WiFi gerido para escritórios com serviços e coworking: isolamento de clientes e faturação

Os operadores de escritórios servidos e espaços de coworking isolam os seus clientes atribuindo a cada empresa membro a sua própria identidade de rede. Essa identidade é uma chave de WiFi privada ou um login 802.1X numa rede partilhada, mapeada para a sua própria VLAN. Os visitantes, passes diários e salas de reunião utilizam um Captive Portal separado. Os patamares de largura de banda são associados a cada identidade e faturados através do seu sistema de gestão de espaços de trabalho.

Qual o modelo de isolamento de clientes que o seu escritório servido deve escolher?

Para a maioria dos operadores, a resposta certa é uma arquitetura em camadas composta por três partes:

• Atribuir a cada empresa membro uma chave privada numa rede de membros partilhada.
• Migrar os clientes empresariais com portáteis geridos para o 802.1X.
• Colocar todos os visitantes, passes diários e reservas de salas de reunião numa rede com Captive Portal separada.

Esta arquitetura resolve o problema central do WiFi para escritórios servidos. Dezenas de empresas partilham os mesmos pontos de acesso, no entanto, cada uma espera uma rede que funcione como se fosse o seu próprio escritório. Os membros querem ver a sua própria impressora e servidor de ficheiros, e mais ninguém. O operador quer gerir apenas uma infraestrutura, e não uma rede por cliente.

Por que razão um SSID por empresa não funciona

Um SSID (service set identifier) é o nome de rede que um dispositivo visualiza. A solução óbvia seria ter um SSID por empresa, mas esta falha à escala. Cada SSID transmite os seus próprios tramas de beacon, por predefinição a cada 102,4 milissegundos segundo a norma IEEE 802.11. Os beacons são transmitidos à taxa básica de dados mais baixa, consumindo muito tempo de antena (airtime). Dez clientes significam dez conjuntos de beacons em cada rádio. Esse tempo de antena é retirado da capacidade pela qual os seus membros estão a pagar.

Uma palavra-passe partilhada com isolamento de clientes é o outro atalho comum. O isolamento de clientes impede que os dispositivos comuniquem entre si, incluindo os portáteis e a impressora da própria empresa. Quando um membro sai, é necessário alterar a palavra-passe e todas as outras empresas têm de reconfigurar cada um dos seus dispositivos.

O modelo escalável: identidade numa rede partilhada

O padrão escalável separa o nome da rede da identidade da rede. Cada empresa membro liga-se ao mesmo SSID. As credenciais que apresenta determinam a rede onde irá aceder.

Existem dois métodos para transportar essa identidade:

• Identity pre-shared key (iPSK). Cada empresa, ou cada dispositivo, recebe a sua própria palavra-passe num único SSID. Os fornecedores utilizam nomes diferentes. A Cisco Meraki chama-lhe iPSK, a HPE Aruba chama-lhe MPSK e a Ruckus chama-lhe DPSK. O termo genérico é PPSK (private pre-shared key).
• IEEE 802.1X. Cada pessoa ou dispositivo autentica-se individualmente. O PEAP (Protected Extensible Authentication Protocol) utiliza um nome de utilizador e palavra-passe. O EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) utiliza um certificado digital.

Ambos os métodos passam a autenticação para um servidor RADIUS (Remote Authentication Dial-In User Service). O RADIUS verifica as credenciais e indica ao ponto de acesso qual a VLAN a utilizar. Uma VLAN (virtual local area network) é um segmento de rede logicamente separado. A RFC 3580 define os atributos RADIUS padrão para essa atribuição de VLAN. O tráfego na VLAN de uma empresa não consegue alcançar o de outra sem passar pelo seu firewall.

O Purple Multi-Tenant WiFi executa este modelo como uma sobreposição na nuvem nos pontos de acesso que já possui. Cada empresa membro obtém uma Private Area Network, uma bolha de rede privada numa infraestrutura partilhada. O Cloud RADIUS do Purple verifica a identidade e devolve a VLAN, pelo que não precisa de alojar qualquer servidor RADIUS no local.

Onde o acesso por PSK por empresa, 802.1X e portal cativo realmente diferem

A tabela compara os quatro modelos considerados pelos operadores, nos eixos que decidem uma implementação multi-tenant.

