Integration von DrayTek Vigor Routern und Access Points mit Purple WiFi

Willkommen beim Purple Integration Briefing. Heute befassen wir uns mit DrayTek Vigor Routern und VigorAP Access Points und insbesondere mit deren Integration mit Purple WiFi. Dieses Briefing richtet sich an IT-Manager und Netzwerkarchitekten, die Gäste-, Mitarbeiter- und Multi-Tenant-Netzwerke in KMUs und mittelständischen Standorten bereitstellen. Beginnen wir mit dem Kontext. DrayTek-Hardware ist im Einzelhandel, in der Hotellerie und in Mehrfamilienhäusern unglaublich beliebt, da sie robuste Routing-, VPN- und Wireless-Funktionen zu einem wettbewerbsfähigen Preis bietet. Wenn Sie einen DrayTek Vigor Router mit Purple kombinieren, verwandeln Sie eine Standard-Internetverbindung in ein identitätsbasiertes Netzwerk. Purple verfügt über mehr als 80.000 aktive Standorte und verarbeitet 440 Millionen Logins pro Jahr. Wir liefern das Captive Portal, die Analysen und die Sicherheitsebene. DrayTek stellt die zuverlässige Edge-Infrastruktur bereit. Gehen wir nun in die technische Tiefe. Wie setzen wir das konkret um? Der Kern der Integration basiert auf der RADIUS-Authentifizierung und der externen Captive Portal-Weiterleitung. Zuerst die Einrichtung des Guest WiFi. Sie konfigurieren den DrayTek Vigor Router als Hotspot Web Portal Gateway. In der DrayOS-Benutzeroberfläche fügen Sie unter „Applications“ und „RADIUS“ die RADIUS-Server-IP von Purple und das Shared Secret hinzu. Anschließend stellen Sie unter „Hotspot Web Portal“ die Portal-Methode auf „External Server“ ein und fügen Ihre spezifische Purple-Zugriffs-URL ein. Der DrayTek Router fängt den Gast-Datenverkehr ab, leitet ihn zur Authentifizierung an das Cloud-Overlay von Purple weiter und gewährt dann über RADIUS den Zugriff. Ein entscheidender Schritt dabei ist der Walled Garden. Gäste müssen die Server von Purple erreichen können, bevor sie authentifiziert sind. Sie müssen den Reiter „Destination Domain“ im DrayTek Hotspot-Profil so konfigurieren, dass der Datenverkehr zu den Authentifizierungsdomains von Purple zugelassen wird. Wenn Sie dies vergessen, wird die Splash-Page schlichtweg nicht geladen. Dies ist einer der häufigsten Fehler bei der Ersteinrichtung. Und wie sieht es mit dem Staff WiFi aus? Für den sicheren Zugriff von Mitarbeitern verwenden Sie kein Captive Portal. Sie nutzen die 802.1X-Authentifizierung, den IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle. In den DrayTek Wireless LAN Security-Einstellungen wählen Sie WPA2/802.1X aus und verweisen auf den RADIUS-Server von Purple. Die Geräte der Mitarbeiter authentifizieren sich nahtlos über PEAP und MS-CHAPv2. Dies eliminiert gemeinsam genutzte Passwörter vollständig und ermöglicht es Ihnen, den Zugriff sofort zu entziehen, wenn ein Mitarbeiter das Unternehmen verlässt. Es ist nicht erforderlich, das Passwort für den gesamten Standort zu ändern. Sprechen wir über Multi-Tenant-Umgebungen. Denken Sie an Studentenwohnheime, Coworking-Spaces oder Konzessionsflächen im Einzelhandel. Hier ist eine Netzwerksegmentierung erforderlich. DrayTek löst dies mit VLANs und Multiple PSK, auch bekannt als PPSK oder Private Pre-Shared Key. Sie konfigurieren VLANs auf dem DrayTek Router. Zum Beispiel VLAN 10 für Gäste, VLAN 20 für Mitarbeiter und VLAN 30 für Mieter. Mit der WPA2-PPSK-Funktion von DrayTek auf den VigorAPs erhält jeder Mieter eine eindeutige Passphrase. Wenn sie sich verbinden, bindet der Access Point diese Passphrase an ihre MAC-Adresse und leitet sie in ihr isoliertes VLAN weiter. Das bedeutet, dass ein Café-Mieter im Erdgeschoss eines Hotels das interne Netzwerk des Hotels nicht sehen kann, obwohl sie denselben physischen Access Point nutzen. Die dynamische VLAN-Zuweisung geht noch einen Schritt weiter. Der RADIUS-Server von Purple kann bei der Authentifizierung eines Benutzers bestimmte RADIUS-Attribute zurückgeben. Dies sind die Attribute Tunnel-Type, Tunnel-Medium-Type und Tunnel-Private-Group-ID. Der DrayTek Router liest diese Werte aus und weist den