- Purple
- Captive portals: a complete guide
- Plataformas de WiFi para visitantes em estádios e arenas: comparação entre integração de alta densidade e ativação de patrocinadores
Plataformas de WiFi para visitantes em estádios e arenas: comparação entre integração de alta densidade e ativação de patrocinadores
Utilize esta comparação para escolher entre um portal cativo, Passpoint através da aplicação do clube ou uma solução híbrida de ambos para o seu estádio ou arena. Poderá dimensionar a infraestrutura de RADIUS e DHCP para os picos do intervalo, proteger o inventário de patrocinadores e reencaminhar os dados com consentimento dos adeptos para as plataformas de bilheteira e CRM dos patrocinadores em questão de segundos.
- Que abordagem de plataforma de WiFi para visitantes em estádios deve escolher?
- Onde as plataformas de portal cativo, Passpoint e híbridas realmente diferem
- A experiência de integração
- O modelo de segurança
- O modelo de dados e patrocinadores
- Como é que as plataformas de WiFi para estádios absorvem os picos de autenticação no intervalo?
- Cenário prático: modelação de um pico no intervalo num estádio com capacidade para 40 000 pessoas
- Mantenha o RADIUS rápido e fora da fila
- Interrompa o esgotamento do DHCP antes de este começar
- Cenário prático: uma arena com dois espetáculos num dia
- Torne o portal leve
- Quando o Captive Portal para locais de alta densidade é a opção certa
- Quando o Passpoint WiFi para estádios é a opção certa
- Quando combinar o Passpoint com um Captive Portal
- Onde o OpenRoaming se enquadra
- Mantenha os colaboradores numa rede separada
- Como é que os dados primários de adeptos chegam aos sistemas de bilhética e ao CRM de patrocinadores em tempo real?
- Cenário prático: uma arena municipal com um parceiro de direitos de naming
- Quanto custa a execução de cada abordagem WiFi no estádio?
- Como decidir em relação ao seu espaço
- Perguntas frequentes
- O Purple funciona com os pontos de acesso já instalados no nosso estádio?
- Precisamos de uma aplicação do clube para oferecer o Passpoint aos adeptos?
- Podemos partilhar dados de adeptos obtidos nos inícios de sessão em WiFi com os nossos patrocinadores ao abrigo do GDPR?
- Um portal cativo consegue lidar com dezenas de milhares de adeptos a ligarem-se ao intervalo?
- Como migramos do nosso fornecedor atual de WiFi no estádio?
- O OpenRoaming substitui o nosso próprio perfil de Passpoint?
- A rede do portal deve ser aberta ou utilizar OWE?
- Quanto esforço exige uma implementação num estádio?

A maioria dos estádios e arenas obtém o melhor resultado através de uma solução híbrida. Os detentores de bilhetes de época recebem um perfil Passpoint através da aplicação do clube e ligam-se automaticamente, com encriptação e sem ecrã de início de sessão. Os visitantes ocasionais utilizam um portal cativo leve. Dimensione o RADIUS e o DHCP para os picos de dispositivos simultâneos, não para o número de lugares. Encaminhe os dados dos adeptos concedidos para a bilheteira e para o CRM dos patrocinadores através de API baseadas em eventos.
Que abordagem de plataforma de WiFi para visitantes em estádios deve escolher?
Qualquer comparação de plataformas de WiFi para visitantes em estádios resume-se a três arquiteturas:
- Um portal cativo numa rede aberta ou aberta encriptada.
- Perfis Passpoint disponibilizados através da aplicação do clube.
- Um modelo híbrido que executa ambos nos mesmos pontos de acesso.
Se tiver uma base de detentores de bilhetes de época e uma aplicação do clube, escolha a opção híbrida.
Primeiro, algumas definições. Um portal cativo é a página web que um dispositivo apresenta antes de conceder acesso à Internet. Nela, o adepto inicia sessão, regista-se ou aceita os termos. O Passpoint, também chamado Hotspot 2.0, é uma certificação da WiFi Alliance desenvolvida com base no IEEE 802.11u. Permite que um dispositivo encontre e se ligue a uma rede automaticamente, utilizando credenciais guardadas num perfil. O Passpoint autentica através do IEEE 802.1X, o padrão de controlo de acesso baseado em portas. O 802.1X verifica cada dispositivo em relação a um servidor RADIUS (Remote Authentication Dial-In User Service, definido na RFC 2865).
A escolha afeta três fatores:
- O comportamento da rede quando 20 000 telemóveis se desbloqueiam ao intervalo.
- A quantidade de dados próprios que recolhe.
- O volume de inventário de patrocinadores que pode vender.
Cada arquitetura destaca-se num destes pontos, motivo pelo qual a solução híbrida se traduz normalmente numa vantagem.
O Purple executa as três vertentes como uma sobreposição na nuvem independente do hardware. Suporta pontos de acesso Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Não há necessidade de substituir infraestruturas existentes, como explica o nosso artigo sobre por que motivo a sua próxima atualização de WiFi não precisa de novo hardware. O Purple conta com 500 milhões de utilizadores e inícios de sessão por ano em mais de 80 000 locais em 90 países.
