Migração do WiFi de colaboradores de uma palavra-passe partilhada para 802.1X em toda uma rede de várias instalações

Execute um novo SSID WPA-Enterprise em paralelo com o SSID de palavra-passe partilhada e migre os dispositivos por fases. Os dispositivos geridos recebem certificados EAP-TLS através do seu MDM. Os telemóveis pessoais fazem a integração através de um Captive Portal. Os dispositivos que não conseguem armazenar um certificado obtêm a sua própria chave numa rede xPSK. Desative a palavra-passe partilhada em cada local assim que o respetivo registo de autenticação não mostre nenhum dispositivo antigo.

O que muda ao migrar o WiFi da equipa de uma palavra-passe partilhada para 802.1X?

Uma palavra-passe de equipa partilhada é um único segredo guardado por todos os colaboradores, todos os dispositivos e todos os ex-colaboradores. Quando alguém sai, continua a tê-la. Alterá-la significa introduzir novamente a chave em cada terminal de pagamento, tablet e portátil em todos os locais.

O requisito 2.3.2 da norma PCI-DSS v4.0.1 transforma isso numa obrigação. Abrange ambientes sem fios ligados ao ambiente de dados do titular do cartão ou que transmitam dados da conta. Deve alterar as chaves de encriptação sem fios sempre que alguém que as conheça saia da empresa ou da função que necessitava delas. Também deve alterá-las quando se suspeite ou saiba que uma chave foi comprometida. Numa rede com elevada rotatividade de pessoal, uma leitura literal significa redefinir chaves quase todas as semanas.

O IEEE 802.1X elimina o segredo partilhado. É o padrão para controlo de acesso à rede baseado em portas. Um dispositivo deve provar quem é antes de o ponto de acesso reencaminhar o seu tráfego. O ponto de acesso consulta via RADIUS, o protocolo que os equipamentos de rede utilizam para consultar um servidor de autenticação.

O EAP-TLS (Extensible Authentication Protocol with Transport Layer Security, RFC 5216) é a forma mais segura de responder. O dispositivo e o servidor apresentam, cada um, um certificado. Não há palavra-passe para partilhar, ser vítima de phishing ou escrever no quadro do escritório.

A identidade define então a VLAN (LAN virtual, um segmento de rede logicamente separado). O RADIUS devolve uma VLAN para cada dispositivo utilizando os atributos de túnel definidos no RFC 3580. Um portátil da contabilidade e um tablet da cozinha podem ligar-se ao mesmo SSID e ficar em segmentos diferentes.

Onde isto se enquadra no Purple Access

O Purple Access executa três redes numa única plataforma:

• Open: um Captive Portal, a página Web que um dispositivo vê antes de obter acesso à rede. Nesta migração, faz a integração de telemóveis pessoais.
• Secure: EAP-TLS, integração com fornecedor de identidade, Passpoint e RADIUS na nuvem. Os portáteis, tablets e telemóveis da equipa ficam aqui.
• xPSK: uma chave individual para cada dispositivo, chamada iPSK ou PPSK dependendo do seu fabricante. Todos os dispositivos que não conseguem armazenar um certificado ficam aqui.

O WiFi de convidados permanece na sua própria rede e fora deste projeto. O artigo Guest network security: A practical Guide for 2026 abrange esse aspeto. O filtro de DNS em qualquer uma destas redes é o Purple Shield. Para uma visão mais ampla, consulte o nosso guia sobre WiFi security.

Comparação de modelos de credenciais

O PEAP-MSCHAPv2 (Protected EAP com nome de utilizador e palavra-passe) é a solução intermédia habitual, pelo que deve fazer parte da comparação.

Modelo de credencial	O que cada dispositivo apresenta	O que um colaborador ao sair leva consigo	Revogar uma pessoa ou dispositivo	Efeito nas alterações de chave do PCI DSS 2.3.2	Adequado para
PSK Partilhada	Uma palavra-passe para todos	A chave de todos os locais	Alterar a chave em todos os dispositivos no SSID	Alterar a chave para todos sempre que um ex-colaborador a conhecia	Um único local pequeno sem dados de cartões em WiFi
PEAP-MSCHAPv2	Nome de utilizador e palavra-passe pessoais	A sua própria palavra-passe até que a conta seja desativada	Desativar a conta	Sem chave partilhada, mas as palavras-passe podem ser capturadas se os certificados do servidor não forem validados	Locais sem uma autoridade de certificação implementada
EAP-TLS	Um certificado por dispositivo ou pessoa	Nada utilizável assim que o certificado for revogado	Revogar o certificado ou desativar a identidade	Sem chave partilhada para alterar	Portáteis geridos, tablets, terminais portáteis e telemóveis integrados
xPSK	Uma chave única por dispositivo	Apenas as chaves dos dispositivos introduzidas pessoalmente	Eliminar a chave desse dispositivo	Alterar apenas as chaves geridas por esse ex-colaborador	Caixas registadoras, terminais de pagamento, impressoras, CCTV, sinalética

