WiFi para concessões e lojistas em centros comerciais: uma arquitetura xPSK com uma chave e VLAN por lojista

Execute um SSID xPSK para cada concessão e unidade de inquilino. Cada inquilino obtém a sua própria chave, e a chave coloca as suas caixas registadoras, tablets e dispositivos de back-office na sua própria VLAN. Os clientes permanecem na rede aberta do Captive Portal e os sistemas do centro numa rede 802.1X segura: três SSIDs no total, com chaves revogadas no dia em que o contrato de arrendamento termina.

O que faz efetivamente uma rede com chave e VLAN por inquilino?

Um centro comercial é proprietário dos pontos de acesso, mas dezenas de empresas distintas dependem deles. Cada concessão, quiosque e unidade de inquilino opera caixas registadoras, tablets de stock, PCs de back-office e, frequentemente, sinalética digital. Esses dispositivos não podem ver-se uns aos outros, aos clientes ou aos próprios sistemas de gestão do edifício do centro.

xPSK é o termo geral para redes em que cada inquilino ou dispositivo tem a sua própria chave pré-partilhada num único SSID. Cada fabricante atribui-lhe um nome diferente:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

Quando um dispositivo se liga, a chave que apresenta identifica o inquilino. O RADIUS devolve depois a VLAN desse inquilino. O RADIUS é o protocolo que os seus pontos de acesso utilizam para perguntar a um servidor de autenticação quem se está a ligar. Uma VLAN (LAN virtual, definida no IEEE 802.1Q) é uma rede de camada 2 independente que é executada nos mesmos switches e cablagem.

O resultado é um nome de rede no ar e muitas redes isoladas no cabo. A identidade define a VLAN, não o SSID.

Por que razão um SSID por inquilino não é escalável

Cada SSID transmite os seus próprios frames de beacon em cada rádio. O intervalo de beacon predefinido do IEEE 802.11 é de 100 unidades de tempo, ou 102,4 ms, pelo que cada SSID envia beacons quase 10 vezes por segundo. Os beacons são transmitidos à taxa básica de dados mais baixa, o que os torna dispendiosos em termos de tempo de antena.

Cada SSID adicional consome tempo de antena que o tráfego dos inquilinos e dos clientes poderia utilizar. Com 20 SSIDs de inquilinos, cada ponto de acesso ao alcance envia 20 conjuntos de beacons. Os fabricantes também limitam o número de SSIDs que um único rádio pode transmitir. Um centro com 60 unidades atinge esse limite muito antes de assinar o seu último contrato de arrendamento.

O custo operacional também aumenta. Cada SSID tem a sua própria frase de acesso para alterar, e cada alteração desliga todos os dispositivos desse inquilino de uma só vez.

De quantos SSIDs necessita um centro comercial?

Três é o número correto para a maioria dos centros:

1. Rede de convidados aberta para clientes. Esta rede utiliza um Captive Portal: a página de início de sessão que um dispositivo vê antes de aceder à internet. Consulte Captive portals para opções de design. O marketing para convidados nesta rede pertence ao plano Engage da Purple, e a filtragem de DNS é efetuada pelo Shield.
2. Rede xPSK para lojistas. Todas as concessões, quiosques e unidades de lojistas ligam-se aqui. Os dispositivos sem ecrã/interface próprios do centro, como CCTV, controladores de gestão do edifício e leitores de sinalética, também se juntam a esta rede, cada um com a sua própria chave e VLAN.
3. Rede segura para a equipa do centro. Esta rede utiliza 802.1X, o padrão IEEE para autenticação de rede baseada em portas. Combine-a com EAP-TLS, que autentica cada dispositivo com um certificado. As identidades provêm do Microsoft Entra ID, Okta ou Google Workspace. Os artigos EAP TLS vs PEAP: Security, Certs and Fit e Okta WiFi Authentication: Setup Steps, Options and Fixes abordam essa vertente.

Abordagem	SSIDs para 60 lojistas	Isolamento do lojista	Remover um lojista	Sobrecarga de beacons	A quem se adequa
SSID por lojista	60 SSIDs de lojistas, além dos limites por rádio	Uma VLAN por SSID	Eliminar esse SSID e reconfigurar os rádios	Aumenta com cada SSID	Centros com menos de cinco lojistas
Uma chave partilhada para todos os lojistas	1	Nenhum: uma chave, uma VLAN	Alterar a chave para todos os lojistas	Um SSID	Nenhum centro onde os lojistas utilizem caixas registadoras
xPSK: uma chave e VLAN por lojista	1	Uma VLAN por chave	Revogar uma chave; as restantes não são afetadas	Um SSID	Concessões, quiosques e unidades com dispositivos sem ecrã/interface
802.1X por dispositivo	1	Uma VLAN por identidade	Revogar o certificado ou a conta	Um SSID	Lojistas com dispositivos geridos que executam um suplicante 802.1X

O 802.1X é o modelo mais forte quando os dispositivos do lojista o suportam. A maioria das concessões combina caixas registadoras, terminais de pagamento, tablets e leitores de sinalética. Muitos destes não conseguem executar um suplicante 802.1X, pelo que o xPSK assegura a sua conetividade.

