Como projetar e configurar uma única WLAN que carregue tanto o Wi-Fi normal de equipe/pacientes quanto o tráfego de IoT médico — tags RTLS, monitoramento de bombas de infusão e terminais semelhantes — nos mesmos pontos de acesso: a abordagem de hardware da placa IoT adicional, o projeto de VLAN/isolamento, e a configuração real de AC/AP da Huawei por trás disso.
Por Yuwen Zhang (Atlas), fundador da AtlasCommTech — 13 anos de implantações de redes de operadoras e empresariais · Atualizado em julho de 2026
Operar o Wi-Fi e o IoT médico como duas redes separadas duplica o cabeamento, os pontos de acesso e as dores de cabeça operacionais — compartilhar uma única rede com segurança é a resposta mais difícil, porém melhor.
A maioria dos hospitais não pretendia, desde o início, construir redes paralelas — isso aconteceu departamento por departamento: a chamada de enfermagem ganhou seu próprio gateway, a segurança infantil sua própria rede de leitores, o rastreamento de ativos suas próprias tags e seu próprio backend — cada um resolvendo o problema de um único departamento sem um plano para todo o hospital. O resultado é exatamente o que a arquitetura subjacente adverte: infraestrutura duplicada, dados isolados por aplicação, sinais de rádio brigando no mesmo corredor, e uma equipe de operações de rede obrigada a aprender cinco sistemas diferentes em vez de um só.
A alternativa é um projeto em camadas que separa responsabilidades, não redes: uma camada de terminais com dispositivos de detecção (monitores de infusão, tags de ativos, pulseiras mãe-bebê e similares), uma camada de acesso onde uma placa ou módulo IoT adicional no mesmo ponto de acesso Wi-Fi capta o protocolo não Wi-Fi que esses dispositivos realmente usam, uma camada de transporte com infraestrutura comum de AP/AC/switch que apenas encaminha o tráfego, e uma camada de aplicação — o middleware de IoT do hospital, ou um sistema específico como uma plataforma de segurança infantil — que de fato consome esses dados. A rede Wi-Fi e a rede de IoT médico compartilham o mesmo ponto de acesso físico e a mesma porta de switch; o que os mantém isolados não é um segundo conjunto de cabos, e sim a separação por VLAN e a disciplina de configuração.
O mesmo par de rádios de um ponto de acesso carrega o SSID de Wi-Fi de equipe/pacientes; um slot de placa nesse mesmo ponto de acesso carrega o protocolo de IoT médico — separados por VLAN desde a interface até o servidor de aplicação.
Os rótulos do diagrama permanecem em inglês para clareza técnica.
Plano de dados de rede (este exemplo)
| Item | Valor (este exemplo) |
|---|---|
| VLAN de gerenciamento — tráfego de controle AP↔AC e o caminho da placa IoT do AP↔middleware | VLAN 100 |
| VLAN de serviço Wi-Fi de equipe/pacientes | VLAN 101 |
| Interface de origem CAPWAP do AC | VLANIF100 |
| Serviço DHCP para clientes Wi-Fi (STA) | AC as DHCP server, interface-based pool on VLANIF101 |
| Endereço IP do ponto de acesso | Static 10.23.100.2/24 |
| Pool de endereços STA (cliente Wi-Fi) | 10.23.101.2–10.23.101.254/24 |
| Middleware de IoT médico / servidor de aplicação | 10.23.100.254, UDP port 3000 (example) |
Combinações de placas IoT suportadas por ponto de acesso
| Combinação de placas | Suporte |
|---|---|
| Placa PCIe de porta de rede (grande, 2 slots) + placa USB de porta de rede | Suportado |
| Placa PCIe de porta de rede (grande, 2 slots) + placa USB de porta serial | Suportado |
| Placa PCIe de porta serial ×1 + placa USB de porta de rede | Suportado |
| Placa PCIe de porta serial ×1 + placa USB de porta serial | Suportado |
| Placa PCIe de porta serial ×2 (pequena, 1 slot cada) | Suportado |
As cinco combinações são compatíveis, com condições: apenas uma das duas placas pode ser de porta serial, as faixas de frequência de trabalho das duas placas não podem interferir entre si, apenas uma placa por vez pode rodar em modo contêiner, e instalar duas placas de porta serial desativa completamente a porta serial Bluetooth do ponto de acesso.
Seis movimentos colocam em funcionamento tanto o Wi-Fi de equipe/pacientes quanto o próprio caminho de rede do ponto de acesso: trunk no switch, endereçamento e DHCP no AC, origem CAPWAP do AC, entrada em operação do AP, e o próprio serviço WLAN.
