WiFi para concessões e locatários em centros comerciais: uma arquitetura xPSK com uma chave e VLAN por locatário

Execute um SSID xPSK para cada concessão e unidade de inquilino. Cada inquilino recebe sua própria chave, e essa chave coloca seus caixas, tablets e dispositivos de back-office em sua própria VLAN. Os compradores permanecem na rede aberta com Captive Portal e os sistemas do centro em uma rede 802.1X segura: três SSIDs no total, com chaves revogadas no dia em que o contrato de aluguel encerra.

O que uma rede com chave e VLAN por inquilino realmente faz?

Um centro comercial possui os pontos de acesso, mas dezenas de empresas independentes dependem deles. Cada concessão, quiosque e unidade de inquilino opera caixas, tablets de estoque, PCs de back-office e, muitas vezes, sinalização digital. Esses dispositivos não podem ver uns aos outros, aos compradores ou aos próprios sistemas do edifício do centro.

xPSK é o termo geral para redes onde cada inquilino ou dispositivo possui sua própria chave pré-compartilhada em um único SSID. Cada fornecedor o denomina de maneira diferente:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

Quando um dispositivo se conecta, a chave que ele apresenta identifica o inquilino. O RADIUS então retorna a VLAN daquele inquilino. O RADIUS é o protocolo que seus pontos de acesso usam para perguntar a um servidor de autenticação quem está se conectando. Uma VLAN (LAN virtual, definida na IEEE 802.1Q) é uma rede de camada 2 separada que roda sobre os mesmos switches e cabeamento.

O resultado é um nome de rede no ar e muitas redes isoladas no cabo. A identidade define a VLAN, não o SSID.

Por que um SSID por inquilino não escala

Cada SSID transmite seus próprios quadros de beacon em cada rádio. O intervalo padrão de beacon do IEEE 802.11 é de 100 unidades de tempo, ou 102,4 ms, portanto, cada SSID envia beacons quase 10 vezes por segundo. Os beacons são transmitidos na taxa de dados básica mais baixa, o que os torna caros em tempo de transmissão (airtime).

Cada SSID adicional consome tempo de transmissão que o tráfego de inquilinos e compradores poderia usar. Com 20 SSIDs de inquilinos, cada ponto de acesso ao alcance envia 20 conjuntos de beacons. Os fornecedores também limitam quantos SSIDs um único rádio pode transmitir. Um centro com 60 unidades atinge esse limite muito antes de assinar seu último contrato.

O custo operacional também cresce. Cada SSID tem sua própria frase secreta para alternar, e cada rotação desconecta todos os dispositivos daquele inquilino de uma só vez.

De quantos SSIDs um centro comercial precisa?

Três é o número certo para a maioria dos centros:

1. Rede aberta de visitantes para compradores. Esta rede usa um Captive Portal: a página de login que um dispositivo vê antes de acessar a internet. Veja Captive Portals para opções de design. O marketing de visitantes nesta rede pertence ao plano Purple Engage, e a filtragem de DNS é realizada pelo Purple Shield.
2. Rede xPSK para lojistas. Cada concessão, quiosque e unidade de lojista se conecta aqui. Os dispositivos headless do próprio centro, como CFTV, controladores de gestão predial e reprodutores de sinalização digital, também se conectam a ela, cada um com sua própria chave e VLAN.
3. Rede segura para a equipe do centro. Esta rede usa 802.1X, o padrão IEEE para autenticação de rede baseada em porta. Combine-a com EAP-TLS, que autentica cada dispositivo com um certificado. As identidades vêm do Microsoft Entra ID, Okta ou Google Workspace. EAP TLS vs PEAP: Security, Certs and Fit e Okta WiFi Authentication: Setup Steps, Options and Fixes cobrem esse aspecto.

Abordagem	SSIDs para 60 lojistas	Isolamento do lojista	Removendo um lojista	Sobrecarga de beacon	A quem se adequa
SSID por lojista	60 SSIDs de lojistas, além dos limites por rádio	Uma VLAN por SSID	Excluir esse SSID e reconfigurar os rádios	Aumenta com cada SSID	Centros com menos de cinco lojistas
Uma chave compartilhada para todos os lojistas	1	Nenhum: uma chave, uma VLAN	Alterar a chave para todos os lojistas	Um SSID	Nenhum centro onde os lojistas operam caixas
xPSK: uma chave e VLAN por lojista	1	Uma VLAN por chave	Revogar uma chave; as outras permanecem intocadas	Um SSID	Concessões, quiosques e unidades com dispositivos headless
802.1X por dispositivo	1	Uma VLAN por identidade	Revogar o certificado ou a conta	Um SSID	Lojistas com dispositivos gerenciados que executam um suplicante 802.1X

O 802.1X é o modelo mais forte quando os dispositivos do lojista o suportam. A maioria das instalações de concessões mistura caixas, terminais de cartão, tablets e leitores de sinalização. Muitos deles não podem executar um suplicante 802.1X, portanto o xPSK os atende.