O que precisa antes de começar?

Pontos de acesso e uma consola que suportem PSK de várias chaves

Não precisa de hardware novo. O Purple é uma sobreposição na nuvem independente de hardware com RADIUS na nuvem, que se posiciona sobre os pontos de acesso que já possui. Antes de começar, confirme que o seu modelo e firmware suportam PSK de várias chaves com uma VLAN atribuída por RADIUS.

Fabricante	Nome da funcionalidade	Consola
Cisco Meraki	Identity PSK (iPSK) with RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone ou RUCKUS One
Juniper Mist	Multi PSK	Painel na nuvem da Juniper Mist
Ubiquiti UniFi	Private Pre-Shared Keys	Aplicação UniFi Network

Verifique mais um ponto na documentação do seu fabricante: o suporte para WPA3. Muitas implementações xPSK são executadas em WPA2-PSK com AES. O suporte a WPA3-SAE para múltiplas chaves num único SSID varia consoante o fabricante e o firmware. Para obter detalhes sobre a configuração no Meraki e Mist, consulte PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist.

Um plano de VLAN e IP

O IEEE 802.1Q utiliza um ID de VLAN de 12 bits, o que fornece 4 094 VLANs utilizáveis. Isso cobre qualquer centro confortavelmente. Planeie o seguinte antes de enviar a primeira chave:

• Um bloco VLAN reservado para os lojistas. Mantenha-o separado da gestão do centro, do CCTV e das VLANs de convidados.
• Uma sub-rede e âmbito DHCP por VLAN de lojista. Dimensione cada um para os dispositivos declarados pelo lojista, mais uma margem para adições sazonais.
• Trunks para cada porta de switch de ponto de acesso. Cada VLAN de lojista deve alcançar todas as portas onde um dispositivo de lojista se possa ligar. Na prática, isso significa todas as portas do centro.
• Regras de firewall na gateway. Negue o tráfego entre lojistas, negue o tráfego de lojistas para o centro e permita o acesso à internet. Permita o processador de pagamentos do lojista e a VPN da sede onde forem necessários.

Uma decisão sobre quem guarda as chaves

O IT do centro deve emitir todas as chaves e cada lojista deve nomear um único contacto para a receber. Registe esse contacto com a respetiva chave. Sem esse registo, não consegue saber quem conhecia a chave quando um lojista comunicar que a mesma foi comprometida.

A seguir, decida entre uma chave por lojista e uma chave por dispositivo. Uma chave por lojista é mais rápida de administrar. Uma chave por dispositivo para caixas registadoras e equipamentos de pagamento com cartão é mais segura. Se um tablet do stock desaparecer, revoga a sua chave e as caixas registadoras continuam online.

O requisito 2.3.2 da PCI DSS v4.0 prevê que as chaves sem fios ligadas ao ambiente de dados de titulares de cartões mudem quando alguém com conhecimento da chave sai da empresa. As chaves por lojista e por dispositivo mantêm essa alteração restrita ao menor grupo possível.

Como configurar uma chave e VLAN por lojista?

Crie o SSID xPSK uma única vez

Crie o SSID do lojista na consola do seu fornecedor com autenticação RADIUS apontada para a Purple. Utilize WPA2-PSK com AES como base e WPA3 onde o seu fornecedor o suportar para PSK de várias chaves. Transmita o SSID: ocultar o nome de uma rede não adiciona segurança e faz com que os dispositivos o procurem em todo o lado.

A documentação de configuração da Purple para o seu fornecedor fornece as definições exatas. Siga-a em vez de copiar valores de outro site.

Mapeie cada chave de lojista para a sua VLAN

Na Purple, cada registo de lojista contém uma ou mais chaves e um ID de VLAN. Quando um dispositivo se autentica, a Purple devolve a VLAN utilizando os atributos padrão de túnel RADIUS descritos na RFC 3580. Estes são Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID. O ponto de acesso coloca então o dispositivo nessa VLAN.