Onde as plataformas de portal cativo, Passpoint e híbridas realmente diferem
| Portal cativo | Passpoint via aplicação do clube | Híbrido | |
|---|---|---|---|
| Quem se liga | Todos os participantes com um navegador | Adeptos que instalam a aplicação e aceitam o perfil | Ambos os grupos, em SSID separados |
| Passos de integração | Ligar à SSID, o portal abre, iniciar sessão ou aceitar os termos | Nenhum, após a instalação única do perfil | Nenhum para os adeptos com a aplicação, portal para todos os outros |
| Encriptação através do ar | Nenhuma numa SSID aberta, por dispositivo com OWE | WPA2-Enterprise ou WPA3-Enterprise | Enterprise para adeptos com a aplicação, aberta ou OWE para o portal |
| Carga de autenticação ao intervalo | Carregamentos de página do portal mais uma troca RADIUS por início de sessão | Troca 802.1X em várias etapas por dispositivo, sem carregamento de páginas | Carga do portal reduzida pela percentagem de adeptos no Passpoint |
| Dados próprios no início de sessão | Nome, e-mail, opções de consentimento, perfil social, se oferecido | Identidade já conhecida através da conta da aplicação | Perfil da aplicação para membros, dados do portal para visitantes |
| Superfície de ativação do patrocinador | Splash page e redirecionamento pós-início de sessão | Apenas posicionamentos na aplicação, sem splash page | Splash page para visitantes, posicionamentos na aplicação para membros |
| Normas | Portal cativo API RFC 8908 e RFC 8910, RFC 8110 OWE | IEEE 802.11u, IEEE 802.1X, EAP-TLS ou EAP-TTLS | Todas as anteriores |
| A quem se adequa | Recintos de concertos e conferências sem aplicação do clube | Clubes com uma aplicação ativa e áreas de membros | Clubes com uma base de detentores de lugar anual e visitantes pontuais |
A experiência de integração
Num portal cativo, cada fã contacta com a sua marca no momento da ligação. Isso é extremamente importante para a integração de WiFi para visitantes em arenas. O assistente de rede cativa (CNA) do telemóvel é o mini-navegador que o iOS e o Android abrem automaticamente quando detetam um portal. Numa rede Passpoint, o dispositivo liga-se antes mesmo de o fã tirar o telemóvel do bolso.
O modelo de segurança
Uma rede SSID aberta transmite tráfego não encriptado por via aérea. O OWE (Opportunistic Wireless Encryption, RFC 8110, certificado pela WiFi Alliance como Enhanced Open) elimina essa lacuna. Encripta o tráfego de cada dispositivo sem necessidade de palavra-passe. O Passpoint vai mais longe: utiliza WPA2-Enterprise ou WPA3-Enterprise, com autenticação 802.1X através de um método EAP. O EAP-TLS autentica com um certificado. O EAP-TTLS envolve um nome de utilizador e palavra-passe num túnel TLS.
O modelo de dados e patrocinadores
Este é o compromisso que a maioria dos fornecedores ignora. O Passpoint remove a splash page, o que significa que também remove o seu espaço de patrocínio mais visível. Um design exclusivo de portal maximiza as visualizações dos patrocinadores, mas faz com que os seus fãs mais leais tenham de passar por um início de sessão em cada jogo. O modelo híbrido proporciona a experiência certa a cada público.
Como é que as plataformas de WiFi para estádios absorvem os picos de autenticação no intervalo?
Uma rede de estádio raramente falha por falta de capacidade total. Falha quando milhares de dispositivos solicitam autenticação, um endereço IP e uma página de portal nos mesmos cinco minutos. Planeie a arquitetura a pensar nessa concorrência.
Cenário prático: modelação de um pico no intervalo num estádio com capacidade para 40 000 pessoas
Este é um modelo de planeamento e não um resultado reportado. Altere as premissas para corresponderem aos seus próprios dados de início de sessão.
Situação. Um clube de futebol gere um estádio com capacidade para 40 000 pessoas. Assuma que 60% dos assistentes tentam ligar-se em determinado momento, o que resulta em 24 000 dispositivos. Assuma que 30% destes se ligam pela primeira vez nos primeiros cinco minutos do intervalo. Isso representa 7200 novos inícios de sessão em 300 segundos, ou seja, 24 por segundo.
O problema. Suponha que o tempo limite da sessão é de 60 minutos. Os fãs que se ligaram durante a chegada antes do jogo expiram e voltam a autenticar-se por altura do intervalo. No pior cenário, todos os 24 000 dispositivos acedem à plataforma nesse intervalo de tempo: 80 autenticações por segundo.
O que foi feito:
- Definiu-se o tempo limite da sessão para um período superior ao evento completo, desde a abertura dos portões até à saída, para que os fãs ligados nunca voltem a ter de se autenticar a meio do jogo.
- Transferência de 35% dos adeptos ligados para o Passpoint através da aplicação do clube.
Resultado. O pico do intervalo cai de 80 para 24 autenticações por segundo, uma redução de 70%. Os carregamentos da página do portal caem de 7200 para 4680, porque os adeptos com Passpoint ignoram a página por completo. Os adeptos com Passpoint continuam a enviar pedidos RADIUS. Esses pedidos não transportam tráfego Web, e as chaves de roaming impedem que estes se repitam.
Mantenha o RADIUS rápido e fora da fila
O RADIUS executa-se sobre UDP. Quando um servidor responde lentamente, os pontos de acesso retransmitem, e as retransmissões aumentam a carga que causou o atraso. O RFC 5080 documenta este comportamento. Quatro opções de design evitam esta espiral:
- Mantenha os sistemas lentos fora do percurso de autenticação. Nunca chame o seu CRM ou sistema de bilhética de forma síncrona durante o início de sessão. Aceite a ligação e, em seguida, escreva nos sistemas a jusante de forma assíncrona.
