Cambium Networks cnPilot und cnMaestro Integration mit Purple WiFi

Cambium Networks cnPilot und cnMaestro Integration mit Purple WiFi. Ein Consultant-Briefing. Willkommen. Wenn Sie eine Cambium Networks-Umgebung betreiben und beauftragt wurden, ein Gäste-WiFi-Erlebnis bereitzustellen, das Daten erfasst, das Marketing ankurbelt und datenschutzkonform bleibt – dann ist dieses Briefing genau das Richtige für Sie. Ich werde Sie Schritt für Schritt durch das Zusammenspiel von Cambium cnPilot Access Points, dem cnMaestro Cloud-Controller und Purple WiFi führen. Wir behandeln die Architektur, den RADIUS-Authentifizierungsfluss, die Walled-Garden-Konfiguration, sicheres Mitarbeiter-WiFi über 802.1X sowie die mandantenfähige Segmentierung mithilfe der ePSK-Funktion von Cambium mit dynamischer VLAN-Zuweisung. Egal, ob Sie ein Hotelportfolio, ein Filialnetz im Einzelhandel, ein Konferenzzentrum oder einen Campus im öffentlichen Sektor verwalten – die Prinzipien sind dieselben. Lassen Sie uns direkt einsteigen. Zuerst eine kurze Orientierung zu den beiden Plattformen. Cambium Networks stellt die cnPilot-Reihe von Enterprise-WiFi-Access-Points her – die Modelle e410, e425H, e430H und e505 für den Innen- und Außenbereich. Diese APs werden zentral über cnMaestro verwaltet, der Cloud-Management-Plattform von Cambium. cnMaestro bietet Ihnen zentrale Transparenz, Konfigurationsmanagement und Firmware-Updates für Ihre gesamte AP-Infrastruktur – egal, ob es sich um eine Handvoll Geräte an einem einzelnen Standort oder um Tausende von APs in einem nationalen Netzwerk handelt. Purple WiFi ist eine Enterprise-Plattform für Gäste-WiFi-Intelligence. Sie übernimmt das Captive Portal – die gebrandete Splash-Page, die Ihre Gäste beim Verbinden sehen – und fungiert zudem als RADIUS-Authentifizierungsserver, Engine zur Datenerfassung und Marketing-Automatisierungsplattform. Purple ist an über 80.000 Live-Standorten im Einsatz und hat allein im Jahr 2024 über 440 Millionen Logins verarbeitet. Die Kombination aus Cambium cnMaestro und Purple bietet Ihnen einen produktionsreifen Gäste-WiFi-Stack, der sowohl technisch robust als auch kommerziell wertvoll ist. Lassen Sie uns nun über die Integrationsarchitektur sprechen. Der Kernmechanismus ist eine Captive Portal-Weiterleitung in Kombination mit einer RADIUS-Authentifizierung. Und so läuft der Prozess in der Praxis ab: Ein Gastgerät verbindet sich mit Ihrer Gäste-SSID. Diese SSID ist in cnMaestro als offenes Netzwerk konfiguriert – ohne Pre-Shared Key für Gäste. Der Cambium AP fängt die erste HTTP-Anfrage des Geräts ab und leitet sie an die Captive Portal-URL von Purple weiter. Diese Weiterleitung wird in cnMaestro unter den Einstellungen für den „Guest Access“ des WLANs konfiguriert, wo Sie die „External Page URL“ auf den Portal-Endpunkt Ihres Purple-Standorts festlegen. Der Gast interagiert dann mit dem Purple-Portal. Die Authentifizierung kann über Social Login, E-Mail, SMS-Verifizierung oder ein benutzerdefiniertes Formular erfolgen. Sobald der Authentifizierungsfluss abgeschlossen ist, sendet das Backend von Purple eine RADIUS-Access-Accept-Nachricht über den UDP-Port 1812 zurück an den Cambium AP. Der AP verschiebt das Gerät daraufhin vom Status vor der Authentifizierung in den vollständigen Netzwerkzugriff. Ich zeige Ihnen nun die genauen Konfigurationsschritte in cnMaestro. Navigieren Sie zu Configuration, dann WiFi Profiles, dann WLANs. Erstellen Sie ein neues WLAN für Ihr Gästenetzwerk. Legen Sie den SSID-Namen fest – beispielsweise "Hotel Guest WiFi" – und stellen Sie die