VLAN correta. Este é o mecanismo por trás das Redes Baseadas em Identidade (Identity-Based Networks): a identidade do utilizador, e não a sua localização física, determina o seu acesso à rede.

Segmentação multi-tenant: configuração PPSK em OpenWrt

Em ambientes multi-tenant - espaços de coworking, propriedades build-to-rent (BTR), centros comerciais com vários lojistas ou estádios com zonas de patrocinadores separadas - a transmissão de múltiplos SSIDs é operacionalmente dispendiosa e ineficiente a nível de RF. Cada SSID adicional adiciona sobrecarga de tráfego de gestão (management frame), reduzindo o tempo de transmissão disponível para o tráfego de dados.

As Chaves Pré-Partilhadas Privadas (PPSK), por vezes designadas por PSK dinâmicas, resolvem este problema. Transmite um único SSID. Quando um dispositivo tenta ligar-se, o hostapd envia o endereço MAC do dispositivo para o servidor RADIUS através de um Access-Request padrão. O servidor RADIUS valida o endereço MAC na sua base de dados e devolve um Access-Accept contendo dois atributos críticos: o atributo Tunnel-Password (a palavra-passe exclusiva para esse dispositivo) e o atributo Tunnel-Private-Group-ID (a atribuição de VLAN). O dispositivo liga-se utilizando a sua palavra-passe exclusiva e é colocado diretamente na VLAN atribuída.

Isto significa que um gestor de retalho e um participante de um evento podem ligar-se ao mesmo SSID mas ser encaminhados para redes inteiramente separadas e isoladas com base na sua identidade única.

Guia de implementação

Passo 1: Obter as credenciais RADIUS do Purple

Antes de mexer na configuração do OpenWrt, obtenha os seguintes dados na consola de administração do portal Purple:

• Endereço IP do Servidor RADIUS Primário
• Endereço IP do Servidor RADIUS Secundário (para failover)
• Segredo Partilhado RADIUS (Shared Secret)
• URL da Splash Page do Captive Portal
• URL de redirecionamento pós-autenticação

Passo 2: Instalar e configurar o CoovaChilli para WiFi de convidados

Instale o pacote coova-chilli via opkg:

opkg update && opkg install coova-chilli

O ficheiro de configuração principal é o /etc/chilli/defaults. Defina os parâmetros de rede principais:

# Network interfaces
HS_WANIF=eth0           # Upstream internet interface
HS_LANIF=wlan0          # The guest WiFi interface (or a VLAN sub-interface)

# Guest subnet
HS_NETWORK=10.10.20.0
HS_NETMASK=255.255.255.0
HS_UAMLISTEN=10.10.20.1 # CoovaChilli's IP on the guest network
HS_UAMPORT=3990

# Purple RADIUS integration
HS_RADIUS=
HS_RADIUS2=
HS_RADSECRET=
HS_NASID=venue-openwrt-01

# Purple splash page
HS_UAMSERVER=

# Walled garden - domain-based allowlisting
HS_UAMDOMAINS=".purple.ai,.googleapis.com,.gstatic.com,.facebook.com,.fbcdn.net"

Ative e inicie o serviço:

/etc/init.d/chilli enable
/etc/init.d/chilli start

Passo 3: Configurar a interface wireless OpenWrt para o SSID de visitantes

Em /etc/config/wireless, defina o SSID de visitantes como uma rede aberta associada à interface que o CoovaChilli irá gerir:

config wifi-iface 'guest_wifi'
    option device 'radio0'
    option network 'guest'
    option mode 'ap'
    option ssid 'Venue_Guest'
    option encryption 'none'
    option isolate '1'

O isolamento de clientes (isolate '1') impede que os dispositivos dos visitantes comuniquem entre si - um controlo de segurança obrigatório para qualquer rede partilhada.

Passo 4: Configurar o hostapd para o WiFi de funcionários 802.1X

Para o SSID de funcionários, configure o WPA2-Enterprise em /etc/config/wireless:

config wifi-iface 'staff_wifi'
    option device 'radio0'
    option network 'staff_vlan10'
    option mode 'ap'
    option ssid 'Venue_Staff'
    option encryption 'wpa2'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option vlan_bridge 'br-vlan'
    option vlan_naming '0'

A definição dynamic_vlan '2' instrui o hostapd a impor a atribuição de VLAN devolvida pelo servidor RADIUS e a rejeitar a autenticação se nenhuma VLAN for devolvida.

Requisito de pacote: O pacote padrão wpad-mini não suporta WPA2-Enterprise. Deve instalar o wpad ou o wpad-openssl:

opkg remove wpad-mini && opkg install wpad-openssl

Passo 5: Configurar PPSK para segmentação multi-tenant

O PPSK requer que o hostapd realize a autenticação do endereço MAC contra o servidor RADIUS, que depois devolve a palavra-passe por dispositivo. Em /etc/config/wireless:

config wifi-iface 'ppsk_ssid'
    option device 'radio0'
    option mode 'ap'
    option ssid 'Venue_Connect'
    option encryption 'psk2'
    option key 'default_fallback_key'
    option macfilter 'radius'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option wpa_psk_radius '2'

O parâmetro wpa_psk_radius '2' instrui o hostapd a exigir o atributo Tunnel-Password da resposta RADIUS. Se o servidor RADIUS não devolver uma palavra-passe, a autenticação é rejeitada.

