Captive Portal Architektur: Sicherheit, Umleitung und Best Practices

Sprechen Sie in britischem Englisch mit einem selbstbewussten, autoritativen und konversationellen Ton – wie ein Senior-Netzwerkberater, der einen Kunden bei einem Kaffee einweist. Gemäßigtes Tempo, klare Aussprache, keine Hektik. Gelegentliche natürliche Pausen zur Betonung. Professionell, aber nicht steif: Willkommen beim Purple Technical Briefing. Ich bin Ihr Gastgeber, und heute befassen wir uns eingehend mit der Captive Portal-Architektur – insbesondere mit dem Sicherheitsmodell, der Redirection-Mechanik und den Designentscheidungen, die ein rechtskonformes, gut durchdachtes Deployment von einem unterscheiden, das Ihnen um drei Uhr morgens Probleme bereiten wird. [medium pause] Stellen wir uns Folgendes vor: Sie betreiben ein Gäste-WiFi in einer Hotelkette, im Einzelhandel oder in einem Stadion. Täglich verbinden sich Tausende von Geräten. Einige dieser Geräte sind mit Malware infiziert. Einige dieser Nutzer versuchen, auf Inhalte zuzugreifen, die sie nicht sehen sollten. Und Ihre Rechtsabteilung möchte schriftlich bestätigt wissen, dass Sie eine gültige Einwilligung eingeholt haben, bevor Sie auch nur ein einziges Byte an personenbezogenen Daten speichern. [medium pause] Das ist das Problem, für dessen Lösung die Captive Portal-Architektur entwickelt wurde. Lassen Sie uns aufschlüsseln, wie das Ganze tatsächlich funktioniert. [medium pause] Abschnitt eins. Die Redirection-Kette. Wenn sich ein Gästegerät mit Ihrer WiFi SSID verbindet, erhält es eine IP-Adresse aus einem DHCP-Pool in einem dedizierten Gäste-VLAN – nennen wir es VLAN 20. Ihre Unternehmensgeräte befinden sich im VLAN 10. Diese beiden VLANs dürfen unter keinen Umständen Datenverkehr untereinander zulassen. Das ist aus PCI-DSS-Sicht nicht verhandelbar und ehrlich gesagt auch aus grundlegenden Sicherheitsaspekten nicht. Das Gerät ist nun verbunden, hat sich aber noch nicht authentifiziert. Der Controller versetzt es in einen sogenannten Pre-Authentication-Status. Das Gerät kann nur eine kleine Whitelist von Domains erreichen – den Walled Garden. Alles andere wird abgefangen. Hier ist der clevere Teil: Wenn das Gerät versucht, eine Webseite zu laden – oder wenn das Betriebssystem seine Captive Portal-Erkennungsprüfung durchführt, was iOS automatisch über den Aufruf von captive.apple.com erledigt –, gibt der DNS-Resolver auf dem Gateway die IP-Adresse des Captive Portal-Servers anstelle des tatsächlichen Ziels zurück. Der Browser folgt diesem Redirect und landet auf Ihrer Splash-Page. [medium pause] Hier arbeiten Layer 3 und Layer 7 zusammen. Das VLAN übernimmt die Netzwerkisolierung. Das DNS-Intercept kümmert sich um den Redirect. Und das Captive Portal übernimmt die Identitäts- und Einwilligungsebene. Drei unterschiedliche Mechanismen, die alle nacheinander ablaufen. [medium pause] Abschnitt zwei. Authentifizierung und RADIUS. Sobald der Gast mit der Splash-Page interagiert – sei es durch Akzeptieren der Nutzungsbedingungen, Eingabe einer E-Mail-Adresse, Authentifizierung über Social-Login oder Verifizierung eines SMS-Codes –, muss die Plattform dem Netzwerk-Controller mitteilen, dass er die Firewall für dieses spezifische Gerät öffnen soll. Hier kommt RADIUS ins Spiel. RADIUS steht für Remote Authentication Dial-In User Service. Es handelt sich um ein