Aruba ClearPass and Purple WiFi: ইন্টিগ্রেশন এবং স্থাপন নির্দেশিকা

এই নির্দেশিকাটি HPE Aruba ClearPass Policy Manager-কে Purple WiFi প্ল্যাটফর্মের সাথে একত্রিত করার জন্য একটি সম্পূর্ণ প্রযুক্তিগত রেফারেন্স প্রদান করে, যা RADIUS প্রক্সি আর্কিটেকচার, captive portal কনফিগারেশন এবং ডাইনামিক VLAN রোল ম্যাপিং কভার করে। এটি Aruba-নির্ভর পরিবেশে IT ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য ডিজাইন করা হয়েছে, যাদের NAC-এর জন্য ClearPass ধরে রাখার প্রয়োজন এবং একই সাথে গেস্ট অথেন্টিকেশন ও অ্যানালিটিক্সের জন্য Purple স্থাপন করতে হবে। এই ইন্টিগ্রেশন বাস্তবায়ন একটি গুরুত্বপূর্ণ ভেন্ডর ব্যবধান পূরণ করে, যা Purple-এর বাজার-নেতৃত্বাধীন ভিজিটর ইন্টেলিজেন্স ক্ষমতার পাশাপাশি এন্টারপ্রাইজ-গ্রেড নিরাপত্তা এবং সম্মতি সক্ষম করে।

📖 9 মিনিট পাঠ📝 2,154 শব্দ🔧 2 উদাহরণ❓ 4 প্রশ্ন📚 9 মূল শব্দসমূহ

🎧 এই গাইডটি শুনুন

ট্রান্সক্রিপ্ট দেখুন

Welcome to this technical briefing on integrating HPE Aruba ClearPass with the Purple WiFi platform. I'm your host, and today we're diving deep into the architecture, deployment strategies, and operational benefits of combining ClearPass Policy Manager's robust network access control with Purple's industry-leading guest WiFi and analytics capabilities.

For IT managers, network architects, and CTOs managing large-scale venues — whether that's a sprawling retail chain, a high-density stadium, or a complex healthcare campus — delivering secure, segmented, and insightful wireless access is paramount. ClearPass is phenomenal at context-aware policy enforcement and 802.1X authentication for corporate devices. However, when it comes to guest onboarding, captive portals, and extracting actionable marketing analytics from visitor data, Purple is the undisputed leader.

The core question we're answering today is: How do you configure ClearPass to use Purple as the captive portal, while retaining ClearPass for NAC and dynamic role-based VLAN assignment? Let's get into it.

First, let's establish the architecture. At a high level, the integration relies on standard RADIUS protocols and HTTP redirect mechanisms. Your Aruba Mobility Controllers or Instant Access Points broadcast the guest SSID. When an unauthenticated device connects, the controller intercepts the HTTP traffic and redirects the user's browser to the Purple captive portal. This redirect is the first critical piece to get right.

Now, the user authenticates via Purple. This might be a social login through Facebook or Google, a custom email and password form, or even OpenRoaming, where Purple acts as a free identity provider under the Connect licence. Once Purple validates the user, it sends a RADIUS Access-Accept message back through the chain to the controller, which then grants network access.

But here's where ClearPass becomes essential. Rather than the Aruba controller talking directly to Purple's RADIUS servers, you insert ClearPass as a RADIUS proxy in the middle. The controller sends all RADIUS requests to ClearPass. ClearPass evaluates the request and, if it matches your guest service routing policy, forwards it to Purple's cloud RADIUS servers. Purple responds, and ClearPass passes that response back to the controller, but crucially, it can append its own policy attributes before doing so.

This proxy architecture gives you the best of both worlds. ClearPass maintains a complete audit log of every authentication event on your network, both corporate and guest. You get a single pane of glass for security operations. And Purple handles the user-facing experience and analytics without you needing to replace your existing NAC investment.

Let's talk about dynamic VLAN assignment, because this is where things get really powerful — and where most deployments run into trouble if they're not careful.

ClearPass uses a concept called Roles and Enforcement Profiles. When an authentication request comes in, ClearPass evaluates the context: who is the user, what device are they on, what time is it, what location are they connecting from? Based on these factors, it assigns a Role. For a standard guest, that might be ROLE_GUEST. For a VIP, it might be ROLE_VIP. For a contractor, ROLE_CONTRACTOR.

This Role is then mapped to an Enforcement Profile, which defines the specific RADIUS attributes to return to the Aruba controller. The most important attribute here is the Aruba-User-Role Vendor-Specific Attribute, or VSA. This tells the controller exactly which role to place the user in on the wireless side.

On the Aruba controller, each role maps to a specific VLAN and a set of firewall policies. So ROLE_GUEST maps to VLAN 20, with internet-only access and a 10 megabit per second bandwidth limit. ROLE_VIP maps to VLAN 40, with a 50 megabit limit. ROLE_IOT maps to VLAN 30, a completely isolated segment with no internet access, just local connectivity for smart devices.

This segmentation is not just good practice — it's a compliance requirement. Under PCI DSS, any network that touches cardholder data must be isolated from guest networks. Under GDPR, you need to be able to demonstrate that personal data collected through the guest portal is handled appropriately and that guest traffic cannot traverse your corporate infrastructure.

Now, let me walk you through a real-world scenario. A large hotel chain with 500 rooms across multiple properties. They have Aruba controllers at every site, ClearPass deployed centrally, and they want to roll out Purple for guest WiFi.

The deployment looks like this. Two SSIDs per site: Hotel_Corp and Hotel_Guest. Hotel_Corp uses 802.1X with certificates, authenticated against Active Directory via ClearPass. Hotel_Guest is an open SSID that triggers the Purple captive portal.

In ClearPass, they create two Services. Service One matches Hotel_Corp and handles 802.1X authentication locally. Service Two matches Hotel_Guest and uses a RADIUS Routing Policy to proxy requests to Purple. The Enforcement Policy for Service Two returns the Aruba-User-Role of guest-authenticated, which maps to VLAN 20 on the controller.

For IoT devices — smart TVs, thermostats, door locks — they use a third SSID, Hotel_IoT, with MAC-based authentication. ClearPass profiles the device using its OUI and assigns ROLE_IOT, dropping it into VLAN 30.

The result? Staff get full corporate access. Guests get a branded, engaging portal experience with social login and marketing opt-ins. IoT devices are isolated. And the IT team has complete visibility across all three user types in ClearPass's Access Tracker.

