Purple WiFi-এর সাথে SonicWall TZ এবং SonicWave ইন্টিগ্রেশন
এই টেকনিক্যাল রেফারেন্সটিতে SonicWall TZ ফায়ারওয়াল এবং SonicWave AP-এর সাথে Purple WiFi প্ল্যাটফর্মের ইন্টিগ্রেশনের বিস্তারিত বিবরণ দেওয়া হয়েছে। এটি Captive Portal রিডাইরেকশন, ওয়াল্ড গার্ডেন এক্সেপশন, 802.1X অথেন্টিকেশন এবং Private Pre-Shared Keys (PPSK) ব্যবহার করে ডাইনামিক VLAN স্টিয়ারিংয়ের জন্য কার্যকর কনফিগারেশন পদক্ষেপ প্রদান করে।
এই গাইডটি শুনুন
পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
执行摘要
将 SonicWall 网络基础设施与 Purple 的云覆盖层集成，可提供企业级访问控制以及先进的第一方数据捕获。本指南涵盖了四个不同用例的技术实现：具有 Captive Portal 重定向的访客 WiFi、Walled Garden 例外情况、使用 802.1X 的安全员工 WiFi，以及使用具有动态 VLAN 引导的 SonicWall 私有预共享密钥 (PPSK) 的多租户隔离。
我们每年在超过 80,000 个活跃场所处理 4.4 亿次登录。下面详述的架构已在酒店、零售和公共部门环境中得到大规模验证。它允许您保留现有的 SonicWall 硬件，同时将身份管理、Splash 页面托管和 RADIUS 身份验证卸载到 Purple 云。
技术深挖
该集成依赖于两种主要机制：用于 Captive Portal 重定向的轻量级热点消息传递 (LHM)，以及用于 802.1X 和 PPSK 身份验证的 RADIUS。
通过 LHM 进行 Captive Portal 重定向
SonicOS 使用 LHM 处理外部 captive portal 重定向。当未通过身份验证的访客设备尝试访问互联网时，SonicWall TZ 防火墙会拦截 HTTP 请求，并将客户端重定向到 Purple 托管的 splash 页面。访客完成身份验证流程（例如，社交登录、表单填写）。然后，Purple 通过 TCP 端口 4043 向 SonicWall 发送回 LHM 授权数据包。收到此数据包后，SonicWall 将更新其内部访问控制列表，允许该设备的 MAC 地址访问互联网。
Walled Garden 架构
在身份验证之前，访客设备将保留在受限区域中。Walled Garden 是允许设备访问以渲染 splash 页面并完成登录过程的特定完全限定域名 (FQDN) 集合。这包括 Purple 的 CDN (cdn.purple.ai)、身份验证 API (api.purple.ai) 以及 Google Workspace、Microsoft Entra ID 和 Meta 等第三方身份提供商所需的域名。
SonicOS 使用 FQDN 地址对象实现 walled garden。防火墙对这些对象执行动态 DNS 解析，并自动更新允许的 IP 范围。这至关重要，因为身份提供商和 CDN 使用动态 IP 分配；静态 IP 白名单将不可避免地失效。
安全员工 WiFi 和 802.1X
对于员工网络，SonicWave AP 充当 802.1X 认证器，将请求代理至 Purple 的 RADIUS 服务器。我们建议对使用证书的托管设备使用 EAP-TLS，或针对 Microsoft Entra ID 等目录使用 PEAP-MSCHAPv2 进行用户名/密码认证。认证成功后，Purple 会返回标准的 RADIUS 属性（Tunnel-Type、Tunnel-Medium-Type 和 Tunnel-Private-Group-ID），以将设备动态分配给正确的员工 VLAN。
使用 PPSK 的多租户隔离
