Três SSIDs para a todos governar: guia de configuração de WiFi para convidados, funcionários e IoT

GUIÃO DE PODCAST: 'Três SSIDs para a todos governar: guia de configuração de WiFi para convidados, funcionários e IoT' [INTRODUÇÃO E CONTEXTO - 1 min] É um consultor de rede sénior a apresentar um briefing confiante e autoritário a um cliente. Fale em inglês britânico com um tom claro, medido e profissional. Autoridade calma, não académica. Conversacional mas preciso. O ritmo é constante e deliberado: Bem-vindo à série de briefings técnicos do Purple WiFi Intelligence. Hoje vamos abordar o design de WiFi com três SSIDs — a arquitetura que separa o tráfego de convidados, funcionários e IoT em redes distintas e isoladas, utilizando uma única infraestrutura sem fios. Se gere WiFi para um hotel, espaço comercial, centro de conferências, estádio ou qualquer local onde opere tanto redes operacionais como redes voltadas para o público, este briefing é diretamente relevante para si. [ANÁLISE TÉCNICA DETALHADA - 5 min] Deixe-me primeiro contextualizar. Atualmente, a maioria dos espaços empresariais opera pelo menos cinco ou seis SSIDs. Há um para convidados, um para funcionários, um para terminais de ponto de venda, um para dispositivos IoT, talvez um oculto para fornecedores externos e, muitas vezes, um legado que já ninguém se lembra bem porque existe. Cada um desses SSIDs transmite uma trama de beacon a cada 100 milissegundos na taxa de dados mais baixa do rádio. Num local denso com 50 pontos de acesso no mesmo canal, isso representa centenas de tramas de gestão por segundo a consumir tempo de antena antes de ser transmitido um único byte de dados do utilizador. O consenso do setor é claro: não transmitir mais de três SSIDs por rádio. Três é o número que equilibra a segmentação de segurança com o desempenho sem fios. Assim, o design de três SSIDs consiste no seguinte. SSID um: uma rede WiFi de convidados aberta com um Captive Portal para acesso de visitantes. SSID dois: uma rede WPA2 ou WPA3-Enterprise para funcionários e convidados seguros, utilizando autenticação 802.1X e RADIUS. SSID três: uma rede xPSK para dispositivos IoT, terminais de cartões, sinalética digital e impressoras, utilizando chaves pré-partilhadas por dispositivo para atribuir dinamicamente VLANs com base na identidade do dispositivo. Três SSIDs. Três segmentos de rede completamente isolados. Uma infraestrutura física sem fios. Vamos analisar cada um em detalhe. Vamos analisar cada um em detalhe. SSID um é o seu WiFi de convidados. Configure isto como uma rede aberta — sem chave pré-partilhada, sem palavra-passe WPA2-Personal. O ponto de acesso transmite o SSID sem encriptação na camada de associação. Quando um visitante se liga, o seu dispositivo obtém um endereço IP de um servidor DHCP na sua VLAN de convidados — normalmente a VLAN 10. Cada consulta de DNS e pedido HTTP é intercetado pelo controlador sem fios ou por um dispositivo de Captive Portal dedicado, que redireciona o navegador do visitante para a sua página de portal. É aqui que a plataforma da Purple se integra. O Captive Portal lida com a autenticação do visitante – quer se trate de um login social, registo por e-mail, verificação por SMS ou um código de voucher. Captura o consentimento ao abrigo do GDPR, regista os dados do visitante como dados primários (first-party data) e, em seguida, sinaliza o controlador para conceder acesso à internet. A sessão do visitante é etiquetada para a VLAN 10, e a sua firewall impõe uma política estrita: apenas acesso à internet, com uma regra explícita de recusa total (deny-all) a bloquear qualquer rota para o seu espaço de endereços interno RFC 1918. O jardim vedado (walled garden) é uma etapa de configuração crítica aqui. Antes de um visitante concluir o login no portal, o seu dispositivo precisa de alcançar a própria página do portal. Configura um walled garden – uma lista de permissões (whitelist) de endereços IP e domínios que estão acessíveis sem autenticação. Esta lista deve incluir o IP ou hostname do seu servidor de Captive Portal, quaisquer endpoints de CDN que este utilize e quaisquer endpoints