Integração do Huawei AirEngine e CloudCampus com o Purple WiFi

Bem-vindo à série técnica do Purple. Sou o vosso anfitrião e hoje vamos analisar uma das integrações de WiFi empresarial mais detalhadas que vemos no terreno: os pontos de acesso Huawei AirEngine e o controlador CloudCampus iMaster NCE-Campus, integrados com o Purple para WiFi de convidados, autenticação de funcionários e segmentação de rede multi-inquilino. Se é um arquiteto de rede ou gestor de TI que gere um parque Huawei — seja um grupo hoteleiro, uma cadeia de retalho, um centro de conferências ou um campus do setor público — este episódio é para si. Vamos cobrir toda a infraestrutura: redirecionamento de Captive Portal, ACLs de pré-autenticação, WiFi seguro para funcionários utilizando 802.1X e a funcionalidade Private Pre-Shared Key da Huawei para direcionamento dinâmico de VLAN em múltiplos inquilinos. Vamos a isso. Secção um: Contexto e arquitetura. O portfólio AirEngine da Huawei — que abrange as séries 5700, 6700, 8700 e 9700 — funciona com WiFi 6 e WiFi 6E, sendo que a série topo de gama 9700 suporta WiFi 7. Estes são pontos de acesso empresariais de alto desempenho. A camada de gestão é o iMaster NCE-Campus, o controlador de rede baseado na nuvem da Huawei, que lida com tudo, desde o aprovisionamento de SSID e retransmissão RADIUS até à aplicação de políticas e encaminhamento de syslog. O Purple posiciona-se acima disto como uma sobreposição na nuvem. Operamos em mais de 80.000 locais ativos e processámos 440 milhões de inícios de sessão apenas em 2024. Somos independentes de hardware — o que significa que nos integramos com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e, sim, Huawei AirEngine — utilizando os mesmos padrões de RADIUS e Captive Portal que todos os controladores empresariais suportam. O modelo de integração aqui é simples. O iMaster NCE-Campus atua como o retransmissor RADIUS, encaminhando os pedidos de autenticação dos pontos de acesso para os servidores RADIUS do Purple. O Purple lida com a lógica de autenticação — seja uma página de boas-vindas de convidados, uma verificação de credenciais 802.1X ou uma consulta PPSK — e devolve a resposta RADIUS apropriada, incluindo quaisquer atributos de atribuição dinâmica de VLAN. Secção dois: Configuração de WiFi de convidados e Captive Portal. Comecemos pela implementação mais comum: WiFi de convidados com um Captive Portal do Purple. No iMaster NCE-Campus, navegue até Design, depois Network Design e, em seguida, Template Management. Crie um modelo de Servidor de Retransmissão RADIUS (RADIUS Relay Server). Os parâmetros principais são: definir o serviço de autenticação para autenticação de Portal (Portal authentication), adicionar os endereços IP do servidor RADIUS do Purple na porta UDP 1812 para autenticação e 1813 para contabilidade (accounting), definir o identificador NAS para MAC do Dispositivo (Device MAC) e configurar o segredo partilhado. O Purple fornece estas credenciais RADIUS a partir do ecrã de configuração do local no painel do Purple. Em seguida, crie uma ACL — este é o seu Walled Garden. Antes de um convidado se autenticar, ele precisa de aceder à página de boas-vindas do Purple e a quaisquer domínios de suporte. As suas regras de ACL devem permitir DNS em UDP 53, permitir HTTPS para o domínio do portal do Purple e permitir quaisquer fornecedores de início de sessão social que tenha ativado — por exemplo, os endpoints da API Graph do Facebook se estiver a utilizar o início de sessão social. Tudo o resto é recusado antes da autenticação. Depois, configure o SSID. Defina o tipo de rede para Open, selecione Open plus Portal authentication, defina o tipo de autenticação para Relay authentication by cloud platform e escolha RADIUS relay como o modo de interligação. Defina o protocolo de envio de página para HTTPS. Nos parâmetros de autenticação de portal de terceiros, cole o URL de redirecionamento do Purple — este é o URL da página de boas-vindas que copia do painel do local do Purple, com o sufixo modificado para incluir os parâmetros específicos da Huawei: ap-mac, uaddress, umac, ssid e redirect-url. Por fim, crie um modelo de URL no iMaster NCE-Campus que mapeie estes nomes de parâmetros para os valores que a Huawei passa no redirecionamento. O mapeamento de parâmetros é: redirect-url para redirect-url, loginurl para login-url, device-mac para ap-mac, user-ip para uaddress, user-mac para umac e ssid para ssid. Assim que estiver configurado, um convidado liga-se ao SSID, obtém um endereço DHCP e o seu tráfego HTTP é intercetado