Now let's talk about the pitfalls, because there are several that will catch you out if you're not prepared.

Number one: the walled garden. This is the most common source of captive portal failures. Before a device is authenticated, the Aruba controller only allows traffic to a pre-defined list of destinations — the walled garden. If Purple's portal URL, its backend API endpoints, and the social login provider domains are not in that list, the portal simply won't load. You need to maintain this list proactively. Social login providers like Facebook and Google regularly change their IP ranges and CDN domains. Treat the walled garden as a living configuration.

Number two: RADIUS timeouts. The default RADIUS timeout on most Aruba controllers is three seconds. In a proxy architecture, the request travels from the AP to the controller, to ClearPass, across the internet to Purple's cloud RADIUS, and back. On a congested network, that round trip can easily exceed three seconds. Increase your timeout to at least ten seconds and configure retry logic.

Number three: shared secret mismatches. This one causes silent failures that are notoriously difficult to diagnose. The shared secret between the Aruba controller and ClearPass must match exactly. The shared secret between ClearPass and Purple's RADIUS servers must also match exactly. A single character difference will cause authentication to fail with no meaningful error message to the end user. Always double-check these.

Number four: role name case sensitivity. The Aruba-User-Role VSA returned by ClearPass must exactly match — including capitalisation — the role name defined on the Aruba controller. If ClearPass returns guest-authenticated but the controller has Guest-Authenticated defined, the user will fall back to the default role, which is typically the logon role with no internet access.

Number five: RADIUS accounting. Many deployments configure authentication proxying correctly but forget to proxy accounting as well. Purple uses RADIUS accounting data to track session duration, data usage, and to populate its analytics dashboards. If accounting isn't flowing to Purple, your analytics will be incomplete.

Let's move to the rapid-fire questions section.

Can I use a single SSID for both employees and guests? Yes, you can. Configure ClearPass to handle both 802.1X and MAC-Auth on the same SSID. Use Service Rules to differentiate the traffic type and route accordingly. It's more complex to manage but reduces SSID proliferation.

Does Purple support Change of Authorization? Yes. CoA allows the controller to dynamically update a user's session without requiring them to reconnect. This is useful for time-limited access or tier upgrades.

Can I use this integration with Aruba Instant rather than a full Mobility Controller? Yes, Aruba Instant supports external RADIUS servers and captive portal redirect. The configuration is slightly different but the principles are identical.

Does this integration work with WPA3? Yes. WPA3-SAE for personal networks and WPA3-Enterprise for 802.1X are both supported. For guest networks using captive portals, WPA3-SAE or an open SSID with Opportunistic Wireless Encryption are the typical choices.

To summarise today's briefing. The ClearPass and Purple integration is a RADIUS proxy architecture. ClearPass remains your central policy decision point for all network access. Purple handles the guest-facing experience and analytics. The Aruba controller enforces the resulting policies through dynamic VLAN assignment. The three most critical configuration elements are the walled garden, RADIUS timeouts, and role name consistency. Get those right, and you have a robust, compliant, and commercially valuable guest WiFi deployment.

Thank you for listening. If you want to explore this further, visit purple.ai to speak with a solutions architect about your specific deployment.

মূল বিষয়সমূহ

✓The integration uses a RADIUS proxy architecture: the Aruba controller sends all RADIUS requests to ClearPass, which routes guest authentication to Purple's cloud RADIUS servers while handling corporate 802.1X locally.
✓ClearPass remains the central policy decision point for all network access, maintaining a unified audit trail that satisfies PCI DSS and GDPR compliance requirements.
✓Dynamic VLAN assignment is achieved through ClearPass Role Mapping and the Aruba-User-Role VSA, enabling secure segmentation of guests, staff, IoT devices, and VIPs on a single SSID.
✓The walled garden is the most operationally sensitive configuration element — it must include Purple's portal domains, social login provider endpoints, and OS-level captive portal detection URLs.
✓Increase the RADIUS timeout on the Aruba controller to at least 10 seconds to accommodate the additional network hop to Purple's cloud infrastructure.
✓RADIUS Accounting must be proxied to Purple alongside authentication — without it, Purple's analytics dashboards will show incomplete session data.
✓This integration closes a critical vendor gap for Aruba-heavy enterprises, enabling Purple's advanced guest analytics and marketing capabilities without replacing the existing ClearPass NAC investment.

কার্যনির্বাহী সারসংক্ষেপ

HPE Aruba পরিকাঠামোতে ব্যাপকভাবে বিনিয়োগ করা এন্টারপ্রাইজ পরিবেশের জন্য, জটিল নেটওয়ার্ক অ্যাক্সেস নীতিগুলি পরিচালনা করার সময় একটি নির্বিঘ্ন, ডেটা-সমৃদ্ধ গেস্ট WiFi অভিজ্ঞতা প্রদান করা একটি উল্লেখযোগ্য স্থাপত্যগত চ্যালেঞ্জ উপস্থাপন করে। যদিও ClearPass Policy Manager কর্পোরেট ডিভাইসের জন্য Network Access Control (NAC) এবং IEEE 802.1X অথেন্টিকেশনে পারদর্শী, ভেন্যু অপারেটরদের ক্রমবর্ধমানভাবে Purple WiFi দ্বারা প্রদত্ত উন্নত captive portal, অ্যানালিটিক্স এবং মার্কেটিং ক্ষমতার প্রয়োজন।

এই নির্দেশিকাটি RADIUS প্রক্সি মডেল ব্যবহার করে Aruba ClearPass-কে Purple WiFi-এর সাথে একত্রিত করার স্থাপত্য এবং স্থাপন কৌশল বিস্তারিতভাবে বর্ণনা করে। Purple-এর RADIUS-as-a-Service-এ গেস্ট অথেন্টিকেশন অনুরোধ প্রক্সি করার জন্য ClearPass কনফিগার করার মাধ্যমে, সংস্থাগুলি কেন্দ্রীভূত নিরাপত্তা নীতি বজায় রাখতে পারে, ডাইনামিক রোল-ভিত্তিক VLAN অ্যাসাইনমেন্ট প্রয়োগ করতে পারে এবং একই সাথে Purple-এর শক্তিশালী ভিজিটর ইনসাইটস প্ল্যাটফর্মের সুবিধা নিতে পারে। এই ইন্টিগ্রেশন Retail , Hospitality , Healthcare , এবং Transport হাবগুলিতে বৃহৎ আকারের স্থাপনার জন্য অত্যন্ত গুরুত্বপূর্ণ, যেখানে সম্মতি, নিরাপত্তা এবং গ্রাহক ব্যস্ততা আপস ছাড়াই সহাবস্থান করতে হবে। ফলাফল হল এমন একটি স্থাপন যেখানে ClearPass সিদ্ধান্ত নেয়, Purple নিযুক্ত করে এবং Aruba প্রয়োগ করে।