de fornecedores de login social, tais como os servidores OAuth do Facebook ou os endpoints de autenticação do Google. O SSID dois é o seu WiFi para Colaboradores. Este utiliza WPA2-Enterprise ou WPA3-Enterprise, o que significa autenticação 802.1X. Quando um colaborador se liga, o seu dispositivo inicia uma troca EAP com o ponto de acesso, que atua como o autenticador e encaminha as credenciais para o seu servidor RADIUS. O servidor RADIUS valida a identidade junto do seu fornecedor de identidade e devolve uma mensagem Access-Accept. A chave para a atribuição dinâmica de VLAN são três atributos RADIUS específicos nessa mensagem Access-Accept. O Atributo 64, Tunnel-Type, deve ser definido com o valor 13, que significa VLAN. O Atributo 65, Tunnel-Medium-Type, deve ser definido com o valor 6, que significa IEEE 802. E o Atributo 81, Tunnel-Private-Group-ID, contém o ID da VLAN real como uma string. Quando o ponto de acesso recebe estes atributos, etiqueta dinamicamente essa sessão com a VLAN especificada. Um colaborador da equipa de finanças autentica-se e entra na VLAN 20. Um prestador de serviços autentica-se com uma credencial diferente e entra na VLAN 30 com acesso mais restrito. O mesmo SSID, a mesma rede física, segmentos lógicos completamente diferentes. O serviço de RADIUS em nuvem da Purple lida com a camada de autenticação RADIUS para o WiFi de Colaboradores, integrando-se com o seu fornecedor de identidade e devolvendo os atributos de VLAN dinâmica corretos por utilizador. O SSID três é o seu WiFi de IoT. O xPSK resolve um problema que nem as redes abertas nem o 802.1X conseguem resolver de forma limpa. Os dispositivos de IoT, terminais de pagamento, ecrãs de sinalização digital e impressoras não se conseguem autenticar com 802.1X. Mas não pode colocá-los numa rede WPA2-Personal plana com uma única palavra-passe partilhada, porque um dispositivo comprometido teria acesso a todos os outros dispositivos nesse segmento. O xPSK mantém uma base de dados de palavras-passe únicas, uma por dispositivo ou grupo de dispositivos. O dispositivo liga-se utilizando a sua chave única. O controlador valida a chave e devolve os atributos de VLAN dinâmica. Um terminal de pagamento liga-se e entra na VLAN 50, a sua rede de pagamentos isolada por PCI DSS. Um termóstato inteligente liga-se e entra na VLAN 40, a sua rede IoT com encaminhamento restrito. A terminologia do fabricante varia. A Cisco Meraki chama-lhe iPSK. A HPE Aruba chama-lhe MPSK. A Ruckus chama-lhe DPSK. A Juniper Mist e a Ubiquiti UniFi chamam-lhe PPSK. A arquitetura subjacente é idêntica em todos os cinco fabricantes. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - 2 min] É um consultor sénior de redes a apresentar um briefing confiante e autoritário a um cliente. Fale com um tom claro, ponderado e profissional. Autoridade calma, não académica. Conversacional mas preciso. O ritmo é constante e deliberado: Falemos agora sobre os erros comuns de implementação e cenários do mundo real. O primeiro erro comum são as portas trunk desconfiguradas. As suas portas de switch que transportam múltiplas VLANs devem ser configuradas como portas trunk 802.1Q, e não como portas de acesso. Se uma porta trunk for acidentalmente configurada como porta de acesso, todo o tráfego colapsa numa única VLAN e a sua segmentação desaparece silenciosamente. Audite sempre a configuração do seu switch após qualquer alteração. O segundo erro comum é um walled garden incompleto. Se a página do seu Captive Portal não carregar porque não colocou na lista de permissões os endpoints corretos, os visitantes verão um ecrã em branco e assumirão que o WiFi está avariado. Teste o seu walled garden a partir de um dispositivo novo, sem DNS em cache, antes de entrar em produção. O terceiro erro comum é a aleatoriedade de endereços MAC. Os dispositivos iOS e Android modernos utilizam um endereço MAC aleatório para cada rede a que se ligam. Se o seu sistema xPSK depender da associação de endereços MAC para associar um dispositivo à sua chave única, terá falhas de autenticação quando um dispositivo rodar o seu endereço. Utilize implementações de