Do lado do Purple RADIUS, a secção authorize da sua configuração FreeRADIUS (or equivalente) mapeia endereços MAC para palavras-passe e IDs de VLAN:

# Exemplo de entrada authorize do RADIUS para PPSK
AA:BB:CC:DD:EE:FF   Auth-Type := Accept
    Tunnel-Password = "GuestPass2024",
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-ID = "20"

Passo 6: Configurar atribuição dinâmica de VLAN

Para que a atribuição dinâmica de VLAN funcione, o seu switch OpenWrt deve estar configurado para transportar as VLANs relevantes como tráfego etiquetado (tagged) na porta trunk que liga ao seu switch principal. Em /etc/config/network:

config interface 'vlan10'
    option ifname 'eth0.10'
    option proto 'dhcp'

config interface 'vlan20'
    option ifname 'eth0.20'
    option proto 'dhcp'

config interface 'vlan30'
    option ifname 'eth0.30'
    option proto 'dhcp'

Certifique-se de que a porta do seu switch principal está configurada como trunk, passando as VLANs 10, 20 e 30 como etiquetadas (tagged).

Melhores práticas

Segregação absoluta da rede. Nunca agrupe (bridge) interfaces de convidados com redes internas. O tráfego de convidados deve ser isolado numa VLAN dedicada e encaminhado diretamente para a firewall da internet. Este é um requisito não negociável para a conformidade com o PCI DSS 4.0, que exige que as redes WiFi de convidados estejam completamente isoladas de qualquer segmento de rede que lide com dados de titulares de cartões.

Precisão do walled garden. Um walled garden incompleto é a principal causa de falhas no Captive Portal. Utilize as ferramentas de programador do seu navegador num dispositivo de teste ligado ao SSID de convidados para identificar quais os pedidos que estão a ser bloqueados antes da autenticação. Cada domínio bloqueado é uma potencial falha no portal.

Intervalos de accounting RADIUS. Configure o intervalo de accounting interim do CoovaChilli para 120 segundos. Isto fornece dados de sessão em tempo quase real no painel de analítica da Purple sem gerar tráfego RADIUS excessivo.

Servidor RADIUS secundário. Configure sempre HS_RADIUS2 na sua configuração do CoovaChilli. Se o servidor RADIUS principal da Purple estiver inacessível, o CoovaChilli falhará na autenticação de novas sessões. O servidor secundário fornece failover automático sem necessidade de qualquer alteração de configuração no ponto de acesso.

Seleção de pacotes. O pacote wpad-mini incluído em muitas compilações do OpenWrt não suporta WPA2-Enterprise ou atribuição dinâmica de VLAN. Instale sempre o wpad-openssl para qualquer implementação que exija 802.1X ou PPSK.

Para mais orientações sobre a arquitetura de segurança WiFi empresarial, consulte o nosso Enterprise WiFi Security: A Complete Guide for 2026 .

Resolução de problemas e mitigação de riscos

GDPR compliance note: O CoovaChilli em si não recolhe nem armazena dados pessoais. Todos os mecanismos de recolha de consentimento, processamento de dados e conformidade com o GDPR são geridos pela plataforma Purple ao nível do portal. Certifique-se de que o seu portal Purple está configurado com os termos e condições do seu local e com o aviso de processamento de dados antes do lançamento oficial.

Para padrões de integração de hardware relacionados, consulte os nossos guias sobre EnGenius Cloud Access Points Integration with Purple WiFi e DrayTek Vigor Routers and Access Points Integration with Purple WiFi .

ROI & business impact

A transição de redes PSK básicas para uma arquitetura OpenWrt gerida pela Purple proporciona um impacto mensurável em três dimensões.

Data capture and marketing. Ao impor a autenticação por Captive Portal, os locais recolhem dados demográficos primários conformes (nomes, endereços de email, perfis de redes sociais) no momento da ligação ao WiFi. Estes dados alimentam diretamente as plataformas de CRM e marketing por email, impulsionando as inscrições em programas de fidelização e permitindo campanhas direcionadas. A Purple processou 440 milhões de inícios de sessão em 2024 (dados internos da Purple), demonstrando a escala de recolha de dados primários possível na periferia da rede.

Operational efficiency. A implementação de PPSK reduz a sobrecarga de SSID, melhorando o desempenho do WiFi em ambientes densos. Para uma cadeia de retalho com 200 localizações, gerir a identidade de forma centralizada através do RADIUS na nuvem da Purple — em vez de atualizar as configurações locais dos routers em cada local — poupa centenas de horas de engenharia anualmente. Uma única alteração na política de RADIUS propaga-se instantaneamente para todas as 200 localizações.

Security and compliance. A atribuição de VLAN dinâmica impõe o acesso com privilégios mínimos na periferia. O pessoal é isolado dos convidados. Os dispositivos IoT são isolados do pessoal. Os terminais POS são isolados de todo o restante tráfego. Esta segmentação satisfaz os requisitos de isolamento de rede do PCI DSS 4.0 e fornece uma topologia de rede clara e auditável para análises de conformidade com o GDPR.

Para padrões de implementação específicos de cada setor, consulte os nossos guias para ambientes de Retalho , Hotelaria , Saúde e Transportes . Poderá também considerar útil o nosso guia sobre What Is Wireless Display: Protocols & Best Practices 2026 para compreender tecnologias sem fios complementares em implementações em locais públicos.