in RFC 2865 definiertes Protokoll und ist der Branchenstandard für die Übertragung von Authentifizierungsentscheidungen zwischen einem Policy-Server und einem Netzwerkzugriffsgerät. Purple agiert als in der Cloud gehosteter RADIUS-Server. Wenn ein Gast den Captive Portal-Flow durchläuft, sendet Purple eine RADIUS-Access-Accept-Nachricht an den lokalen WiFi-Controller – sei es ein Cisco Meraki, ein HPE Aruba Controller, eine Ruckus SmartZone oder ein Juniper Mist Access Point. Der Controller empfängt diese Nachricht und versetzt das Gastgerät aus dem Zustand vor der Authentifizierung in den autorisierten Zustand, wodurch die Firewall-Regeln geöffnet und der Internetzugang gewährt werden. [medium pause] Es gibt eine wichtige Erweiterung für RADIUS, die Sie kennen sollten: Change of Authorisation oder CoA. CoA ermöglicht es dem RADIUS-Server, eine Nachricht mitten in der Sitzung an den Controller zu senden, um eine bereits aktive Sitzung zu widerrufen oder zu ändern. Purple nutzt CoA, um Sitzungs-Timeouts durchzusetzen, Geräte zu trennen, die wegen Richtlinienverstößen markiert wurden, und um Workflows für das Recht auf Löschung gemäß der GDPR zu unterstützen – wenn ein Nutzer die Löschung seiner Daten beantragt, kann Purple seine aktive Sitzung sofort widerrufen. [medium pause] Abschnitt drei. Der Walled Garden. Der Walled Garden ist eine Whitelist von IP-Adressen und Domainnamen, die nicht authentifizierte Geräte erreichen können, bevor sie den Captive Portal-Flow abgeschlossen haben. Wenn Sie hier einen Fehler machen, wird Ihre Splash-Page nicht geladen. Wenn Sie es völlig falsch machen, haben Sie eine Sicherheitslücke geschaffen. Ihr Walled Garden muss mindestens die URL des Captive Portals selbst, alle CDN-Endpunkte, die die Assets des Portals bereitstellen, und die Authentifizierungs-Endpunkte für alle von Ihnen genutzten Social-Login-Anbieter – Google, Facebook, Microsoft – enthalten. Wenn Sie eine SMS-Verifizierung nutzen, müssen Sie den API-Endpunkt des SMS-Gateways auf die Whitelist setzen. Die Falle, in die die meisten Implementierungen tappen, sind dynamische IP-Adressen. Cloud-Dienste haben nicht immer statische IPs. Wenn Sie eine IP anstelle einer Domain auf die Whitelist setzen und sich diese IP ändert, funktioniert Ihr Portal nicht mehr. Nutzen Sie domänenbasiertes Whitelisting, sofern Ihr Controller dies unterstützt, und testen Sie nach jeder Änderung. [medium pause] Abschnitt vier. Sicherheitsdesign. Lassen Sie uns im Detail über die Sicherheitsarchitektur sprechen, da die meisten Implementierungen hier Lücken aufweisen. Erstens: Client-Isolation. Aktivieren Sie diese. Dies ist eine Einstellung am Access Point, die verhindert, dass Gastgeräte direkt über das drahtlose Medium miteinander kommunizieren. Ohne diese Funktion kann ein kompromittiertes Gerät in Ihrem Gastnetzwerk andere Gastgeräte ausspähen und angreifen. Es ist eine Lösung mit nur einem Kontrollkästchen, die eine ganze Klasse von Peer-to-Peer-Angriffen eliminiert. Zweitens: DHCP-Lease-Zeiten. An Orten mit hoher Fluktuation – einem Verkehrsknotenpunkt, einem Stadion, einem belebten Ladengeschäft – benötigen Sie kurze Lease-Zeiten. Dreißig bis sechzig Minuten. Wenn Sie den Standardwert von vierundzwanzig Stunden belassen und an einem Spieltag zehntausend Geräte eine Verbindung herstellen, wird Ihr IP-Adresspool