基于身份的网络（Identity-Based Networks）消除了对复杂多 SSID 部署的需求。使用 SonicWall PPSK，单个 SSID（例如“Multi-Tenant-WiFi”）可在整个场馆内广播。每个租户都会收到一个唯一的密码。当设备使用特定的 PPSK 进行关联时，SonicWave AP 会向 Purple 的 RADIUS 服务器验证该密钥。Purple 识别该租户并返回关联的 VLAN ID。然后，SonicWall 将流量引导至隔离的租户 VLAN 中。
实施指南
1. 配置 SonicWall Captive Portal (LHM)
要在运行 SonicOS 7.x 的 SonicWall TZ 系列上配置外部 Captive Portal：
- 导航至 Object > Match Objects > Zones。编辑分配给您的访客网络的区域（例如 WLAN）。
- 在 Guest Services 选项卡下，启用 Enable Guest Services 和 External Guest Authentication。
- 导航至 Configure > Guest Services > General。
- 将 Client Redirect Protocol 设置为 HTTP。
- 将 Web Server 地址设置为
portal.purple.ai。 - 将 Port 设置为
4043。 - 在 Auth Pages 选项卡下，将 Login URL 设置为 Purple 场馆控制面板中提供的特定展示页面 URL。
- 保存配置。SonicOS 将自动生成 NAT 策略和 WAN 到 WAN 的访问规则以允许 TCP 端口 4043。请勿修改这些自动生成的规则。
2. 构建 Walled Garden
为所需的域名创建 FQDN 地址对象，并将它们添加到地址组中。将此组应用于访客区域中的允许规则。
所需的 Purple 域名：
*.purple.ai*.purpleportal.net
操作系统 Captive Portal 探测：
captive.apple.com(iOS/macOS)connectivitycheck.gstatic.com(Android)msftconnecttest.com(Windows)
常见的社交登录域名 (Google)：
accounts.google.comoauth2.googleapis.comapis.google.com*.gstatic.com
3. 为 SonicWave AP 配置 RADIUS
要通过 Wireless Network Manager 将 SonicWave AP 与 Purple RADIUS 集成：
- 导航至 Policies > Policy Hierarchy 并选择您的 AP 策略。
- 选择 802.1X 选项卡。
- 输入 Purple RADIUS 服务器 IP 地址（可在您的 Purple 控制面板中找到）。
- 输入由 Purple 生成的共享密钥。
- 将 Authentication Port 设置为
1812，将 Accounting Port 设置为1813。 - 根据您的身份提供商选择合适的 EAP 方法。
4. 配置动态 VLAN 引导
在启用动态分配之前，确保目标 VLAN 作为子接口存在于 SonicWall TZ 防火墙上。
在 Purple 控制面板中，将用户组或 PPSK 映射到目标 VLAN ID。Purple 在成功验证后将返回以下属性：
Tunnel-Type = VLAN (13)Tunnel-Medium-Type = 802 (6)Tunnel-Private-Group-ID = [VLAN ID]（例如，"110"）
最佳实践
- 测试 LHM 端口可见性：必须能够从互联网访问 SonicWall WAN 接口的 TCP 端口 4043。在上线前使用外部端口扫描器对此进行测试。如果 ISP 阻止了此端口，授权数据包将丢失，访客将一直受阻于展示页面。
- 预先配置 VLAN 子接口：如果在验证事件发生之前未在 SonicWall 上配置目标 VLAN 子接口，动态 VLAN 引导将静默失败。设备将退回到默认的未标记 VLAN。
