Alcatel-Lucent Enterprise (ALE) OmniAccess-Integration mit Purple WiFi

Willkommen beim technischen Briefing von Purple. Heute befassen wir uns mit der Alcatel-Lucent Enterprise OmniAccess Stellar-Integration mit Purple WiFi. Dieses Briefing richtet sich an IT-Manager, Netzwerkarchitekten und Betriebsleiter von Veranstaltungsorten, die sichere, skalierbare und intelligente drahtlose Netzwerke bereitstellen müssen. Beginnen wir mit dem Kontext. Sie haben einen Veranstaltungsort. Vielleicht ein Hotel, eine Einzelhandelskette oder ein Stadion. Sie haben in ALE OmniAccess-Hardware investiert. Jetzt müssen Sie geschäftlichen Nutzen aus dieser Infrastruktur ziehen. Sie müssen First-Party-Daten erfassen, Ihre Benutzer sicher segmentieren und ein nahtloses Onboarding-Erlebnis bieten. Genau hier kommt das Cloud-Overlay von Purple ins Spiel. Purple ist an mehr als 80.000 Live-Veranstaltungsorten weltweit im Einsatz und hat im Jahr 2024 über 440 Millionen Anmeldungen verarbeitet. Es ist hardwareunabhängig, was bedeutet, dass es auf Ihrer bestehenden ALE-Infrastruktur aufsetzt, ohne dass ein Hardwareaustausch erforderlich ist. Die gesamte Authentifizierungs- und Datenerfassungslogik befindet sich in der Purple-Cloud. Der Kern dieser Integration basiert auf RADIUS. Wenn ein Gast Ihren Veranstaltungsort betritt und sich mit der offenen Gäste-WiFi-SSID verbindet, fängt der ALE AP seinen Webverkehr ab. Anstatt ihn direkt ins Internet zu lassen, leitet er seinen Browser auf ein von Purple gehostetes Captive Portal weiter. Dies ist Ihre Splash-Page. Hier präsentieren Sie Ihre Marke, erfassen E-Mail-Adressen oder bieten Social Logins über Facebook, LinkedIn oder Google an. Sobald der Benutzer seine Daten übermittelt, authentifiziert der RADIUS-Server der Purple-Cloud ihn und sendet eine Access-Accept-Nachricht an den ALE AP zurück. Der AP hebt daraufhin die Firewall-Regeln auf und gewährt Internetzugang. Der gesamte Ablauf dauert weniger als drei Sekunden. Kommen wir nun zum technischen Deep-Dive. Wie konfigurieren wir das eigentlich? Zuerst müssen Sie die RADIUS-Server-Einstellungen in Ihrer OmniVista- oder Stellar-Verwaltungsoberfläche konfigurieren. Sie geben die Purple RADIUS-IP-Adressen ein, stellen den Authentifizierungs-Port auf 1812 und den Accounting-Port auf 1813 ein. Ganz wichtig: Stellen Sie sicher, dass das RADIUS-Accounting mit einem Intervall von 300 Sekunden aktiviert ist. Dadurch werden die Sitzungsdaten für Analysen und Compliance-Protokollierung an Purple zurückgemeldet. Als Nächstes folgt der Walled Garden. Dies ist eine häufige Fehlerquelle bei Bereitstellungen. Bevor ein Benutzer authentifiziert ist, hat er keinen Internetzugang. Er muss jedoch das Purple-Portal erreichen, um sich anzumelden. Sie müssen die Purple-Domänen in Ihrer Pre-Authentication-Zugriffsliste auf die Whitelist setzen. Die Kern-Domänen sind region1.purpleportal.net, venuewifi.com und cloudfront.net. Wenn Sie die Anmeldung über Facebook oder LinkedIn nutzen, müssen Sie auch deren Domänen auf die Whitelist setzen. Wenn der Walled Garden fehlerhaft ist, wird das Captive Portal nicht geladen. Punkt. Erstellen Sie für die SSID-Konfiguration ein neues drahtloses Netzwerk, stellen