	Palavra-passe partilhada	iPSK por empresa	802.1X (PEAP ou EAP-TLS)	Portal cativo
Como um dispositivo se liga	Uma palavra-passe para todos os tenants	Uma palavra-passe por empresa ou por dispositivo	Início de sessão pessoal ou certificado de dispositivo	Página de início de sessão web após aderir
O que separa os tenants	Apenas isolamento de clientes	VLAN atribuída por RADIUS por empresa	VLAN atribuída por RADIUS por empresa ou função	Isolamento de clientes numa VLAN de convidados
Impressoras, ecrãs e IoT	Suportado	Suportado	Limitado em dispositivos sem interface (headless)	Não adequado
Integração de uma nova empresa	Partilhar a palavra-passe existente	Criar uma chave	Criar contas ou emitir certificados	Nenhuma, os visitantes fazem self-service
Quando uma empresa sai	Alterar a chave de todo o edifício	Eliminar uma chave	Desativar contas no diretório	A sessão expira num temporizador
Padrão de segurança	WPA2 ou WPA3-Personal	WPA2-Personal, WPA3-Personal quando o fornecedor o suporta	WPA2 ou WPA3-Enterprise	Aberto ou OWE, mais portal
Melhor adequação	Não recomendado para utilização multi-tenant	Pequenas e médias empresas membros	Tenants empresariais com dispositivos geridos	Visitantes, passes diários, salas de reunião, eventos

O OWE (Opportunistic Wireless Encryption, RFC 8110) encripta uma rede aberta sem palavra-passe. Protege os visitantes no SSID de convidados contra a escuta passiva.

O que o design de VLAN precisa por trás dos pontos de acesso

O Purple controla a identidade e a atribuição de VLAN. Os seus switches e firewall continuam a impor a separação, pelo que o design com fios é tão importante quanto o sem fios.

• Uma VLAN por empresa membro, cada uma com o seu próprio âmbito DHCP (Dynamic Host Configuration Protocol) para endereços IP.
• Bloqueio por predefinição (default-deny) entre VLANs no firewall. Permita o acesso à internet, além de qualquer serviço partilhado que opte por expor, como uma impressora do edifício.
• Portas com fios correspondentes. As portas no escritório privado de uma empresa ficam na mesma VLAN que o seu WiFi. A estação de ancoragem (dock) da secretária e o portátil veem assim a mesma rede.
• Isolamento de clientes na VLAN de convidados, para que os visitantes não consigam aceder aos dispositivos uns dos outros.

Planeie para endereços de dispositivos aleatórios

Os dispositivos Apple a partir do iOS 14 e os dispositivos Android a partir do Android 10 utilizam, por predefinição, um endereço MAC aleatório por rede. Qualquer arquitetura que reconheça membros por endereço de hardware irá falhar, quer seja para passes diários quer para faturação. Associe o acesso e a faturação à chave ou ao login, nunca ao endereço MAC.

Quando a iPSK por empresa é a escolha certa

A iPSK adequa-se à maioria dos membros de coworking. Funciona em qualquer dispositivo compatível com WPA2-Personal, incluindo impressoras, Smart TVs e barras de vídeo para salas de reunião. Os membros não precisam de departamento de TI nem de configuração além de introduzir uma palavra-passe. Gere um único registo por empresa.

Decida atempadamente entre chaves por empresa e por dispositivo. Uma chave por empresa é mais simples de emitir. As chaves por dispositivo ou por pessoa permitem revogar um telemóvel perdido sem alterar a palavra-passe de todos. Muitos operadores combinam ambas: uma chave de empresa para hardware partilhado e chaves pessoais para os funcionários.

Verifique um pormenor antes de comprar. O WPA3-Personal substitui o handshake PSK por SAE (Simultaneous Authentication of Equals). Confirme se os seus pontos de acesso suportam múltiplas chaves por SSID no WPA3-Personal, e não apenas no WPA2-Personal.

Cenários práticos com resultados medidos na própria rede.