প্রযুক্তিগত গভীর বিশ্লেষণ

স্থাপত্যের সংক্ষিপ্ত বিবরণ

এই ইন্টিগ্রেশনটি RFC 2865 (RADIUS) এবং RFC 5176 (Dynamic Authorisation Extensions) দ্বারা সমর্থিত একটি স্ট্যান্ডার্ড RADIUS প্রক্সি আর্কিটেকচারের উপর নির্ভর করে। Aruba Mobility Controller বা Instant AP ক্লাস্টারকে সমস্ত SSIDs-এর জন্য ClearPass-কে তার প্রাথমিক RADIUS সার্ভার হিসাবে ব্যবহার করার জন্য কনফিগার করা হয়েছে। ClearPass Active Directory বা একটি অভ্যন্তরীণ সার্টিফিকেট অথরিটির বিরুদ্ধে কর্পোরেট 802.1X অথেন্টিকেশন স্থানীয়ভাবে পরিচালনা করে, তবে গেস্ট অথেন্টিকেশন অনুরোধ Purple-এর ক্লাউড RADIUS সার্ভারগুলিতে ফরোয়ার্ড করার জন্য একটি RADIUS Service Routing নীতি দিয়ে কনফিগার করা হয়েছে।

এই স্থাপত্যটি ClearPass-এ কেন্দ্রীয় নীতি সিদ্ধান্ত বিন্দু হিসাবে বিনিয়োগ সংরক্ষণ করে, যখন গেস্ট অভিজ্ঞতা স্তর সম্পূর্ণরূপে Purple-এর কাছে অর্পণ করে। প্রতিটি অথেন্টিকেশন ইভেন্ট — কর্পোরেট বা গেস্ট — ClearPass-এর Access Tracker-এ লগ করা হয়, যা একটি সমন্বিত অডিট ট্রেইল প্রদান করে যা PCI DSS v4.0 এবং GDPR Article 30 (Records of Processing Activities) এর অধীনে সম্মতি প্রয়োজনীয়তা পূরণ করে।

অথেন্টিকেশন ফ্লো: ধাপে ধাপে

ইভেন্টগুলির সঠিক ক্রম বোঝা প্রাথমিক স্থাপন এবং পরবর্তী সমস্যা সমাধানের জন্য অপরিহার্য। একটি গেস্ট ডিভাইসের জন্য ফ্লোটি নিম্নরূপ।

Step	Actor	Action
1	গেস্ট ডিভাইস	উন্মুক্ত গেস্ট SSID-এর সাথে যুক্ত হয়
2	Aruba কন্ট্রোলার	প্রি-অথ আইপি বরাদ্দ করে এবং ডিভাইসকে লগইন রোলে রাখে
3	গেস্ট ডিভাইস	HTTP অনুরোধ পাঠায় (যেমন, http://example.com )
4	Aruba কন্ট্রোলার	ইন্টারসেপ্ট করে এবং HTTP 302 Purple portal URL-এ রিডাইরেক্ট করে
5	গেস্ট ডিভাইস	ওয়াল্ড গার্ডেন এর মাধ্যমে Purple captive portal লোড করে
6	গেস্ট ব্যবহারকারী	অথেন্টিকেট করে (সোশ্যাল লগইন, ফর্ম, অথবা OpenRoaming)
7	Purple প্ল্যাটফর্ম	Aruba কন্ট্রোলারে RADIUS Access-Request পাঠায়
8	Aruba কন্ট্রোলার	RADIUS অনুরোধ ClearPass-এ ফরোয়ার্ড করে
9	ClearPass	গেস্ট সার্ভিস রুল ম্যাচ করে, Purple RADIUS-এ প্রক্সি করে
10	Purple RADIUS	Access-Accept ফেরত দেয়
11	ClearPass	Aruba VSAs (User-Role) যুক্ত করে, Accept ফরোয়ার্ড করে
12	Aruba কন্ট্রোলার	ডিভাইসকে পোস্ট-অথ রোলে স্থানান্তরিত করে, গেস্ট VLAN বরাদ্দ করে

captive portal সনাক্তকরণ ব্যবস্থার আচরণ — বিশেষ করে Apple-এর Captive Network Assistant (CNA), Android-এর কানেক্টিভিটি চেক, এবং Microsoft NCSI — পোর্টালটি সঠিকভাবে লোড হয় কিনা তার উপর সরাসরি প্রভাব ফেলে। এই OS-স্তরের আচরণগুলির বিস্তারিত বিশ্লেষণের জন্য, Apple CNA, Android Connectivity Check, Microsoft NCSI: How Captive Portal Detection Actually Works দেখুন।

ডাইনামিক VLAN অ্যাসাইনমেন্ট এবং ClearPass রোল ম্যাপিং

নেটওয়ার্ক সেগমেন্টেশন PCI DSS সম্মতি এবং সুদৃঢ় নিরাপত্তা স্থাপত্যের জন্য একটি অ-আলোচনাযোগ্য প্রয়োজনীয়তা। ClearPass তার রোল ম্যাপিং এবং এনফোর্সমেন্ট প্রোফাইল ফ্রেমওয়ার্কের মাধ্যমে ডাইনামিক VLAN অ্যাসাইনমেন্ট সক্ষম করে।

যখন ClearPass একটি অথেন্টিকেশন অনুরোধ প্রক্রিয়া করে, তখন এটি প্রাসঙ্গিক বৈশিষ্ট্যগুলি — ব্যবহারকারীর পরিচয়, ডিভাইসের ধরন (DHCP ফিঙ্গারপ্রিন্টিং বা HTTP User-Agent এর মাধ্যমে প্রোফাইল করা), দিনের সময় এবং সংযোগের অবস্থান — মূল্যায়ন করে এবং একটি রোল বরাদ্দ করে। এই রোলটি তখন একটি এনফোর্সমেন্ট প্রোফাইলে ম্যাপ করা হয় যা Aruba কন্ট্রোলারে নির্দিষ্ট RADIUS বৈশিষ্ট্যগুলি ফেরত দেয়, যার মধ্যে সবচেয়ে গুরুত্বপূর্ণ হল Aruba-User-Role Vendor-Specific Attribute (VSA, Vendor ID 14823, Attribute 1)।