- Utilize roaming rápido. A transição rápida IEEE 802.11r e o armazenamento em cache de PMK permitem que um dispositivo se desloque entre pontos de acesso sem uma troca de 802.1X completa. Num estádio onde os adeptos se deslocam para os corredores no intervalo, isto elimina milhares de pedidos repetidos.
- Controle o tráfego de accounting. O accounting de RADIUS (RFC 2866) envia atualizações intermédias num intervalo fixo. Um intervalo curto em 24 000 sessões adiciona uma carga constante no momento exato em que não deve.
- Dimensione o patamar de RADIUS horizontalmente. O RADIUS na nuvem da Purple é executado numa infraestrutura com 99,999% de tempo de atividade (número da própria Purple).
Interrompa o esgotamento do DHCP antes de este começar
O DHCP (Dynamic Host Configuration Protocol, RFC 2131) atribui a cada dispositivo um endereço IP durante um período de concessão definido. Os telemóveis raramente libertam a sua concessão quando saem da área de cobertura. Como tal, os endereços permanecem bloqueados até a concessão expirar.
Cenário prático: uma arena com dois espetáculos num dia
Este é um modelo de planeamento baseado na aritmética de endereços e não num resultado reportado.
Situação. Uma arena com capacidade para 15 000 pessoas realiza uma matiné e um espetáculo noturno com públicos diferentes. Assuma que 70% de cada público se liga, o que equivale a 10 500 dispositivos por espetáculo. A rede de convidados utiliza um conjunto /18, que contém 16 382 endereços utilizáveis.
O problema. Com concessões de 24 horas, os endereços da matiné permanecem ocupados durante o espetáculo noturno. O conjunto esgota-se ao chegar ao dispositivo 5882 das chegadas noturnas. Os visitantes que chegam mais tarde não obtêm endereço nem ligação.
O que foi feito. A equipa encurtou o tempo de concessão para um valor inferior ao intervalo entre os dois espetáculos.
Resultado. O conjunto agora só precisa de cobrir um público no pico. O mesmo /18 serve 10 500 dispositivos com 5882 endereços de folga.
O IPv6 de pilha dupla alivia ainda mais a pressão sobre o IPv4, porque os dispositivos configuram os seus próprios endereços através do SLAAC (RFC 4862). Confirme se o seu portal e o jardim murado suportam IPv6 antes de confiar no mesmo.
Torne o portal leve
Um portal cativo num local com elevada densidade deve carregar rapidamente numa rede de rádio congestionada. Quatro passos ajudam a alcançar esse objetivo:
- Sirva os recursos do portal a partir de uma rede de distribuição de conteúdos.
- Mantenha as imagens pequenas.
- Adicione à lista de permissões apenas os domínios de início de sessão social que realmente oferece.
- Anuncie o URL do portal através da API de Captive Portal (RFC 8910 e RFC 8908). Os dispositivos compatíveis encontram depois o portal diretamente, sem interseção HTTP.
Quando o Captive Portal para locais de alta densidade é a opção certa
Escolha uma estrutura focada apenas em portal quando a maioria do seu público visita o espaço apenas uma vez. Concertos, conferências e eventos itinerantes enquadram-se neste padrão. Trazem um público diferente a cada noite e a maioria dos participantes nunca irá instalar a aplicação de um clube.
O portal é também o seu ativo de patrocínio mais forte. Todos os participantes que se conetam veem a página de entrada. Pode dar-lhe seguimento com um redirecionamento pós-login para a oferta de um parceiro. O Guest WiFi da Purple recolhe dados de primeira parte com consentimento nesse momento através de autorizações por escolha consciente, onde cada finalidade tem a sua própria caixa desmarcada.
Os mesmos dados de login alimentam o WiFi Analytics. Este mede o tempo de permanência nas zonas de circulação, bar e produtos oficiais, para que possa vender espaços a patrocinadores com base em dados de presença reais.
Execute o portal em OWE no modo de transição juntamente com um SSID aberto. Os dispositivos compatíveis com OWE conetam-se de forma encriptada e os dispositivos mais antigos continuam a conseguir aderir. Isto reduz a maior parte da lacuna entre a segurança do portal e do Passpoint sem adicionar um passo para o adepto.
O portal também se estende para além da arena. Se o seu estádio tiver um hotel no local, a mesma identidade pode ser transposta para os quartos dos hóspedes, conforme mostrado na nossa página de Hotéis. A grande loja de um clube segue os padrões da nossa página de Atermo retalhista, onde cada comprador que inicia sessão se torna um perfil conhecido.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.
Quando o Passpoint WiFi para estádios é a opção certa
Escolha o Passpoint WiFi para estádios para adeptos que regressam frequentemente e que já possuem uma conta consigo. Os detentores de lugar anual, sócios e convidados de camarotes enquadram-se neste perfil. Querem conetar-se sem pensar no assunto e a organização já sabe quem eles são.
A aplicação do clube instala o perfil uma vez. A partir daí, o dispositivo adere automaticamente a cada dia de jogo. O iOS instala credenciais Passpoint através de um perfil de configuração. O Android instala-as através das suas API Passpoint. Antes de se associar, o dispositivo utiliza ANQP (Access Network Query Protocol, parte da norma IEEE 802.11u) para verificar se a rede suporta as suas credenciais.
Quando combinar o Passpoint com um Captive Portal
Combine as duas opções quando o seu público se divide num núcleo fiel e num grupo casual. Um clube de futebol enquadra-se tipicamente nesse padrão: detentores de lugar anual, adeptos visitantes e visitantes ocasionais partilham o mesmo recinto.
