Quase toda empresa oferece Wi-Fi para visitantes, e quase todo Wi-Fi de visitante é montado às pressas, sem separação da rede interna. O resultado é um convidado, ou o celular dele, com acesso à mesma rede onde vivem servidores e estações. O captive portal do pfSense resolve isso de forma organizada.
Ele é aquela tela que aparece antes de liberar a internet, pedindo aceite de termos ou algum tipo de identificação. Por trás dela, o pfSense isola a rede de visitantes, controla o acesso e registra o uso. Este guia mostra como funciona, o que configurar e quais cuidados com a LGPD tomar, já que registrar acesso envolve dados pessoais.
O que é o captive portal
Captive portal é o mecanismo que intercepta o primeiro acesso de um dispositivo e o direciona para uma página de entrada antes de liberar a navegação. No pfSense, ele é um recurso nativo, aplicado a uma interface ou VLAN específica, normalmente a rede de visitantes. Só depois de passar pela página o dispositivo ganha acesso à internet.
Essa página pode simplesmente exigir o aceite de um termo de uso, pedir um voucher entregue na recepção ou autenticar contra uma base de usuários. A escolha depende de quanto controle a empresa quer sobre quem usa a rede e por quanto tempo.
Por que isolar a rede de visitantes
O motivo é simples e sério: você não controla os dispositivos dos visitantes. O notebook de um convidado pode estar infectado, o celular pode ter aplicativos maliciosos, e nada disso é responsabilidade sua gerenciar. Se esse dispositivo cair na mesma rede dos servidores, ele vira um caminho de ataque para dentro da empresa.
A separação correta coloca os visitantes em uma VLAN própria, com regras de firewall que liberam apenas a saída para a internet e bloqueiam o acesso à rede corporativa. O visitante navega, mas não enxerga nem alcança nada interno. O captive portal se apoia nessa segmentação; ele controla o acesso, e a VLAN garante o isolamento.
Formas de autenticação
- Aceite de termos de uso, o modelo mais simples, sem identificar a pessoa.
- Voucher com tempo de validade, útil em recepções e eventos.
- Usuário e senha contra uma base local ou servidor de autenticação.
- Limites de banda e de tempo de sessão por dispositivo.
Controle de banda e de sessão
A rede de visitantes não deve competir com a operação pela banda. O captive portal permite limitar a velocidade por dispositivo e o tempo de sessão, evitando que um convidado baixando arquivos grandes prejudique o trabalho. Esses limites mantêm a cortesia do Wi-Fi aberto sem transformá-lo em gargalo.
Combinado com traffic shaping no pfSense, dá para garantir que o tráfego crítico da empresa tenha prioridade sobre a navegação de visitantes. Assim a rede de convidados é um serviço adicional, não uma ameaça ao desempenho do que importa.
Captive portal e LGPD
Aqui mora um ponto que muita empresa ignora. Se o portal pede nome, e-mail, CPF ou registra o acesso associado a um dispositivo, isso é tratamento de dados pessoais e a LGPD se aplica. Coletar dados de visitantes só porque a tela permite, sem finalidade clara nem base legal, é criar risco à toa.
O caminho correto é coletar o mínimo necessário para a finalidade real. Se a intenção é apenas liberar internet com aceite de termos, muitas vezes não é preciso identificar a pessoa. Quando há coleta, o termo de uso deve informar o que é coletado, por quê e por quanto tempo, e os registros precisam de prazo de retenção e acesso controlado, como qualquer dado pessoal.
Registro de acesso e retenção
Registrar quem usou a rede e quando pode ser útil para segurança e, em alguns casos, exigido para responder a um incidente. Mas registro é dado pessoal e não deve ser guardado para sempre. Defina um prazo de retenção alinhado à finalidade e à legislação, e trate esses logs com o mesmo cuidado de qualquer informação sensível.
O equilíbrio é entre visibilidade e privacidade. Guardar o suficiente para investigar um problema, sem transformar a rede de visitantes em um arquivo permanente de dados de pessoas que só queriam checar o e-mail enquanto esperavam uma reunião.
Erros comuns na rede de visitantes
Atenção
- Colocar visitantes na mesma rede das estações e servidores.
- Achar que a senha do Wi-Fi sozinha isola a rede, sem VLAN nem regras.
- Coletar dados pessoais no portal sem finalidade clara nem base legal.
- Reter registros de acesso indefinidamente, sem prazo nem controle.
- Deixar a rede de visitantes com acesso livre a impressoras e dispositivos internos.
Como a OpenSourceBrasil implementa
Montar uma rede de visitantes segura envolve VLAN dedicada, regras de firewall de isolamento, captive portal e atenção à LGPD no que for coletado. A OpenSourceBrasil configura esse conjunto no pfSense de forma integrada ao projeto de segmentação e segurança de redes, deixando a rede de convidados isolada da operação e o tratamento de dados dentro do que a lei espera.