O que precisa antes de migrar uma palavra-passe WiFi partilhada para 802.1X?

Não precisa de novos pontos de acesso. O Purple Access é independente de hardware e funciona como uma sobreposição na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Precisa apenas de ter seis elementos definidos antes do projeto-piloto.

1. Um inventário de dispositivos por local. Exporte a lista de clientes do SSID de funcionários na consola de cada local, englobando pelo menos 14 dias. Classifique todos os dispositivos numa de três categorias. Dispositivos geridos são os registados na sua plataforma de MDM (gestão de dispositivos móveis). Dispositivos pessoais são os telemóveis dos funcionários. Dispositivos sem interface (headless) são caixas registadoras, terminais de pagamento, impressoras, câmaras e qualquer outro equipamento sem repositório de certificados.
2. Um fornecedor de identidade com grupos organizados. Utilize o Microsoft Entra ID, Okta ou Google Workspace. Cada grupo que necessite do seu próprio segmento transforma-se numa regra de VLAN. O artigo Autenticação Okta WiFi: Passos de Configuração, Opções e Correções explica detalhadamente o processo no Okta.
3. Uma autoridade de certificação que o seu MDM possa consultar. O Microsoft Intune, Jamf Pro e a maioria dos restantes MDMs emitem certificados através de perfis SCEP (Simple Certificate Enrollment Protocol) ou PKCS. Decida agora se um certificado identifica o dispositivo ou a pessoa. Tablets partilhados e terminais portáteis exigem certificados de dispositivo.
4. Um plano de VLAN atribuído a todos os locais. Um plano típico tem cinco segmentos: funcionários, dispositivos corporativos geridos, dispositivos de pagamento, outros dispositivos sem interface e um segmento legado restrito. Confirme que o trunk do switch para cada ponto de acesso suporta cada VLAN.
5. O Purple Access configurado como o servidor RADIUS para o SSID seguro. Nos casos em que o seu fabricante utilize RADIUS para chaves por dispositivo, aponte também a rede xPSK para o mesmo. O RADIUS baseado na nuvem significa que não há nada para instalar, atualizar ou agrupar em clusters nos locais.
6. Um responsável designado em cada local. Precisa de alguém que consiga identificar os dispositivos desconhecidos no inventário e aprovar a desativação.

Como migrar o WiFi dos colaboradores para 802.1X sem um fim de semana de transição?

Três princípios eliminam o fim de semana de transição. Construa as novas redes ao lado da antiga. Mova os dispositivos por classe, não por local. Desative local a local, com base nas evidências do registo de autenticação.

Pode executar ambos os SSIDs durante a migração?

Sim, e deve executá-los em conjunto durante todo o projeto. A verdadeira questão é o tempo de antena. Cada SSID transmitido adiciona tramas de beacon em cada rádio, pelo que os guias de conceção dos fabricantes, incluindo o da Cisco Meraki, recomendam manter o número de SSIDs reduzido.

A solução ideal é converter o SSID legado na rede xPSK. Mantenha o seu nome e modo de segurança. Adicione a palavra-passe partilhada antiga como uma chave na lista de chaves por dispositivo, mapeada para a VLAN de legado restrita. Os dispositivos que conhecem a palavra-passe antiga voltam a ligar-se sem notar. Cada dispositivo que move recebe a sua própria chave.

Quando a chave de legado não tiver mais dispositivos num local, elimine-a. A palavra-passe partilhada fica então desativada e nenhum novo SSID chegou a aparecer. O seu estado final são três SSIDs: visitante, colaboradores seguro e xPSK.

Teste isto num local primeiro. Vários fabricantes executam funcionalidades por chave no WPA2-Personal em vez do WPA3-SAE, por isso consulte a documentação do seu fabricante. Se a sua plataforma não conseguir manter a palavra-passe antiga como uma chave, execute quatro SSIDs durante a migração e remova o SSID legado na desativação.