Os sócios conetam-se através do Passpoint e recebem conteúdos de patrocinadores dentro da aplicação. Todos os outros encontram o portal. Transmita no máximo dois SSID de convidados, pois cada SSID adicional consome tempo de transmissão com os seus próprios beacons.
Também pode utilizar o portal como uma ponte para o Passpoint. Ofereça o download do perfil após o primeiro login do adepto no portal. Cada adepto que o instala deixa de precisar do portal em todos os jogos futuros.
Onde o OpenRoaming se enquadra
O OpenRoaming é uma federação da Wireless Broadband Alliance construída sobre a Passpoint. Os dispositivos com um perfil de um fornecedor de identidade participante ligam-se de forma automática e segura. Isso abrange os adeptos visitantes sem a aplicação do clube. O OpenRoaming não lhe concede acesso aos dados de identidade do seu próprio clube, pelo que deve considerá-lo como uma cobertura mais ampla e não como um substituto do seu próprio perfil.
Mantenha os colaboradores numa rede separada
Assistentes de recinto, equipas de concessões e de transmissão precisam da sua própria rede. As redes baseadas em identidade do Purple autenticam o WiFi contra o Microsoft Entra ID, o Okta ou o Google Workspace, revogando o acesso automaticamente quando alguém sai.
Para dispositivos geridos, o nosso guia sobre como utilizar o Microsoft Intune para enviar certificados de WiFi para dispositivos abrange a entrega de certificados. Para dispositivos próprios de prestadores de serviços, consulte Integração de WiFi em BYOD: gestão de dispositivos não geridos em hotéis e no comércio a retalho.
Segmente os terminais de ponto de venda para a sua própria VLAN (LAN virtual, uma rede logicamente separada). O PCI DSS considera a segmentação uma forma de reduzir o âmbito do seu ambiente de dados de titulares de cartões.
Como é que os dados primários de adeptos chegam aos sistemas de bilhética e ao CRM de patrocinadores em tempo real?
Encaminhe dados por eventos e não por lotes. Quando um adepto inicia sessão, a plataforma resolve a sua identidade e verifica as suas escolhas de consentimento. Em seguida, emite um evento que os sistemas a jusante consomem em poucos segundos. O sistema de bilhética estabelece a correspondência entre o início de sessão e a reserva através do e-mail ou da referência do bilhete. O CRM do patrocinador recebe apenas os adeptos que deram o seu consentimento para esse patrocinador específico.
O consentimento é o ponto de controlo. O Artigo 7.º, n.º 1, do UK GDPR exige que demonstre que cada adepto deu o seu consentimento. As orientações da ICO sobre o consentimento estabelecem que deve nomear quaisquer responsáveis pelo tratamento de dados terceiros que venham a depender desse consentimento. Nos termos do artigo 22.º dos PECR, o marketing por e-mail de um patrocinador necessita desse consentimento nominal. O "soft opt-in" abrange apenas os seus próprios produtos similares e não os de um parceiro.
O Purple integra-se com plataformas de CRM e de marketing. Regista cada opt-in separadamente, com o respetivo texto e carimbo de data/hora. O Purple tem certificação ISO 27001 e Cyber Essentials, cumpre os regulamentos GDPR e CCPA, e é um B Corp certificado.
Cenário prático: uma arena municipal com um parceiro de direitos de naming
Trata-se de um modelo de planeamento com pressupostos declarados e não de um resultado reportado.
Situação. Uma autarquia local é proprietária de uma arena multiusos com capacidade para 8000 pessoas. Acolhe concertos, conferências e desporto comunitário. Os promotores detêm os dados de bilhética dos concertos. O parceiro de direitos de naming da arena pretende obter contactos com consentimento a partir de todos os eventos.
O que foi feito:
- Cada ecrã de início de sessão inclui a sua própria caixa desmarcada com o nome do parceiro.
- Um início de sessão com consentimento desencadeia um evento para o CRM do parceiro.
- Um início de sessão sem consentimento é enviado apenas para o CRM da própria arena.
- A correspondência de bilhética é executada apenas quando a arena detém os dados da reserva.
Resultado. Suponha que 5000 participantes efetuam login num evento e 20% assinalam a caixa do parceiro. O parceiro recebe 1000 registos com consentimento por evento. Cada registo chega segundos após o login, com a respetiva prova de consentimento anexada. Isto substitui a exportação mensal de uma folha de cálculo, a qual perde o momento presencial no local e enfraquece a pista de auditoria.
Quanto custa a execução de cada abordagem WiFi no estádio?
As taxas de licença são apenas uma parte do custo. Os custos mais elevados situam-se no esforço de construção, nas operações recorrentes e no tráfego aéreo.
| Portal cativo | Passpoint através da aplicação do clube | Híbrido | |
|---|---|---|---|
| Fator de custo de construção | Design do portal, jardim murado, redação do consentimento, mapeamento de campos do CRM | Desenvolvimento da aplicação, configuração do domínio RADIUS, emissão de credenciais ou certificados | Ambas as construções |
| Fator de custo de funcionamento | Licença da plataforma, alojamento do portal, ligação de suporte à internet | Licença da plataforma, ciclo de vida das credenciais, ciclo de lançamento da aplicação | Ambos, com um nível de RADIUS partilhado |
| Hardware necessário | Pontos de acesso existentes de qualquer fornecedor listado | Pontos de acesso com Hotspot 2.0 ativado no firmware | Pontos de acesso compatíveis com Hotspot 2.0 a transmitir dois SSIDs |
| Esforço por evento | Alteração da imagem do patrocinador, revisão da redação do consentimento | Sem trabalho de integração, apenas conteúdo na aplicação | Imagem do portal mais conteúdo da aplicação |
| Custo de tráfego aéreo | Um SSID de convidado | Um SSID de convidado | Dois SSIDs de convidado |
A opção híbrida é a mais dispendiosa de construir, mas reduz o risco nos dias de jogo. Cada adepto que migrar para Passpoint representa menos um carregamento de página ao intervalo.
