Allied Telesis Access Points Integration mit Purple WiFi

Sie sind ein Senior Network Consultant, der in einem privaten Briefing mit dem IT-Leiter eines Kunden spricht. Sprechen Sie in britischem Englisch mit einem selbstbewussten, autoritären und konversationellen Ton. Gemäßigtes Tempo, klare Aussprache. Keine Füllwörter. Gelegentliche natürliche Pausen zur Betonung: Willkommen zu diesem technischen Briefing über die Integration von Allied Telesis TQ-Series Access Points mit Purple WiFi. Ich werde Sie durch das gesamte Bereitstellungsszenario führen, von der Weiterleitung zum Captive Portal für Gäste bis hin zur mandantenfähigen PPSK-Isolierung. Am Ende dieses Beitrags werden Sie eine klare Implementierungs-Roadmap haben. [medium pause] Beginnen wir mit dem Kontext. Allied Telesis stellt die TQ-Series her, einschließlich der Wi-Fi 6 Access Points TQ5403 und TQ6702 GEN2. Dies sind Enterprise-Grade APs, auf denen die AlliedWare Plus-Firmware läuft und die in den Bereichen Hotellerie, Einzelhandel und im öffentlichen Sektor weit verbreitet sind. Purple ist eine hardwareunabhängige Cloud-Overlay-Plattform, die an über 80.000 Standorten betrieben wird und im Jahr 2024 440 Millionen Logins verarbeitet hat. Die Integration zwischen diesen beiden Plattformen ist sauber, standardbasiert und einsatzbereit. [medium pause] Das Erste, was die meisten IT-Teams konfigurieren müssen, ist die Weiterleitung zum Captive Portal für Gäste. Der Allied Telesis AP unterstützt drei Captive Portal-Modi: Click-Through, RADIUS-Authentifizierung und External Page Redirect. Für die Integration von Purple verwenden Sie den Modus External Page Redirect. Und so funktioniert das in der Praxis. Sie melden sich in der Geräte-GUI des APs an, navigieren zu Wireless, wählen den entsprechenden VAP aus, gehen zu Advanced Settings und dann auf die Registerkarte Security. Stellen Sie das Captive Portal auf External Page Redirect ein. Im Feld External Page URL geben Sie die URL der Purple-Splash-Page ein, die in Ihrem Purple-Dashboard bereitgestellt wird. Das ist die URL, auf die Ihre Gäste geleitet werden, wenn sie sich zum ersten Mal verbinden. [short pause] Der AP fängt nun das erste HTTP- oder HTTPS-Paket von jedem neuen Client ab und leitet diesen Traffic an Ihre Purple-Splash-Page weiter. Der Gast authentifiziert sich über Purple, und der RADIUS-Server von Purple sendet ein Access-Accept zurück an den AP. Der AP gewährt dann den Netzwerkzugriff. [medium pause] Für die RADIUS-Konfiguration stellt Purple Ihnen eine RADIUS-Server-IP-Adresse, ein Shared Secret und den Authentifizierungs-Port (UDP 1812) zur Verfügung. Das Accounting läuft über UDP 1813. Diese konfigurieren Sie in der AP-GUI unter Network Services und dann RADIUS. Die NAS-ID sollte auf die Management-IP des APs oder einen aussagekräftigen Hostnamen eingestellt werden. RADIUS as a Service von Purple übernimmt das Authentifizierungs-Backend, sodass Sie keine eigene RADIUS-Infrastruktur betreiben müssen. [short pause] Eine wichtige Sache, die Sie richtig konfigurieren müssen, ist der Walled Garden. Bevor sich ein Gast authentifiziert, blockiert der AP den gesamten Datenverkehr mit Ausnahme von Zielen auf der Whitelist. Sie müssen die Plattform-Domains von Purple zum Walled Garden hinzufügen, damit die Splash-Page korrekt geladen wird. Setzen Sie mindestens die Purple-Splash-Page-Domain, alle von Purple für Assets genutzten CDN-Endpunkte und alle von Ihnen aktivierten Social-Login-Anbieter wie Google oder Facebook auf die Whitelist. Dies konfigurieren Sie im selben Panel „VAP Advanced Settings“ unter Walled Garden. [medium pause] Kommen wir nun zu Staff WiFi über 802.1X. Hier konfigurieren Sie WPA Enterprise auf einem separaten VAP. Wählen Sie in der Benutzeroberfläche des AP im Dropdown-Menü „Security“ die Option „WPA Enterprise“ aus und verweisen Sie dann mit der RADIUS-Authentifizierungsgruppe auf Ihren externen RADIUS-Server – in diesem Fall den SecurePass-Dienst