Sie die Sicherheitsstufe auf „Open“ und aktivieren Sie die Option „External Captive Portal“. Verweisen Sie mit der Weiterleitungs-URL auf Ihre spezifische Purple Splash-Page-URL, die Sie im Purple-Portal unter den Hardware-Einstellungen Ihres Veranstaltungsorts finden. Gehen wir zu einem fortgeschritteneren Szenario über: Multi-Tenant-WiFi. Stellen Sie sich einen Coworking-Space oder ein Studentenwohnheim vor. Sie haben mehrere Mieter, die ihre eigenen sicheren, isolierten Netzwerke benötigen. Sie möchten nicht 20 verschiedene SSIDs ausstrahlen. Das zerstört Ihre HF-Leistung und führt zu einer schlechten Benutzererfahrung. Die Lösung ist PPSK – Private Pre-Shared Keys – kombiniert mit dynamischer VLAN-Steuerung. Sie strahlen eine einzige sichere SSID aus. Aber jeder Mieter erhält eine eindeutige Passphrase. Wenn Mieter A seine Passphrase eingibt, sendet der ALE AP diese Anfrage an den Purple RADIUS-Server. Purple erkennt die Passphrase, authentifiziert den Benutzer und sendet eine Access-Accept-Nachricht zurück. Aber hier ist der wichtige Teil. Diese Nachricht enthält spezifische RADIUS-Attribute. Attribut 64 für Tunnel-Type, eingestellt auf 13 für VLAN. Attribut 65 für Tunnel-Medium-Type, eingestellt auf 6 für Ethernet. Und Attribut 81, die Tunnel-Private-Group-ID, die die tatsächliche VLAN-ID enthält. Der ALE AP empfängt dies und leitet Mieter A direkt in das VLAN 30 weiter. Wenn sich Mieter B mit einer anderen Passphrase anmeldet, landet er im VLAN 40. Eine SSID, vollständige Layer-2-Isolierung. Das ist identitätsbasiertes Networking in der Praxis. Sehen wir uns ein Praxisbeispiel an. Ein Hotel mit 200 Zimmern hat diese Architektur auf seinen vorhandenen ALE OmniAccess Stellar APs bereitgestellt. Es mussten Hotelgäste, das Back-of-House-Personal und ein Restaurant im Erdgeschoss als drei völlig separate Netzwerksegmente bedient werden. Anstatt drei SSIDs bereitzustellen, nutzten sie PPSK mit dynamischer VLAN-Steuerung. Das Ergebnis war eine einzige SSID, drei isolierte VLANs und eine erhebliche Reduzierung des Verwaltungsaufwands im Vergleich zu ihrem vorherigen Multi-SSID-Ansatz. Lassen Sie uns nun über Implementierungsempfehlungen und Fallstricke sprechen. Erstens: Behalten Sie ein hardwareunabhängiges Design bei. Erstellen Sie Ihre Richtlinien in Purple, nicht auf dem lokalen Controller. Auf diese Weise können Sie später Hardware-Anbieter skalieren oder austauschen, ohne Ihre Sicherheitsrichtlinien von Grund auf neu erstellen zu müssen. Zweitens: Achten Sie auf die Firmware-Versionen. Stellen Sie sicher, dass auf Ihren ALE APs eine Firmware läuft, die die dynamische VLAN-Zuweisung über RADIUS explizit unterstützt. Ältere Stellar-Firmware-Versionen unterstützen das Attribut Tunnel-Private-Group-ID möglicherweise nicht vollständig. Überprüfen Sie vor der Bereitstellung die ALE-Release-Notes. Drittens: DNS ist Ihr Freund und Ihr Feind. Wenn Ihr Captive Portal nicht angezeigt wird, überprüfen Sie zuerst Ihren DHCP-Bereich. Wenn der Client keinen gültigen DNS-Server zugewiesen bekommt, kann er die Portal-URL nicht auflösen, und der gesamte Prozess stoppt. Dies ist das mit Abstand häufigste Support-Problem bei Captive