Fase 1: criar uma vez, aplicar a toda a frota

Configure o SSID seguro e a rede xPSK uma vez e, em seguida, aplique-os a cada local a partir de um modelo. Utilize WPA3-Enterprise onde a sua frota gerida o suportar, caso contrário, utilize um modo de transição WPA2/WPA3.

Fabricante	Consola	Definição de SSID seguro	Funcionalidade de chave por dispositivo	Aplicar entre locais com
Cisco Meraki	Meraki Dashboard	Enterprise com o meu servidor RADIUS	Identity PSK (iPSK)	Modelos de configuração
HPE Aruba	Aruba Central	Nível de segurança Enterprise	MPSK	Grupos
Ruckus	SmartZone ou RUCKUS One	Autenticação 802.1X EAP	Dynamic PSK (DPSK)	Zonas ou locais
Juniper Mist	Portal Mist	Segurança WLAN Enterprise (802.1X)	Multi PSK	Modelos de WLAN
Ubiquiti UniFi	UniFi Network	WPA Enterprise com um perfil RADIUS	Private Pre-Shared Keys	Definições de local por local

As etiquetas mudam entre versões de firmware, pelo que deve seguir a documentação do seu fabricante para o caminho atual. Encontra mais tutoriais de configuração nos nossos Guias de acesso.

Fase 2: piloto em dois ou três locais representativos

Escolha locais diferentes: um local grande, um pequeno e um com um modelo de switch invulgar. Execute todas as fases posteriores de ponta a ponta nesses locais primeiro. O piloto existe para encontrar o trunk que não transporta uma VLAN, a caixa registadora que só suporta WPA2 e o perfil de MDM que se instala na ordem errada.

Fase 3: enviar certificados para dispositivos geridos através do MDM

Os dispositivos geridos movem-se mais rapidamente porque o MDM alcança todos os locais de uma só vez. Implante três perfis por ordem: o certificado raiz de confiança, o certificado do dispositivo e, em seguida, o perfil de WiFi. A maioria dos MDMs falha o perfil de WiFi se o certificado ao qual faz referência estiver em falta.

O perfil de WiFi dá nome ao SSID seguro, define o EAP-TLS e fixa o nome do certificado e a raiz do servidor RADIUS. Assim que um dispositivo se tenha autenticado no SSID seguro, envie um perfil que remova a rede antiga. Caso contrário, o dispositivo pode voltar ao SSID antigo no qual já confia.

Fase 4: integrar telemóveis pessoais no mesmo SSID

A equipa junta-se à rede aberta, frequentemente através da leitura de um código QR afixado no back-office. Iniciam sessão no Captive Portal com a sua identidade de trabalho e recebem o perfil de rede seguro. O nosso pilar de Captive portals aborda o design de portais.

Um perfil Passpoint (Hotspot 2.0) é o que mais ajuda uma propriedade com vários locais. O Passpoint permite que um telemóvel encontre e se junte a uma rede pela sua credencial, em vez de pelo nome do SSID. Assim, uma única integração funciona em todos os locais. Mapeie os telemóveis pessoais para uma VLAN de colaboradores apenas com acesso à internet, afastada dos segmentos de pagamentos e back-office. Execute a integração por região para que o helpdesk veja um fluxo constante e não um pico.

Fase 5: mover todos os dispositivos que não conseguem reter um certificado para a sua própria chave

Forneça a cada dispositivo headless uma chave única e mapeie as chaves por classe para as VLANs. Os terminais de pagamento vão para o segmento de pagamentos e as câmaras para o segmento de câmaras. Registe o dispositivo, endereço MAC, local, chave e a pessoa que a introduziu.

As impressoras e os gravadores de câmaras usam habitualmente interfaces web que pode voltar a codificar remotamente. Os caixas registadoras e terminais podem precisar da plataforma de gestão do fornecedor ou de uma visita ao local. O PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist cobre esta fase em detalhe.

Quanto tempo demora uma implementação 802.1X em vários locais?

Trate as durações abaixo como pressupostos de planeamento a testar no seu piloto, e não como referências fixas. Os dispositivos headless definem o ritmo, porque são a única classe que pode precisar de intervenção no local.