Aruba কন্ট্রোলার প্রতিটি User-Role-কে একটি VLAN এবং স্টেটফুল ফায়ারওয়াল নীতির একটি সেটের সাথে ম্যাপ করে। একটি বড় ভেন্যুর জন্য একটি প্রতিনিধি সেগমেন্টেশন মডেল নিচে দেখানো হলো।

User Type	ClearPass Role	VLAN	Bandwidth Policy	Firewall Policy
কর্পোরেট কর্মচারী	ROLE_CORP	10	100 Mbps	সম্পূর্ণ অভ্যন্তরীণ অ্যাক্সেস
স্ট্যান্ডার্ড গেস্ট	ROLE_GUEST	20	10 Mbps	শুধুমাত্র ইন্টারনেট
IoT ডিভাইস	ROLE_IOT	30	5 Mbps	শুধুমাত্র স্থানীয়, ইন্টারনেট নেই
VIP / প্রিমিয়াম গেস্ট	ROLE_VIP	40	50 Mbps	ইন্টারনেট + নির্বাচিত পরিষেবা
ঠিকাদার	ROLE_CONTRACTOR	50	20 Mbps	সীমিত অভ্যন্তরীণ অ্যাক্সেস

ClearPass-এ RADIUS প্রক্সি কনফিগারেশন

ClearPass Policy Manager-এ RADIUS প্রক্সি কনফিগারেশনের জন্য তিনটি উপাদানের প্রয়োজন: একটি RADIUS Proxy Target (Purple-এর RADIUS সার্ভার এন্ডপয়েন্টগুলি সংজ্ঞায়িত করে), একটি Service Routing Policy (কোন অনুরোধগুলি প্রক্সি করতে হবে তা সংজ্ঞায়িত করে), এবং একটি Enforcement Profile (সংজ্ঞায়িত করে রিটার্ন পাথে যোগ করার জন্য VSAs)।

প্রক্সি টার্গেটটি Administration > External Servers > RADIUS Servers এর অধীনে কনফিগার করা হয়। Purple এর RADIUS IP ঠিকানাগুলি (Purple পোর্টালে Hardware > RADIUS Settings এর অধীনে উপলব্ধ), শেয়ার্ড সিক্রেট, এবং অথেন্টিকেশন পোর্ট (UDP 1812) ও অ্যাকাউন্টিং পোর্ট (UDP 1813) যোগ করুন।

সার্ভিসটি Configuration > Services এর অধীনে কনফিগার করা হয়। RADIUS Proxy টাইপ সেট করে একটি নতুন সার্ভিস তৈরি করুন। সার্ভিস রুলস এর অধীনে, গেস্ট ট্র্যাফিক শনাক্ত করতে Called-Station-ID (SSID নাম) বা NAS-Identifier এর সাথে মিলে যাওয়া একটি শর্ত যোগ করুন। অথেন্টিকেশন এর অধীনে, উপরে তৈরি করা RADIUS Proxy টার্গেটটি নির্বাচন করুন।

অত্যন্ত গুরুত্বপূর্ণভাবে, নিশ্চিত করুন যে RADIUS Accounting ও Purple-এ প্রক্সি করা হয়েছে। Purple তার WiFi Analytics প্ল্যাটফর্মে সেশন সময়কাল, ডেটা ব্যবহার, এবং রিয়েল-টাইম উপস্থিতি ডেটা পূরণ করতে অ্যাকাউন্টিং ডেটা (Acct-Start, Acct-Interim-Update, Acct-Stop) ব্যবহার করে। অ্যাকাউন্টিং বাদ দেওয়া একটি সাধারণ স্থাপনার ত্রুটি যা অসম্পূর্ণ অ্যানালিটিক্স ড্যাশবোর্ডের কারণ হয়।

বাস্তবায়ন নির্দেশিকা

পর্যায় 1: Aruba কন্ট্রোলার কনফিগারেশন

ধাপ 1 — ClearPass কে RADIUS সার্ভার হিসাবে সংজ্ঞায়িত করুন। Configuration > Security > Authentication Servers এ নেভিগেট করুন। ClearPass এর প্রাথমিক এবং মাধ্যমিক IP ঠিকানা যোগ করুন। শেয়ার্ড সিক্রেট, অথেন্টিকেশন পোর্ট (1812), এবং অ্যাকাউন্টিং পোর্ট (1813) সেট করুন। Purple এর ক্লাউড অবকাঠামোতে প্রক্সি হপ এর জন্য টাইমআউট 10 সেকেন্ড এবং রিট্রাই 3 এ কনফিগার করুন।

ধাপ 2 — গেস্ট SSID কনফিগার করুন। গেস্ট অ্যাক্সেসের জন্য একটি নতুন SSID প্রোফাইল তৈরি করুন। সিকিউরিটি মোড Open বা WPA3-SAE তে সেট করুন (GDPR কমপ্লায়েন্সের জন্য প্রস্তাবিত)। AAA প্রোফাইলের অধীনে, প্রাথমিক রোলটি একটি পূর্ব-নির্ধারিত লগঅন রোলে সেট করুন যেখানে শুধুমাত্র ওয়াল্ড গার্ডেন অ্যাক্সেস রয়েছে।

ধাপ 3 — Captive Portal প্রোফাইল কনফিগার করুন। Purple এর স্প্ল্যাশ পেজ URL নির্দেশ করে একটি Captive Portal প্রোফাইল তৈরি করুন। এই URL টি Purple পোর্টালে Locations > [Your Venue] > Splash Page URL এর অধীনে পাওয়া যায়। অথেন্টিকেশনের পরে আসল URL এ রিডাইরেক্ট করার অপশনটি সক্ষম করুন।

ধাপ 4 — ওয়াল্ড গার্ডেন কনফিগার করুন। এটি সবচেয়ে অপারেশনালভাবে সংবেদনশীল ধাপ। ওয়াল্ড গার্ডেনে অবশ্যই Purple এর পোর্টাল ডোমেইন, CDN এন্ডপয়েন্ট, এবং সমস্ত সোশ্যাল লগইন প্রদানকারী ডোমেইন অন্তর্ভুক্ত থাকতে হবে। সর্বনিম্ন, অন্তর্ভুক্ত করুন:

*.purple.ai এবং *.purple-portal.com
*.facebook.com, *.fbcdn.net (Facebook লগইনের জন্য)
*.google.com, *.googleapis.com (Google লগইনের জন্য)
Apple এর CNA চেক এন্ডপয়েন্ট: captive.apple.com
Microsoft NCSI: www.msftconnecttest.com

ধাপ 5 — পোস্ট-অথ রোল সংজ্ঞায়িত করুন। ClearPass পোস্ট-অথেন্টিকেশনের পরে যে রোলগুলি অ্যাসাইন করবে (যেমন, guest-authenticated) সেগুলি তৈরি করুন। প্রতিটি রোল একটি VLAN এবং একটি ফায়ারওয়াল নীতির সাথে ম্যাপ করা হয় যা শুধুমাত্র ইন্টারনেট অ্যাক্সেসের অনুমতি দেয়।

পর্যায় 2: ClearPass Policy Manager কনফিগারেশন

ধাপ 1 — Aruba কন্ট্রোলারগুলিকে নেটওয়ার্ক ডিভাইস হিসাবে যোগ করুন। Configuration > Network > Devices এর অধীনে, প্রতিটি Aruba কন্ট্রোলারকে তার ম্যানেজমেন্ট IP, শেয়ার্ড সিক্রেট, এবং ভেন্ডর (Aruba Networks) সহ যোগ করুন।

ধাপ 2 — Purple কে RADIUS Proxy টার্গেট হিসাবে যোগ করুন। Administration > External Servers > RADIUS Servers এর অধীনে, Purple পোর্টালে প্রদত্ত শেয়ার্ড সিক্রেট সহ Purple এর RADIUS এন্ডপয়েন্টগুলি যোগ করুন।

ধাপ 3 — গেস্ট অথেন্টিকেশন সার্ভিস তৈরি করুন। Configuration > Services এর অধীনে, একটি নতুন সার্ভিস তৈরি করুন। সার্ভিসের ধরন RADIUS Proxy তে সেট করুন। গেস্ট SSID এর সাথে মিলে যাওয়ার জন্য সার্ভিস রুলস কনফিগার করুন (যেমন, Called-Station-SSID EQUALS GuestWiFi)। অথেন্টিকেশন এর অধীনে, Purple RADIUS Proxy টার্গেটটি নির্বাচন করুন।

ধাপ 4 — এনফোর্সমেন্ট প্রোফাইল তৈরি করুন। Configuration > Enforcement > Profiles এর অধীনে, একটি RADIUS এনফোর্সমেন্ট প্রোফাইল তৈরি করুন। Aruba-User-Role অ্যাট্রিবিউটটি guest-authenticated মান সহ যোগ করুন। এটি Aruba কন্ট্রোলারকে ব্যবহারকারীকে পোস্ট-অথ গেস্ট রোলে স্থানান্তরিত করার নির্দেশ দেয়।

ধাপ 5 — অ্যাকাউন্টিং প্রক্সি কনফিগার করুন। নিশ্চিত করুন যে সার্ভিসটি Purple এর অ্যাকাউন্টিং সার্ভারে (UDP 1813) RADIUS Accounting প্রক্সি করার জন্য কনফিগার করা হয়েছে।

পর্যায় 3: Purple প্ল্যাটফর্ম কনফিগারেশন

ধাপ 1 — হার্ডওয়্যার নিবন্ধন করুন। Purple পোর্টালে, Locations > Hardware এ নেভিগেট করুন। Aruba কন্ট্রোলারের পাবলিক IP ঠিকানা বা NAS-Identifier যোগ করুন। এটি Purple কে সঠিক ভেন্যুর সাথে অথেন্টিকেশন অনুরোধগুলি সংযুক্ত করতে দেয়।

ধাপ 2 — স্প্ল্যাশ পেজ কনফিগার করুন। Purple এর পোর্টাল বিল্ডার ব্যবহার করে Captive Portal অভিজ্ঞতা ডিজাইন করুন। GDPR এর সাথে সঙ্গতি রেখে অথেন্টিকেশন পদ্ধতি, শর্তাবলী, এবং মার্কেটিং অপ্ট-ইন ফিল্ডগুলি কনফিগার করুন।

ধাপ 3 — RADIUS ক্রেডেনশিয়াল পুনরুদ্ধার করুন। Locations > [Venue] > RADIUS Settings এর অধীনে, RADIUS সার্ভার IP ঠিকানা, শেয়ার্ড সিক্রেট, এবং পোর্টগুলি পুনরুদ্ধার করুন। ClearPass Proxy টার্গেট কনফিগারেশনে এই মানগুলি ব্যবহার করুন।

সেরা অনুশীলন

ওয়াল্ড গার্ডেন রক্ষণাবেক্ষণ। ওয়াল্ড গার্ডেনকে একটি জীবন্ত কনফিগারেশন হিসাবে বিবেচনা করুন। সোশ্যাল লগইন প্রদানকারীরা নিয়মিত তাদের CDN ডোমেইন এবং IP রেঞ্জ আপডেট করে। একটি ত্রৈমাসিক পর্যালোচনা প্রক্রিয়া স্থাপন করুন এবং প্রধান প্রদানকারীদের থেকে পরিবর্তন বিজ্ঞপ্তিগুলিতে সাবস্ক্রাইব করুন।

RADIUS রিডানডেন্সি। ফেইলওভারের জন্য ClearPass এ Purple এর উভয় RADIUS সার্ভার IP কনফিগার করুন। একইভাবে, অথেন্টিকেশন পাথে একক ব্যর্থতার পয়েন্টগুলি দূর করতে ClearPass কে একটি সাবস্ক্রাইবার/পাবলিশার ক্লাস্টারে স্থাপন করুন।

অ্যাকাউন্টিং ইন্টিগ্রিটি। যাচাই করুন যে প্রতিটি সেশনের জন্য RADIUS Accounting Stop রেকর্ডগুলি Purple দ্বারা প্রাপ্ত হচ্ছে। অনাথ সেশনগুলি (স্টপ ছাড়া স্টার্ট) একটি নেটওয়ার্ক সমস্যা নির্দেশ করে এবং অ্যানালিটিক্স ডেটা বিকৃত করবে।

802.1X এর জন্য সার্টিফিকেট ব্যবস্থাপনা। EAP-TLS বা PEAP ব্যবহার করে কর্পোরেট SSID এর জন্য, মেয়াদ শেষ হওয়ার অনেক আগে সার্ভার সার্টিফিকেটগুলি নবায়ন করা নিশ্চিত করুন। একটি মেয়াদোত্তীর্ণ সার্টিফিকেট একই সাথে সমস্ত কর্পোরেট ডিভাইসকে লক আউট করবে — এটি একটি উচ্চ-প্রভাবের ঘটনা।