authentifizierten Client dynamisch dem korrekten VLAN zu. Das ist identitätsbasiertes Networking in der Praxis: Das Netzwerk passt sich der Identität des Benutzers an, nicht umgekehrt. Kommen wir nun zu den Empfehlungen für die Implementierung und den Fallstricken. Empfehlung eins: Verwenden Sie für Ihre VigorAPs immer einen kabelgebundenen Backhaul. Wireless Distribution Systems oder Universal Repeater können die für eine ordnungsgemäße Netzwerksegmentierung erforderlichen 802.1Q-VLAN-Tags nicht übertragen. Wenn Sie ein vom internen LAN isoliertes Gastnetzwerk wünschen, müssen diese VLAN-Tags intakt bleiben. Das bedeutet ein physisches Ethernet-Kabel von jedem Access Point zurück zum DrayTek Router oder einem Managed Switch. Empfehlung zwe: Aktivieren Sie AP-Assisted Mobility auf den VigorAPs. Diese Funktion trennt intelligent Clients mit schwacher Signalstärke und zwingt sie zum Roaming zu einem näheren Access Point. Sie löst das Problem des „Sticky Client“, das viele KMU-Bereitstellungen betrifft. In einer Einzelhandelsumgebung sollte ein Käufer, der von der Vorderseite des Ladens nach hinten geht, nahtlos zwischen den Access Points wechseln. Ohne AP-Assisted Mobility klammert sich das Gerät möglicherweise an den vorderen Access Point, selbst wenn das Signal schwach ist. Empfehlung drei: Planen Sie Ihr VLAN-Nummerierungsschema, bevor Sie beginnen. Eine Änderung der VLAN-IDs nach der Bereitstellung erfordert eine Neukonfiguration des Routers, aller Access Points und potenziell aller Managed Switches im Pfad. Dokumentieren Sie Ihr Schema klar und deutlich. Der größte Fallstrick? Das Vergessen des Neustarts des DrayTek Routers nach dem Übernehmen der RADIUS- und Hotspot-Konfigurationen. DrayOS erfordert einen Neustart, um diese spezifischen Änderungen anzuwenden. Wenn Sie dies überspringen, verbringen Sie Stunden mit der Fehlersuche bei einer Konfiguration, die eigentlich korrekt, aber einfach noch nicht aktiv ist. Dies ist im offiziellen Support-Leitfaden von Purple für DrayTek-Hardware dokumentiert. Machen wir eine schnelle Fragerunde. Frage: Kann ich den internen RADIUS-Server des Vigor Routers verwenden? Antwort: Für die lokale 802.1X-Authentifizierung ist das möglich, aber für die Purple-Integration müssen Sie die externen RADIUS-Server von Purple verwenden. Nur so werden das zentrale Richtlinienmanagement und die Analysen ermöglicht, die Purple bietet. Frage: Unterstützt DrayTek dynamisches VLAN-Steering über RADIUS? Antwort: Ja. Der RADIUS-Server von Purple gibt bei der Authentifizierung die Attribute Tunnel-Type und Tunnel-Private-Group-ID zurück. Der DrayTek Router liest diese aus und weist den Client dynamisch dem korrekten VLAN zu. Frage: Was passiert, wenn das iOS-Gerät eines Benutzers eine private MAC-Adresse mit PPSK verwendet? Antwort: Die Authentifizierung schlägt fehl. Das PPSK-Profil ist an eine bestimmte MAC-Adresse gebunden. Sie müssen die Benutzer anweisen, die private WLAN-Adresse für Ihr spezifisches Netzwerk in ihren iOS-Einstellungen zu deaktivieren, um eine stabile Verbindung zu gewährleisten. Frage: Welche DrayTek-Modelle werden mit Purple unterstützt? Antwort: Zu den derzeit unterstützten Modellen gehören die Serien 2862, 3220, 2926, 2952, 2765, 2865, 2866, 2927, 2962 und 3910. Die aktuelle Liste finden Sie in der Support-Dokumentation von Purple. Zusammenfassend lässt sich sagen: DrayTek und Purple bieten Ihnen gemeinsam eine Netzwerkkontrolle auf Enterprise-Niveau zu KMU-Preisen. Sie nutzen das Hotspot Web Portal für Gäste, 802.1X für Mitarbeiter und PPSK mit VLANs für Mieter. Planen Sie Ihre VLANs sorgfältig, konfigurieren Sie Ihre Walled Gardens und starten Sie das Gerät nach dem Übernehmen der RADIUS-Einstellungen immer neu. Verwenden Sie einen kabelgebundenen Backhaul für Ihre Access Points, aktivieren Sie AP-Assisted Mobility und planen Sie die MAC-Randomisierung auf iOS-Geräten ein. Vielen Dank für das Zuhören bei diesem technischen Briefing. Konfigurieren Sie Ihre Hardware, und wir sehen uns auf der Purple-Plattform.