O que você precisa antes de começar?

Pontos de acesso e um console que suportem PSK de várias chaves

Você não precisa de nenhum hardware novo. O Purple é uma sobreposição em nuvem independente de hardware com RADIUS em nuvem e funciona sobre os pontos de acesso que você já possui. Antes de começar, confirme se o seu modelo e firmware suportam PSK de várias chaves com uma VLAN atribuída por RADIUS.

Fornecedor	Nome do recurso	Console
Cisco Meraki	Identity PSK (iPSK) com RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone ou RUCKUS One
Juniper Mist	Multi PSK	Painel em nuvem Juniper Mist
Ubiquiti UniFi	Private Pre-Shared Keys	Aplicação UniFi Network

Verifique mais um ponto na documentação do seu fornecedor: suporte a WPA3. Muitas implementações de xPSK funcionam em WPA2-PSK com AES. O suporte a WPA3-SAE para várias chaves em um SSID varia de acordo com o fornecedor e o firmware. Para obter detalhes de compilação do Meraki e do Mist, consulte PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist.

Um plano de VLAN e IP

O IEEE 802.1Q usa um ID de VLAN de 12 bits, o que fornece 4.094 VLANs utilizáveis. Isso atende confortavelmente a qualquer centro. Planeje o seguinte antes que a primeira chave seja emitida:

• Um bloco de VLAN reservado para os locatários. Mantenha-o separado da gestão do centro, do sistema de CFTV e das VLANs de visitantes.
• Uma sub-rede e escopo DHCP por VLAN de locatário. Dimensione cada um para os dispositivos declarados pelo locatário, com margem para adições sazonais.
• Trunks para cada porta de switch de ponto de acesso. Cada VLAN de locatário deve alcançar todas as portas onde um dispositivo de locatário possa se conectar. Na prática, isso significa todas as portas do centro.
• Regras de firewall no gateway. Bloqueie o tráfego entre locatários, bloqueie o tráfego de locatários para o centro e permita o acesso à internet. Permita o processador de pagamentos e a VPN da matriz do locatário onde forem necessários.

Uma decisão sobre quem guarda as chaves

A equipe de TI do centro deve emitir cada chave, e cada locatário deve nomear um único contato para recebê-la. Registre esse contato junto com a chave. Sem esse registro, você não conseguirá identificar quem conhecia a chave caso um locatário reporte que ela foi comprometida.

Em seguida, decida entre uma chave por locatário ou uma chave por dispositivo. Uma chave por locatário é mais rápida de administrar. Uma chave por dispositivo para caixas e equipamentos de cartão oferece maior segurança. Se um tablet de estoque desaparecer, você revoga a chave dele e os caixas continuam online.

O requisito 2.3.2 do PCI-DSS v4.0 exige que as chaves sem fio conectadas ao ambiente de dados de portadores de cartão sejam alteradas quando alguém com conhecimento da chave se desligar. Chaves por locatário e por dispositivo mantêm essa alteração restrita ao menor grupo possível.

Como configurar uma chave e VLAN por locatário?

Crie o SSID xPSK uma única vez

Crie o SSID do locatário no console do seu fornecedor com autenticação RADIUS apontada para o Purple. Use WPA2-PSK com AES como linha de base e WPA3 onde o seu fornecedor oferecer suporte para PSK de múltiplas chaves. Transmita o SSID: ocultar o nome de uma rede não adiciona segurança e faz com que os dispositivos a procurem em todos os lugares.

A documentação de configuração do Purple para o seu fornecedor fornece as configurações exatas. Siga-a em vez de copiar valores de outro site.

Mapeie cada chave de locatário para sua VLAN

No Purple, cada registro de locatário contém uma ou mais chaves e um ID de VLAN. Quando um dispositivo se autentica, o Purple retorna a VLAN usando os atributos padrão de túnel RADIUS descritos na RFC 3580. Estes são Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID. O ponto de acesso então aloca o dispositivo nessa VLAN.