IoT ডিভাইস প্রোফাইলিং। OUI এবং DHCP ফিঙ্গারপ্রিন্ট দ্বারা IoT ডিভাইসগুলিকে স্বয়ংক্রিয়ভাবে শ্রেণীবদ্ধ করতে ClearPass Device Insight বা বিল্ট-ইন প্রোফাইলিং ইঞ্জিন ব্যবহার করুন। এটি ম্যানুয়াল MAC ঠিকানা ব্যবস্থাপনা ছাড়াই স্বয়ংক্রিয় VLAN অ্যাসাইনমেন্ট সক্ষম করে।

GDPR কমপ্লায়েন্স। Purple গেস্ট অথেন্টিকেশনের সময় ব্যক্তিগত ডেটা (ইমেল, নাম, সোশ্যাল প্রোফাইল) সংগ্রহ করে। নিশ্চিত করুন যে আপনার Purple স্প্ল্যাশ পেজে একটি সঙ্গতিপূর্ণ গোপনীয়তা বিজ্ঞপ্তি অন্তর্ভুক্ত আছে এবংএবং Purple পোর্টালে ডেটা ধরে রাখার নীতিগুলি আপনার সংস্থার GDPR বাধ্যবাধকতার সাথে সঙ্গতিপূর্ণ।

সমস্যা সমাধান ও ঝুঁকি প্রশমন

Captive Portal প্রদর্শিত হচ্ছে না

লক্ষণ: ক্লায়েন্ট গেস্ট SSID-এর সাথে সংযুক্ত হয় কিন্তু কোনো পোর্টাল প্রদর্শিত হয় না; ডিভাইস দেখায় "Connected, no internet."

শনাক্তকরণ: কন্ট্রোলার আপলিঙ্কে একটি প্যাকেট ক্যাপচার ব্যবহার করে যাচাই করুন যে পোর্টাল URL-এর জন্য DNS ক্যোয়ারীগুলি সমাধান হচ্ছে এবং HTTP ট্র্যাফিক ইন্টারসেপ্ট করা হচ্ছে। CNA/NCSI চেক এন্ডপয়েন্টগুলি ওয়াল্ড গার্ডেনে আছে কিনা তা পরীক্ষা করুন।

সমাধান: ওয়াল্ড গার্ডেনে অনুপস্থিত ডোমেনগুলি যোগ করুন। যাচাই করুন যে captive portal প্রোফাইলটি গেস্ট SSID AAA প্রোফাইলের সাথে সঠিকভাবে সংযুক্ত আছে।

নীরব প্রমাণীকরণ ব্যর্থতা

লক্ষণ: ব্যবহারকারী পোর্টাল ফর্ম পূরণ করে, কিন্তু নেটওয়ার্ক অ্যাক্সেস অস্বীকার করা হয়। ClearPass Access Tracker একটি Access-Reject দেখায়।

শনাক্তকরণ: Access Tracker এন্ট্রি খুলুন এবং প্রমাণীকরণ ব্যর্থতার কারণ পরীক্ষা করুন। সাধারণ কারণগুলি হল RADIUS শেয়ার্ড সিক্রেট অমিল, Purple RADIUS সার্ভার অগম্য, অথবা ভুল পরিষেবার সাথে একটি ভুল সার্ভিস রুল মিলে যাওয়া।

সমাধান: Aruba কন্ট্রোলার-টু-ClearPass এবং ClearPass-টু-Purple উভয় লেগেই শেয়ার্ড সিক্রেট যাচাই করুন। radtest ব্যবহার করে ClearPass সার্ভার থেকে Purple RADIUS-এর পৌঁছানোর ক্ষমতা পরীক্ষা করুন।

ভুল VLAN অ্যাসাইনমেন্ট

লক্ষণ: অতিথি সফলভাবে প্রমাণীকরণ করে কিন্তু কর্পোরেট সাবনেটে (VLAN 10) একটি IP ঠিকানা পায়।

সমাধান: ClearPass Enforcement Profile-এ Aruba-User-Role মানটি Aruba কন্ট্রোলারে সংজ্ঞায়িত ভূমিকার নামের সাথে হুবহু (কেস সহ) মিলেছে কিনা তা যাচাই করুন। VSA পাঠানো হচ্ছে কিনা তা নিশ্চিত করতে ClearPass Access Tracker আউটপুট অ্যাট্রিবিউটগুলি পরীক্ষা করুন।

RADIUS টাইমআউট ত্রুটি

লক্ষণ: প্রমাণীকরণ মাঝে মাঝে ব্যর্থ হয়, বিশেষ করে লোডের অধীনে। Access Tracker টাইমআউট ত্রুটি দেখায়।

সমাধান: Aruba কন্ট্রোলারে RADIUS সার্ভার টাইমআউট 10 সেকেন্ডে বাড়ান। যাচাই করুন যে UDP পোর্ট 1812 এবং 1813 খোলা আছে এবং ClearPass এবং Purple-এর ক্লাউড ইনফ্রাস্ট্রাকচারের মধ্যে ফায়ারওয়ালে রেট লিমিটিং-এর অধীন নয়।

ROI এবং ব্যবসায়িক প্রভাব

এই সমন্বিত আর্কিটেকচার স্থাপন করা IT, নিরাপত্তা এবং বাণিজ্যিক ফাংশন জুড়ে পরিমাপযোগ্য রিটার্ন প্রদান করে। নিরাপত্তা এবং সম্মতি দৃষ্টিকোণ থেকে, ClearPass-এ সমস্ত প্রমাণীকরণ ইভেন্ট কেন্দ্রীভূত করা একটি সমন্বিত অডিট ট্রেইল সরবরাহ করে যা PCI DSS এবং GDPR সম্মতি প্রতিবেদনকে সহজ করে। ডাইনামিক VLAN সেগমেন্টেশন কর্পোরেট অবকাঠামো অতিক্রমকারী গেস্ট ট্র্যাফিকের ঝুঁকি দূর করে, সরাসরি আক্রমণের পৃষ্ঠ হ্রাস করে।