Defina limites de largura de banda por lojista

A Purple atribui a VLAN. O limite de largura de banda junta-se à política que a sua consola aplica a essa VLAN, grupo ou função. As políticas de grupo Cisco Meraki e as funções de utilizador HPE Aruba possuem limites de débito, e os restantes fornecedores oferecem equivalentes.

Defina um conjunto reduzido de níveis, como quiosque, unidade standard e loja âncora. Atribua cada lojista a um nível durante a sua integração. Os níveis impedem que uma única unidade a transmitir vídeo promocional esgote a largura de banda das caixas registadoras ao lado. Também lhe dão uma margem de manobra se o contrato de arrendamento incluir termos de conectividade.

Integrar uma nova unidade

Inclua a integração na lista de verificação de instalação, e não na semana de abertura:

1. Crie o registo do inquilino quando o contrato de arrendamento for assinado. Inclua o número da unidade, o contacto designado, as datas de início e fim do contrato e o escalão de largura de banda.
2. Atribua uma VLAN a partir do bloco do inquilino e confirme o respetivo escopo DHCP.
3. Alique regras de firewall para essa VLAN, incluindo quaisquer pontos de extremidade de processadores de pagamento ou VPN que o inquilino declare.
4. Gere a chave ou chaves no Purple e associe-as à VLAN.
5. Envie a chave para o contacto designado através de um canal encriptado. Nunca a imprima no pacote do contrato de arrendamento.
6. Teste a partir da unidade. Ligue um dispositivo e confirme que obtém a sub-rede correta e acede à internet.
7. Registe a emissão com data, emissor, recetor e VLAN.

Revogue o acesso quando um inquilino sair

Revogue a chave do inquilino na data de fim do contrato de arrendamento e agende essa ação como parte da lista de verificação de saída. A revogação interrompe imediatamente novas ligações.

Os dispositivos que já estejam ligados podem permanecer associados até se voltarem a ligar, dependendo da sua plataforma. Caso a sua plataforma suporte RADIUS Change of Authorisation (CoA, definido no RFC 5176), utilize-o para os desligar. Caso contrário, desligue os clientes a partir da consola do fornecedor.

Mantenha a VLAN libertada sem utilização durante um período de quarentena antes de a reatribuir. Isto impede que um dispositivo esquecido surja na rede do inquilino seguinte. A mesma disciplina de entradas, mudanças e saídas que a sua equipa de RH aplica às contas dos funcionários aplica-se agora aos inquilinos.

Como verificar se a segmentação funciona?

Teste cada novo inquilino na integração e faça uma amostragem de todo o espaço trimestralmente:

• VLAN correta: um dispositivo que utilize a chave do inquilino recebe um endereço na sub-rede desse inquilino.
• Sem acesso lateral: a partir de um dispositivo do inquilino, o gateway da VLAN de um inquilino vizinho não responde.
• Sem acesso aos sistemas do centro: as sub-redes de CCTV, gestão do edifício e funcionários do centro estão inacessíveis.
• A internet funciona: o inquilino acede à internet e a quaisquer pontos de extremidade de pagamento ou VPN permitidos.
• A revogação funciona: uma chave revogada falha a autenticação.

Se as caixas registadoras dos inquilinos processarem dados de cartões, o requisito 11.4.5 do PCI-DSS v4.0 exige testes de penetração aos controlos de segmentação pelo menos uma vez a cada 12 meses. Os seus resultados trimestrais e o teste anual servem de evidência para esse requisito. Cada inquilino continua a ser responsável pela sua própria avaliação PCI-DSS como comerciante.

O que registar

Registe o suficiente para responder a três perguntas: quem teve acesso, quando e em que VLAN.

• Chave emitida: inquilino, ID da chave, VLAN, emissor, recetor e data.
• Chave revogada: inquilino, ID da chave, motivo, pessoa que revogou e data.
• Eventos de autenticação: ID da chave, endereço MAC do dispositivo, ponto de acesso, VLAN atribuída, carimbo de data/hora e resultado.
• Alterações às regras de firewall por VLAN de inquilino.

Os endereços MAC dos dispositivos podem ser dados pessoais ao abrigo do GDPR quando podem ser associados a um indivíduo. Defina um período de retenção, documente-o e elimine de acordo com o agendamento. A Purple possui a certificação ISO 27001 e está certificada para o GDPR e CCPA, o que lhe dá provas para as suas próprias avaliações de fornecedores. Para o conjunto mais amplo de controlos, consulte WiFi security e Guest network security: A practical Guide for 2026.