- 强制基于 Web 的 OAuth：确保您的展示页面配置强制执行基于 Web 的 OAuth 流程。深层链接到原生社交媒体应用（例如 Facebook iOS 应用）通常会中断 Captive Portal 流程，因为原生应用流量会被 Walled Garden 阻止。
- 优化 DNS 刷新间隔：SonicOS 会定期解析 FQDN 对象。在体育场或交通枢纽等高周转环境中，请将 Walled Garden 对象的 DNS 刷新间隔设置为 60 秒，以确保准确跟踪 CDN IP 更改。
故障排除与风险缓解
现象：访客完成了展示页面登录，但无法访问互联网。 原因：TCP 4043 上的 LHM 授权数据包未到达 SonicWall。 解决方法：验证自动生成的 WAN 到 WAN 访问规则是否存在。检查上游 ISP 路由器是否有端口阻止。确保 SonicWall WAN IP 在 Purple 控制面板中正确注册。
现象：展示页面加载失败，或社交登录按钮返回 CORS 错误。 原因：Walled Garden 配置不完整。 解决方法：在未验证状态下连接测试设备。使用浏览器开发者工具（Network 选项卡）识别被阻止的 HTTPS 请求。在 SonicOS 中将失败的域名添加为 FQDN 地址对象。
现象：员工设备通过 802.1X 进行身份验证，但从默认 VLAN 而不是分配的 VLAN 获取 IP 地址。
原因：SonicWall 上不存在目标 VLAN 子接口，或者 RADIUS 属性格式错误。
解决方法：验证 VLAN 子接口是否处于活动状态。检查 Purple RADIUS 日志以确认 Tunnel-Private-Group-ID 是否作为与 VLAN ID 匹配的字符串值发送。
ROI 与业务影响
将 SonicWall 基础设施与 Purple 一起部署，可将标准的网络成本中心转变为可衡量的业务资产。
对于拥有200个网点的零售连锁店，从通用的预共享密钥过渡到品牌化的 Captive Portal，通常会在六个月内使已知客户画像增加40%。这些第一方数据可直接集成至CRM系统，从而推动精准营销活动并增加回头客流量。
在联合办公空间或学生公寓等多租户环境中，支持动态VLAN引导的PPSK消除了为每个租户管理专用硬件的运营开销。您只需部署一个物理网络，并根据身份进行逻辑划分。这在降低高达60%硬件资本支出的同时，还能保持严格符合ISO 27001标准的网络隔离。
মূল সংজ্ঞাসমূহ
Lightweight Hotspot Messaging (LHM)
SonicWall দ্বারা এক্সটার্নাল Captive Portal-এর সাথে যোগাযোগ করার জন্য ব্যবহৃত একটি প্রোটোকল। এটি রিডাইরেক্ট এবং অথোরাইজেশন হ্যান্ডশেক পরিচালনা করে।
SonicOS-কে Purple-এর মতো ক্লাউড-ম্যানেজড গেস্ট WiFi প্ল্যাটফর্মের সাথে সংহত করার জন্য প্রয়োজন।
Walled Garden
ডোমেন বা IP অ্যাড্রেসের একটি নির্দিষ্ট সেট যা অথেনটিকেট না হওয়া ডিভাইসগুলো অ্যাক্সেস করার অনুমতি পায়।
গেস্ট ডিভাইসগুলোকে স্প্ল্যাশ পেজ লোড করতে, CDN অ্যাক্সেস করতে এবং সম্পূর্ণ ইন্টারনেট অ্যাক্সেস পাওয়ার আগে সোশ্যাল লগইন OAuth ফ্লো সম্পন্ন করার অনুমতি দেওয়ার জন্য অত্যন্ত গুরুত্বপূর্ণ।
Private Pre-Shared Key (PPSK)
একটি নিরাপত্তা পদ্ধতি যেখানে একটি একক SSID-তে একাধিক ইউনিক পাসফ্রেজ বৈধ থাকে, যেখানে প্রতিটি পাসফ্রেজ একটি নির্দিষ্ট ব্যবহারকারী বা পলিসির সাথে যুক্ত থাকে।
