Otimizar o WiFi de Hotéis para Viajantes de Negócios

Olá e bem-vindo ao briefing técnico da Purple. Eu sou o vosso anfitrião e hoje vamos analisar em detalhe um desafio crítico que os líderes de TI da hotelaria enfrentam: Otimizar o WiFi de Hotéis para Viajantes de Negócios. Se gere a infraestrutura de rede de um hotel, centro de conferências ou grande espaço de eventos, já sabe que as expectativas dos hóspedes mudaram drasticamente. Os viajantes de negócios já não estão apenas a consultar e-mails. Estão a correr VPNs empresariais, a realizar chamadas de Zoom em alta definição e a aceder a infraestruturas na nuvem a partir dos seus quartos. No entanto, muitas redes hoteleiras estão a ser sufocadas por ruído de fundo. Especificamente, rastreadores de anúncios, dados de telemetria e atualizações de aplicações em segundo plano que consomem quantidades massivas de largura de banda sem que o utilizador sequer se aperceba. Hoje, vamos explorar como a implementação de bloqueio de anúncios ao nível do DNS, combinada com protocolos robustos de Qualidade de Serviço (QoS), pode recuperar essa largura de banda desperdiçada e garantir que as suas aplicações críticas tenham a prioridade de que necessitam. Analisemos a arquitetura. Quando um hóspede se liga à sua rede, o seu dispositivo inicia imediatamente o que chamamos de "beaconing". Mesmo antes de abrirem um navegador, os processos em segundo plano estão a contactar redes de anúncios, servidores de analítica e repositórios de atualizações. Numa rede hoteleira típica com centenas de utilizadores simultâneos, este ruído de fundo pode consumir até trinta e cinco por cento da sua largura de banda total disponível. Isso é mais de um terço da sua capacidade, perdida, antes mesmo de uma única aplicação de negócios ter sido iniciada. Para resolver isto, precisamos de uma abordagem multicamada. A primeira camada é a filtragem baseada em DNS ao nível do gateway ou da firewall. Ao encaminhar os pedidos de DNS dos hóspedes através de um serviço de filtragem que coloca em lista negra os servidores de anúncios e domínios de rastreio conhecidos, bloqueia esse tráfego antes mesmo de se estabelecer uma ligação. Isto é altamente eficiente porque está a rejeitar o pedido na fase de resolução de DNS, o que significa que nenhuns dados reais de carga útil atravessam a sua ligação WAN. A poupança é imediata e significativa. A segunda camada é a Qualidade de Serviço, ou QoS, aplicada em toda a sua infraestrutura de switching e wireless. Precisamos de nos afastar de uma rede plana onde todo o tráfego é tratado de forma igual. Em vez disso, segmentamos o tráfego. Utilizando a Inspeção Profunda de Pacotes (DPI) no seu gateway, identifica aplicações críticas para o negócio, como o Zoom, Microsoft Teams, Cisco Webex e tráfego padrão de VPN IPsec ou SSL. Em seguida, etiqueta estes pacotes com valores DSCP de alta prioridade. Pense no DSCP como uma etiqueta de prioridade numa encomenda. Quanto maior for o valor, mais rápido se move pelo sistema. Simultaneamente, configura os seus pontos de acesso wireless para mapear estes valores DSCP para as categorias de acesso WMM, ou Wi-Fi Multimedia, adequadas. O tráfego de voz e vídeo vai para as filas de alta prioridade, enquanto a navegação web padrão e as transferências em segundo plano são relegadas para filas de melhor esforço ou de segundo plano. Quando combina estas duas estratégias — eliminar os trinta e cinco por cento de tráfego indesejado através de bloqueio de anúncios e priorizar as aplicações de negócios via QoS — melhora drasticamente a experiência do viajante de negócios. Este obtém uma ligação estável e de baixa latência para as suas videochamadas, enquanto a rede permanece sem congestionamentos. Agora falemos sobre a segmentação de VLAN, porque é aqui que muitas implementações hoteleiras falham. Deve operar no mínimo com três redes lógicas. Primeiro, um SSID de Visitantes na sua própria VLAN, normalmente a VLAN dez. É aqui que os seus viajantes de lazer e participantes de conferências se ligam. Segundo, um SSID de Negócios na VLAN vinte, que carrega a prioridade de QoS mais elevada e é onde deseja que os clientes corporativos se liguem. Terceiro, uma VLAN de IoT e Gestão, normalmente a VLAN trinta, que suporta os seus dispositivos de quartos inteligentes, sensores de AVAC, fechaduras de portas e câmaras de segurança. Estes dispositivos nunca devem partilhar um segmento de rede com o tráfego de visitantes, tanto por razões de segurança como de desempenho. Esta segmentação também tem implicações significativas de cibersegurança. Sob o PCI DSS, se a sua rede tocar em sistemas