Cenário prático: um hotel com um piso de escritórios de edifícios de serviços

Situação. Um hotel urbano de 180 quartos converteu o seu primeiro piso em 12 escritórios com serviços incluídos. Todos os 12 inquilinos partilhavam uma palavra-passe, separada da rede de convidados. Quando um inquilino saía, o hotel alterava a palavra-passe e as outras 11 empresas tinham de reconfigurar todos os dispositivos. A impressora de rede de um inquilino estava visível para todo o piso.

O que foi feito. O hotel criou um SSID de membro com 12 iPSKs, cada uma mapeada para a sua própria VLAN. As portas com fios em cada escritório foram movidas para a VLAN correspondente. O hotel manteve o Guest WiFi no seu próprio SSID de Captive Portal para os hóspedes nos quartos e no lobby.

Resultado. As empresas afetadas por uma saída passaram de 12 para uma. O hotel passou a operar com dois SSIDs em vez dos 13 que uma arquitetura de rede por inquilino exigiria. Cada impressora passou a estar visível apenas dentro da VLAN da sua própria empresa. O mesmo padrão aplica-se a qualquer um dos Hotels que adicione espaços de trabalho à sua oferta.

Quando o 802.1X com identidade de membro é a escolha certa

Migre um inquilino para o 802.1X quando este tiver a sua própria equipa de TI e portáteis geridos. Faça o mesmo quando a sua política de segurança exigir acesso baseado em certificados, como é comum nos membros dos setores financeiro e da saúde.

O EAP-TLS elimina completamente as palavras-passe partilhadas. Cada portátil gerido possui um certificado, e a sua revogação remove o acesso desse dispositivo. O PEAP utiliza as credenciais do diretório do inquilino. É mais fácil de implementar, mas herda a expiração de palavras-passe e as consequentes chamadas para o suporte técnico.

As redes baseadas em identidade da Purple associam o acesso à rede à identidade e não a um segredo partilhado. A Purple liga-se ao Microsoft Entra ID, Okta e Google Workspace. As entradas, transferências e saídas são depois geridas na camada de identidade. Um colaborador desativado no diretório do cliente perde o acesso ao WiFi na autenticação seguinte, sem necessidade de qualquer ação por parte da sua equipa.

A segurança pessoal e a empresarial não podem partilhar o mesmo SSID, porque utilizam métodos de autenticação diferentes. Os clientes empresariais precisam, por isso, de um segundo SSID de membro. Mantenha apenas um, partilhado por todos os clientes 802.1X, com VLANs atribuídas por empresa.

Para operadores com vários centros, considere o Passpoint (Hotspot 2.0). Este permite que um dispositivo se ligue a uma rede de forma automática e segura utilizando um perfil guardado. O OpenRoaming é a federação da Wireless Broadband Alliance construída sobre o Passpoint, e a Purple suporta-o. Com qualquer uma das opções, os membros deslocam-se entre os seus locais sem se autenticarem novamente.

Cenário prático: um centro empresarial municipal

Situação. Um centro empresarial gerido pela câmara municipal acolhe 40 start-ups e uma equipa municipal de desenvolvimento económico de 25 pessoas. As TI da câmara exigem 802.1X para os seus portáteis geridos. A equipa da câmara tinha instalado os seus próprios pontos de acesso juntamente com os do centro, duplicando o equipamento em dois pisos.

O que foi feito. O centro consolidou a infraestrutura num único conjunto de pontos de acesso com três SSIDs. O primeiro é um SSID de membro com 40 iPSKs associadas a 40 VLANs. O segundo é um SSID 802.1X que utiliza EAP-TLS com base no diretório da câmara, associado à VLAN da câmara. O terceiro é um SSID de convidados com um Captive Portal.

Resultado. A segunda infraestrutura de pontos de acesso nos dois pisos foi removida. O centro opera com três SSIDs, em comparação com os 41 que seriam necessários se usasse um por cliente. Os colaboradores da câmara que saem perdem o acesso ao WiFi quando as TI os desativam no diretório, sem necessidade de qualquer alteração pela equipa do centro.

Como se enquadram os visitantes, os passes diários e as salas de reunião?

Os visitantes nunca acedem à rede de membros. Um Captive Portal é a página web que um dispositivo visualiza antes de obter acesso à internet. Este reside no seu próprio SSID e VLAN de convidados com isolamento de clientes.