Como decidir em relação ao seu espaço
Corresponda a sua situação à linha abaixo.
| A sua situação | Recomendação |
|---|---|
| Sem aplicação do clube, públicos pontuais como concertos e conferências | Portal cativo em OWE no modo de transição, ecrã de boas-vindas do patrocinador, opt-ins por escolha consciente |
| Aplicação do clube em utilização ativa por detentores de lugar cativo | Híbrido: Passpoint na aplicação, portal cativo para visitantes |
| Áreas de sócios, camarotes e lugares premium | Perfis Passpoint para sócios, além de acesso por portal para os seus convidados |
| Arena multiusos onde os promotores gerem a bilheteira | Portal cativo com redação de consentimento por evento e por parceiro |
| Muitos adeptos visitantes sem conta no clube | Portal cativo mais OpenRoaming para acesso seguro automático |
| Assistentes de recinto, concessões e pontos de venda | WiFi para colaboradores separado em 802.1X com integração do fornecedor de identidade e segmentação VLAN |
Antes do seu primeiro evento ao vivo, faça três coisas:
- Realize testes de carga ao design num dia sem jogo.
- Reproduza o seu modelo de intervalo comparando-o com os registos reais dos pontos de acesso.
- Confirme que os sistemas a jusante aceitam eventos à sua taxa de login de pico.
Perguntas frequentes
O Purple funciona com os pontos de acesso já instalados no nosso estádio?
Sim, se vierem de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet. O Purple é uma solução em nuvem agnóstica em relação ao hardware, pelo que se sobrepõe à sua infraestrutura existente sem necessidade de substituição total. Os seus pontos de acesso continuam a gerir o rádio e o roaming. O Purple gere o portal cativo, o RADIUS na nuvem, a recolha de consentimento e o encaminhamento de dados. O Passpoint também precisa que o Hotspot 2.0 esteja ativado no firmware do seu ponto de acesso.
Precisamos de uma aplicação do clube para oferecer o Passpoint aos adeptos?
Não, mas a aplicação é a via de disponibilização mais fluida. O iOS instala as credenciais do Passpoint a partir da transferência de um perfil de configuração. O Android instala-as através das suas API do Passpoint ou de uma transferência web. Assim sendo, pode oferecer o perfil após o primeiro início de sessão do adepto num portal cativo. A aplicação ganha na adesão, porque associa o perfil a uma conta que o adepto já possui e utiliza em todos os dias de jogo.
Podemos partilhar dados de adeptos obtidos nos inícios de sessão em WiFi com os nossos patrocinadores ao abrigo do GDPR?
Sim, com um consentimento separado e específico que nomeie o patrocinador. As orientações de consentimento do ICO estabelecem que deve nomear quaisquer responsáveis pelo tratamento de dados terceiros que dependam desse consentimento. O Artigo 7.(1) exige que o demonstre. Ao abrigo das PECR, o marketing por e-mail de patrocinadores necessita desse consentimento, uma vez que o soft opt-in cobre apenas os seus próprios produtos similares. Os opt-ins de escolha consciente do Purple registam cada escolha separadamente, com o respetivo texto e carimbo de data/hora.
Um portal cativo consegue lidar com dezenas de milhares de adeptos a ligarem-se ao intervalo?
Sim, se conceber a rede a pensar na simultaneidade em vez da capacidade total. Defina tempos limite de sessão mais longos do que o evento, para que os adeptos ligados nunca voltem a autenticar-se a meio do jogo. Mantenha os registos de CRM e bilheteira fora do fluxo de autenticação. Dimensione os pools DHCP para o pico de dispositivos simultâneos, com concessões (leases) mais curtas do que o intervalo entre eventos. Sirva os recursos do portal a partir de uma rede de distribuição de conteúdos (CDN). A transição dos membros para o Passpoint elimina completamente o carregamento de páginas.
Como migramos do nosso fornecedor atual de WiFi no estádio?
Faça a migração alterando o local para onde os seus pontos de acesso enviam o tráfego de autenticação e do portal, e não substituindo o hardware. Execute o Purple primeiro numa SSID de teste. Valide o portal, o RADIUS e o encaminhamento de CRM num dia sem jogo e, em seguida, faça a transição da SSID de produção. Exporte os seus registos de opt-in existentes com os respetivos textos e carimbos de data/hora. O consentimento recolhido ao abrigo de textos antigos pode não cobrir as finalidades que planeia a seguir.
O OpenRoaming substitui o nosso próprio perfil de Passpoint?
Não, ele complementa o seu próprio perfil. O OpenRoaming é uma federação da Wireless Broadband Alliance criada com base no Passpoint. Os dispositivos que possuem um perfil de um fornecedor de identidade participante ligam-se de forma automática e segura, o que cobre os adeptos visitantes que não têm a aplicação do clube. Isto não lhe dá os dados de identidade do seu próprio clube. Mantenha o seu próprio perfil na aplicação para os detentores de lugar anual e utilize o OpenRoaming para alargar a cobertura segura.