Fase	O que acontece	Âmbito	Duração do planeamento
0. Preparar	Inventário, grupos de identidade, plano de VLAN, autoridade de certificação	Toda a propriedade, sem alterações nos dispositivos	2-3 semanas
1. Construir	SSID seguro e rede xPSK em modelos	Toda a propriedade	1 semana
2. Piloto	Todas as fases do início ao fim	2-3 locais	3-4 semanas
3. Dispositivos geridos	O MDM envia certificados e o perfil de WiFi	Todos os locais de uma só vez	2 semanas mais 2 semanas para atrasados
4. Telemóveis pessoais	Integração através da rede aberta	20-30 locais por vaga	2 semanas por vaga
5. Dispositivos headless	Chave única por dispositivo	Remoto ou visita ao local	Meio dia por local, executado em paralelo
6. Desativação	Eliminar a chave antiga	Por local	Mínimo de 14 dias sem incidentes por local

As Fases 3, 4 e 5 sobrepõem-se. Com base nesses pressupostos, planeie 10 a 14 semanas para 50 locais e 20 a 26 semanas para 200.

Cenário prático: um grupo de 64 hotéis com Cisco Meraki

Valores ilustrativos. Cada hotel utilizava cerca de 40 dispositivos numa única chave partilhada de funcionários. Isto significava 22 dispositivos geridos, seis telemóveis pessoais e 12 dispositivos headless: terminais de pagamento, impressoras de talões e ecrãs de sinalética. A equipa de limpeza da agência conhecia a chave, pelo que cada rotação de pessoal da agência ativava a condição de saída PCI DSS 2.3.2.

A equipa converteu o SSID legado para iPSK e manteve a palavra-passe antiga como uma chave numa VLAN restrita. Criaram o SSID Enterprise num modelo de configuração. O Intune enviou certificados para todos os 1408 dispositivos geridos na terceira semana após o piloto. Os gerentes de turno integraram 384 telemóveis pessoais, região a região. Os engenheiros reconfiguraram a chave dos 768 dispositivos headless durante as visitas de manutenção agendadas.

Resultado: na nona semana, a chave meada suportava apenas dispositivos headless. O último hotel eliminou-a na semana 16, sem necessidade de uma noite de transição. A saída de um funcionário significa agora desativar uma conta, em vez de alterar a chave de 2560 dispositivos em 64 hotéis.

Cenário prático: uma rede de retalho de 180 lojas com Juniper Mist

Valores ilustrativos. Cada loja utilizava 27 dispositivos na chave partilhada: 12 scanners portáteis, três PC de back-office, quatro impressoras de etiquetas, seis câmaras e dois telemóveis de gerentes. A alteração de chaves após a saída de funcionários tinha estagnado, porque ninguém conseguia chegar a todas as lojas no mesmo dia.

Os scanners e os PC mudaram para EAP-TLS através do MDM, num total de 2700 dispositivos. As impressoras e as câmaras mudaram para Multi PSK, 1800 chaves exclusivas associadas a duas VLAN. As lojas mudaram em seis fases de 30. O piloto identificou um formato de loja cujos switches não faziam o trunk da VLAN das câmaras. A equipa corrigiu o modelo antes da primeira fase.

Resultado: a contagem do sistema legado por loja atingiu o zero em todas as 180 lojas na semana 22. Já não existe qualquer chave partilhada de funcionários em todo o parque de dispositivos.

Como verificar se a migração funciona, local a local?

Comprovar cada fase no piloto

Execute quatro testes em cada local piloto antes de dimensionar a solução:

• Teste de ligação: um novo dispositivo gerido, um telemóvel integrado e uma caixa registadora com nova chave ligam-se à primeira tentativa.
• Teste de VLAN: cada dispositivo entra no segmento definido pela sua identidade ou chave.
• Teste de roaming: um dispositivo portátil mantém a sessão enquanto se desloca entre pontos de acesso.
• Teste de saída: desative uma identidade de teste e revogue o seu certificado; em seguida, confirme que a autenticação seguinte é recusada.

Medir o progresso por local a partir do registo de autenticação

Apresente três números por local todas as semanas, com base no registo de autenticação e na lista de clientes do controlador:

1. Dispositivos a autenticar com EAP-TLS no SSID seguro.
2. Dispositivos na sua própria chave xPSK.
3. Dispositivos que ainda utilizam a chave meada.