von Purple oder Ihren eigenen RADIUS-Server auf Basis von Microsoft Entra ID oder Okta. Mitarbeitergeräte authentifizieren sich über EAP-PEAP mit MSCHAPv2 oder über EAP-TLS mit Zertifikaten in Umgebungen mit höheren Sicherheitsanforderungen. Der AP fungiert als 802.1X-Authenticator, leitet die Anmeldedaten an den RADIUS-Server weiter und setzt die Antwort durch. [short pause] Für die dynamische VLAN-Zuweisung im Mitarbeiternetzwerk aktivieren Sie Dynamic VLAN in den erweiterten Sicherheitseinstellungen des VAPs. Wenn der RADIUS-Server ein Access-Accept zurückgibt, enthält dieses drei Standardattribute: Tunnel-Type (auf VLAN gesetzt), Tunnel-Medium-Type (auf IEEE 802 gesetzt) und Tunnel-Private-Group-Id (auf die VLAN-ID gesetzt). Der AP liest diese Attribute aus und weist das authentifizierte Gerät automatisch dem korrekten VLAN zu. Dies ist der in RFC 3580 definierte Mechanismus, der auf der gesamten Allied Telesis-Hardware konsistent funktioniert. [medium pause] Sprechen wir nun über die interessanteste Funktion für Multi-Tenant-Bereitstellungen: Allied Telesis PPSK oder Private Pre-Shared Key. Dies wird auf anderen Plattformen manchmal als iPSK bezeichnet. Das Konzept ist denkbar einfach. Sie haben eine einzige SSID, aber jeder Mandant oder jede Benutzergruppe erhält ein eindeutiges Passwort (Passphrase). Wenn sich ein Gerät verbindet, sendet der AP diese Passphrase als Passwortfeld in einem RADIUS Access-Request an den RADIUS-Server. Der RADIUS-Server gleicht die Passphrase mit einem Benutzerdatensatz ab und gibt ein Access-Accept mit einem Tunnel-Private-Group-Id-Attribut zurück, das das VLAN für diesen Mandanten angibt. [short pause] In einem gemischt genutzten Gebäude verbindet sich also Mandant A im Ladengeschäft mit seiner Passphrase und landet im VLAN 100. Das Restaurant im Erdgeschoss nutzt eine andere Passphrase und landet im VLAN 300. Das Gäste-WiFi des Gebäudes nutzt eine dritte Passphrase und landet im VLAN 400, in dem das Captive Portal von Purple aktiv ist. All dies läuft über eine einzige SSID. Kein SSID-Wildwuchs. Sauber, skalierbar und einfach zu verwalten. [medium pause] Auf der Purple-Seite konfigurieren Sie die PPSK-Benutzerdatensätze im Purple-Dashboard oder über die RADIUS-as-a-Service-Schnittstelle. Jeder Mandant erhält eine eindeutige Passphrase, die einer VLAN-ID zugeordnet ist. Der RADIUS-Server von Purple übernimmt den Abgleich und gibt die korrekte Tunnel-Private-Group-Id zurück. Wenn Sie den Zugriff eines Mandanten widerrufen müssen, löschen oder deaktivieren Sie dessen PPSK-Datensatz in Purple. Der AP erzwingt die Änderung beim nächsten Authentifizierungsversuch. [medium pause] Lassen Sie mich Ihnen zwei Praxisbeispiele nennen, bei denen dies eine Rolle spielt. Erstens: Ein Tagungshotel mit 250 Zimmern. Das Hotel betreibt drei Netzwerke: ein Gäste-WiFi mit Purple Captive Portal und Social Login, ein Mitarbeiter-WiFi über 802.1X, das über Microsoft Entra ID an Active Directory angebunden ist, und ein Konferenz-Delegierten-Netzwerk für Veranstaltungen. Die Allied Telesis TQ6702 GEN2 APs verwalten alle drei Netzwerke auf separaten VAPs mit separaten VLANs. Purple verwaltet das Gäste-Captive-Portal, sammelt First-Party-Daten für das CRM des Hotels und liefert Analysen zu Hauptnutzungszeiten. Das IT-Team des Hotels verwaltet das Mitarbeiternetzwerk über SecurePass von Purple, ohne einen separaten RADIUS-Server vor Ort betreiben zu müssen. [short pause] Zweites Szenario: Ein Fachmarktzentrum mit 12 unabhängigen Mietern. Der Vermieter möchte jedem Mieter WiFi als Service anbieten, ohne ihnen Zugriff auf den Datenverkehr der anderen zu gewähren. Sie installieren Allied Telesis APs auf dem gesamten Gelände mit einer einzigen SSID. Jeder Mieter erhält einen eindeutigen PPSK. Der RADIUS-Server von Purple ordnet jeden PPSK einem dedizierten VLAN zu. Der Vermieter kann einen neuen Mieter in weniger als zehn Minuten einrichten, indem er einen neuen PPSK-Datensatz in Purple