Defina limites de largura de banda por locatário

O Purple atribui a VLAN. O limite de largura de banda se vincula à política que seu console aplica a essa VLAN, grupo ou função. As políticas de grupo do Cisco Meraki e as funções de usuário do HPE Aruba possuem limites de taxa, e outros fornecedores oferecem equivalentes.

Defina um conjunto pequeno de níveis, como quiosque, unidade padrão e loja âncora. Atribua cada locatário a um nível durante a integração. Os níveis impedem que uma única unidade transmitindo vídeos promocionais consuma a banda dos caixas ao lado. Eles também oferecem um controle valioso se o contrato de locação incluir termos de conectividade.

Integre uma nova unidade

Inclua a integração na lista de verificação de preparação do espaço, não na semana de inauguração:

1. Crie o registro do inquilino quando o contrato de aluguel for assinado. Inclua o número da unidade, contato indicado, datas de início e término do contrato e o nível de largura de banda.
2. Aloque uma VLAN a partir do bloco do inquilino e confirme seu escopo DHCP.
3. Alique regras de firewall para essa VLAN, incluindo qualquer processador de pagamento ou pontos de extremidade de VPN que o inquilino declarar.
4. Gere a chave ou chaves no Purple e mapeie-as para a VLAN.
5. Envie a chave para o contato indicado por meio de um canal criptografado. Nunca a imprima no pacote do contrato de aluguel.
6. Teste a partir da unidade. Conecte um dispositivo e confirme se ele obtém a sub-rede correta e acessa a internet.
7. Registre a emissão com data, emissor, destinatário e VLAN.

Revogue o acesso quando um inquilino sair

Revogue a chave do inquilino na data de término do contrato e agende isso como parte da lista de verificação de saída. A revogação interrompe novas conexões imediatamente.

Dispositivos que já estão conectados podem permanecer associados até que se reconectem, dependendo da sua plataforma. Onde sua plataforma der suporte a RADIUS Change of Authorisation (CoA, definido na RFC 5176), use-o para desconectá-los. Caso contrário, desconecte os clientes a partir do console do fornecedor.

Deixe a VLAN liberada sem uso por um período de quarentena antes de reatribuí-la. Isso impede que um dispositivo esquecido apareça na rede do próximo inquilino. A mesma disciplina de entradas, mudanças e saídas que sua equipe de RH aplica às contas de funcionários agora se aplica aos inquilinos.

Como verificar se a segmentação funciona?

Teste cada novo inquilino na integração e faça uma amostragem de todo o patrimônio a cada trimestre:

• VLAN correta: um dispositivo que usa a chave do inquilino recebe um endereço na sub-rede desse inquilino.
• Sem acesso lateral: a partir de um dispositivo do inquilino, o gateway da VLAN de um inquilino vizinho não responde.
• Sem acesso aos sistemas do centro: as sub-redes de CFTV, gestão predial e da equipe do centro estão inacessíveis.
• Internet funciona: o inquilino acessa a internet e quaisquer pontos de extremidade de pagamento ou VPN permitidos.
• A revogação funciona: uma chave revogada falha ao autenticar.

Se os caixas do inquilino processarem dados de cartão, o requisito 11.4.5 do PCI-DSS v4.0 exige testes de invasão dos controles de segmentação pelo menos uma vez a cada 12 meses. Seus resultados trimestrais e o teste anual são evidências para esse requisito. Cada inquilino permanece responsável por sua própria avaliação de PCI-DSS como comerciante.

O que registrar em log

Registre em log o suficiente para responder a três perguntas: quem teve acesso, quando e em qual VLAN.

• Chave emitida: inquilino, ID da chave, VLAN, emissor, destinatário e data.
• Chave revogada: inquilino, ID da chave, motivo, responsável pela revogação e data.
• Eventos de autenticação: ID da chave, endereço MAC do dispositivo, ponto de acesso, VLAN atribuída, carimbo de data/hora e resultado.
• Alterações nas regras de firewall por VLAN do inquilino.

Endereços MAC de dispositivos podem ser considerados dados pessoais sob o GDPR quando podem ser vinculados a um indivíduo. Defina um período de retenção, documente-o e exclua conforme o cronograma. A Purple possui certificação ISO 27001 e é certificada para GDPR e CCPA, o que fornece evidências para suas próprias avaliações de fornecedores. Para um conjunto de controles mais amplo, consulte segurança WiFi e Segurança de rede de visitantes: Um guia prático para 2026.