Sicherheit auf Open. Aktivieren Sie unter Guest Access die Option External Hotspot. Dies ist die entscheidende Einstellung, die cnMaestro anweist, nicht authentifizierte Clients an ein externes Portal weiterzuleiten. Setzen Sie die External Page URL auf die URL Ihres Purple-Veranstaltungsort-Portals. Aktivieren Sie die RADIUS-Authentifizierung und geben Sie die IP-Adresse des RADIUS-Servers von Purple sowie das Shared Secret ein, und setzen Sie den Authentifizierungs-Port auf UDP 1812. Aktivieren Sie das RADIUS-Accounting auf UDP 1813 – dies ist für das ordnungsgemäße Funktionieren der Analysen von Purple von entscheidender Bedeutung. Ohne Accounting-Datensätze kann Purple keine Sitzungsdaten, Verweildauer-Metriken oder Besuchshäufigkeits-Analysen erstellen. Nun zum Walled Garden. Dies ist die Liste der Domains und IP-Adressen, die von Gastgeräten vor der Authentifizierung erreicht werden können. Sie müssen die Portal-Domain von Purple und alle CDN-Endpunkte, die zur Bereitstellung von Portal-Assets verwendet werden, auf die Whitelist setzen. Zudem müssen Sie alle Domains von Authentifizierungsanbietern auf die Whitelist setzen – wenn Sie Social Login über Google oder Facebook nutzen, müssen deren OAuth-Domains im Walled Garden hinterlegt sein. Ein falsch konfigurierter Walled Garden ist die häufigste Ursache für Fehler beim Captive Portal. Das Gastgerät muss in der Lage sein, DNS aufzulösen und das Purple-Portal über HTTPS zu erreichen, bevor es sich authentifizieren kann. In cnMaestro wird der Walled Garden unter den External Hotspot-Einstellungen konfiguriert. Fügen Sie Einträge für die Portal-Domain von Purple, alle Social-Login-Anbieter-Domains und alle Payment-Gateway-Domains hinzu, falls Sie kostenpflichtige WiFi-Tarife anbieten. Sprechen wir nun über sicheres Mitarbeiter-WiFi mittels IEEE 802.1X. Für Mitarbeiternetzwerke möchten Sie kein Captive Portal. Sie benötigen eine zertifikats- oder anmeldedatenbasierte Authentifizierung, die geräuschlos auf Geräteebene abläuft. Erstellen Sie in cnMaestro ein separates WLAN für Mitarbeiter. Stellen Sie die Sicherheit auf WPA2-Enterprise ein. Konfigurieren Sie die RADIUS-Server-Details – auch hier die RADIUS-Server-IP von Purple auf UDP 1812. Mitarbeitergeräte authentifizieren sich über EAP-PEAP mit Benutzername und Passwort oder über EAP-TLS mit Gerätezertifikaten für ein Höchstmaß an Sicherheit. Purple lässt sich mit Microsoft Entra ID, Okta und Google Workspace als Identity Provider integrieren. Das bedeutet, dass sich Ihre Mitarbeiter mit ihren bestehenden Unternehmens-Anmeldedaten am WiFi authentifizieren können – es muss kein separates WiFi-Passwort verwaltet werden. Purple validiert die Anmeldedaten gegenüber Ihrem Identity Provider und sendet ein Access-Accept an den Cambium AP zurück. Die dynamische VLAN-Zuweisung platziert das authentifizierte Mitarbeitergerät dann im richtigen Mitarbeiter-VLAN und isoliert es so vom Gästeverkehr. Nun zur mandantenfähigen Segmentierung mittels Cambium ePSK. ePSK – Enhanced Pre-Shared Key – ist die Implementierung von Cambium für das, was in der Branche als PPSK oder iPSK bezeichnet wird. Das Konzept ist denkbar einfach: Anstelle eines einzigen gemeinsamen Passworts für eine gesamte SSID erhält jeder Benutzer oder Mieter seine eigene, eindeutige Passphrase. Alle verbinden sich mit derselben SSID, aber jeder eindeutige Schlüssel wird einem bestimmten VLAN zugeordnet. So erhalten Sie eine Netzwerktrennung, ohne die Komplexität, die der Betrieb mehrerer SSIDs mit sich bringt. cnMaestro unterstützt bis zu 2.000 