Extreme Networks und Purple WiFi: ExtremeCloud IQ Integration

Extreme Networks und Purple WiFi: ExtremeCloud IQ Integration — Ein Briefing für Consultants [EINFÜHRUNG — ca. 1 Minute] Willkommen. Wenn Sie eine Extreme Networks-Umgebung betreiben und die Aufgabe haben, ein Gäste-WiFi-Erlebnis bereitzustellen, das tatsächlich einen Nutzen bringt — Daten erfasst, Marketing vorantreibt, die Compliance einhält —, dann ist dieses Briefing genau das Richtige für Sie. Ich werde Sie durch das Zusammenspiel von ExtremeCloud IQ und Purple WiFi führen: die Architektur, den RADIUS-Flow, die VLAN-Segmentierung und die praktischen Schritte zur Live-Schaltung in Ihrer Umgebung. Unabhängig davon, ob Sie ein Hotelportfolio, ein Filialnetz im Einzelhandel, ein Stadion oder einen Campus im öffentlichen Sektor verwalten, die Prinzipien sind dieselben. Legen wir los. [TECHNISCHER DEEP-DIVE — ca. 5 Minuten] Zuerst eine kurze Orientierung zu den beiden Plattformen. ExtremeCloud IQ ist die cloudbasierte Netzwerkmanagement-Plattform von Extreme Networks. Sie bietet Ihnen eine zentrale Transparenz und Konfiguration über Ihre gesamte AP-Infrastruktur hinweg — egal, ob es sich um eine Handvoll APs an einem einzelnen Standort oder um Tausende von Geräten in einem nationalen Portfolio handelt. Die Plattform unterstützt das gesamte Extreme AP-Portfolio: die 302-Serie für kostensensible Implementierungen, die 410- und 460-Serie für Umgebungen mit hoher Dichte und die 630-Serie für Wi-Fi 6E-Implementierungen, bei denen Sie maximalen Durchsatz und Spektrumseffizienz benötigen. Purple WiFi ist eine Enterprise-Plattform für Gäste-WiFi-Intelligence. Sie übernimmt das Captive Portal — die gebrandete Splash-Page, die Ihre Gäste sehen, wenn sie sich verbinden — und fungiert zudem als RADIUS-Authentifizierungsserver, Datenerfassungs-Engine und Marketing-Automatisierungsplattform. Die Kombination aus ExtremeCloud IQ und Purple bietet Ihnen einen produktionsreifen Gäste-WiFi-Stack, der sowohl technisch robust als auch kommerziell wertvoll ist. Lassen Sie uns nun über die Integrationsarchitektur sprechen. Der Kernmechanismus ist ein Captive Portal-Redirect in Kombination mit einer RADIUS-Authentifizierung. Und so funktioniert der Flow in der Praxis: Ein Gästegerät verbindet sich mit Ihrer Gäste-SSID. Diese SSID ist in ExtremeCloud IQ als offenes oder WPA3-SAE-Netzwerk konfiguriert — kein Pre-Shared Key für Gäste. Der AP oder der ExtremeCloud IQ-Controller fängt die erste HTTP-Anfrage des Geräts ab und leitet sie an die Captive Portal-URL von Purple weiter. Dieser Redirect wird in ExtremeCloud IQ unter den Captive Portal-Einstellungen der SSID konfiguriert — Sie verweisen mit der Redirect-URL auf den Portal-Endpunkt Ihres Purple-Standorts. Der Gast interagiert dann mit dem Purple-Portal. Die Authentifizierung kann über Social Login, E-Mail, SMS-Verifizierung oder ein benutzerdefiniertes Formular erfolgen — Purple unterstützt all diese Optionen. Sobald der Authentifizierungs-Flow abgeschlossen ist, sendet das Backend von Purple eine RADIUS-Access-Accept-Nachricht zurück an ExtremeCloud IQ. Der AP verschiebt das Gerät daraufhin vom Pre-Authentication-Status in den vollständigen Netzwerkzugriff.Die RADIUS-Konfiguration in ExtremeCloud IQ ist unkompliziert. Sie navigieren zur Netzwerkrichtlinie für Ihre Gäste-SSID, gehen zu den AAA-Einstellungen und fügen die RADIUS-Server-Details von Purple hinzu: die Server-IP-Adresse oder den Hostnamen, das Shared Secret und den Authentifizierungs-Port – standardmäßig UDP 1812. Sie sollten auch den Accounting-Port auf UDP 1813 konfigurieren, damit Purple Sitzungsdaten für Analyse- und Compliance-Zwecke erhält. Nun zur VLAN-Zuweisung. Hier zeigt sich die wahre Stärke der Integration für die Netzwerksegmentierung. Purple kann ein RADIUS-Attribut – speziell das Attribut Tunnel-Private-Group-ID – in der Access-Accept-Antwort zurückgeben. ExtremeCloud IQ liest dieses Attribut und weist das authentifizierte Gäste-Gerät dem entsprechenden VLAN zu. Das bedeutet, dass Sie Ihren