Cenários práticos

Estes dois cenários são projetos ilustrativos, não implantações nominadas. Os resultados decorrem do próprio projeto.

Um shopping center de 70 unidades substituindo SSIDs de lojistas

Situação. O shopping transmitia 14 SSIDs: visitantes, equipe do shopping e 12 SSIDs de lojistas criados para os primeiros grandes locatários. As 58 unidades restantes compartilhavam uma senha de lojista em uma única VLAN. A saída de um lojista significava alterar essa senha para todos os outros lojistas do shopping.

O que foi feito. A TI unificou tudo em três SSIDs: visitantes, equipe do shopping em 802.1X com EAP-TLS e um SSID de lojista com xPSK. Todas as 70 unidades receberam sua própria chave e VLAN, com chaves por dispositivo para os caixas. A TI migrou os 12 lojistas baseados em SSID um por vez, removendo cada SSID antigo assim que seus dispositivos eram movidos. O sistema de CFTV e a gestão predial foram movidos para suas próprias chaves e VLANs no mesmo SSID de lojista.

Resultado. Cada rádio passou de 14 SSIDs para três. Os quadros de beacon por rádio caíram de cerca de 137 por segundo para cerca de 29. A saída de um lojista passou de redefinir as chaves de 58 empresas para revogar uma única chave. O tráfego entre lojistas, anteriormente aberto na VLAN compartilhada, agora é bloqueado no gateway e testado trimestralmente.

Um mercado municipal administrado pela prefeitura com feirantes de fim de semana

Situação. Um mercado municipal do setor público abriga 40 bancas permanentes e até 25 feirantes de fim de semana. Todos os feirantes usavam uma única senha compartilhada que não mudava há anos. Antigos feirantes ainda conseguiam se conectar a partir do estacionamento.

O que foi feito. Cada banca permanente recebeu sua própria chave e VLAN. Os feirantes de fim de semana receberam chaves individuais mapeadas para uma VLAN de feirante compartilhada e com isolamento de cliente, para que seus dispositivos não consigam alcançar uns aos outros. O gerente de plantão revoga todas as chaves de fim de semana como parte do checklist de encerramento do domingo, e novas chaves são enviadas com as atribuições de espaço no sábado.

Resultado. A prefeitura passou de uma senha compartilhada de longa duração para 40 chaves fixas mais até 25 chaves semanais. Nenhuma chave dura mais do que o feirante que a possui. A prefeitura também obteve um registro de todas as chaves emitidas e revogadas, o que não possuía antes.

O que pode dar errado e como corrigir?

Sintoma	Causa provável	Correção
O dispositivo se conecta, mas cai na VLAN padrão	A resposta do RADIUS não possui os atributos da VLAN, ou o SSID ignora a sobreposição de VLAN do RADIUS	Confirme o mapeamento de chave para VLAN no Purple e ative a atribuição de VLAN via RADIUS no SSID
O dispositivo se conecta, mas não recebe endereço IP	A VLAN do lojista não está configurada como trunk na porta do switch desse ponto de acesso, ou não há escopo DHCP	Adicione a VLAN ao trunk e confirme o escopo DHCP
PDV ou terminal antigo não se conecta	SSID configurado apenas como WPA3 ou Protected Management Frames obrigatório	Use WPA2-PSK com AES ou modo de transição WPA2/WPA3 para esse SSID
Inquilino revogado ainda online	A sessão existente permanece ativa até que o dispositivo se reconecte	Envie um desconectar CoA ou remova o cliente no console do fornecedor
Um inquilino consegue acessar outro	Roteamento inter-VLAN permitido no switch principal ou gateway	Adicione regras de negação entre as VLANs dos inquilinos e teste novamente
Dispositivos desconhecidos em uma VLAN de inquilino	O inquilino compartilhou sua chave com um vizinho ou prestador de serviços	Revogue essa chave, emita uma nova e oriente o contato designado

Quanto custa e qual é o retorno?

Quanto custa. Você não precisa de novos pontos de acesso, controladores ou switches. Você paga a assinatura do Purple Access, além do tempo de engenharia para o plano de VLAN, trunking e regras de firewall. Depois disso, cada inquilino exige um registro, uma VLAN e uma chave na integração, e uma revogação no desligamento.

Qual é o retorno.