# Access switch — trunk the ports facing the APs
<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 100 101
[Switch] interface GE 0/0/1
[Switch-GE0/0/1] port link-type trunk
[Switch-GE0/0/1] port trunk allow-pass vlan 100 101
[Switch-GE0/0/1] quit
[Switch] interface GE 0/0/2
[Switch-GE0/0/2] port link-type trunk
[Switch-GE0/0/2] port trunk pvid vlan 100
[Switch-GE0/0/2] port trunk allow-pass vlan 100 101
[Switch-GE0/0/2] quit
# AC uplink — same two VLANs
<HUAWEI> system-view
[HUAWEI] sysname AC
[AC] vlan batch 100 101
[AC] interface GE 0/0/1
[AC-GE0/0/1] port link-type trunk
[AC-GE0/0/1] port trunk allow-pass vlan 100 101
[AC-GE0/0/1] quit
# AC as DHCP server for STA, via the business VLAN's interface address pool
[AC] dhcp enable
[AC] interface vlanif 100
[AC-Vlanif100] ip address 10.23.100.1 24
[AC-Vlanif100] quit
[AC] interface vlanif 101
[AC-Vlanif101] ip address 10.23.101.1 24
[AC-Vlanif101] dhcp select interface
[AC-Vlanif101] quit
# CAPWAP source + regulatory domain + AP group
[AC] capwap source interface vlanif 100
[AC] wlan
[AC-wlan] regulatory-domain-profile name domain1
[AC-wlan-regulate-domain-domain1] country-code cn
[AC-wlan-regulate-domain-domain1] quit
[AC-wlan] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] regulatory-domain-profile domain1
Warning: This configuration change will clear the channel and power configurations of radios, and may
restart APs. Continue?[Y/N]:y
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan] quit
# Import the AP by MAC address, name it for its location, assign it a static IP
[AC] wlan
[AC-wlan] ap auth-mode mac-auth
[AC-wlan] ap-id 0 ap-mac 00e0-fc76-e360
[AC-wlan-ap-0] ap-name area_1
[AC-wlan-ap-0] ap-group ap-group1
[AC-wlan-ap-0] quit
[AC-wlan] provision-ap
[AC-wlan-provision-ap] address-mode static
[AC-wlan-provision-ap] ip-address 10.23.100.2 24 gateway 10.23.100.1
[AC-wlan-provision-ap] ac-list 10.23.100.1
[AC-wlan-provision-ap] commit ap-id 0
[AC-wlan-provision-ap] quit
# Staff/patient Wi-Fi: security profile, SSID profile, VAP profile bound to the business VLAN
[AC-wlan] security-profile name wlan-net
[AC-wlan-sec-prof-wlan-net] security wpa-wpa2 psk pass-phrase YsHsjx_202206 aes
[AC-wlan-sec-prof-wlan-net] quit
[AC-wlan] ssid-profile name wlan-net
[AC-wlan-ssid-prof-wlan-net] ssid wlan-net
[AC-wlan-ssid-prof-wlan-net] quit
[AC-wlan] vap-profile name wlan-net
[AC-wlan-vap-prof-wlan-net] forward-mode direct-forward
[AC-wlan-vap-prof-wlan-net] service-vlan vlan-id 101
[AC-wlan-vap-prof-wlan-net] security-profile wlan-net
[AC-wlan-vap-prof-wlan-net] ssid-profile wlan-net
[AC-wlan-vap-prof-wlan-net] quit
[AC-wlan] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] vap-profile wlan-net wlan 1 radio 0
[AC-wlan-ap-group-ap-group1] vap-profile wlan-net wlan 1 radio 1
[AC-wlan-ap-group-ap-group1] quitA placa IoT compartilha fisicamente o ponto de acesso com os rádios Wi-Fi — mas precisa de seu próprio perfil apontando para o middleware de IoT do hospital antes de conseguir se comunicar com ele.
# Create the IoT profile: card type, and the medical IoT middleware's address/port
[AC-wlan] iot-profile name wlan-iot
[AC-wlan-iot-prof-wlan-iot] type common
[AC-wlan-iot-prof-wlan-iot] management-server server-ip 10.23.100.254 server-port 3000
[AC-wlan-iot-prof-wlan-iot] quit
# Apply it to the AP group's IoT card interface, with the local UDP port the card uses
[AC-wlan] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] card 1
[AC-wlan-group-card-ap-group1/1] iot-profile wlan-iot config-agent udp port 50200
[AC-wlan-group-card-ap-group1/1] quit
[AC-wlan-ap-group-ap-group1] quitO endereço IP e a porta do middleware neste exemplo (10.23.100.254, UDP 3000) vêm do caso de configuração de origem; em uma implantação real, eles são fornecidos pelo fornecedor de IoT médico, não escolhidos pela equipe de rede.