মাল্টি-টেন্যান্ট এনভায়রনমেন্টে একাধিক SSID ব্রডকাস্ট না করে ট্রাফিক আইসোলেট করতে ব্যবহৃত হয়।
Captive Network Assistant (CNA)
বিল্ট-ইন OS মেকানিজম (iOS, Android, Windows-এ) যা একটি Captive Portal সনাক্ত করে এবং অথেনটিকেশনের জন্য স্বয়ংক্রিয়ভাবে একটি সীমিত ব্রাউজার উইন্ডো খোলে।
যদি OS প্রোব ডোমেনগুলো (যেমন, captive.apple.com) walled garden-এ না থাকে, তবে CNA ট্রিগার হবে না এবং গেস্টরা মনে করবে WiFi-টি কাজ করছে না।
Dynamic VLAN Steering
ডিভাইসটি যে SSID-এর সাথে সংযুক্ত হয়েছে তার পরিবর্তে তার আইডেন্টিটি বা ক্রেডেন্সিয়ালের ভিত্তিতে একটি নির্দিষ্ট VLAN-এ ডিভাইসটিকে অ্যাসাইন করার প্রক্রিয়া।
SonicWall-এ Tunnel-Private-Group-ID অ্যাট্রিবিউট ফেরত পাঠানো Purple RADIUS দ্বারা পরিচালিত হয়।
FQDN Address Object
স্ট্যাটিক IP অ্যাড্রেসের পরিবর্তে একটি Fully Qualified Domain Name-এর উপর ভিত্তি করে তৈরি একটি ফায়ারওয়াল অবজেক্ট।
SonicOS এই অবজেক্টগুলোকে ডাইনামিকভাবে রিসলভ করে, যা একে শক্তিশালী walled garden কনফিগারেশনের জন্য অপরিহার্য করে তোলে।
Identity-Based Network
একটি নেটওয়ার্ক আর্কিটেকচার যেখানে ফিজিক্যাল পোর্ট বা SSID-এর পরিবর্তে অথেনটিকেটেড ব্যবহারকারী বা ডিভাইসের উপর ভিত্তি করে অ্যাক্সেস পলিসি এবং সেগমেন্টেশন প্রয়োগ করা হয়।
SonicWall PPSK এবং 802.1X-এর সাথে Purple RADIUS যুক্ত করে এটি অর্জন করা হয়।
Tunnel-Private-Group-ID
একটি সংযোগকারী ডিভাইসের জন্য VLAN ID নির্দিষ্ট করতে ব্যবহৃত স্ট্যান্ডার্ড RFC 2868 RADIUS অ্যাট্রিবিউট।
SonicWall-কে ডিভাইসটি স্টিয়ার করার নির্দেশ দিতে Purple দ্বারা একটি স্ট্রিং ভ্যালু (যেমন, '100') হিসেবে ফেরত পাঠাতে হবে।
সমাধানকৃত উদাহরণসমূহ
একটি ১৫০ রুমের হোটেলকে (Premier Inn) একটি স্প্ল্যাশ পেজের মাধ্যমে বিনামূল্যে Guest WiFi এবং হাউসকিপিং ডিভাইসের জন্য একটি সুরক্ষিত Staff WiFi নেটওয়ার্ক প্রদান করতে হবে। তাদের একটি SonicWall TZ570 এবং ৪০টি SonicWave AP আছে। কীভাবে তাদের এই ট্রাফিক সেগমেন্ট করা উচিত?