ePSK-Einträge pro WLAN. Jedem ePSK kann eine bestimmte VLAN-ID, ein Übertragungslimit (Rate Limit) und ein Ablaufdatum zugewiesen werden. Dies macht es ideal für Multi-Tenant-Umgebungen – wie z. B. ein Konferenzzentrum, in dem jeder Aussteller sein eigenes, isoliertes Netzwerksegment erhält, oder ein Mietwohngebäude, in dem jeder Bewohner sein eigenes privates Bereichsnetzwerk bekommt. Um ePSK in cnMaestro zu konfigurieren, navigieren Sie zu Configuration, WiFi Profiles, WLANs. Erstellen Sie ein neues WLAN. Stellen Sie die Sicherheit auf WPA2 Pre-Shared Key ein. Aktivieren Sie die ePSK-Option. Sie können dann einzelne ePSK-Einträge manuell hinzufügen oder die cnMaestro API verwenden, um sie programmatisch bereitzustellen – was der empfohlene Ansatz für Großprojekte ist. Legen Sie für jeden ePSK-Eintrag die Passphrase, die zugewiesene VLAN-ID und optional das Übertragungslimit sowie das Ablaufdatum fest. Wenn sich ein Gerät mit dieser Passphrase verbindet, weist der Cambium AP es automatisch dem zugewiesenen VLAN zu. Für den ePSK-Fluss selbst ist kein RADIUS erforderlich – die VLAN-Zuweisung wird vom AP basierend auf der verwendeten Passphrase lokal verarbeitet. Purple lässt sich in dieses Modell integrieren, indem es den ePSK-Lebenszyklus über die cnMaestro API verwaltet. Purple kann neue ePSK-Einträge bereitstellen, wenn ein neuer Mieter aufgenommen wird, die VLAN-Zuweisung aktualisieren, Ablaufdaten festlegen und den Zugriff widerrufen, wenn ein Mieter auszieht. Dies eliminiert den manuellen Aufwand für die Verwaltung von Hunderten oder Tausenden von einzelnen Schlüsseln. Kommen wir nun zu den potenziellen Fehlerquellen und wie man sie vermeidet. Die häufigste Fehlerquelle ist der Walled Garden. Wenn Ihre Walled-Garden-Einträge unvollständig sind, wird die Weiterleitung zum Captive Portal nie abgeschlossen. Gäste sehen eine Verbindungszeitüberschreitung anstelle einer Anmeldeseite. Testen Sie immer mit einem neuen Gerät – nicht mit einem, das zuvor bereits verbunden war – und überprüfen Sie, ob das Purple-Portal vor der Authentifizierung geladen wird. Stellen Sie sicher, dass die DNS-Auflösung für die Domain des Purple-Portals bereits im Pre-Authentication-Status funktioniert. Zweitens: Abweichende Shared Secrets bei RADIUS. Bei großen Bereitstellungen mit mehreren Standorten kann es leicht passieren, dass ein Shared Secret in cnMaestro anders konfiguriert ist als das, was Purple hinterlegt hat. Überprüfen Sie vor dem Live-Gang immer das Shared Secret auf beiden Seiten. Verwenden Sie ein starkes, zufällig generiertes Secret – mit mindestens 32 Zeichen – und speichern Sie es in einem Secrets Manager, nicht in einer Tabellenkalkulation. Drittens: RADIUS-Accounting. Lassen Sie diesen Schritt nicht aus. Purple nutzt die Accounting-Datensätze, um Sitzungsanalysen zu erstellen – Verweildauer, Besuchshäufigkeit, Gerätetyp. Konfigurieren Sie das RADIUS-Accounting auf UDP 1813 in cnMaestro. Ohne diesen Schritt geht der analytische Wert verloren, den Purple bietet. Es ist ein Konfigurationsschritt von nur fünf Minuten. Viertens: VLAN-Trunking. Damit die dynamische VLAN-Zuweisung funktioniert, müssen die VLANs auf den Switch-Ports, die mit Ihren Cambium APs verbunden sind, getrunkt sein. Wenn VLAN 100 für Gäste auf dem Trunk nicht zulässig ist, erhalten authentifizierte Gäste keine IP-Adresse und haben scheinbar keinen Internetzugang, selbst nach erfolgreicher Authentifizierung. Überprüfen Sie Ihre Switch-Trunk-Konfiguration vor dem Testen. Fünftens: ePSK-VLAN-Bereichskonflikte. Stellen Sie sicher, dass Ihr