São as que transformam uma rede Wi-Fi que deveria funcionar bem em um projeto de IoT médico que ninguém consegue concluir.
SINTOMAUma implantação de segurança infantil ou monitoramento de infusão é planejada entre sites ligados por NAT ou pela internet, e a integração do fornecedor simplesmente não funciona de forma confiável.
CAUSAEsses cenários só são suportados em uma rede local roteada de camada 2/3 — o protocolo subjacente entre a tag/monitor e o middleware não foi projetado para sobreviver à tradução de endereços.
SOLUÇÃOMantenha o ponto de acesso, o AC e o middleware de IoT em uma rede diretamente roteada, sem NAT no meio; se for necessário ligar sites, faça isso com roteamento, não com NAT.
SINTOMAA plataforma do fornecedor de IoT perde o rastro de um ponto de acesso pouco depois de ele estar funcionando normalmente — as leituras daquela ala param de chegar.
CAUSAAlguns fornecedores de placas IoT registram o próprio endereço IP do ponto de acesso em seu servidor; se o lease de DHCP do ponto de acesso for renovado com um endereço diferente, o servidor mantém o endereço antigo e essa vinculação se quebra.
SOLUÇÃOAtribua ao ponto de acesso um endereço IP estático por meio do modelo de provisionamento, como mostrado neste texto, em vez de um lease de DHCP, sempre que a documentação do fornecedor da placa IoT exigir isso.
SINTOMAUma segunda placa IoT é adicionada a um ponto de acesso que já tinha uma, e as tags baseadas em Bluetooth param de ser lidas, ou o aplicativo de integração baseado em contêiner para de responder.
CAUSAUm ponto de acesso com duas placas IoT permite que apenas uma delas seja de porta serial, as faixas de frequência das duas placas não podem se sobrepor, apenas uma placa por vez pode ser configurada em modo contêiner, e instalar duas placas de porta serial desativa completamente a porta serial Bluetooth do ponto de acesso.
SOLUÇÃOVerifique a combinação na lista suportada antes de encomendar uma segunda placa, e decida com antecedência qual única placa vai rodar em modo contêiner.
SINTOMAOs pontos de acesso entraram em operação facilmente durante a implantação inicial, mas uma auditoria de segurança posterior aponta que qualquer AP pode se juntar ao controlador sem autenticação.
CAUSAColocar um ponto de acesso totalmente novo em operação às vezes exige permitir temporariamente sessões DTLS sem autenticação, para que ele possa obter suas credenciais de segurança pela primeira vez — e é fácil seguir para a próxima tarefa e esquecer de desativar isso depois.
SOLUÇÃOTrate a janela sem autenticação como temporária por design: ative-a apenas pelo tempo necessário para o lote de APs obter suas credenciais, e desative-a antes de considerar a implantação concluída.
SINTOMAOs clientes sem fio de uma ala apresentam desempenho visivelmente pior à medida que mais terminais IoT são adicionados à mesma VLAN, mesmo que nada mais tenha mudado.
CAUSANo modo de encaminhamento direto, uma porta de switch voltada para um ponto de acesso sem isolamento de porta configurado pode permitir que o tráfego de broadcast e multicast se replique para todos os outros dispositivos na mesma VLAN — e o tráfego multicast enviado pela interface aérea sem fio em taxas obrigatórias baixas custa um tempo de ar desproporcional ao seu tamanho.
SOLUÇÃOConfigure o isolamento de porta nas portas do switch conectadas diretamente aos pontos de acesso, e aplique a supressão de multicast na porta do switch (encaminhamento direto) ou no perfil de tráfego do AC (encaminhamento por túnel), em vez de deixá-la sem limite.
Um AP mostrando “nor” e um VAP mostrando “ON” confirmam apenas o lado Wi-Fi — verifique o perfil de IoT separadamente, na própria placa, não apenas no papel.