একটি বাণিজ্যিক দৃষ্টিকোণ থেকে, Purple-এর Guest WiFi প্ল্যাটফর্ম গেস্ট নেটওয়ার্ককে একটি ব্যয় কেন্দ্র থেকে একটি ফার্স্ট-পার্টি ডেটা সম্পদে রূপান্তরিত করে। প্রতিটি প্রমাণীকৃত গেস্ট সেশন অপ্ট-ইন মার্কেটিং ডেটা তৈরি করে — ইমেল ঠিকানা, ভিজিটের ফ্রিকোয়েন্সি, থাকার সময় এবং ডিভাইসের ধরন — যা সরাসরি CRM এবং মার্কেটিং অটোমেশন প্ল্যাটফর্মে ফিড করে। বিদ্যমান Aruba অবকাঠামোর পাশাপাশি Purple স্থাপনকারী স্থানগুলি ইমেল তালিকা বৃদ্ধি, পুনরাবৃত্ত ভিজিটের হার এবং প্রচারাভিযানের রূপান্তরে পরিমাপযোগ্য উন্নতির কথা ধারাবাহিকভাবে জানায়।

এই ইন্টিগ্রেশন বিদ্যমান ClearPass লাইসেন্স বা Aruba হার্ডওয়্যার প্রতিস্থাপনের প্রয়োজনীয়তাও দূর করে, যা এটিকে বিদ্যমান অবকাঠামো বিনিয়োগের জন্য একটি কম-ঝুঁকিপূর্ণ, উচ্চ-রিটার্ন সংযোজন করে তোলে। একাধিক সাইট পরিচালনা করা সংস্থাগুলির জন্য — একটি খুচরা চেইন, একটি হোটেল গ্রুপ, বা একটি বিশ্ববিদ্যালয় ক্যাম্পাস — Purple-এর কেন্দ্রীভূত ব্যবস্থাপনা পোর্টাল ক্রস-সাইট অ্যানালিটিক্স সরবরাহ করে যা ClearPass একা দিতে পারে না।

যেসব পরিবেশে শারীরিক ভিজিটর আচরণ বোঝা নেটওয়ার্ক নিরাপত্তার মতোই গুরুত্বপূর্ণ — যেমন বড় খুচরা ফ্লোর বা পরিবহন কেন্দ্র — Purple-এর অ্যানালিটিক্স Indoor Positioning System ডেটার সাথে স্বাভাবিকভাবে একত্রিত হয় যাতে সংযোগ মেট্রিক্সের পাশাপাশি স্থানিক বুদ্ধিমত্তা প্রদান করা যায়।

মূল শব্দ ও সংজ্ঞা

RADIUS Proxy

A configuration where a RADIUS server (ClearPass) forwards authentication requests to another RADIUS server (Purple) based on specific matching criteria, such as the SSID name or NAS-Identifier.

Used when an organisation wants to maintain a single NAC solution internally while utilising a third-party cloud service for guest authentication. The proxy preserves the central audit log in ClearPass while delegating the authentication decision to Purple.

Change of Authorization (CoA)

A RADIUS extension defined in RFC 5176 that allows a RADIUS server to dynamically modify the session authorisation attributes of an active client connection without requiring the client to disconnect.

Critical for captive portal deployments. CoA allows Purple to signal the Aruba controller to transition a user from the pre-authentication logon role to the post-authentication guest role the moment the user completes the portal form.

Walled Garden

A pre-authentication access control list on the Aruba controller that permits unauthenticated devices to reach specific IP addresses and domains required for the captive portal to function.

If the device cannot reach the portal URL, social login provider endpoints, or OS-level captive portal detection URLs (Apple CNA, Microsoft NCSI), the portal will fail to load. This is the most common source of captive portal deployment failures.

Vendor-Specific Attribute (VSA)

Custom RADIUS attributes defined by network equipment vendors (Vendor ID 14823 for Aruba) to extend the standard RADIUS protocol with proprietary instructions.

The Aruba-User-Role VSA (Attribute 1) is the primary mechanism by which ClearPass instructs the Aruba controller which role to assign to an authenticated user. The value must exactly match a role defined on the controller.

Dynamic VLAN Assignment

The process of placing a user or device into a specific VLAN based on their authenticated identity or assigned role, rather than the physical port or SSID they connected to.

Enables venue operators to broadcast a single guest SSID while securely segmenting standard guests, VIP guests, IoT devices, and contractors onto separate, isolated network segments — a requirement for PCI DSS compliance.

Enforcement Profile

A ClearPass configuration object that defines the specific RADIUS attributes and values to return to the network device when a device successfully matches an authentication service.

This is where the business logic of 'if guest, then assign guest role' is translated into specific RADIUS VSAs sent to the Aruba controller. A misconfigured Enforcement Profile is a common cause of incorrect VLAN assignment.

Captive Network Assistant (CNA)

The mini-browser built into iOS, macOS, Android, and Windows that automatically detects a captive portal by making HTTP requests to known endpoints and prompts the user to authenticate.

Understanding CNA behaviour is essential for troubleshooting portal display issues on specific device types. The CNA endpoints (captive.apple.com, www.msftconnecttest.com) must be in the walled garden.

Access Tracker

The real-time diagnostic tool within ClearPass Policy Manager that logs every RADIUS authentication and accounting event, including the request attributes, matched service, applied enforcement profile, and result.

The first diagnostic tool to consult when troubleshooting authentication failures or incorrect role assignments. It provides a complete record of what ClearPass received, what decision it made, and what it returned to the network device.

RADIUS-as-a-Service (RaaS)

A cloud-delivered RADIUS authentication service where the RADIUS server infrastructure is managed and hosted by a third-party provider rather than on-premises.

Purple's RADIUS-as-a-Service eliminates the need for venues to deploy and manage their own RADIUS infrastructure for guest authentication, while integrating with existing on-premises NAC solutions like ClearPass via the proxy architecture described in this guide.

কেস স্টাডিজ

A 500-room hotel group with Aruba controllers and ClearPass deployed centrally needs to provide secure 802.1X WiFi for staff, a branded captive portal for guests, and isolated connectivity for IoT devices (smart TVs, thermostats, door locks). How should they architect the authentication flow?

Deploy three SSIDs: Hotel_Corp (802.1X, WPA2-Enterprise), Hotel_Guest (open SSID with captive portal redirect), and Hotel_IoT (open SSID with MAC-based authentication). All three SSIDs point to ClearPass as the RADIUS server. In ClearPass, create three Services: Service 1 matches Hotel_Corp and authenticates against Active Directory via PEAP-MSCHAPv2, returning ROLE_CORP (VLAN 10, full internal access). Service 2 matches Hotel_Guest and uses a RADIUS Routing Policy to proxy requests to Purple's RADIUS servers; the Enforcement Profile returns Aruba-User-Role = guest-authenticated (VLAN 20, internet only, 10 Mbps). Service 3 matches Hotel_IoT and uses ClearPass Device Profiling to classify devices by OUI; the Enforcement Profile returns ROLE_IOT (VLAN 30, local only, no internet). The walled garden on the Aruba controller includes Purple's portal domains, Facebook, Google, and Apple's CNA endpoint.