Gäste-Traffic dynamisch segmentieren können: Standard-Gäste kommen in ein VLAN, VIP-Gäste oder Loyalty-Mitglieder in ein anderes, Mitarbeitergeräte in ein drittes. All dies wird durch die Benutzerprofil-Logik von Purple gesteuert, ohne dass manuelle Eingriffe auf der Netzwerkesbene erforderlich sind. Aus Sicherheits- und Compliance-Perspektive entspricht diese Architektur den IEEE 802.1X-Prinzipien für die portbasierte Zugriffskontrolle, obwohl die anfängliche Authentifizierung über ein Portal und nicht zertifikatsbasiert erfolgt. Der RADIUS-Austausch stellt sicher, dass nicht authentifizierte Geräte niemals das Produktionsnetzwerk erreichen. Für die PCI-DSS-Compliance – relevant, wenn Sie Zahlungsabwicklungen im selben physischen Netzwerk durchführen – ist diese VLAN-Segmentierung eine entscheidende Kontrollmaßnahme. Für die GDPR-Compliance enthalten die Datenerfassungsmechanismen von Purple ein in den Portal-Flow integriertes Einwilligungsmanagement, sodass Sie zum Zeitpunkt der Authentifizierung über einen prüfbaren Nachweis der Einwilligung jedes Gastes verfügen. Auf der ExtremeXOS-Seite – für diejenigen unter Ihnen, die physische ExtremeXOS-Switches anstelle einer reinen Cloud-Lösung betreiben – ist der Konfigurationsansatz ähnlich, verwendet jedoch die ExtremeXOS-CLI oder das ältere Extreme Management Centre. Sie konfigurieren die SSID auf dem AP mithilfe der ExtremeXOS-Wireless-Befehle, definieren das RADIUS-Serverprofil und legen die Redirect-URL für das Captive Portal fest. Der Hauptunterschied besteht darin, dass in einem reinen ExtremeCloud IQ-Deployment all dies zentral über die Cloud-Konsole verwaltet wird, was den Konfigurationsaufwand pro Standort erheblich reduziert. Lassen Sie mich auch kurz auf die AP-Kompatibilität eingehen. Die Purple-Integration funktioniert über die gesamte Palette der von ExtremeCloud IQ verwalteten Extreme APs hinweg. Die Modelle 302i und 302e sind Ihre Einstiegsoptionen für den Innen- und Außenbereich – perfekt geeignet für Hotels und den Einzelhandel. Die Modelle 410i and 410e sind die Arbeitstiere für Umgebungen mit hoher Dichte wie Konferenzzentren und Stadien. Die 460er-Serie bietet Wi-Fi 6-Funktionalität, und die 630er-Serie bringt Wi-Fi 6E mit Unterstützung für das 6-GHz-Band. Alle diese APs unterstützen den Captive Portal-Redirect und die RADIUS-Authentifizierungsmechanismen, auf denen die Purple-Integration aufbaut. [IMPLEMENTIERUNGSEMPFEHLUNGEN UND STOLPERSTEINE — ca. 2 Minuten] Gut, sprechen wir darüber, was schiefgehen kann und wie man es vermeidet. Der häufigste Fehler sind falsch konfigurierte Walled-Garden-Einträge. Wenn sich ein Gastgerät im Pre-Authentication-Status befindet – also bevor das Purple-Portal abgeschlossen wurde –, muss der AP die DNS-Auflösung und den HTTP/HTTPS-Zugriff auf die Purple-Portal-Domain zulassen. Wenn Sie den Walled Garden zu stark einschränken, findet die Weiterleitung nie statt und Gäste sehen lediglich eine Zeitüberschreitung der Verbindung. Stellen Sie sicher, dass Sie die Portal-Domains von Purple und alle CDN-Endpunkte, die für Portal-Assets verwendet werden, auf die Whitelist setzen. Das zweite häufige Problem sind Abweichungen beim RADIUS Shared Secret. Das klingt offensichtlich, aber bei großen Bereitstellungen mit mehreren Standorten kann es leicht passieren, dass ein Shared Secret in ExtremeCloud IQ anders konfiguriert ist als das, was Purple hinterlegt hat. Überprüfen Sie vor dem Live-Gang immer das Shared Secret auf beiden Seiten und verwenden Sie ein starkes, zufällig generiertes Secret – nicht so etwas wie „purple123“. Drittens: Zertifikatsvalidierung für die Captive Portal-Weiterleitung. Moderne mobile Betriebssysteme – insbesondere iOS – sind bei der Gültigkeit von HTTPS-Zertifikaten zunehmend streng. Die Portal-Endpunkte von Purple verwenden gültige TLS-Zertifikate. Wenn Sie jedoch eine Art SSL-Inspection oder Proxy in Ihrem Netzwerkpfad ausführen, blockieren Sie möglicherweise versehentlich die Weiterleitung. Schließen Sie die Purple-Portal-Domains von allen