[AC-wlan] display ap all
Total AP information:
nor : normal [1]
ExtraInfo : Extra information
P : insufficient power supply
Total: 1
--------------------------------------------------------------------------------------------------
ID MAC Name Group IP Type State STA Uptime ExtraInfo
--------------------------------------------------------------------------------------------------
0 00e0-fc76-e360 area_1 ap-group1 10.23.100.2 AirEngine5760-51 nor 0 25S -
--------------------------------------------------------------------------------------------------
[AC-wlan] display vap ssid wlan-net
WID : WLAN ID
Total: 2
--------------------------------------------------------------------------------
AP ID AP name RfID WID BSSID Status Auth type STA SSID
--------------------------------------------------------------------------------
0 area_1 0 1 00E0-FC76-E360 ON WPA/WPA2-PSK 1 wlan-net
0 area_1 1 1 00E0-FC76-E370 ON WPA/WPA2-PSK 0 wlan-net
------------------------------------------------------------------------------------
[AC-wlan] display iot-profile name wlan-iot
--------------------------------------------------------------------------------
Type : common
Management server IP address : 10.23.100.254
Management server port : 3000
--------------------------------------------------------------------------------
display ap-card all
display ap 0 card all
iot-card reboot ap-id 0 card 1
iot-card reset-network-configuration ap-id 0 card 1
iot-card switch-firmware ap-id 0 card 1Este texto se baseia em um caso de configuração de WLAN da Huawei — uma rede AC/AP estendida com uma placa IoT adicional para suportar um caso de uso de segurança infantil — e o modelo de hardware de placa IoT que o acompanha. Não cobre o módulo de IoT embutido alternativo da Huawei nem o método de acesso SLE (星闪) mencionados no mesmo material de origem, não cobre o protocolo de tag ou o comportamento de middleware específicos de nenhum fornecedor de RTLS ou monitoramento de infusão além do padrão genérico de registro de IP/porta mostrado aqui, e não especifica um esquema de prioridade QoS/DSCP, já que o caso de configuração no qual este texto se baseia não define um — essa parte é julgamento geral de engenharia, não um valor padrão documentado. Também não cobre o caminho de configuração via interface web, apenas a CLI.
Retiradas do mesmo caso de configuração no qual este texto se baseia.
Sim, e esse é exatamente o projeto no qual este texto se baseia — um mesmo ponto de acesso carrega tanto um SSID Wi-Fi para os dispositivos de equipe/pacientes quanto, por meio de uma placa adicional, um protocolo separado para os terminais de IoT médico. O que os mantém separados não é hardware distinto, e sim a separação por VLAN desde o ponto de acesso até o destino próprio de cada tráfego — a VLAN Wi-Fi vai para a rede do hospital, o caminho de gerenciamento da placa IoT vai para o middleware de IoT.
A placa adicional é hardware físico — instalada como placa PCIe dentro do ponto de acesso, ou conectada como módulo USB — que adiciona suporte a RFID, ZigBee, Bluetooth ou protocolos semelhantes a um ponto de acesso que, de outra forma, só faria Wi-Fi. Versões mais recentes de firmware de AP também suportam um módulo de IoT embutido e um método de acesso SLE (星闪) como alternativas; este texto foca no caminho da placa adicional mostrado no caso de configuração CLI, pois é o que tem um exemplo completo.
Não para os cenários de segurança infantil e monitoramento de infusão nos quais este texto se baseia — o material de origem afirma explicitamente que esses cenários só suportam uma rede local roteada de camada 2/3, não uma que atravesse NAT ou seja roteada pela internet. Planeje para que o ponto de acesso, o AC e o middleware de IoT fiquem na mesma rede roteada.
Os servidores de alguns fornecedores de placas IoT guardam um registro do endereço IP do ponto de acesso para saber onde contatá-lo — se esse endereço mudar porque um lease de DHCP foi renovado de forma diferente, o registro do servidor fica desatualizado e as leituras param de chegar. Um endereço IP estático atribuído pelo modelo de provisionamento do AP evita completamente esse modo de falha.
Muitas vezes sim, por meio de dois slots de placa IoT — mas com limites reais: apenas uma das duas placas pode ser de porta serial, suas faixas de frequência de trabalho não podem interferir entre si, apenas uma placa por vez pode rodar em modo contêiner, e instalar duas placas de porta serial desativa a porta serial Bluetooth do ponto de acesso. Verifique a tabela de combinações suportadas antes de encomendar uma segunda placa.
Conte-nos quantas alas ou departamentos, qual o caso de uso de IoT (rastreamento de ativos, segurança infantil, monitoramento de infusão ou similar), e se você está estendendo APs existentes ou começando do zero — ajudaremos a dimensionar o plano de VLAN e o hardware das placas.