de pagamento, é obrigado a manter uma separação rigorosa entre os ambientes de dados de titulares de cartões e as redes de uso geral. A segmentação de VLAN, combinada com regras de firewall adequadas entre segmentos, é um controlo fundamental. Da mesma forma, sob o GDPR, os dados que recolhe através da autenticação de WiFi de visitantes devem ser tratados com controlos técnicos apropriados, e a segmentação de rede faz parte da demonstração dessa devida diligência. Para a autenticação, a melhor prática atual é o WPA3-Enterprise com IEEE 802.1X no seu SSID de negócios. Isto fornece chaves de encriptação por utilizador e integra-se com o seu servidor RADIUS para uma autenticação centralizada. Para o seu SSID de visitantes geral, o WPA3-Personal com um Captive Portal oferece um equilíbrio entre segurança e facilidade de utilização. Agora, passemos às recomendações de implementação e aos erros a evitar. Ao implementar a filtragem de DNS, não tente bloquear tudo. Uma filtragem agressiva pode quebrar websites legítimos e causar frustração nos visitantes. Comece com listas de bloqueio estabelecidas que visem redes de anúncios conhecidas e domínios de telemetria. Para um ambiente hoteleiro de produção, irá querer um serviço gerido de filtragem de DNS que forneça atualizações regulares e um SLA de suporte. Segundo, garanta que as suas políticas de QoS são aplicadas de ponta a ponta. Este é o erro mais comum que vejo em implementações hoteleiras. Não basta configurar o QoS no ponto de acesso. As etiquetas de prioridade devem ser respeitadas pelos seus switches centrais e pela sua firewall de borda. Se a sua firewall remover as etiquetas DSCP antes de encaminhar o tráfego para a internet, os seus esforços internos de QoS serão completamente desperdiçados. Teste isto explicitamente capturando pacotes em diferentes pontos do caminho da rede. A terceira armadilha é ignorar o impacto dos dispositivos legados. Os dispositivos mais antigos que não suportam os padrões WMM modernos podem arrastar para baixo o desempenho de um ponto de acesso inteiro. Considere implementar a equidade de tempo de antena (airtime fairness) para garantir que os dispositivos modernos e rápidos não sejam retidos por clientes legados e lentos. No entanto, tenha cuidado ao aplicar a equidade de tempo de antena a redes com dispositivos IoT, pois estes utilizam frequentemente protocolos legados e podem ficar offline se o seu tempo de antena for demasiado limitado. Vamos passar a uma breve sessão de perguntas e respostas sobre as dúvidas mais comuns que recebo das equipas de TI do setor da hotelaria. Pergunta um: O bloqueio de DNS irá quebrar o nosso Captive Portal? A resposta é sim, pode quebrar, se não for configurado corretamente. Certifique-se de que o seu walled garden permite o acesso aos domínios de autenticação necessários antes de a política de filtragem de DNS ser aplicada à sessão totalmente autenticada. Pergunta dois: Como é que isto afeta a nossa recolha de dados para análise? Não afeta. A autenticação e a análise dependem da ligação inicial e da interação com o Captive Portal, que ocorre antes de o utilizador estar sujeito às políticas gerais de filtragem da internet. Recolhe os dados primários necessários de forma simples e contínua. Pergunta três: Qual é o ROI esperado? Com base em implementações típicas em hotéis, a recuperação de vinte a trinta e cinco por cento da largura de banda desperdiçada pode atrasar a atualização de uma ligação de ISP em doze a dezoito meses, representando um adiamento de capital significativo. Além disso, a melhoria das pontuações de satisfação dos hóspedes no segmento corporativo afeta diretamente a receita por quarto disponível. Em resumo, otimizar o WiFi do hotel para viajantes de negócios exige uma abordagem proativa e em camadas para a gestão de tráfego. Ao implementar o bloqueio de anúncios ao nível do DNS para eliminar o ruído de fundo, aplicar políticas de QoS rigorosas para priorizar aplicações críticas e manter uma segmentação de VLAN adequada para segurança e conformidade, pode fornecer uma rede de alto desempenho que atende às exigências dos profissionais modernos. Os seus próximos passos: audite o seu perfil de tráfego atual, comece a testar a filtragem de DNS numa VLAN segmentada, reveja a sua configuração de QoS de ponta a ponta e garanta que a sua segmentação de VLAN está alinhada com os seus requisitos de conformidade. Obrigado por se juntar a este briefing técnico da Purple. Para guias de implementação mais detalhados, diagramas de arquitetura e estudos de caso, consulte a documentação de acompanhamento na plataforma Purple.