Três tipos de visitantes exigem regras diferentes:

• Visitantes de membros. Clientes e entrevistados que chegam para uma empresa membro obtêm acesso de convidado com limite de tempo na receção ou no portal. Não recebem a chave da empresa.
• Titulares de passes diários. Emita uma credencial no check-in que expira na hora de fecho. Um titular de passe diário que passe para uma adesão de hot-desk muda para uma chave pessoal no SSID de membro.
• Reservas de salas de reunião. Os utilizadores externos que reservam recebem um código válido durante o período da reserva. Os membros que reservam uma sala já possuem a sua própria rede e não precisam de nada adicional.

Os dados de acesso dos visitantes são dados pessoais ao abrigo do GDPR, pelo que deve recolher apenas o necessário. Solicite o consentimento de marketing através de opções de aceitação consciente (opt-in) em vez de caixas pré-selecionadas. Defina prazos de retenção para registos de acesso e registos de rede antes do arranque. O guia Retenção de dados GDPR para operadores de WiFi partilhado: quanto tempo pode guardar dados de login de convidados e registos de rede aborda estes limites.

Os visitantes de passes diários e de salas de reunião são os seus futuros membros. Os dados de visitantes com consentimento dão à sua equipa de vendas dados em primeira mão sobre quem visita, com que frequência e quais os espaços que reservam. O WiFi Analytics mostra a frequência das visitas e o tempo de permanência em lounges e salas de reunião, o que orienta os preços e o layout.

Cenário prático: um espaço de eventos dentro do local de trabalho

Situação. Um espaço de trabalho flexível com um salão de eventos para 300 pessoas acolhe eventos noturnos semanais. A equipa da receção fornecia aos participantes a palavra-passe de membro, porque a rede de convidados não tinha um modo de eventos.

O que foi feito. Cada evento recebeu o seu próprio código de acesso no SSID de convidados, válido das 17:00 às 23:00. Um limite por dispositivo de 10 Mbps protegeu o tráfego dos membros em uplinks partilhados. O portal ofereceu aos participantes um consentimento de escolha consciente para acompanhamento por parte do organizador.

Resultado. Nenhum participante voltou a receber a palavra-passe de membro a partir desse momento. O acesso terminava às 23:00 sem necessidade de alterações manuais. Cada consentimento transformou-se em dados em primeira mão que a equipa de eventos pôde utilizar para a reserva seguinte.

Quanto custa gerir cada modelo e como funciona a faturação

Custos de funcionamento por modelo

À parte das licenças, o custo real de cada modelo é o tempo da equipa e a infraestrutura de suporte.

• O iPSK tem o custo de administração mais baixo por cliente: uma chave por empresa, uma eliminação por cada pessoa que sai. O RADIUS na nuvem elimina o servidor que, de outra forma, teria de alojar e atualizar.
• O 802.1X com PEAP depende do diretório do cliente. Conte com chamadas para o suporte técnico quando as palavras-passe expirarem e os dispositivos se desligarem da rede.
• O 802.1X com EAP-TLS necessita de PKI (infraestrutura de chaves públicas) para emitir certificados, além de gestão de dispositivos para os instalar. O custo de configuração é o mais elevado e a exposição contínua é a mais baixa.
• O Captive Portal quase não exige administração por visitante. O seu custo principal é o trabalho de conformidade com o GDPR sobre retenção e consentimento.

O hardware raramente é o fator de custo. Uma sobreposição na nuvem funciona nos pontos de acesso que já possui, conforme explicado em Por que razão a sua próxima atualização de WiFi não precisa de novo hardware.

Modelos de faturação que a rede pode aplicar

A faturação só é defensável quando a rede aplica o que consta na fatura. Cada modelo abaixo associa uma cobrança a um controlo e aos dados que a comprovam.