দুটি SSID ডেপ্লয় করুন। SSID 1: VLAN 100-এ ম্যাপ করা 'Guest-WiFi'। TCP 4043-এ portal.purple.ai-কে নির্দেশ করে এক্সটার্নাল গেস্ট অথেন্টিকেশনের জন্য SonicWall WLAN জোন কনফিগার করুন। Purple এবং সোশ্যাল লগইনের জন্য ওয়াল্ড গার্ডেন FQDN কনফিগার করুন। SSID 2: 802.1X ব্যবহার করে VLAN 200-এ ম্যাপ করা 'Staff-WiFi'। SonicWave AP পলিসিটিকে Purple-এর RADIUS সার্ভারে নির্দেশ করুন। MAC অ্যাড্রেস বাইপাস (MAB) বা PEAP-MSCHAPv2-এর মাধ্যমে হাউসকিপিং ডিভাইসগুলিকে অথেন্টিকেট করার জন্য Purple কনফিগার করুন, যা Tunnel-Private-Group-ID '200' রিটার্ন করবে।
একটি কো-ওয়ার্কিং স্পেস ১৫টি ভিন্ন কোম্পানির কাজ পরিচালনা করে যারা একটি ওপেন-প্ল্যান অফিস শেয়ার করছে। তারা তাদের SonicWave AP থেকে ১৫টি ভিন্ন SSID ব্রডকাস্ট না করেই প্রতিটি কোম্পানির জন্য সুরক্ষিত ও আলাদা নেটওয়ার্ক প্রদান করতে চায়।
PPSK সহ WPA2-Enterprise ব্যবহার করে 'Workspace-Secure' নামের একটিমাত্র SSID ডেপ্লয় করুন। SonicWall TZ ফায়ারওয়ালে ১৫টি VLAN সাব-ইন্টারফেস তৈরি করুন (যেমন, VLANs 101-115)। Purple ড্যাশবোর্ডে, প্রতিটি কোম্পানির জন্য একটি ইউনিক PPSK তৈরি করুন এবং এটিকে তাদের নির্দিষ্ট VLAN ID-এর সাথে ম্যাপ করুন। কোনো ব্যবহারকারী যখন তাদের কোম্পানির PPSK ব্যবহার করে কানেক্ট করবেন, তখন Purple RADIUS সংশ্লিষ্ট Tunnel-Private-Group-ID রিটার্ন করবে এবং SonicWall ডিভাইসটিকে সেই আলাদা VLAN-এ নিয়ে যাবে।
অনুশীলনী প্রশ্নসমূহ
Q1. আপনি External Guest Authentication-এর জন্য SonicWall গেস্ট জোন কনফিগার করেছেন এবং ওয়েব সার্ভারটি portal.purple.ai-এ সেট করেছেন। গেস্টরা স্প্ল্যাশ পেজে রিডাইরেক্ট হচ্ছে এবং সফলভাবে লগ ইন করতে পারছে, কিন্তু তারা কখনোই ইন্টারনেট অ্যাক্সেস পাচ্ছে না। এর সম্ভাব্য কারণ কী হতে পারে?
ইঙ্গিত: নিশ্চিত করুন যে Purple কীভাবে SonicWall-কে জানায় যে প্রমাণীকরণ (authentication) সফল হয়েছে তা নিয়ে ভাবুন।
মডেল উত্তর দেখুন
LHM অথরাইজেশন প্যাকেটটি ব্লক করা হচ্ছে। Purple থেকে সফলতার সিগন্যাল পাওয়ার জন্য SonicWall WAN ইন্টারফেসে TCP পোর্ট ৪০৪৩ খোলা থাকতে হবে। পোর্ট ব্লকিংয়ের জন্য আপস্ট্রিম ফায়ারওয়াল বা ISP কনফিগারেশন চেক করুন।
Q2. একটি ভেন্যু তাদের স্প্ল্যাশ পেজে Facebook লগইন সুবিধা দিতে চায়। আপনি walled garden FQDN অ্যাড্রেস গ্রুপে www.facebook.com যোগ করেছেন। গেস্টরা জানাচ্ছেন যে Facebook লগইন পেজ লোড হচ্ছে, কিন্তু এর স্টাইলিং ভেঙে গেছে এবং লগইন বোতামটি কাজ করছে না।
ইঙ্গিত: আধুনিক ওয়েব অ্যাপ্লিকেশনগুলি একাধিক ডোমেন থেকে অ্যাসেট লোড করে।
মডেল উত্তর দেখুন
walled garden কনফিগারেশনটি অসম্পূর্ণ। আপনাকে Facebook-এর CSS, JavaScript এবং API কল সরবরাহকারী ডোমেনগুলিও হোয়াইটলিস্ট করতে হবে, বিশেষ করে graph.facebook.com, connect.facebook.net এবং CDN ডোমেন (যেমন, *.fbcdn.net)।
Q3. আপনি একটি মাল্টি-টেন্যান্ট অফিসের জন্য PPSK ডিপ্লয় করছেন। আপনি WPA2-Enterprise-এর সাথে PPSK-এর জন্য SSID কনফিগার করেছেন এবং RADIUS সার্ভারটি Purple-এ নির্দেশ করেছেন। আপনি Purple-এ একটি PPSK তৈরি করেছেন যা VLAN 50-এর সাথে ম্যাপ করা। যখন কোনো ব্যবহারকারী সেই PPSK দিয়ে কানেক্ট করেন, তখন তারা VLAN 50-এর পরিবর্তে VLAN 10 থেকে একটি IP অ্যাড্রেস পান। কেন এমন হচ্ছে?