ePSK-VLAN-Bereich nicht mit bestehenden VLANs in Ihrem Netzwerk kollidiert – insbesondere nicht mit Management-VLANs oder Infrastruktur-VLANs. Dokumentieren Sie Ihre VLAN-Zuweisung, bevor Sie beginnen. Sechstens: Firmware-Version. Stellen Sie sicher, dass auf Ihren cnPilot APs die Firmware-Version 6.0 oder höher ausgeführt wird, um die volle Unterstützung für externe Hotspots und die ePSK-Funktionalität zu gewährleisten. Ältere Firmware-Versionen weisen bekannte Probleme beim Redirect-Verhalten des Captive Portals auf. Nun zu einigen schnellen Fragen. Kann ich Purple mit Cambium ohne RADIUS verwenden – also nur mit einer einfachen Weiterleitung? Ja, aber Sie verlieren die dynamische VLAN-Zuweisung und die Sitzungs-Accounting-Daten. Für alles, was über eine einfache Splash-Page hinausgeht, wird RADIUS dringend empfohlen. Unterstützt Purple WPA3 auf Cambium APs? Ja. Die portalbasierte Authentifizierung von Purple ist mit WPA3-SAE auf der SSID kompatibel. Der RADIUS-Fluss ist unabhängig vom Wireless-Sicherheitsprotokoll. Kann ich Purple über mehrere Cambium-Standorte hinweg von einem einzigen Purple-Konto aus betreiben? Absolut. Die Multi-Venue-Architektur von Purple ist genau dafür ausgelegt. Jeder Standort wird einem Veranstaltungsort (Venue) in Purple zugeordnet, und die Netzwerkrichtlinien von cnMaestro lassen sich nahtlos über ein nationales Portfolio hinweg skalieren. Wie viele ePSK-Einträge kann cnMaestro unterstützen? Bis zu 2.000 pro WLAN. Für Bereitstellungen, die mehr erfordern, nutzen Sie einen RADIUS-basierten Ansatz für das Schlüsselmanagement. Zusammenfassend lässt sich sagen: Die Integration von Cambium cnMaestro und Purple WiFi ist eine bewährte Architektur, die Gäste-WiFi mit Datenerfassung, RADIUS-Authentifizierung, dynamischer VLAN-Segmentierung und umfassenden Analysen bietet – alles zentral verwaltet über die Cloud-Konsole von cnMaestro. Die wichtigsten Schritte zur Liveschaltung: Konfigurieren Sie Ihr Gäste-WLAN in cnMaestro mit aktiviertem externen Hotspot und der eingestellten Purple-Portal-URL, fügen Sie die RADIUS-Server-Details von Purple für Authentifizierung und Accounting hinzu, konfigurieren Sie Ihre Walled-Garden-Einträge, überprüfen Sie das VLAN-Trunking auf Ihren Switches und testen Sie das Ganze vor dem Go-Live mit einem neuen Gerät. Für mandantenfähige Bereitstellungen konfigurieren Sie ePSK auf einem dedizierten WLAN, weisen Sie VLAN-IDs pro Mandant zu und nutzen Sie die cnMaestro API für das Lifecycle-Management im großen Stil. Der ROI-Case ist eindeutig. Die Analyseplattform von Purple verwandelt Ihr Gäste-WiFi von einer Kostenstelle in ein First-Party-Daten-Asset. Harrods erzielte mit der Einführung des Purple Gäste-WiFi einen 57-fachen Marketing-ROI. AGS Airports generierte einen ROI von 842 %. In Kombination mit der Enterprise-Infrastruktur von Cambium erhalten Sie eine Lösung, die sich ohne architektonische Änderungen von einem einzelnen Standort bis hin zu einem nationalen Portfolio skalieren lässt. Für Ihre nächsten Schritte: Fordern Sie die Details zum RADIUS-Server von Purple bei Ihrem Purple Account Manager an, rufen Sie die cnMaestro WLAN-Konfiguration für Ihre Gäste-SSID auf und gehen Sie die Konfigurations-Checkliste durch. Die meisten Bereitstellungen an einzelnen Standorten gehen innerhalb eines Tages live. Vielen Dank fürs Zuhören. Wenn Sie tiefer in das Design von Captive Portals, VLAN-Segmentierungsstrategien oder das ePSK-Lebenszyklusmanagement einsteigen möchten, sind die Dokumentation und das Support-Team von Purple der richtige nächste Ansprechpartner.