O progresso é definido pelos dois primeiros divididos por todos os dispositivos de funcionários distintos vistos nos últimos 14 dias. Ordene os locais pela contagem do sistema antigo e direcione os esforços para onde a contagem for mais elevada. Conte os telemóveis pessoais por identidade, não por endereço MAC. O iOS e o Android aleatorizam os endereços MAC por rede, pelo que um telemóvel pode parecer dois.

Quando é que desativa a palavra-passe partilhada?

Elimine a chave antiga num local quando as quatro condições forem cumpridas:

• A contagem do sistema antigo for zero durante 14 dias consecutivos, cobrindo dois ciclos completos de escalas.
• Cada dispositivo sem ecrã no inventário tiver a sua própria chave.
• Os pedidos ao suporte técnico para esse local voltarem à linha de base.
• O responsável pelo local tiver dado a aprovação final.

Registe a data. A partir daí, deixa de existir qualquer chave partilhada relativamente ao requisito 2.3.2 para que tenha de a alterar. O seu registo de chaves e o registo de autenticação passam a servir de prova para o requisito. Se um dispositivo esquecido aparecer mais tarde, atribua-lhe a sua própria chave. Nunca restaure a chave partilhada.

O que pode correr mal numa implementação de 802.1X em vários locais e como resolver?

Os dispositivos voltam a ligar-se ao SSID antigo

Os dispositivos memorizam ambas as redes e podem preferir a antiga. Remova a rede antiga através de um perfil MDM assim que o SSID seguro estiver a funcionar. Nos telemóveis pessoais, inclua "esquecer a rede antiga" nas instruções de integração.

Os dispositivos ligam-se sem validar o servidor

Um perfil de WiFi que ignore a validação do certificado do servidor confiará num ponto de acesso não autorizado que transmita o mesmo SSID. Fixe a raiz de confiança e o nome do servidor RADIUS em cada perfil.

Os clientes autenticam-se mas não obtêm um endereço IP

O RADIUS atribuiu uma VLAN que a ligação trunk do switch não carrega. Audite as ligações trunk em todos os modelos de switch no projeto-piloto e, em seguida, corrija o modelo, não o local individual.

Portáteis Windows falham no PEAP

A Microsoft documenta que o Windows Defender Credential Guard bloqueia o sign-on único do MSCHAPv2 com credenciais guardadas. A migração desses portáteis para EAP-TLS remove a dependência de palavras-passe.

Os certificados expiram em toda a infraestrutura em simultâneo

Os certificados emitidos de uma só vez expiram na mesma semana. Configure a renovação automática no MDM bem antes do prazo de expiração e faseie a emissão inicial se a sua autoridade de certificação o permitir.

Demasiados SSIDs tornam todas as redes lentas

Executar SSIDs de convidados, antigos, seguros e xPSK em simultâneo adiciona sobrecarga de beacon em cada rádio. Converta o SSID antigo na rede xPSK, conforme descrito acima, para manter a contagem em três.

Quanto custa uma migração para 802.1X e qual é o retorno?

Os custos estão relacionados com licenças e mão de obra, não com hardware. Paga pelo Purple Access, para além do trabalho de perfis MDM, visitas aos locais para dispositivos sem ecrã e tempo de suporte técnico durante as vagas de integração. Os pontos de acesso, switches e controladores permanecem exatamente como estão.

O retorno reflete-se no trabalho que deixa de ter. No cenário de retalho, uma única rotação da chave partilhada em toda a infraestrutura significava voltar a introduzi-la em 4 860 dispositivos. Assumindo três minutos por dispositivo, isto representa 243 horas de trabalho dos funcionários por cada rotação. Após a migração, a saída de um funcionário significa desativar uma única identidade e alterar quaisquer chaves de dispositivos que essa pessoa tenha introduzido.

Obtém também um registo de autenticação indicando que identidade ou chave se ligou a que local e quando. Esse registo serve de prova para o PCI DSS 2.3.2 e para as revisões de direitos de acesso ao abrigo do controlo 5.18 do Anexo A da ISO 27001. A Purple possui certificação ISO 27001 e Cyber Essentials e funciona com um tempo de atividade de 99,999% em mais de 80 000 locais ativos. Esse tempo de atividade é fundamental quando o RADIUS decide se a equipa pode trabalhar.

Perguntas frequentes

Precisamos de novos pontos de acesso para migrar o WiFi da equipa para 802.1X?