Cenários práticos

Estes dois cenários são modelos ilustrativos e não implementações específicas. Os resultados decorrem do próprio design.

Um centro comercial com 70 lojas a substituir os SSID de lojistas

Situação. O centro transmitia 14 SSIDs: visitantes, funcionários do centro e 12 SSIDs de lojistas criados para os primeiros grandes inquilinos. As restantes 58 lojas partilhavam uma palavra-passe de lojista numa única VLAN. A saída de um lojista significava alterar essa palavra-passe para todos os outros lojistas do centro.

O que foi feito. As TI reduziram tudo para três SSIDs: visitantes, funcionários do centro em 802.1X com EAP-TLS e um SSID de lojista com xPSK. Todas as 70 lojas receberam a sua própria chave e VLAN, com chaves por dispositivo para os caixas registadoras. As TI migraram os 12 lojistas baseados em SSID um a um, removendo cada SSID antigo à medida que os seus dispositivos eram movidos. O CCTV e a gestão do edifício foram movidos para as suas próprias chaves e VLANs no mesmo SSID de lojista.

Resultado. Cada rádio passou de 14 SSIDs para três. As tramas de beacon por rádio caíram de cerca de 137 por segundo para cerca de 29. A saída de um lojista deixou de exigir a alteração de chaves em 58 empresas e passou a ser apenas a revogação de uma chave. O tráfego de lojista para lojista, anteriormente aberto na VLAN partilhada, está agora bloqueado no gateway e é testado trimestralmente.

Um mercado municipal gerido pelo município com comerciantes ao fim de semana

Situação. Um mercado do setor público acolhe 40 bancas permanentes e até 25 comerciantes ao fim de semana. Todos os comerciantes usavam uma palavra-passe partilhada que não mudava há anos. Antigos comerciantes ainda conseguiam ligar-se a partir do parque de estacionamento.

O que foi feito. Cada banca permanente recebeu a sua própria chave e VLAN. Os comerciantes do fim de semana receberam chaves individuais associadas a uma VLAN de comerciantes partilhada e com isolamento de clientes, para que os seus dispositivos não se consigam comunicar entre si. O gerente de turno revoga todas as chaves de fim de semana como parte da lista de verificação de encerramento de domingo, e as novas chaves são enviadas com as atribuições de espaço de sábado.

Resultado. O município passou de uma palavra-passe partilhada de longa duração para 40 chaves permanentes e até 25 chaves semanais. Nenhuma chave dura mais tempo do que o comerciante que a possui. O município também passou a ter um registo de todas as chaves emitidas e revogadas, algo que não tinha antes.

O que pode correr mal e como resolver?

Sintoma	Causa provável	Solução
O dispositivo liga-se mas vai para a VLAN predefinida	A resposta RADIUS não tem atributos de VLAN, ou o SSID ignora a substituição de VLAN por RADIUS	Confirme o mapeamento de chave para VLAN no Purple e, em seguida, ative a atribuição de VLAN por RADIUS no SSID
O dispositivo liga-se mas não obtém endereço IP	A VLAN do lojista não está em trunk para a porta do switch desse ponto de acesso, ou não há escopo DHCP	Adicione a VLAN ao trunk e confirme o escopo DHCP
Caixa registadora ou terminal antigo não se liga	SSID definido apenas para WPA3 ou Protected Management Frames obrigatórios	Utilizar WPA2-PSK com AES ou modo de transição WPA2/WPA3 para esse SSID
Inquilino revogado continua online	A sessão existente permanece ativa até que o dispositivo se volte a ligar	Enviar um desligamento CoA ou remover o cliente na consola do fornecedor
Um inquilino consegue aceder a outro	Encaminhamento inter-VLAN permitido no switch principal ou gateway	Adicionar regras de negação entre as VLANs dos inquilinos e testar novamente
Dispositivos desconhecidos na VLAN de um inquilino	O inquilino partilhou a sua chave com um vizinho ou prestador de serviços	Revogar essa chave, emitir uma nova e informar o contacto designado

Quanto custa e qual é o retorno?

Quanto custa. Não precisa de novos pontos de acesso, controladores ou switches. Paga a subscrição do Purple Access, além do tempo de engenharia para o plano de VLAN, trunking e regras de firewall. Depois disso, cada inquilino necessita apenas de um registo, uma VLAN e uma chave na integração, e uma revogação na saída.

O que recebe em troca.