A rede do portal deve ser aberta ou utilizar OWE?
Utilize OWE onde quer que os seus pontos de acesso o suportem, no modo de transição juntamente com um SSID aberto. O OWE, certificado pela WiFi Alliance como Enhanced Open, encripta o tráfego de cada dispositivo sem necessidade de palavra-passe. Os adeptos num corredor movimentado não conseguem ler as sessões uns dos outros. O modo de transição permite que os dispositivos mais antigos se matem na rede aberta, enquanto os dispositivos compatíveis se ligam de forma encriptada. Confirme o suporte de firmware em todos os pontos de acesso antes do dia do jogo.
Quanto esforço exige uma implementação num estádio?
A maior parte do esforço reside na configuração e integração, não no hardware. Como o Purple se sobrepõe aos seus pontos de acesso existentes, o trabalho abrange o design do portal, a redação dos consentimentos, a configuração do SSID e do RADIUS, e o mapeamento de campos para os sistemas de bilheteira e CRM. O Passpoint adiciona o desenvolvimento da aplicação do clube e um ciclo de testes em dispositivos iOS e Android. Planeie um teste de carga completo num dia sem jogo antes do primeiro evento ao vivo.
Definições Principais
Portal cativo
A página web que um dispositivo apresenta antes de conceder acesso à internet, onde o adepto inicia sessão, se regista ou aceita os termos. Os RFC 8910 e RFC 8908 definem a API do portal cativo API, que permite que os dispositivos compatíveis localizem diretamente o URL do portal, sem interceção HTTP.
Encontra-o em qualquer SSID para visitantes que sirva visitantes pontuais. É o seu ativo de patrocínio mais forte, porque todos os participantes que se ligam veem a página de entrada, mas também adiciona um carregamento de página por início de sessão no intervalo.
Passpoint (Hotspot 2.0)
Uma certificação da WiFi Alliance assente no IEEE 802.11u que permite a um dispositivo localizar e associar-se a uma rede automaticamente utilizando credenciais armazenadas num perfil, autenticando-se com IEEE 802.1X através de WPA2-Enterprise ou WPA3-Enterprise.
Disponibiliza-o através da aplicação do clube para detentores de lugar anual e membros. Elimina etapas de integração e carregamentos de páginas do portal, mas também remove a página de entrada como espaço publicitário para patrocinadores.
IEEE 802.1X
O padrão IEEE de controlo de acesso baseado em portas. Verifica cada dispositivo num servidor RADIUS através de um método EAP antes de conceder acesso à rede.
Serve de base ao Passpoint para adeptos e ao WiFi para colaboradores WiFi para assistentes de recinto e pontos de venda. Cada troca de 802.1X é composta por várias etapas, pelo que molda a sua carga de autenticação no intervalo.
RADIUS
Remote Authentication Dial-In User Service, definido na RFC 2865 e executado sobre UDP. A RFC 5080 documenta como as respostas lentas acionam retransmissões dos pontos de acesso, e a RFC 2866 define o accounting RADIUS e as suas atualizações intermédias.
O seu escalão de RADIUS decide se a rede suporta o pico do intervalo. Dimensione-o horizontalmente, mantenha os sistemas lentos fora do seu caminho e controle o intervalo de accounting.
OWE (Open Aprimorado)
Opportunistic Wireless Encryption, especificado na RFC 8110 e certificado pela WiFi Alliance como Enhanced Open. Encripta o tráfego aéreo de cada dispositivo sem necessidade de palavra-passe.
Execute-o no modo de transição a par de uma rede SSID aberta, para que os dispositivos compatíveis se liguem de forma encriptada e os dispositivos mais antigos continuem a associar-se. Reduz a maior parte da lacuna de segurança entre o portal e o Passpoint.
EAP-TLS e EAP-TTLS
Métodos Extensible Authentication Protocol utilizados no 802.1X. O EAP-TLS autentica com um certificado; o EAP-TTLS envolve um nome de utilizador e palavra-passe num túnel TLS.
Escolhe um quando configura as credenciais Passpoint ou a emissão de certificados para a aplicação do clube, o que condiciona o esforço de desenvolvimento e o custo do ciclo de vida das credenciais.
ANQP
Access Network Query Protocol, parte do IEEE 802.11u. Um dispositivo Passpoint utiliza-o antes de se associar para verificar se a rede suporta as suas credenciais.
É a razão pela qual o telemóvel de um sócio se liga automaticamente em cada dia de jogo. Os seus pontos de acesso precisam de ter o Hotspot 2.0 ativado no firmware para que as consultas ANQP tenham sucesso.
Transição rápida IEEE 802.11r
Uma alteração ao IEEE 802.11 que, em conjunto com o alojamento em cache PMK, permite que um dispositivo se mova entre pontos de acesso sem uma troca 802.1X completa.
Num estádio onde os adeptos caminham para as zonas de circulação no intervalo, elimina milhares de pedidos de RADIUS repetidos no momento de pico.
Concessão DHCP
O tempo durante o qual o DHCP (Dynamic Host Configuration Protocol, RFC 2131) atribui um endereço IP a um dispositivo. Os telemóveis raramente libertam as concessões quando saem da área de cobertura, pelo que os endereços permanecem bloqueados até expirarem.
A duração da concessão decide se o seu conjunto de endereços cobre um público ou dois. Em dias com múltiplos espetáculos, defina-a para um valor inferior ao intervalo entre eventos.