erstellt und die Passphrase an den Mieter übergibt. Es ist keine Neukonfiguration des APs erforderlich. [medium pause] Nun zu einigen Fehlern, die Sie vermeiden sollten. Das häufigste Problem, das wir sehen, sind falsch konfigurierte Walled Gardens. Wenn Sie vergessen, einen Purple-CDN-Endpunkt auf die Whitelist zu setzen, wird das Captive Portal auf bestimmten Geräten nur teilweise geladen oder schlägt ganz fehl. Testen Sie das System vor der Inbetriebnahme mit einem neuen Gerät, das keinen DNS-Cache enthält. Zweitens: Abweichungen beim Shared Secret für RADIUS. Das auf dem AP konfigurierte Secret muss exakt mit dem Secret in der RADIUS-Serverkonfiguration von Purple übereinstimmen. Bereits ein Unterschied von einem einzigen Zeichen führt zu lautlosen Authentifizierungsfehlern. Verwenden Sie einen Passwort-Manager, um das Secret zu generieren und zu speichern. Drittens: Dynamisches VLAN wird nicht aktiviert. Auf Allied Telesis APs ist Dynamic VLAN standardmäßig deaktiviert, selbst wenn WPA Enterprise aktiv ist. Sie müssen es explizit in den erweiterten VAP-Sicherheitseinstellungen aktivieren. Wir sehen regelmäßig, dass dies vergessen wird. Viertens: Konflikt zwischen PPSK- und MAC-Authentifizierung. Wenn Sie die MAC-Authentifizierung auf demselben VAP wie PPSK aktiviert haben, spielt die Reihenfolge der Authentifizierung eine Rolle. Prüfen Sie die AP-Dokumentation für Ihre Firmware-Version, um zu bestätigen, welche Methode Vorrang hat. [medium pause] Kurze Fragen, die ich häufig von IT-Teams erhalte. Kann ich den RADIUS-Server von Purple sowohl für das Gäste-Captive-Portal als auch für das Mitarbeiter-802.1X auf derselben Bereitstellung nutzen? Ja. Der RADIUS as a Service von Purple unterstützt beide Authentifizierungsabläufe. Sie konfigurieren für jeden Anwendungsfall separate RADIUS-Gruppen oder -Richtlinien in Purple. Unterstützen Allied Telesis APs WPA3 mit Captive Portal? Der TQ6702 GEN2 mit der Firmware 5.5.4-2.3 oder neuer unterstützt die WPA3-CCMP-Verschlüsselung. Ein Captive Portal mit externer Weiterleitung läuft jedoch in der Regel auf einer offenen oder WPA2-Personal-SSID. Das 802.1X-Netzwerk für Mitarbeiter kann WPA3 Enterprise nutzen. Was passiert, wenn der Purple RADIUS-Server nicht erreichbar ist? Der AP verweigert neue Authentifizierungsversuche. Bestehende Sitzungen werden fortgesetzt, bis sie das Zeitlimit überschreiten. Für die Redundanz sollten Sie einen sekundären RADIUS-Server in der RADIUS-Gruppe des AP konfigurieren. Die Plattform von Purple bietet eine Betriebszeit von 99,999 %, aber Defence in Depth ist eine bewährte Methode. [medium pause] Zusammenfassend: Die APs der Allied Telesis TQ-Serie lassen sich über drei Hauptmechanismen mit Purple integrieren: externe Captive Portal-Weiterleitung für Gäste-WiFi, WPA-Enterprise mit RADIUS für Mitarbeiter-802.1X und PPSK mit dynamischem VLAN für die Isolierung mehrerer Mandanten. Die benötigten RADIUS-Attribute sind Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802 und Tunnel-Private-Group-Id, welche die VLAN-ID überträgt. Purple stellt das RADIUS-as-a-Service-Backend, die Splash-Page-Plattform und die Analyse-Ebene bereit. [short pause] Ihre nächsten Schritte: Rufen Sie die Purple RADIUS-Anmeldedaten aus Ihrem Dashboard ab, konfigurieren Sie die externe Seitenweiterleitung auf Ihrem Gäste-VAP, fügen Sie die Walled-Garden-Einträge hinzu, aktivieren Sie Dynamic VLAN auf Ihrem Mitarbeiter-VAP und führen Sie eine Testauthentifizierung für jedes Netzwerksegment durch, bevor Sie live gehen. Wenn Sie PPSK für mehrere Mandanten bereitstellen, planen Sie Ihr VLAN-Nummerierungsschema vor dem Start, da die Änderung von VLAN-IDs nach dem Live-Gang der Mandanten eine Koordination erfordert. [medium pause] Das war das Briefing. Die vollständige Schritt-für-Schritt-Konfigurationsreferenz, das Mermaid-Architekturdiagramm und die RADIUS-Attributtabelle finden Sie im schriftlichen Leitfaden. Vielen Dank für Ihre Aufmerksamkeit.