Portal-Bereitstellungen. Viertens: Verwenden Sie für sicheres Mitarbeiter-WiFi mittels 802.1X in den meisten Umgebungen PEAP mit MSCHAPv2 oder EAP-TLS für zertifikatsbasierte Bereitstellungen. Der Purple RADIUS-Server unterstützt beides. Die Geräte der Mitarbeiter authentifizieren sich gegenüber Microsoft Entra ID oder Okta, und the RADIUS-Server gibt die entsprechende VLAN-Zuweisung für das Netzwerksegment der Mitarbeiter zurück. Lassen Sie uns eine schnelle Fragerunde durchführen. Frage: Kann ich diese Integration für die PCI DSS-Compliance in einer Einzelhandelsumgebung nutzen? Antwort: Ja. Durch den Einsatz von dynamischer VLAN-Steuerung können Sie sicherstellen, dass Kassensysteme immer in einem isolierten VLAN platziert werden, das vollständig vom Gästedatenverkehr getrennt ist. Dies erfüllt die Anforderungen an die Netzwerksegmentierung gemäß PCI DSS 4.0. Frage: Benötigt Purple eine Hardware-Appliance vor Ort? Antwort: Nein. Purple ist ein Cloud-Overlay. Es kommuniziert direkt mit Ihrer vorhandenen ALE-Hardware über Standard-RADIUS über das Internet. Es muss keine Hardware installiert werden. Frage: Was passiert, wenn die Purple-Cloud nicht erreichbar ist? Antwort: Sie können eine Fallback-Richtlinie auf dem ALE AP konfigurieren. Für Gästenetzwerke können Sie als Fallback den offenen Zugang erlauben. Für Mitarbeiternetzwerke konfigurieren Sie ein „Deny-All“-Fallback, um die Sicherheit zu gewährleisten. Frage: Kann ich Analysedaten aus der Integration erfassen? Antwort: Ja. Jede authentifizierte Sitzung generiert ein Besucherprofil in der Purple-Plattform. Sie erhalten Verweildauer, Besuchshäufigkeit, Gerätetyp und demografische Daten aus dem Registrierungsformular. Dies fließt über die Purple-Bibliothek mit über 400 Konnektoren direkt in Ihr CRM ein. Zusammenfassend die wichtigsten Erkenntnisse aus dem heutigen Briefing. Erstens: Die ALE OmniAccess-Integration mit Purple nutzt Standard-RADIUS auf den Ports 1812 und 1813. Keine proprietären Protokolle erforderlich. Zweitens: Der Walled Garden ist entscheidend. Wenn er fehlerhaft ist, wird das Captive Portal nicht geladen. Setzen Sie die Purple-Domänen vor allem anderen auf die Whitelist. Drittens: PPSK mit dynamischer VLAN-Steuerung ist die richtige Architektur für Multi-Tenant-Umgebungen. Eine SSID, eindeutige Passphrasen, isolierte VLANs pro Mieter. Viertens: Die RADIUS-Attribute 64, 65 und 81 sind die drei Attribute, die Sie für die dynamische VLAN-Zuweisung benötigen. Wenn eines davon fehlt, schlägt die Steuerung fehl. Fünftens: Purple ist hardwareunabhängig. Ihre Richtlinien befinden sich in der Cloud, nicht auf dem Controller. Dies gibt Ihnen die Flexibilität, über verschiedene Hardware-Anbieter hinweg zu skalieren. Ihr nächster Schritt besteht darin, sich in Ihr Purple-Portal einzuloggen, zu den Hardware-Einstellungen Ihres Veranstaltungsorts zu navigieren und Ihre spezifischen RADIUS-Anmeldedaten sowie die Splash-Page-URL abzurufen. Befolgen Sie dann die Konfigurationsschritte in diesem Handbuch, um Ihre ALE OmniAccess-Infrastruktur mit der Purple-Cloud zu verbinden. Vielen Dank, dass Sie sich dieses technische Briefing von Purple angehört haben. Weitere Informationen finden Sie auf purple.ai.