fabricantes que associem a sessão à própria chave e não ao MAC. Permita-me dar-lhe dois cenários do mundo real. Cenário um: um hotel com 200 quartos. O hotel precisa de fornecer WiFi para hóspedes em todos os quartos e áreas públicas, WiFi para funcionários da receção, limpeza e gestão, e conectividade IoT para termostatos inteligentes, sistemas IPTV e controladores de fechaduras de portas. Implementam três SSIDs nos seus pontos de acesso Cisco Meraki. O SSID um, a rede de hóspedes, utiliza o Captive Portal da Purple com registo por e-mail e recolha de consentimento em conformidade com o GDPR. Os hóspedes autenticam-se, entram na VLAN 10 e obtêm acesso apenas à internet com um limite de taxa de 20 megabits por segundo por cliente. O SSID dois, a rede de funcionários, utiliza WPA3-Enterprise com autenticação RADIUS contra o Microsoft Entra ID. Os funcionários da receção entram na VLAN 20 com acesso ao sistema de gestão de propriedade. Os funcionários da limpeza entram na VLAN 21 com acesso apenas à aplicação de limpeza. O SSID três, a rede IoT, utiliza Meraki iPSK. Cada termostato inteligente tem uma chave única mapeada para a VLAN 40. Cada controlador de fechadura de porta tem uma chave única mapeada para a VLAN 41. Os sistemas IPTV têm chaves mapeadas para a VLAN 42. Todas as VLANs de IoT não têm acesso à internet e possuem regras de firewall rigorosas que limitam a comunicação aos seus servidores de gestão específicos. [Q&A RÁPIDO - 1 min] Agora, algumas perguntas rápidas. Preciso de um servidor RADIUS separado para xPSK? Depende do fornecedor e da escala. Para implementações de pequena dimensão, o Cisco Meraki iPSK e o HPE Aruba MPSK-Local podem armazenar chaves diretamente no controlador sem um servidor RADIUS. Para escala empresarial, necessita de um servidor RADIUS central - seja a sua própria instância FreeRADIUS ou NPS, ou um serviço RADIUS na nuvem como o da Purple. O WPA3-Enterprise é obrigatório? Ainda não, mas implemente-o onde os seus dispositivos cliente o suportem. O modo de segurança de 192 bits do WPA3 e as Protected Management Frames eliminam vários vetores de ataque presentes no WPA2. Execute o WPA3 em modo de transição para manter a compatibilidade retroativa. Como faço para gerir BYOD no SSID de funcionários? Utilize PEAP-MSCHAPv2 para autenticação baseada em credenciais, que funciona com dispositivos pessoais sem exigir a implementação de certificados. Se precisar de uma segurança mais robusta, implemente EAP-TLS com certificados enviados através do seu MDM. Qual é a configuração mínima viável para um espaço de pequena dimensão? Três SSIDs, três VLANs, uma firewall com regras inter-VLAN e um Captive Portal para hóspedes. Essa é a sua base de referência. Pode adicionar RADIUS e xPSK à medida que a sua infraestrutura de dispositivos cresce. [RESUMO E PRÓXIMOS PASSOS - 1 min] Em resumo: a conceção com três SSIDs oferece-lhe a segmentação de que necessita sem a sobrecarga de tempo de antena de executar cinco ou seis redes separadas. O WiFi de hóspedes com um Captive Portal gere o acesso de visitantes e a conformidade com o GDPR. O WiFi de funcionários com 802.1X e atribuição dinâmica de VLAN gere o controlo de acesso baseado na identidade. O WiFi de IoT com xPSK gere dispositivos sem ecrã com isolamento por dispositivo. Os seus próximos passos: audite a sua contagem atual de SSID. Se estiver a transmitir mais de três, planeie uma consolidação. Reveja o seu design de VLAN e as regras de firewall inter-VLAN. E se ainda não utiliza um captive portal gerido com recolha de dados em conformidade com o GDPR, essa é a alteração de maior valor que pode fazer hoje na sua rede de convidados. A plataforma da Purple suporta esta arquitetura de três SSID em mais de 80.000 locais ativos em todo o mundo. Fornecemos o captive portal de Guest WiFi, o RADIUS na nuvem para Staff WiFi e as integrações com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi para fazer com que todo o design funcione como um único sistema gerido. Obrigado por ouvir este briefing técnico da Purple. Os links para o guia escrito completo e diagramas de arquitetura estão nas notas do episódio.