বাস্তবায়ন সংক্রান্ত নোট: This architecture correctly separates the three authentication paths while maintaining ClearPass as the single policy decision point. The key design decision is using RADIUS proxy for guest traffic rather than configuring the Aruba controller to talk directly to Purple — this preserves the unified audit trail in ClearPass and allows the organisation to apply additional ClearPass policies (e.g., time-of-day restrictions) to guest sessions in the future without changing the Aruba configuration.

A retail chain is rolling out Purple across 120 stores, all running Aruba Instant APs. Guest authentication latency is high and portal drop-offs are occurring. Preliminary investigation shows the RADIUS timeout is set to the default 3 seconds.

Increase the RADIUS server timeout on all Aruba Instant APs to 10 seconds and configure 3 retries. Deploy both of Purple's RADIUS server IPs as primary and secondary servers in the Instant AP configuration to provide failover. Review the walled garden configuration to ensure all social login provider domains are included, as incomplete walled gardens cause the portal page to load slowly or partially, increasing perceived latency. Enable RADIUS Accounting on the Instant APs to ensure Purple receives session data. Finally, review the Purple portal design to minimise the number of external resource calls (fonts, images) that must load before the authentication form is displayed.

বাস্তবায়ন সংক্রান্ত নোট: The 3-second default timeout is a common source of intermittent failures in proxy architectures. The request travels from the AP to Purple's cloud and back, and on a congested or high-latency WAN link this can easily exceed 3 seconds. Increasing the timeout is the immediate fix, but the root cause investigation should also examine whether the ClearPass-to-Purple network path is optimal and whether Purple's RADIUS servers are geographically close to the ClearPass deployment.

দৃশ্যপট বিশ্লেষণ

Q1. Your deployment requires guests to authenticate via Facebook login. The Purple portal loads, but when users tap the Facebook button, the page times out and returns an error. Corporate 802.1X authentication is working correctly. What is the most likely cause and how do you resolve it?

💡 ইঙ্গিত:Consider what the device is permitted to access before it has completed authentication. The portal page loaded, so the portal domain is in the walled garden — but what about the resources the portal needs to call?

প্রস্তাবিত পদ্ধতি দেখুন

The walled garden configuration on the Aruba controller is missing the required Facebook authentication domains and CDN endpoints (*.facebook.com, *.fbcdn.net, *.facebook.net). Pre-authentication traffic to Facebook's OAuth servers is being blocked by the controller's default-deny policy. Resolution: add the missing Facebook domains to the walled garden. Also verify that Google's domains are included if Google login is also offered. Use a browser developer tools network trace from a test device to identify any additional blocked domains.

Q2. You want to use a single SSID ('VenueWiFi') for both corporate employees (802.1X) and guests (captive portal via Purple). How do you configure ClearPass to correctly differentiate and route the two authentication types?

💡 ইঙ্গিত:ClearPass Services are matched in priority order. Consider how 802.1X and MAC-Auth requests differ at the RADIUS protocol level, and how Service Rules can exploit this difference.

প্রস্তাবিত পদ্ধতি দেখুন

Create two ClearPass Services, both matching the SSID 'VenueWiFi'. Service 1 (higher priority) uses a Service Rule matching on the RADIUS attribute 'Service-Type EQUALS Framed-User' or the presence of EAP attributes, identifying 802.1X requests. It authenticates against Active Directory and returns ROLE_CORP. Service 2 (lower priority) matches MAC-Auth requests (Service-Type EQUALS Call-Check or Authenticate-Only). It uses a RADIUS Routing Policy to proxy the request to Purple. The Enforcement Profile for Service 2 returns the pre-auth logon role, triggering the captive portal. When Purple sends the post-authentication RADIUS request, it is matched by Service 2 and returns the guest-authenticated role.

Q3. Guest authentication is successful — the Purple dashboard shows the user as active and the ClearPass Access Tracker shows an Access-Accept. However, the user cannot access the internet and the Aruba controller shows the user is still in the 'logon' role. What are the two most likely causes?

💡 ইঙ্গিত:The authentication succeeded and ClearPass sent an Accept. The problem is therefore in what ClearPass sent back, or in how the Aruba controller interpreted it.

প্রস্তাবিত পদ্ধতি দেখুন

Cause 1: The ClearPass Enforcement Profile is not configured to return the Aruba-User-Role VSA, or is returning an empty value. Check the Enforcement Profile and verify the VSA is explicitly set. Cause 2: The Aruba-User-Role value returned by ClearPass does not exactly match (including capitalisation) a role defined on the Aruba controller. For example, ClearPass returns 'guest-authenticated' but the controller has 'Guest-Authenticated' defined. Resolution: Open the ClearPass Access Tracker entry, expand the Output Attributes section, and verify the Aruba-User-Role value. Then cross-reference this value against the role names defined on the Aruba controller under Configuration > Roles.

Q4. A stadium venue wants to offer tiered guest WiFi: a free tier with 5 Mbps and mandatory portal authentication, and a premium tier with 50 Mbps for ticket holders who have pre-registered. Both tiers use the same SSID. How would you architect this using ClearPass and Purple?

💡 ইঙ্গিত:Think about how ClearPass can differentiate between the two user types post-authentication, and how Purple can pass identity information to ClearPass to enable this differentiation.

প্রস্তাবিত পদ্ধতি দেখুন

Configure Purple to pass a user attribute (e.g., a custom RADIUS attribute or the Class attribute) indicating whether the user is a registered ticket holder. In ClearPass, create a Role Mapping Policy that checks this attribute: if present and valid, assign ROLE_VIP; otherwise assign ROLE_GUEST. Create two Enforcement Profiles: ROLE_GUEST returns Aruba-User-Role = guest-standard (VLAN 20, 5 Mbps bandwidth contract); ROLE_VIP returns Aruba-User-Role = guest-premium (VLAN 40, 50 Mbps). On the Aruba controller, define both roles with the appropriate VLAN and bandwidth contracts. This approach uses a single SSID and single Purple portal while delivering differentiated service levels based on user identity.