Aruba Central und Purple WiFi: Cloud-Managed Integration

Aruba Central und Purple WiFi: Cloud-Managed Integration. Ein Briefing für IT-Entscheider. Willkommen. Wenn Sie Gast-WiFi an mehreren Standorten verwalten und Aruba Central nutzen, ist diese Episode direkt für Sie relevant. Ich werde Sie genau durch die Integration von Purple mit Aruba Central führen – die Architektur, die Konfigurationsschritte, die Multi-Site-Rollout-Muster und die Fallstricke, die Teams immer wieder einholen. Dies ist ein praktisches Briefing, kein Produkt-Pitch. Lassen Sie uns direkt einsteigen. Abschnitt eins: Kontext und warum das wichtig ist. Aruba Central ist die Cloud-Managed-Networking-Plattform von HPE. Sie ist die Control Plane für Zehntausende von Aruba Instant Access Points, die in Hotels, Einzelhandelsketten, Stadien, Konferenzzentren und Gebäuden des öffentlichen Sektors im Einsatz sind. Wenn Sie von On-Premises-Aruba-Controllern – den Mobility Controllern oder Mobility Conductors – zu Central gewechselt sind, haben Sie bereits den Übergang von der CLI-lastigen, standortspezifischen Konfiguration hin zu einer gruppenbasierten, aus der Cloud gesteuerten Richtlinienverwaltung erlebt. Dieser Wechsel verändert grundlegend die Art und Weise, wie Sie eine Gast-WiFi-Plattform wie Purple integrieren. Bei einem traditionellen On-Prem-Aruba-Controller würden Sie die Captive Portal-Weiterleitung und die RADIUS-Authentifizierung direkt auf dem Controller selbst konfigurieren. Der Controller war der Punkt zur Durchsetzung von Richtlinien und befand sich in Ihrem Rechenzentrum oder Serverraum. Bei Aruba Central erfolgt die Durchsetzung der Richtlinien immer noch am Access Point – aber die Konfiguration wird aus der Cloud übertragen. Das bedeutet, dass Ihre Integrations-Touchpoints andere sind. Sie arbeiten mit Gruppenvorlagen, SSID-Profilen und externen Captive Portal-Profilobjekten, die in der Konfigurationshierarchie von Central liegen und nicht auf einem Gerät im Rack. Purple steht über all dem als Cloud-gehostete Gast-WiFi-Intelligence-Plattform. Sie stellt das Captive Portal bereit – die Splash-Page, die Gäste sehen –, übernimmt die Authentifizierungslogik, erfasst First-Party-Daten mit Einwilligung und liefert Analysen an Ihre Marketing- und Betriebsteams zurück. Die Frage ist: Wie verbinden Sie diese beiden Cloud-Plattformen sauber und skalierbar über potenziell Hunderte von Standorten hinweg? Abschnitt zwei: Die technische Architektur. Lassen Sie mich den Datenfluss beschreiben, wenn sich ein Gast verbindet. Ein Gastgerät verbindet sich mit Ihrer Gast-SSID – nennen wir sie Hotel-Guest –, die von einem Aruba Instant AP ausgestrahlt wird. Der AP wurde über Aruba Central mit einem externen Captive Portal-Profil konfiguriert. Dieses Profil enthält zwei entscheidende Informationen: die Redirect-URL, die auf den Captive Portal-Server von Purple verweist, und die RADIUS-Server-Details, die auf den RADIUS-as-a-Service-Endpunkt von Purple verweisen. Wenn der Gast einen Browser öffnet, fängt der AP die HTTP-Anfrage ab und leitet sie auf die Splash-Page von Purple weiter. Der Gast authentifiziert sich – je nach Ihrer Purple-Konfiguration über Social Login, E-Mail, SMS oder ein benutzerdefiniertes Formular. Das Backend von Purple sendet dann eine RADIUS Access-Accept-Nachricht zurück an den AP, die dem Gast den Internetzugang gewährt und ihn von der Pre-Authentication-Rolle in die authentifizierte Gast-Rolle verschiebt. RADIUS-Accounting-Pakete fließen während der gesamten Sitzung, was Purple Einblick in die Sitzungsdauer und den Datenverbrauch gibt. Der Hauptunterschied zu On-Premise-Aruba besteht nun darin: In Aruba Central konfigurieren Sie das External Captive Portal-Profil einmal auf Gruppenebene, und es wird auf jeden AP in dieser Gruppe übertragen. Sie müssen die einzelnen APs nicht anfassen. Dies ist enorm leistungsstark für Multi-Site-Bereitstellungen, erfordert jedoch, dass Sie die Gruppenstruktur richtig aufsetzen, bevor Sie beginnen. Aruba