pelo controlador e redirecionado para a página de boas-vindas do Purple. Autentica-se — via e-mail, início de sessão social ou verificação por SMS — e o servidor RADIUS do Purple envia um Access-Accept de volta para o iMaster NCE-Campus, que concede ao convidado acesso total à Internet. Do ponto de vista dos dados, o Purple recolhe dados de consentimento primários neste momento. Cada início de sessão é uma opção de consentimento explícito, em conformidade com o GDPR e a CCPA. Esses dados alimentam a plataforma de análise do Purple, fornecendo-lhe a duração da sessão, o tipo de dispositivo, as taxas de visitantes recorrentes e o tempo de permanência — tudo sem qualquer rastreio de terceiros. Secção três: WiFi seguro para funcionários com 802.1X. Agora vamos falar sobre o WiFi de funcionários. Esta é uma postura de segurança totalmente diferente. Não quer os funcionários no mesmo segmento de rede que os convidados, e não quer palavras-passe PSK partilhadas que saem pela porta fora quando alguém se demite. A resposta é a autenticação 802.1X, definida na norma IEEE 802.1X-2020, utilizando EAP-TLS ou EAP-PEAP. No iMaster NCE-Campus, crie um SSID separado para os funcionários — vamos chamar-lhe CorpNet. No perfil de autenticação para este SSID, defina o modo de autenticação para 802.1X, aponte-o para o servidor RADIUS do Purple e defina o perfil de segurança para WPA2-Enterprise ou WPA3-Enterprise com encriptação AES-CCMP. O Purple também atua aqui como o servidor RADIUS, mas agora está a validar credenciais contra o seu fornecedor de identidade. O Purple integra-se nativamente com o Microsoft Entra ID, Okta e Google Workspace. Quando um funcionário se liga à CorpNet, o seu dispositivo envia credenciais EAP para o ponto de acesso, que as retransmite via RADIUS para o Purple, que as valida no Entra ID utilizando SCIM ou SAML. Se as credenciais forem válidas, o Purple devolve um Access-Accept com um atributo RADIUS que especifica a VLAN dos funcionários — por exemplo, a VLAN 20. O iMaster NCE-Campus direciona o cliente para essa VLAN automaticamente. Os atributos RADIUS principais para a atribuição dinâmica de VLAN são: Tunnel-Type definido para VLAN ou o valor 13, Tunnel-Medium-Type definido para 802 ou o valor 6 e Tunnel-Private-Group-ID definido para o ID da VLAN. Estes três atributos em conjunto indicam ao controlador Huawei exatamente qual a VLAN a atribuir ao cliente autenticado. Para o EAP-TLS especificamente — que é o padrão de excelência para a autenticação de funcionários — precisa de certificados de cliente. O suplemento SecurePass do Purple lida com a emissão e gestão do ciclo de vida dos certificados, integrando-se com a sua PKI existente ou atuando como uma autoridade de certificação leve. Isto elimina completamente os ataques baseados em palavras-passe. Sem palavra-passe, sem vetor de phishing. Secção quatro: Segmentação multi-inquilino com Huawei PPSK. É aqui que as coisas se tornam verdadeiramente interessantes. Se gere um espaço de utilização mista — um centro comercial com múltiplos lojistas, um espaço de coworking com várias empresas parceiras ou um centro de conferências que acolhe eventos simultâneos — precisa de isolamento de rede entre inquilinos sem implementar um SSID separado para cada um. A funcionalidade PPSK da Huawei — Private Pre-Shared Key — resolve isto. Por vezes é chamada de iPSK noutros ecossistemas de fabricantes. O conceito é: um SSID, múltiplas palavras-passe únicas, com cada palavra-passe mapeada para uma VLAN específica. O Inquilino A recebe a palavra-passe Alpha, que mapeia para a VLAN 30. O Inquilino B recebe a palavra-passe Beta, que mapeia para a VLAN 40. Ambos os inquilinos veem o mesmo SSID, mas estão completamente isolados na Camada 2. Na CLI da Huawei, configura isto na vista WLAN utilizando o comando ppsk-user. Para cada inquilino, execute: ppsk-user psk pass-phrase, seguido da frase de passe única, depois user-name, o identificador do inquilino, depois vlan, o ID da VLAN, e depois ssid, o nome do SSID. Também pode definir uma data de expiração, um limite máximo de dispositivos e associar a um endereço MAC específico se precisar de um controlo mais rigoroso. No iMaster NCE-Campus, a consulta PPSK pode ser processada localmente no controlador ou — para implementações em grande escala — via RADIUS. Quando é utilizado o PPSK baseado em RADIUS, o Purple torna-se a fonte autoritária para os mapeamentos de PPSK para VLAN. O dispositivo de um inquilino liga-se com a sua frase de passe única, o controlador envia um RADIUS Access-Request para