ইঙ্গিত: RADIUS রিকোয়েস্ট সম্পূর্ণ হওয়ার আগে SonicWall-এর জানা প্রয়োজন ট্রাফিক কোথায় পাঠাতে হবে।
মডেল উত্তর দেখুন
SonicWall TZ ফায়ারওয়ালে VLAN 50-কে একটি সাব-ইন্টারফেস হিসেবে তৈরি করা হয়নি। ডায়নামিক VLAN স্টিয়ারিংয়ের জন্য টার্গেট VLAN-টি আগে থেকেই ফায়ারওয়ালে থাকা প্রয়োজন; যদি তা না থাকে, তবে ডিভাইসটি ডিফল্ট আনট্যাগড VLAN-এ (এক্ষেত্রে VLAN 10) ফিরে যায়।
এই সিরিজে পড়া চালিয়ে যান
Purple WiFi -এর সাথে Cisco WLC এবং Catalyst ইন্টিগ্রেশন: ধাপে ধাপে গেস্ট অ্যাক্সেস গাইড
এই প্রামাণিক নির্দেশিকাটিতে Purple WiFi -এর সাথে Cisco Catalyst 9800 WLCs -এর ধাপে ধাপে ইন্টিগ্রেশনের বিস্তারিত বিবরণ দেওয়া হয়েছে। এতে গেস্ট Captive Portal -এর জন্য External Web Authentication, নিরাপদ কর্মীদের অ্যাক্সেসের জন্য 802.1X EAP-TLS, এবং মাল্টি-টেন্যান্ট ডাইনামিক VLAN সেগমেন্টেশনের জন্য Cisco iPSK কভার করা হয়েছে।
Purple WiFi-এর সাথে CommScope Ruckus ইন্টিগ্রেশন: সেটআপ এবং কনফিগারেশন গাইড
এই টেকনিক্যাল রেফারেন্স গাইডটি Purple WiFi-এর সাথে CommScope Ruckus আর্কিটেকচার ইন্টিগ্রেট করার জন্য একটি নির্ভরযোগ্য কনফিগারেশন প্লেবুক প্রদান করে। এটি গেস্ট WiFi Captive Portal, 802.1X-এর মাধ্যমে সিকিউর স্টাফ WiFi এবং Ruckus ডাইনামিক PSK ব্যবহার করে মাল্টি-টেন্যান্ট নেটওয়ার্ক আইসোলেশনের জন্য ধাপে ধাপে ডেপ্লয়মেন্টের বিবরণ দেয়।
Purple WiFi-এর সাথে Allied Telesis Access Points ইন্টিগ্রেশন
এই গাইডটি Purple WiFi-এর সাথে Allied Telesis TQ-Series access points ইন্টিগ্রেট করার জন্য একটি ব্যাপক কনফিগারেশন প্লেবুক প্রদান করে। এটি নিরাপদ মাল্টি-টেন্যান্ট ডেপ্লয়মেন্টের জন্য এক্সটার্নাল Captive Portal রিডাইরেকশন, 802.1X RADIUS অথেন্টিকেশন এবং প্রাইভেট প্রি-শেয়ার্ড কি (PPSK) ব্যবহার করে ডাইনামিক VLAN স্টিয়ারিং কভার করে।