OpenRoaming
Uma federação da Wireless Broadband Alliance baseada em Passpoint. Os dispositivos que possuem um perfil de um fornecedor de identidade participante ligam-se de forma automática e segura.
Utilize-o para oferecer um acesso seguro aos adeptos visitantes que não possuem a aplicação do clube. Não lhe fornece os dados de identidade do seu próprio clube, pelo que complementa o seu próprio perfil Passpoint em vez de o substituir.
Consentimentos por opção consciente
O modelo de consentimento do Purple, no qual cada finalidade tem a sua própria caixa desmarcada, registada com a respetiva redação e carimbo de data/hora. Suporta o dever do Artigo 7.º, n.º 1 do UK GDPR de demonstrar o consentimento e o consentimento do regulamento 22 dos PECR para marketing por e-mail de patrocinadores.
É o ponto de controlo para a partilha de dados com patrocinadores. Apenas os adeptos que assinalarem uma caixa a nomear um patrocinador específico chegam ao CRM desse patrocinador.
Exemplos Práticos
Um clube de futebol com um estádio para 40 000 espetadores modela um pico no intervalo. Com um tempo limite de sessão de 60 minutos, as ligações dos adeptos efetuadas antes do jogo expiram por volta do intervalo, fazendo com que, no pior cenário, todos os 24 000 dispositivos ligados se autentiquem em cinco minutos: 80 por segundo.
Este é um modelo de planeamento e não um resultado reportado. A equipa definiu um tempo limite de sessão superior à duração total do evento, desde a abertura das portas até à saída, para que os adeptos ligados nunca se voltem a autenticar a meio do jogo. Também transferiu 35% dos adeptos que se ligam para o Passpoint através da aplicação do clube. O pico do intervalo cai de 80 para 24 autenticações por segundo, uma redução de 70%, cobrindo apenas os 7200 primeiros inícios de sessão. Os carregamentos da página do portal caem de 7200 para 4680 porque os adeptos com Passpoint ignoram a página. Os adeptos com Passpoint continuam a enviar pedidos de RADIUS, mas estes não transportam tráfego web e as chaves de roaming impedem que se repitam.
Uma arena para 15 000 pessoas acolhe um espetáculo à tarde e outro à noite com públicos diferentes, cada um trazendo 10 500 dispositivos para ligação. A rede de visitantes utiliza um conjunto /18 com 16 382 endereços utilizáveis e concessões DHCP de 24 horas, pelo que os endereços da tarde permanecem reservados e o conjunto esgota-se com 5882 dispositivos nas chegadas da noite.
Este é um modelo de planeamento baseado na aritmética de endereços e não um resultado reportado. A equipa encurtou a concessão DHCP para um período inferior ao intervalo entre os dois espetáculos. Os endereços da tarde expiram agora antes de começarem as chegadas da noite, pelo que o conjunto apenas precisa de cobrir um público no pico. O mesmo /18 serve 10 500 dispositivos com uma margem de 5882 endereços, e as chegadas tardias deixam de falhar a obtenção de um endereço. O IPv6 em pilha dupla com SLAAC pode aliviar ainda mais a pressão do IPv4, assim que confirmar que o portal e o walled garden suportam IPv6.
Uma autarquia possui uma arena multiusos para 8000 pessoas que acolhe concertos, conferências e desporto comunitário. Os promotores detêm os dados de bilheteira dos concertos e o parceiro com direitos de denominação pretende contactos com consentimento de cada evento.
Este é um modelo de planeamento com pressupostos declarados. Cada ecrã de início de sessão inclui a sua própria caixa desmarcada que identifica o parceiro. Um início de sessão com consentimento aciona um evento para o CRM do parceiro; um início de sessão sem consentimento vai apenas para o CRM da própria arena. A correspondência de bilheteira ocorre apenas onde a arena detém os dados de reserva. Se 5000 participantes iniciarem sessão e 20% assinalarem a caixa do parceiro, o parceiro recebe 1000 registos com consentimento por evento, cada um chegando segundos após o início de sessão com a respetiva prova de consentimento anexada. Isto substitui a exportação mensal de ficheiros Excel, que perde o momento presencial no local e enfraquece a pista de auditoria ao abrigo do Artigo 7.º, n.º 1, do UK GDPR.
Perguntas frequentes
O Purple funciona com os pontos de acesso já instalados no nosso estádio?
Sim, caso venham da Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet. O Purple é uma sobreposição na nuvem agnóstica de hardware, pelo que se sobrepõe à sua infraestrutura existente sem necessidade de substituição integral. Os seus pontos de acesso continuam a gerir o rádio e o roaming. O Purple gere o portal cativo, o RADIUS na nuvem, a recolha de consentimento e o encaminhamento de dados. O Passpoint também necessita do Hotspot 2.0 ativado no firmware do seu ponto de acesso.
Precisamos de uma aplicação do clube para disponibilizar o Passpoint aos adeptos?
Não, mas a aplicação é a via de disponibilização mais fluida. O iOS instala as credenciais do Passpoint a partir da transferência de um perfil de configuração. O Android instala-as através das suas APIs do Passpoint ou de uma transferência web. Assim, pode disponibilizar o perfil após a primeira autenticação do adepto no portal cativo. A aplicação vence na adesão, porque associa o perfil a uma conta que o adepto já possui e utiliza em cada dia de jogo.
Podemos partilhar dados de adeptos dos inícios de sessão por WiFi com os nossos patrocinadores ao abrigo do GDPR?