Modelo de faturação	Como cobra	O que o aplica	Dados de que necessita
Incluído	WiFi incluído na taxa de adesão	Chave de empresa ou login ativo enquanto a adesão estiver ativa	Estado ativo ou revogado por empresa
Escalões de largura de banda	Suplemento mensal, por exemplo, 100 Mbps, 500 Mbps ou 1 Gbps	Limite de débito associado à identidade da empresa	Tráfego de dados por VLAN da empresa
Uplink dedicado	Repasse de uma linha dedicada acrescido de uma margem	O encaminhamento de políticas envia a VLAN da empresa para o seu próprio uplink	Utilização do uplink por mês
Passe diário	Por dia, na receção ou online	Credencial que expira na hora de encerramento	Registo de emissão e expiração por credencial
Sala de reuniões	Incluído no preço de reserva da sala	Código válido para o período da reserva	Referência da reserva associada a cada código

Os limites de velocidade aplicam-se por identidade através de atributos RADIUS específicos do fornecedor ou por política de grupo nos pontos de acesso. O mecanismo difere consoante o fornecedor, pelo que deve testar cada nível no seu próprio hardware antes de definir o preço.

Onboarding através do seu sistema de gestão de espaços de trabalho

A sua plataforma de gestão de espaços de trabalho já contém o registo de membro. O objetivo é que cada evento de membro desencadeie o evento de rede correspondente:

1. Um contrato assinado cria a chave da empresa ou a VLAN empresarial.
2. Uma atualização de nível altera o limite de velocidade dessa identidade.
3. Uma data de saída revoga a chave no final do termo.

Com esta configuração, quem sai perde o acesso no dia em que o contrato termina, e não no dia em que alguém se lembra. Peça a qualquer fornecedor, incluindo a Purple, para demonstrar este fluxo na sua plataforma antes de assinar. Para um contexto mais amplo sobre a gestão de redes de nível empresarial, consulte WiFi nos negócios.

Como decidir para o seu espaço de trabalho: lista de verificação de design e comprador

Matriz de decisão

A sua situação	Recomendação
Até 50 pequenas empresas membro com dispositivos mistos	Um SSID de membro iPSK mais um SSID de Captive Portal de convidados
Inquilinos empresariais com TI própria e portáteis geridos	Adicionar um SSID 802.1X com EAP-TLS, VLAN por inquilino
Vários centros com membros que efetuam roaming	SSIDs idênticos em todos os locais, mais Passpoint ou OpenRoaming
Forte atividade de eventos e salas de reuniões	Códigos com limite de tempo no SSID de convidados com limites por dispositivo
Inquilinos que aceitam pagamentos por cartão	VLAN dedicada e regras de firewall documentadas para limitar o âmbito do PCI-DSS

As orientações do PCI-DSS reconhecem a segmentação de rede como uma forma de reduzir o âmbito de uma avaliação. Documente as regras de firewall que isolam a VLAN de um inquilino que aceita pagamentos, pois o seu avaliador irá solicitá-las.

Lista de verificação de design

1. Limite a estrutura a três SSIDs: iPSK de membro, 802.1X de membro e convidado.
2. Crie uma VLAN e um intervalo DHCP por empresa membro.
3. Defina recusa por defeito (default-deny) entre VLANs, com regras explícitas de permissão para serviços partilhados.
4. Associe as portas cabláveis dos escritórios privados à VLAN de cada empresa.
5. Ative o isolamento de clientes e OWE no SSID de convidados.
6. Defina níveis de largura de banda e teste cada limite de velocidade nos seus pontos de acesso.
7. Associe passes diários e faturação a credenciais, nunca a endereços MAC.
8. Defina períodos de retenção para dados de visitantes e registos de rede antes do lançamento.

Lista de verificação do comprador

1. Suporte de hardware. A plataforma funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet? A Purple é agnóstica em termos de hardware nas oito marcas.
2. Uma plataforma para cada modelo. Consegue gerir o acesso iPSK, 802.1X e Captive Portal a partir de um único painel de controlo?
3. VLANs dinâmicas. O seu RADIUS devolve uma VLAN por identidade utilizando atributos padrão RFC 3580?
4. Limites de velocidade por identidade. Os níveis de largura de banda podem ser associados a uma empresa em vez de um SSID?
5. Automação do ciclo de vida. Os eventos de adesão podem criar, alterar e revogar o acesso à rede sem passos manuais?
6. Conformidade. Procure certificações ISO 27001, GDPR, CCPA e Cyber Essentials. A Purple possui todas as quatro e é uma B Corp certificada.
7. Disponibilidade. Qual é o tempo de atividade com que o fornecedor se compromete? A plataforma da Purple funciona com 99,999% de tempo de atividade.
8. Controlo multisite. Pode aplicar uma única política em todos os centros com marca local? Veja Multi-site guest WiFi for franchises: central control with local branding.