noch vor der Halbzeit erschöpft sein. Neue Geräte können sich nicht verbinden. Ihr Betriebsteam wird Beschwerden erhalten. Halten Sie die Leases kurz. Drittens: Verschlüsselung. Ihr Captive Portal muss über HTTPS mit einem gültigen TLS-Zertifikat bereitgestellt werden. Wenn es über HTTP bereitgestellt wird, stufen moderne Browser es als unsicher ein, Benutzer verlieren das Vertrauen und Sie übertragen Anmeldedaten im Klartext. Verwenden Sie mindestens TLS 1.2; TLS 1.3 wird bevorzugt. Die WiFi-Transportschicht sollte WPA2-AES oder WPA3 verwenden – niemals WEP, niemals TKIP. Viertens: VLAN-Segmentierung. Ihr Gäste-VLAN muss vollständig von jedem Netzwerksegment isoliert sein, das mit Zahlungskartendaten in Berührung kommt. PCI DSS Version 4.0 ist hier eindeutig. Wenn Ihr Gästenetzwerk zu einem Subnetz routen kann, das ein Point-of-Sale-System enthält, fällt Ihr gesamtes POS-Netzwerk in den Bereich eines PCI-Audits. Das ist ein erheblicher Compliance-Aufwand. Segmentieren Sie von Tag eins an richtig. [medium pause] Abschnitt fünf. GDPR und Daten-Compliance. Jedes Captive Portal, das personenbezogene Daten erfasst – und E-Mail-Adresse, Telefonnummer und Social Login zählen unter der GDPR alle als personenbezogene Daten –, muss bestimmte Anforderungen erfüllen. Sie benötigen eine Rechtsgrundlage für die Verarbeitung. Für Gäste-WiFi ist dies in der Regel die Einwilligung. Die Einwilligung muss freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich erteilt werden. Bereits angekreuzte Kästchen zählen nicht. Die Verknüpfung der WiFi-Einwilligung mit einer Marketing-Einwilligung zählt nicht. Das Conscious-Choice-Opt-in-Modell von Purple trennt die Einwilligung für den Netzwerkzugang von der Marketing-Einwilligung, sodass Gäste online gehen können, ohne gezwungen zu sein, Marketing-E-Mails zu akzeptieren. Sie müssen dokumentieren, welche Daten Sie erfassen, warum Sie sie erfassen, wo sie gespeichert werden und wie lange Sie sie aufbewahren. Purple ist ISO 27001-zertifiziert, GDPR-konform, CCPA-konform und Cyber Essentials-zertifiziert. Die Plattform speichert Daten in konformen Rechenzentren mit dokumentierten Aufbewahrungsrichtlinien. Und Sie benötigen einen Workflow für das Recht auf Löschung. Wenn ein Gast die Löschung seiner Daten verlangt, müssen Sie dies innerhalb von dreißig Tagen umsetzen können. Die Plattform von Purple unterstützt dies nativ, und der zuvor erwähnte RADIUS-CoA-Mechanismus bedeutet, dass Sie gleichzeitig aktive Sitzungen widerrufen können. [medium pause] Kommen wir nun zu den Empfehlungen für die Implementierung und den Fallstricken, die wir am häufigsten sehen. [medium pause] Fallstrick eins: Fehlkonfigurierte Walled Gardens. Die Splash-Page wird geladen, aber der Social-Login-Button funktioniert nicht. Oder die Seite wird geladen, aber das Logo erscheint nicht, weil die CDN-Domain nicht auf der Whitelist steht. Testen Sie Ihren Walled Garden auf einem neuen Gerät ohne DNS-Cache, bevor Sie live gehen. Fallstrick zwei: Gemeinsam genutzte PSKs. Einige Veranstaltungsorte verwenden immer noch ein einziges WiFi-Passwort, das auf eine Tafel geschrieben ist. Das ist kein Captive Portal – das ist ein gemeinsames Geheimnis, das jeder fotografieren und teilen kann. Es liefert Ihnen keine Identitätsdaten, keinen Einwilligungsnachweis und keine Möglichkeit, den Zugriff für einzelne