• Tempo de transmissão (Airtime). Um único SSID de inquilino substitui um SSID por inquilino, portanto o overhead de beacon para de crescer a cada novo contrato de aluguel.
• Contenção. Uma chave vazada ou de um ex-inquilino afeta apenas um inquilino, não o centro comercial inteiro.
• Comprovação. Os logs de emissão e revogação oferecem suporte ao requisito 2.3.2 do PCI-DSS. Os testes de segmentação oferecem suporte ao requisito 11.4.5.
• Escala. O Purple roda em mais de 80.000 locais ativos e gerenciou 440 milhões de logins em 2024 (dados próprios do Purple). Um centro de 70 unidades não gera sobrecarga adicional.

Se a equipe do seu centro comercial ainda compartilha uma única senha, migre-os em seguida. O guia Migrating staff WiFi from a shared password to 802.1X across a multi-site estate detalha essa sequência. Mais modelos de acesso estão disponíveis nos Guias de acesso.

Perguntas frequentes

Isso funciona com os pontos de acesso que nosso centro comercial já possui?

Sim, o Purple funciona como uma sobreposição em nuvem nos pontos de acesso que você já possui, sem necessidade de substituição de infraestrutura. O Purple é agnóstico em relação ao hardware, sendo compatível com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Para uma rede xPSK de inquilinos, confirme se o seu modelo e firmware suportam PSK de várias chaves com uma VLAN atribuída via RADIUS. A Meraki chama isso de iPSK, a Aruba chama de MPSK e a Ruckus chama de DPSK.

Os inquilinos podem compartilhar pontos de acesso, mas não as redes?

Sim, esse é o objetivo de ter uma chave e uma VLAN por inquilino. Todos os inquilinos se conectam ao mesmo SSID através dos mesmos pontos de acesso. Cada chave coloca os dispositivos daquele inquilino em sua própria VLAN. As regras de firewall no gateway bloqueiam o tráfego entre as VLANs dos inquilinos e os sistemas do próprio centro comercial. Unidades vizinhas compartilham rádios e tempo de transmissão, mas nunca compartilham uma rede de camada 2.

De quantos SSIDs um shopping center precisa?

Três cobrem a maioria dos centros. Você precisa de uma rede de convidados aberta com um Captive Portal para os compradores, e uma rede xPSK para cada locatário e para os dispositivos sem tela do centro. Adicione uma rede 802.1X segura para a equipe do centro, autenticada no Microsoft Entra ID, Okta ou Google Workspace. Cada SSID extra adiciona sobrecarga de beacon em todos os rádios, portanto, evite criar um por locatário.

Como removemos o acesso WiFi de um locatário quando ele sai?

Você revoga a chave desse locatário no Purple, e as novas conexões são interrompidas imediatamente. Faça da revogação parte da lista de verificação de encerramento do contrato, com a data do término do contrato. Dispositivos que já estão conectados podem permanecer online até se reconectarem. Desconecte-os com RADIUS Change of Authorisation onde sua plataforma oferecer suporte, ou a partir do console do fornecedor. Em seguida, coloque a VLAN em quarentena antes de reatribuí-la.

Isso tornará os caixas dos nossos locatários em conformidade com o PCI-DSS?

Não, o design da rede por si só não pode tornar um comerciante em conformidade. Cada locatário continua responsável por sua própria avaliação do PCI-DSS. Uma chave e uma VLAN por locatário fornecem evidências para requisitos específicos. O Requisito 2.3.2 cobre a alteração de chaves sem fio quando pessoas que as conhecem saem. O Requisito 11.4.5 cobre testes anuais de penetração dos controles de segmentação. Compartilhe os resultados dos seus testes de segmentação com os locatários mediante solicitação.

Podemos limitar a largura de banda de cada locatário?

Sim, você define o limite no console do seu fornecedor em relação ao grupo, função ou VLAN a que cada chave de locatário está mapeada. As políticas de grupo do Cisco Meraki e as funções de usuário da HPE Aruba possuem limites de taxa, e outros fornecedores oferecem equivalentes. Defina alguns níveis, como quiosque, unidade padrão e loja âncora. Atribua cada locatário a um nível no momento da integração para que uma única unidade não sobrecarregue os caixas dos seus vizinhos.

Como migrar de um SSID por locatário sem tempo de inatividade?

Você migra locatário por locatário, com as redes antiga e nova funcionando lado a lado. Crie o SSID xPSK primeiro e, em seguida, mova os dispositivos de um locatário para sua nova chave e VLAN. Remova o SSID antigo desse locatário assim que todos os dispositivos forem movidos. Comece com uma pequena concessão para provar o tronco de VLAN e as regras do firewall. Em seguida, agende unidades maiores fora do horário comercial.