Central organisiert Geräte in Gruppen, und innerhalb von Gruppen können Sie Standorte (Sites) haben. Eine Gruppe ist die Konfigurationseinheit – SSIDs, Funkprofile und Sicherheitsrichtlinien befinden sich alle auf Gruppenebene. Standorte sind die Einheit für Ort und Überwachung. Für eine Hotelkette ist eine sinnvolle Struktur eine Gruppe pro Immobilientyp – beispielsweise Full-Service-Hotels und Budget-Hotels – wobei jedes physische Hotel als separater Standort innerhalb der entsprechenden Gruppe eingerichtet wird. Die Konfiguration von Purple wird dann den Gruppen zugeordnet: ein External Captive Portal-Profil pro Gruppe, das auf denselben Purple RADIUS-Endpunkt verweist, aber potenziell mit unterschiedlichen Splash-Page-Themen pro Standort unter Verwendung der Anpassung auf Standortebene von Purple. Der Walled Garden ist ein kritisches Konfigurationselement, das Teams häufig falsch konfigurieren. Bevor sich ein Gast authentifiziert, lässt der AP nur DNS- und DHCP-Verkehr sowie alle Domains zu, die Sie explizit auf die Whitelist setzen. Damit Purple funktioniert, müssen Sie die Captive Portal-Domain von Purple, alle CDN-Domains, die Purple für Assets verwendet, und alle Domains von Social-Login-Anbietern auf die Whitelist setzen, wenn Sie die Social-Authentifizierung nutzen – Facebook, Google, Apple. Wenn Sie eine Domain vergessen, wird die Splash-Page nur teilweise geladen oder die Authentifizierung schlägt geräuschlos fehl. Die Support-Dokumentation von Purple enthält die aktuelle Walled-Garden-Liste, und es lohnt sich, diese Liste als lebendiges Dokument zu behandeln, das Sie immer dann überprüfen, wenn Purple seine Plattform aktualisiert. Abschnitt drei: Aruba Central API-Oberfläche für die Automatisierung. Wenn Sie die Bereitstellung für mehr als etwa zwanzig Standorte durchführen, wird die manuelle Konfiguration über die Central-Benutzeroberfläche zu einem Engpass. Aruba Central bietet eine umfassende REST-API – die Central-API –, mit der Sie die SSID-Erstellung, die Zuweisung von Captive Portal-Profilen und die Walled-Garden-Konfiguration automatisieren können. Die API ist über OAuth 2.0 authentifiziert, und Sie müssen API-Anmeldedaten im Central-Portal generieren. Die wichtigsten API-Endpunkte für eine Purple-Integration sind: der WLAN-Konfigurations-Endpunkt, mit dem Sie SSID-Profile erstellen und aktualisieren können; der Endpunkt für das externe Captive Portal-Profil, an dem Sie die Purple-Weiterleitungs-URL und die RADIUS-Server-Details definieren; und die Endpunkte für das Standort- und Gruppenmanagement, mit denen Sie Geräte programmgesteuert Standorten und Gruppen zuweisen können. Wenn Sie einen neuen Standort einrichten, können Sie ein Skript schreiben, das den Standort in Central erstellt, die APs dem Standort zuweist, die richtige Gruppenvorlage anwendet und das Purple-spezifische Captive Portal-Profil konfiguriert – und das alles, ohne die Benutzeroberfläche zu berühren. Purple stellt auch eine eigene API bereit, mit der Sie Standortdatensätze erstellen, Splash-Page-Designs konfigurieren und Analysedaten abrufen können. Eine ausgereifte Integration nutzt beide APIs zusammen: die API von Central zur Verwaltung der Netzwerkschicht und die API von Purple zur Verwaltung der Guest-Experience-Schicht. Dies ist das Muster, das große Einzelhandelsketten und Hotelgruppen verwenden, wenn sie Dutzende von neuen Standorten pro Quartal einrichten. Abschnitt vier: Schritt-für-Schritt-Konfiguration. Lassen Sie mich Sie durch die Konfigurationssequenz für einen einzelnen Standort führen, die Sie dann für eine Skalierung automatisieren würden. Navigieren Sie zunächst in Aruba Central zu Ihrer Zielgruppe und öffnen Sie die WLAN-Konfiguration. Erstellen Sie eine neue SSID – zum Beispiel „Venue-Guest“ – und setzen Sie die Sicherheitsstufe auf „Visitors“. Dies ist die Terminologie von Aruba für ein offenes oder über ein Captive Portal authentifiziertes Netzwerk. Zweitens: Stellen Sie unter der Registerkarte „Security“ den Typ der Splash Page auf „External Captive Portal“. Erstellen Sie ein neues Profil für das externe Captive Portal. Geben Sie ihm einen aussagekräftigen Namen – „Purple-Guest-Portal“ eignet sich gut. Stellen Sie den Authentifizierungstyp auf „RADIUS Authentication“. Geben Sie den Hostnamen des Captive Portal-Servers von Purple in das Feld „IP or Hostname“ ein. Geben Sie die Weiterleitungs-URL ein. Aktivieren Sie HTTPS. Stellen Sie das Verhalten bei einem Ausfall des Captive Portals auf „Deny Internet“, was die sicherere Standardeinstellung ist. Drittens: Konfigurieren Sie den RADIUS-Server. Gehen Sie in Central zu den Einstellungen des Authentifizierungsservers und fügen Sie den RADIUS-as-a-Service-Server von Purple hinzu. Sie benötigen die Server-IP oder den Hostnamen, das Shared Secret – das Sie in der Purple-Plattform generieren – und den Authentifizierungsport, der standardmäßig 1812 ist, mit Accounting auf 1813. Fügen Sie diesen Server als primären Server für Ihre Gäste-SSID hinzu. Viertens: Konfigurieren Sie den Walled Garden. Fügen Sie in den Zugriffsregeln der SSID die Purple Captive Portal-Domain und alle Social-Login-Domains zur Allowlist hinzu. Testen Sie dies sorgfältig – eine fehlende Domain ist die häufigste Ursache für Fehler bei der Splash Page. Fünftens: Speichern und übertragen Sie die Konfiguration. Central überträgt die Konfiguration auf alle APs in der Gruppe. Überprüfen Sie auf einem Testgerät, ob die Weiterleitung korrekt funktioniert und die Authentifizierung abgeschlossen wird. Abschnitt fünf: Muster für den Rollout an mehreren Standorten. Für eine Bereitstellung an fünfzig oder mehr Standorten benötigen Sie einen disziplinierten Ansatz. Das von mir empfohlene Muster lautet: Pilotieren, Vorlagen erstellen, Automatisieren, Validieren. Führen Sie ein Pilotprojekt an einem einzelnen Standort durch. Stellen Sie die Konfiguration exakt ein – Walled Garden vollständig, RADIUS funktioniert, Splash Page lädt sauber, Accounting läuft. Dokumentieren Sie jeden Parameterwert. Erstellen Sie dann diese Konfiguration in einer Central-Gruppenvorlage. Die Vorlage wird zu Ihrer Single Source of Truth. Nutzen Sie für den Rollout die Central API, um die Vorlage auf neue Gruppen zu übertragen, während Sie Standorte onboarden. Wenn Ihre Purple-Bereitstellung unterschiedliche Splash-Page-Designs pro Marke oder Region verwendet, parametrisieren Sie das Captive Portal-Profil – die Redirect-URL kann Query-Parameter enthalten, die Purple verwendet, um das richtige Design bereitzustellen. Das bedeutet, dass Sie einen einzigen RADIUS-Endpunkt, aber mehrere Splash-Page-Erlebnisse haben können, die alle zentral verwaltet werden. Validieren Sie jeden Standort nach dem Onboarding. Ein einfaches Validierungsskript, das ein Testgerät zuweist, auf die Weiterleitung prüft, authentifiziert und den Internetzugang verifiziert, fängt Konfigurationsabweichungen ab, bevor Gäste sie bemerken. Das Analytics-Dashboard von Purple zeigt Ihnen auch, ob Sitzungen aufgezeichnet werden – wenn ein Standort im Reporting von Purple dunkel bleibt, ist das Ihr Signal, dass auf der Netzwerkschicht etwas fehlerhaft ist. Abschnitt sechs: Fallstricke bei der Implementierung. Der Walled Garden ist die Fehlerquelle Nummer eins. Testen Sie mit einem Gerät, das keine zwischengespeicherten DNS- oder Portalsitzungen hat. Verwenden Sie ein neues Browserprofil oder den Inkognito-Modus. Der zweite Fallstrick ist eine Diskrepanz beim gemeinsamen RADIUS-Schlüssel (Shared Secret). Das in Central konfigurierte Secret muss exakt mit dem Secret in der Plattform von Purple übereinstimmen. Ein Unterschied von nur einem Zeichen führt zu unbemerkt fehlschlagenden Authentifizierungen – der AP erhält keine Antwort vom RADIUS-Server und lehnt den Gast entweder ab oder gewährt, falls Sie den Captive Portal-Fehlermodus auf „Internet zulassen“ eingestellt haben, Zugriff ohne Authentifizierung, was ein Compliance-Risiko darstellt. Der dritte Fallstrick ist eine