A escala é importante quando avalia a maturidade operacional de um fornecedor. A Purple foi fundada em 2012 e opera em mais de 80 000 locais ativos em mais de 90 países. Os nossos próprios dados mostram 440 milhões de inícios de sessão em 2024.

Perguntas frequentes

O Purple Multi-Tenant WiFi pode ser executado nos pontos de acesso que já possuímos?

Sim. A Purple é independente de hardware e funciona como uma sobreposição em nuvem no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Mantém os seus pontos de acesso, switches e firewall. A Purple adiciona Cloud RADIUS, identidade por empresa e atribuição de VLAN no topo, sem necessidade de substituir equipamentos. Confirme se o seu modelo suporta múltiplas chaves pré-partilhadas num único SSID antes de planejar uma implementação de iPSK.

Os membros podem trazer os seus próprios dispositivos com segurança?

Sim, desde que os dispositivos de cada empresa fiquem na sua própria VLAN. Com o iPSK, o telemóvel, portátil e impressora de um membro ligam-se utilizando a chave da empresa e veem apenas a rede dessa empresa. Com o 802.1X, cada pessoa inicia sessão com uma credencial pessoal ou certificado. De qualquer forma, outro cliente no mesmo ponto de acesso não consegue aceder a esses dispositivos sem passar pelo seu firewall.

Como é faturado o WiFi em espaços de trabalho flexíveis?

A maioria dos operadores inclui o WiFi padrão na taxa de adesão e vende níveis de largura de banda ou ligações dedicadas como suplementos. Os passes diários são cobrados por dia e o WiFi para salas de reunião é incluído no preço da reserva. A faturação só funciona quando a rede a impõe, pelo que cada limite de débito deve estar associado à identidade da empresa. O débito por VLAN da empresa suporta depois a fatura.

Precisamos de um SSID separado para cada empresa membro?

Não. Um único SSID de membro com uma chave por empresa escala para dezenas de clientes sem adicionar sobrecarga de sinalizadores. Adicione um segundo SSID apenas para clientes empresariais com 802.1X, porque a segurança pessoal e empresarial não podem partilhar o mesmo nome de rede. Adicione um SSID de convidado para visitantes. Três SSIDs cobrem a maioria dos escritórios prestadores de serviços, independentemente do número de empresas que acolhe.

Como podemos migrar de uma palavra-passe partilhada sem perturbar os membros?

Execute o novo SSID de membro em paralelo com o antigo e, em seguida, migre empresa por empresa. Forneça a cada empresa a sua chave, mude as portas do seu escritório para a VLAN correspondente e confirme que os seus dispositivos funcionam antes de iniciar a seguinte. Desative a palavra-passe partilhada assim que a última empresa tiver sido migrada. Liste primeiro as impressoras e equipamentos AV por escritório, uma vez que os dispositivos sem ecrã/teclado causam a maior parte das perturbações.

Os dados de início de sessão de visitantes numa rede de convidados de coworking estão em conformidade com o GDPR?

Sim, se os recolher com base numa fundamentação jurídica válida e os mantiver apenas pelo tempo necessário. O Purple está em conformidade com o GDPR e possui a certificação ISO 27001, e o seu portal cativo utiliza autorizações de escolha consciente para o consentimento de marketing. Enquanto operador, continua a ser responsável por definir os períodos de retenção para os dados de início de sessão e registos de rede. Acorde esses períodos antes do lançamento e publique-os no seu aviso de privacidade.

Devemos escolher iPSK ou 802.1X para as empresas membros?

Escolha iPSK para a maioria das empresas membros e 802.1X para clientes empresariais com dispositivos geridos. O iPSK funciona em todos os dispositivos WPA2-Personal, incluindo impressoras e ecrãs, e necessita de uma chave por empresa. O 802.1X com EAP-TLS atribui a cada dispositivo o seu próprio certificado e vincula o acesso ao diretório do cliente, com o custo adicional da gestão de certificados. Muitos escritórios prestadores de serviços executam ambos nos mesmos pontos de acesso.