• Tempo de antena. Um SSID de inquilino substitui um SSID por inquilino, pelo que o overhead de beacons deixa de crescer a cada contrato de arrendamento.
• Contenção. Uma chave divulgada ou de um inquilino que cessou o contrato afeta apenas esse inquilino e não todo o centro.
• Evidências. Os registos de emissão e revogação cumprem o requisito 2.3.2 do PCI DSS. Os testes de segmentação cumprem o requisito 11.4.5.
• Escala. A Purple opera em mais de 80 000 locais ativos e processou 440 milhões de sessões de acesso em 2024 (dados próprios da Purple). Um centro com 70 unidades não representa qualquer esforço adicional.

Se a equipa do seu centro ainda partilha uma única palavra-passe, migre-a a seguir. O guia Migrating staff WiFi from a shared password to 802.1X across a multi-site estate define a sequência correta. Encontre mais arquiteturas de acesso em Access guides.

Perguntas frequentes

Isto funciona com os pontos de acesso que o nosso centro já possui?

Sim, a Purple funciona como uma sobreposição na nuvem nos pontos de acesso que já possui, sem necessidade de substituir equipamentos. A Purple é agnóstica em termos de hardware, sendo compatível com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Para uma rede xPSK de inquilinos, confirme se o seu modelo e firmware suportam PSK de chaves múltiplas com uma VLAN atribuída por RADIUS. A Meraki denomina isto iPSK, a Aruba chama-lhe MPSK e a Ruckus denomina-o DPSK.

Os inquilinos podem partilhar pontos de acesso sem partilhar redes?

Sim, esse é precisamente o objetivo de ter uma chave e uma VLAN por inquilino. Cada inquilino liga-se ao mesmo SSID através dos mesmos pontos de acesso. Cada chave coloca os dispositivos desse inquilino na sua própria VLAN. As regras de firewall na gateway bloqueiam depois o tráfego entre as VLANs dos inquilinos e os sistemas do próprio centro. As lojas vizinhas partilham antenas e tempo de antena, mas nunca partilham uma rede de camada 2.

De quantos SSIDs necessita um centro comercial?

Três cobrem a maioria dos centros comerciais. Precisa de uma rede de convidados aberta com um Captive Portal para os clientes, e uma rede xPSK para cada lojista e para os dispositivos headless do centro. Adicione uma rede 802.1X segura para a equipa do centro comercial, autenticada no Microsoft Entra ID, Okta ou Google Workspace. Cada SSID adicional aumenta o overhead de beacons em cada rádio, por isso evite criar um por lojista.

Como removemos o acesso WiFi de um lojista quando este sai?

Revoga a chave desse lojista no Purple e as novas ligações param imediatamente. Torne a revogação parte da lista de verificação de rescisão do contrato de arrendamento, com a data do fim do contrato. Os dispositivos que já estão ligados podem permanecer online até se voltarem a ligar. Desligue-os com o RADIUS Change of Authorisation, caso a sua plataforma o suporte, ou através da consola do fornecedor. Em seguida, coloque a VLAN em quarentena antes de a reatribuir.

Isto tornará os caixas registadoras dos nossos lojistas conformes com o PCI-DSS?

Não, o design da rede por si só não pode tornar um comerciante conforme. Cada lojista continua a ser responsável pela sua própria avaliação PCI-DSS. Uma chave e uma VLAN por lojista fornecem evidências para requisitos específicos. O Requisito 2.3.2 cobre a alteração de chaves sem fios quando as pessoas com conhecimento das mesmas saem. O Requisito 11.4.5 cobre os testes anuais de intromissão dos controlos de segmentação. Partilhe os resultados dos seus testes de segmentação com os lojistas, mediante pedido.

Podemos limitar a largura de banda de cada lojista?

Sim, define o limite na consola do seu fornecedor para o grupo, função ou VLAN a que cada chave de lojista se associa. As políticas de grupo do Cisco Meraki e as funções de utilizador da HPE Aruba aplicam limites de débito, e os restantes fornecedores oferecem equivalentes. Defina alguns níveis, como quiosque, unidade standard e loja âncora. Atribua cada lojista a um nível durante a integração para que uma única unidade não sobrecarregue a rede das caixas registadoras vizinhas.

Como migrar de um SSID por lojista sem tempo de inatividade?

Faz a migração lojista a lojista, com a rede antiga e a nova a funcionarem em simultâneo. Crie primeiro o SSID xPSK e, em seguida, mova os dispositivos de um lojista para a sua nova chave e VLAN. Remova o SSID antigo desse lojista assim que todos os dispositivos tiverem sido movidos. Comece com um pequeno espaço comercial para validar o trunking de VLAN e as regras da firewall. Depois, agende as unidades maiores fora do horário de funcionamento.