SSL-Inspection-Richtlinien aus. Viertens: Accounting-Daten. Überspringen Sie nicht die RADIUS-Accounting-Konfiguration. Die Accounting-Datensätze werden von Purple verwendet, um Sitzungsanalysen zu erstellen – Verweildauer, Besuchshäufigkeit, Gerätetyp. Wenn Sie das Accounting nicht konfigurieren, verlieren Sie einen erheblichen Teil des Analysewerts, den Purple bietet. Es ist ein fünfminütiger Konfigurationsschritt, der nachgelagert enormen Mehrwert freisetzt. Testen Sie schließlich vor dem Live-Gang Ihre VLAN-Zuweisung. Verwenden Sie ein Testgerät und überprüfen Sie, ob das Gerät nach der Authentifizierung im richtigen VLAN landet. Überprüfen Sie dies mit einem einfachen Traceroute oder durch Verifizieren des IP-Adressbereichs, den das Gerät erhält. Fehler bei der dynamischen VLAN-Zuweisung verlaufen geräuschlos – das Gerät erhält zwar Netzwerkzugriff, aber im falschen Segment –, daher müssen Sie dies aktiv überprüfen. [SCHNELLE FRAGERUNDE — ca. 1 Minute] Kann ich Purple mit ExtremeCloud IQ ohne RADIUS verwenden – nur mit einer einfachen Weiterleitung? Ja, Sie können eine einfache Captive Portal-Weiterleitung ohne RADIUS konfigurieren, aber Sie verlieren die dynamische VLAN-Zuweisung und die Sitzungs-Accounting-Daten. Für alles, was über eine einfache Splash-Page hinausgeht, wird RADIUS dringend empfohlen. Unterstützt Purple WPA3? Ja. Die portalbasierte Authentifizierung von Purple ist mit WPA3-SAE auf der SSID kompatibel. Der RADIUS-Fluss ist unabhängig vom Wireless-Sicherheitsprotokoll. Kann ich Purple über mehrere Extreme-Standorte hinweg mit einem einzigen Purple-Konto betreiben? Absolut. Die Multi-Venue-Architektur von Purple ist genau dafür ausgelegt. Jeder Standort wird einem Venue in Purple zugeordnet, und Sie konfigurieren die RADIUS-Server-Details pro Venue. Die Netzwerkrichtlinien von ExtremeCloud IQ können pro Standort angewendet werden, sodass die Konfiguration sauber skaliert. Wie sieht es mit dem Roaming zwischen APs innerhalb eines Standorts aus? ExtremeCloud IQ regelt das standortinterne Roaming transparent. Sobald ein Gast über Purple authentifiziert ist, bleibt die RADIUS-Sitzung bestehen, und der Gast muss sich nicht erneut authentifizieren, wenn er zwischen APs am selben Standort wechselt. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — ca. 1 Minute] Zusammenfassend lässt sich sagen: Die Integration von ExtremeCloud IQ und Purple ist eine bewährte Architektur, die Gäste-WiFi mit Datenerfassung, RADIUS-Authentifizierung, dynamischer VLAN-Segmentierung und umfassenden Analysen bietet — alles zentral verwaltet über die Cloud-Konsole von ExtremeCloud IQ. Die wichtigsten Schritte zur Liveschaltung sind: Konfigurieren Sie Ihre Gäste-SSID in ExtremeCloud IQ mit einer Captive Portal-Weiterleitung, die auf Purple verweist, fügen Sie die RADIUS-Server-Details von Purple in die AAA-Richtlinie ein, konfigurieren Sie Ihre Walled-Garden-Einträge, aktivieren Sie das RADIUS-Accounting und überprüfen Sie die VLAN-Zuweisung nach der Authentifizierung. Wenn Sie dies für eine Bereitstellung im Gastgewerbe oder im Einzelhandel evaluieren, liegt der ROI auf der Hand: Die Analyseplattform von Purple verwandelt Ihr Gäste-WiFi von einem Kostenfaktor in ein First-Party-Daten-Asset. In Kombination mit der Enterprise-Infrastruktur von Extreme erhalten Sie eine Lösung, die sich ohne architektonische Änderungen von einem einzelnen Standort bis hin zu einem nationalen Filialnetz skalieren lässt. Für Ihre nächsten Schritte: Fordern Sie die RADIUS-Server-Details von Purple bei Ihrem Purple Account Manager an, rufen Sie die ExtremeCloud IQ-Netzwerkrichtlinie für Ihre Gäste-SSID auf und gehen Sie die Konfigurations-Checkliste durch. Die meisten Bereitstellungen sind für einen einzelnen Standort innerhalb eines Tages live. Vielen Dank fürs Zuhören. Wenn Sie tiefer in eines dieser Themen einsteigen möchten — sei es Captive Portal-Design, VLAN-Segmentierungsstrategie oder Analysekonfiguration —, sind die Dokumentation und das Support-Team von Purple die richtige nächste Anlaufstelle.