VLAN-Fehlkonfiguration. Der Gast-Traffic sollte auf einem dedizierten VLAN liegen, isoliert von Ihrem Unternehmensnetzwerk. In Aruba Central wird dies in den VLAN-Einstellungen des SSID-Profils konfiguriert. Wenn Ihr Gast-VLAN auf dem Uplink-Switch-Port nicht korrekt getrunkt ist, fahren die APs zwar hoch, aber die Gäste erhalten keine DHCP-Adressen. Der vierte Fallstrick ist das Zertifikatsvertrauen bei der Captive Portal-Weiterleitung. Moderne Browser und Betriebssysteme setzen HTTPS immer strenger durch. Der Captive Portal-Server von Purple verwendet ein gültiges TLS-Zertifikat. Wenn Ihr Walled Garden jedoch die OCSP- oder CRL-Endpunkte blockiert, die der Client zur Validierung des Zertifikats verwendet, werden auf der Splash Page Zertifikatsfehler angezeigt. Fügen Sie diese Endpunkte Ihrem Walled Garden hinzu. Abschnitt sieben: Schnelle Fragen. Funktioniert Purple sowohl mit der AOS-10-Architektur von Aruba Central als auch mit AOS-8? Ja. Der externe Captive Portal-Mechanismus ist über beide Firmware-Streams hinweg konsistent. Der UI-Pfad unterscheidet sich geringfügig, aber die zugrunde liegenden Konfigurationsobjekte sind dieselben. Kann ich den RADIUS-as-a-Service von Purple nutzen, ohne eine eigene RADIUS-Infrastruktur zu betreiben? Ja, genau das ist der Punkt. Der RADIUS-as-a-Service von Purple ist ein in der Cloud gehosteter RADIUS-Server, auf den Sie Ihre Aruba APs ausrichten. Sie benötigen kein FreeRADIUS oder Cisco ISE vor Ort. Unterstützt diese Integration WPA3? Aruba Central unterstützt WPA3 auf kompatiblen APs, und Sie können den WPA3-Übergangsmodus auf Ihrer Gäste-SSID aktivieren. Der Captive Portal-Mechanismus von Purple ist unabhängig von der Verschlüsselungsebene – er arbeitet auf der Ebene der HTTP-Weiterleitung, nicht auf der Ebene der 802.11-Assoziierung. Sind die von Purple erfassten Daten GDPR-konform? Purple wurde mit der GDPR-Konformität als Kernanforderung entwickelt. Die Splash-Page bietet einen Einwilligungsmechanismus, und die Datenverarbeitung von Purple wird durch Ihre Datenverarbeitungsvereinbarung mit ihnen geregelt. Stellen Sie für Standorte in der EU sicher, dass Ihre Purple-Konfiguration die entsprechenden Einwilligungserklärungen enthält und dass Ihre DPA vor dem Go-Live vorliegt. Abschnitt acht: Zusammenfassung und nächste Schritte. Zusammenfassend lässt sich sagen: Aruba Central und Purple lassen sich über den External Captive Portal-Mechanismus integrieren, wobei die RADIUS-Authentifizierung über den Cloud-RADIUS-Dienst von Purple abgewickelt wird. Die Konfiguration erfolgt auf Gruppenebene in Central und wird auf alle APs in der Gruppe übertragen – was der wesentliche architektonische Unterschied zum On-Premises-Aruba ist. Verwenden Sie bei Multi-Site-Rollouts die Central-API, um die Bereitstellung zu automatisieren, und nutzen Sie die Konfiguration Ihres Pilotstandorts als Vorlage für alles Folgende. Ihre unmittelbaren nächsten Schritte: Bestätigen Sie erstens, dass Ihre Aruba Central-Gruppenstruktur Ihrer Purple-Standorthierarchie entspricht. Zweitens: Rufen Sie die aktuelle Walled-Garden-Domainliste und die RADIUS-Endpunktdetails von Purple über das Support-Portal von Purple ab. Drittens: Führen Sie ein Pilotprojekt an einem einzelnen Standort durch und validieren Sie den gesamten Authentifizierungsfluss, bevor Sie skalieren. Viertens: Erstellen Sie Ihre Automatisierungsskripte parallel mit der Central-API und der Purple-API. Wenn Sie Purple zum ersten Mal evaluieren, bieten Ihnen die Seiten für Gäste-WiFi und die Analyseplattform auf purple.ai ein klares Bild davon, was Sie über das Captive Portal hinaus erhalten – die Erfassung von First-Party-Daten, die Marketing-Automatisierung, die Besucherfrequenz-Analysen. Das ist der Business Case, mit dem dieses Projekt finanziert wird. Vielen Dank fürs Zuhören. Wenn Sie Fragen zu dieser Integration haben, kann das Solutions-Team von Purple Sie durch ein Proof-of-Concept führen, das auf Ihre spezifische Aruba Central-Umgebung zugeschnitten ist.