o Purple com a frase de passe como credencial, o Purple consulta o mapeamento e devolve um Access-Accept com os três atributos de túnel de VLAN. O controlador direciona o cliente para a VLAN correta. Esta arquitetura escala para centenas de inquilinos num único SSID. Também significa que pode aprovisionar, rodar e revogar credenciais de inquilinos a partir do painel do Purple sem tocar na configuração do controlador. Secção cinco: Armadilhas de implementação e como evitá-las. Deixe-me apresentar-lhe os três modos de falha que vejo com mais frequência em implementações da Huawei e do Purple. Primeiro: o Walled Garden está incompleto. Os convidados ligam-se ao SSID, são redirecionados para a página de boas-vindas, mas a página não carrega porque um domínio necessário — frequentemente um endpoint de CDN ou uma API de início de sessão social — está bloqueado pela ACL de pré-autenticação. A solução é testar o fluxo da página de boas-vindas a partir de um dispositivo limpo antes de entrar em produção, registar as consultas DNS e as ligações HTTPS que este faz e adicionar todos os domínios necessários à ACL. O Purple publica uma lista de domínios necessários na documentação de integração. Segundo: incompatibilidade do segredo partilhado do RADIUS. O segredo configurado no iMaster NCE-Campus deve corresponder exatamente ao segredo no painel do Purple. Uma diferença de um único caráter causa falhas de autenticação silenciosas — os registos do controlador mostram Access-Reject sem qualquer mensagem de erro útil. Copie e cole sempre o segredo, nunca o escreva manualmente. Terceiro: má configuração do trunk de VLAN. A atribuição dinâmica de VLAN via RADIUS só funciona se a VLAN já estiver configurada como trunk na porta de uplink entre o ponto de acesso e o switch de agregação. Se a VLAN 20 não estiver na lista de permissões (allow-pass) do trunk na interface do switch, os clientes dos funcionários autenticados sofrerão um limite de tempo esgotado de DHCP e parecerá que falharam a autenticação. Audite as suas configurações de trunk antes de testar as VLANs atribuídas por RADIUS. Secção seis: Perguntas rápidas. Pergunta: Posso utilizar o RADIUS integrado do Purple com a implementação local (on-premises) do iMaster NCE-Campus da Huawei, e não com a versão na nuvem? Sim. Os servidores RADIUS do Purple são alojados na nuvem e estão acessíveis através da Internet. O seu controlador iMaster NCE-Campus local precisa de acesso de saída UDP 1812 e 1813 para as gamas de IP RADIUS do Purple. O Purple publica estas gamas de IP no painel de controlo, nas definições do local. Pergunta: O PPSK da Huawei suporta WPA3-SAE? A partir do firmware AirEngine V600R025, o WPA3-SAE-PPSK é suportado nas séries 6700 e 9700. Verifique a sua versão de firmware antes de ativar o WPA3 em SSIDs PPSK. Pergunta: Como é que o Purple lida com o consentimento do GDPR para o WiFi de convidados em hardware Huawei? A página de boas-vindas do Purple recolhe o consentimento no momento da autenticação. O registo de consentimento — incluindo o carimbo de data/hora, o endereço IP e os termos específicos aceites — é armazenado na plataforma do Purple e pode ser exportado para auditorias de conformidade. Isto aplica-se independentemente do fabricante do hardware subjacente. Secção sete: Resumo e próximos passos. Recapitulando: o Huawei AirEngine e o iMaster NCE-Campus integram-se com o Purple através de retransmissão RADIUS para o Captive Portal de convidados, 802.1X para o WiFi de funcionários e PPSK para a segmentação de VLAN multi-inquilino. A configuração reside no iMaster NCE-Campus em Design, Network Design, Template Management para a configuração de RADIUS e ACL, e em Provision, Device Configuration, Site Configuration para a associação do SSID e do perfil de autenticação. Os seus próximos passos: obtenha as credenciais RADIUS do Purple no painel do seu local, configure o modelo de servidor de retransmissão RADIUS no iMaster NCE-Campus, construa a sua ACL de Walled Garden, crie o SSID de convidados com autenticação Open plus Portal e teste de ponta a ponta com um dispositivo limpo antes de implementar no terreno. Se está a implementar PPSK para isolamento multi-inquilino, planeie primeiro o seu esquema de VLAN — certifique-se de que cada VLAN de inquilino está configurada como trunk de ponta a ponta antes de configurar um único utilizador PPSK. Para obter o guia de configuração passo a passo completo, incluindo exemplos de CLI e diagramas de arquitetura, leia o guia escrito completo no website do Purple. Obrigado por nos ouvir.