Sim, com um consentimento separado e específico que identifique o patrocinador. As orientações de consentimento do ICO determinam que deve identificar quaisquer responsáveis pelo tratamento de terceiros que se baseiem nesse consentimento. O Artigo 7.º(1) exige a demonstração do mesmo. Ao abrigo do PECR, o marketing por e-mail de patrocinadores necessita desse consentimento, uma vez que o opt-in suave abrange apenas os seus próprios produtos similares. Os opt-ins de escolha consciente do Purple registam cada escolha separadamente, com o respetivo texto e carimbo de data/hora.
Um portal cativo vai aguentar dezenas de milhares de adeptos a ligarem-se ao intervalo?
Sim, se planeou a rede para a simultaneidade em vez da capacidade total. Defina limites de tempo de sessão superiores à duração do evento, para que os adeptos ligados nunca voltem a autenticar-se a meio do jogo. Mantenha as gravações no CRM e no sistema de bilheteira fora do caminho de autenticação. Dimensione os pools de DHCP para o pico de dispositivos simultâneos, com atribuições (leases) mais curtas do que o intervalo entre eventos. Sirva os recursos do portal a partir de uma rede de distribuição de conteúdos. Migrar os membros para o Passpoint elimina completamente os respetivos carregamentos de página.
Como fazemos a migração do nosso atual fornecedor de WiFi do estádio?
Faça a migração alterando o local para onde os seus pontos de acesso enviam o tráfego de autenticação e do portal, e não substituindo o hardware. Execute o Purple primeiro num SSID de teste. Valide o portal, o RADIUS e o encaminhamento para o CRM num dia sem jogo e, em seguida, faça a transição do SSID de produção. Exporte os seus registos de opt-in existentes com o respetivo texto e carimbos de data/hora. O consentimento recolhido ao abrigo de textos antigos pode não abranger os fins que planeia a seguir.
O OpenRoaming substitui o nosso próprio perfil do Passpoint?
Não, este complementa o seu próprio perfil. O OpenRoaming é uma federação da Wireless Broadband Alliance baseada no Passpoint. Os dispositivos que possuem um perfil de um fornecedor de identidade participante ligam-se de forma automática e segura, o que abrange adeptos visitantes que não tenham a aplicação do clube. Não lhe fornece os dados de identidade do seu próprio clube. Mantenha o seu próprio perfil na aplicação para os detentores de lugar anual e utilize o OpenRoaming para alargar a cobertura segura.
A rede do portal deve ser aberta ou utilizar OWE?
Utilize o OWE sempre que os seus pontos de acesso o suportem, em modo de transição juntamente com um SSID aberto. O OWE, certificado pela WiFi Alliance como Enhanced Open, encripta o tráfego de cada dispositivo sem necessidade de palavra-passe. Os adeptos numa zona de circulação movimentada não conseguem ler as sessões uns dos outros. O modo de transição permite que os dispositivos mais antigos se liguem à rede aberta enquanto os dispositivos compatíveis se ligam de forma encriptada. Confirme o suporte de firmware em todos os pontos de acesso antes do dia do jogo.
Quanto esforço exige a implementação num estádio?
A maior parte do esforço reside na configuração e integração, e não no hardware. Como o Purple se sobrepõe aos seus pontos de acesso existentes, o trabalho abrange o design do portal, o texto de consentimento, a configuração de SSID e RADIUS, e o mapeamento de campos para os sistemas de bilheteira e CRM. O Passpoint adiciona o desenvolvimento da aplicação do clube e um ciclo de testes em dispositivos iOS e Android. Planeie um teste de carga completo num dia sem jogo antes do primeiro evento ao vivo.
Fontes
- IETF RFC 2865: RADIUS
- IETF RFC 5080: Common RADIUS implementation issues
- IETF RFC 8110: Opportunistic Wireless Encryption
- IETF RFC 8910: Captive portal identification in DHCP and RA
- WiFi Alliance: Passpoint
- Wireless Broadband Alliance: OpenRoaming
- UK GDPR Article 7: Conditions for consent
- PECR 2003 regulation 22
Continue a ler esta série
WiFi para visitantes Ruckus SmartZone e RUCKUS One WiFi vs plataformas de portal cativo externo
Decida se o acesso de visitantes nativo do Ruckus SmartZone ou do RUCKUS One abrange toda a sua propriedade, ou se um portal cativo externo como o Purple justifica a sua subscrição. Pode mapear os seus locais, fornecedores e propriedade dos dados numa recomendação clara. Também irá compreender a integração WISPr, Northbound Interface e RADIUS, bem como o custo de cada opção.
Plataformas de portal cativo para visitantes centrais da Aruba WiFi vs. dedicadas: comparação de CRM, Passpoint e relatórios
Utilize esta comparação para escolher entre o Cloud Guest nativo do Aruba Central, o ClearPass Guest e uma plataforma em nuvem dedicada, como a Purple, para o seu parque de HPE Aruba. Pode associar cada opção a quem detém a WiFi dos visitantes, onde os dados dos visitantes devem ser integrados, como regista o consentimento de GDPR, se os visitantes recorrentes precisam de Passpoint e quanto custa cada opção ao longo de três anos.
Portais de WiFi para visitantes Juniper Mist WiFi vs. sobreposições de portal cativo externo: comparação entre múltiplos locais
Poderá decidir, local por local, se o portal nativo de Juniper Mist para visitantes é suficiente ou se uma sobreposição de portal cativo externo justifica a sua licença. Saberá também como reencaminhar uma WLAN Mist para uma sobreposição, configurar a contabilização RADIUS e manter um único registo de visitante através de uma migração faseada a partir de controladores legados.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.