Personen zu sperren. Ersetzen Sie es durch ein verwaltetes Captive Portal. Fallstrick drei: Unzureichende DHCP-Pool-Größe. Ich habe dies bereits erwähnt, aber es ist wichtig genug, um es zu wiederholen. Dimensionieren Sie Ihren DHCP-Pool für die maximale Anzahl gleichzeitiger Verbindungen, nicht für die durchschnittlichen Verbindungen. In einem Stadion mit vierzigtausend Fans versuchen möglicherweise zwanzigtausend Geräte gleichzeitig, sich zu verbinden. Planen Sie entsprechend. Fallstrick Nummer vier: Kein Sitzungs-Timeout. Ohne ein Sitzungs-Timeout behält ein Gerät, das sich vor sechs Monaten verbunden hat und nie zurückgekehrt ist, immer noch einen autorisierten Sitzungsstatus in Ihrem Controller. Das ist ein veralteter Datensatz, der Ressourcen verschwendet und Audit-Rauschen erzeugt. Legen Sie Sitzungs-Timeouts fest. Dreißig Minuten Inaktivität sind ein angemessener Standardwert. [medium pause] Schnellfeuer-F&A. Frage: Funktioniert ein Captive Portal auf allen Geräten? Antwort: Moderne Betriebssysteme – iOS, Android, Windows, macOS – verfügen alle über eine integrierte Captive Portal-Erkennung. Sie erkennen die Weiterleitung und stellen das Portal automatisch dar. Bei älteren Geräten muss der Benutzer möglicherweise manuell einen Browser öffnen. Die Plattform von Purple unterstützt beide Abläufe. Frage: Können wir ein Captive Portal zusammen mit 802.1X nutzen? Antwort: Ja. Viele Unternehmensbereitstellungen nutzen 802.1X für Mitarbeitergeräte – bei denen Zertifikate oder Anmeldedaten automatisch authentifiziert werden – und ein Captive Portal für Gastgeräte auf einer separaten SSID. Purple lässt sich in RADIUS-Infrastrukturen integrieren, die beide Abläufe gleichzeitig unterstützen. Frage: Was ist mit OpenRoaming? Antwort: OpenRoaming ist ein Standard, der es Geräten ermöglicht, sich mithilfe von zertifikatsbasierter Authentifizierung automatisch mit dem WiFi zu verbinden, wodurch das Captive Portal vollständig umgangen wird. Purple fungiert im Rahmen der Connect-Lizenz als kostenloser Identitätsanbieter für OpenRoaming. Es ist die zukünftige Richtung für nahtlose Gastkonnektivität, aber Captive Portals bleiben heute der Standard für Datenerfassung und Einwilligungsmanagement. [medium pause] Zusammenfassung. Eine gut strukturierte Captive Portal-Bereitstellung ruht auf fünf Säulen. VLAN-Isolierung zum Schutz Ihres Unternehmensnetzwerks. DNS-Interzeption und HTTPS-Weiterleitung zur Darstellung der Splash-Page. RADIUS-Authentifizierung zur Öffnung der Firewall nach der Einwilligung. Ein korrekt konfiguriertes Walled Garden, um sicherzustellen, dass das Portal zuverlässig geladen wird. Und eine GDPR-konforme Datenverarbeitung zum Schutz Ihrer Gäste und Ihrer Organisation. Die Plattform von Purple verwaltet alle fünf Ebenen an über 80.000 Live-Standorten, mit 440 Millionen verarbeiteten Logins im Jahr 2024 und einer Verfügbarkeit von 99,999 %. Sie lässt sich nativ in Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet integrieren – ganz gleich, welche Hardware Sie also nutzen, Sie können die Bereitstellung ohne aufwendigen Austausch durchführen. Wenn Sie tiefer in eines dieser Themen einsteigen möchten – SSID-Design, RADIUS-Konfiguration oder Workflows zur GDPR-Compliance – besuchen Sie purple.ai für die vollständige Bibliothek der technischen Handbücher. Vielen Dank fürs Zuhören.