Não. O 802.1X e as chaves por dispositivo funcionam nos pontos de acesso que já possui. O Purple Access é agnóstico em relação ao hardware e funciona como uma sobreposição na nuvem em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Configura um SSID Enterprise que aponta para o RADIUS na nuvem da Purple, além de uma rede de chaves por dispositivo utilizando a funcionalidade do seu próprio fabricante. A única verificação física necessária é garantir que cada trunk de switch suporta as novas VLANs.

Podemos executar o SSID de palavra-passe partilhada e o SSID 802.1X ao mesmo tempo?

Sim, e deve fazê-lo, porque executar ambos é o que elimina a necessidade de fazer a transição num fim de semana. Onde a sua plataforma o permitir, converta o SSID legado na rede xPSK. Mantenha a palavra-passe antiga como uma chave numa VLAN restrita, para que os dispositivos continuem a funcionar enquanto os migra. Elimine essa chave em cada local assim que o respetivo registo de autenticação mostre que nenhum dispositivo a utiliza há 14 dias consecutivos.

O que acontece aos dispositivos que não suportam 802.1X?

Migram para a rede xPSK, cada um com a sua própria chave. Caixas registadoras, terminais de pagamento, impressoras, câmaras e ecrãs de sinalética raramente possuem um certificado, mas quase todos aceitam uma frase de segurança WPA2. Cada chave é mapeada para uma VLAN da respetiva classe de dispositivo, permitindo revogar um dispositivo sem afetar nenhum outro. Mantenha um registo de quem introduziu cada chave, pois o PCI DSS 2.3.2 continua a aplicar-se a chaves que um ex-colaborador conheça.

Quanto tempo demora uma migração 802.1X em múltiplos locais?

Planeie entre 10 a 14 semanas para 50 locais e entre 20 a 26 semanas para 200 locais, e teste essas estimativas no seu projeto-piloto. Os dispositivos geridos são migrados mais rapidamente porque o MDM faz a distribuição para todos os locais em simultâneo. Os dispositivos sem ecrã/interface definem o ritmo, pois alguns exigem uma visita ao local. Cada local precisa de pelo menos 14 dias sem incidentes no registo de autenticação antes de desativar a palavra-passe partilhada.

O 802.1X torna o nosso WiFi para colaboradores em conformidade com o PCI DSS?

Nenhum controlo isolado faz isso, e a avaliação cabe ao seu auditor. O EAP-TLS e as chaves por dispositivo fornecem provas para o requisito 2.3.2 do PCI DSS v4.0.1. Assim que deixar de existir uma chave partilhada, a saída de um colaborador já não obriga a alterar as chaves em toda a rede. O registo de autenticação mostra que identidade ou chave se ligou a que local e quando, o que também apoia as revisões de direitos de acesso segundo a ISO 27001.

Devemos utilizar PEAP com palavras-passe em vez de certificados?

Utilize EAP-TLS sempre que possível. O PEAP-MSCHAPv2 remove a chave partilhada, mas continua a depender de palavras-passe. Essas palavras-passe podem ser capturadas se um dispositivo não validar o certificado do servidor. A Microsoft também documenta que o Windows Defender Credential Guard bloqueia o início de sessão único MSCHAPv2 com credenciais guardadas. Isso interrompe o WiFi baseado em palavra-passe em muitos portáteis Windows geridos. Os certificados fornecidos pelo seu MDM evitam ambos os problemas e não exigem qualquer ação por parte da equipa.

Precisamos de servidores RADIUS locais para 802.1X?

Não. O Purple Access fornece RADIUS em nuvem, pelo que não há nada para instalar, atualizar ou tornar resiliente em cada local. Os seus pontos de acesso enviam pedidos de autenticação para a Purple. A Purple verifica o certificado ou chave, aplica regras de identidade do Microsoft Entra ID, Okta ou Google Workspace e devolve a VLAN. A Purple funciona com 99,999% de disponibilidade e possui as certificações ISO 27001 e Cyber Essentials.

A equipa pode utilizar telefones pessoais no mesmo SSID 802.1X?

Sim, se a sua política o permitir. A equipa adere à rede aberta, inicia sessão no Captive Portal com a sua identidade de trabalho e recebe o perfil de rede seguro. Um perfil Passpoint junta depois o telefone automaticamente em todos os locais da propriedade. Mapeie os telefones pessoais para uma VLAN de equipa apenas com acesso à internet, afastada dos segmentos de pagamentos e de back-office. Teste no projeto-piloto se o seu processo de saída de colaboradores remove o acesso dos mesmos.