FortiGate Captive Portal Einrichtung mit einem externen Portal-Server

Auf der FortiGate erfordert ein externes Captive Portal vier Dinge. Stellen Sie den SSID- oder Schnittstellen-Sicherheitsmodus auf Captive Portal mit einer externen Portal-URL ein. Richten Sie Authentifizierung und Accounting auf einen RADIUS-Server aus. Nehmen Sie das Portal und die Social-Login-Domains von der Authentifizierung aus und installieren Sie ein vertrauenswürdiges Zertifikat, damit der HTTPS-Post-Back keine Browser-Warnung auslöst.

Was macht ein externes FortiGate Captive Portal eigentlich?

Ein Captive Portal ist die Webseite, die ein Besucher ausfüllen muss, bevor das Netzwerk seinen Datenverkehr freigibt. Bei einem externen Setup setzt FortiGate das Portal durch, und ein separater Server hostet die Seite. Mit Purple ist dieser Server unsere Guest WiFi-Plattform.

Der Login läuft in fünf Phasen ab:

1. Der Gast verbindet sich mit einer offenen SSID (dem Netzwerknamen), die von einem FortiAP oder einem Netzwerk hinter einer FortiGate-Schnittstelle ausgestrahlt wird. Er erhält eine IP-Adresse.
2. Das Gerät stellt seine erste Webanfrage. FortiGate fängt diese ab und leitet den Browser an die externe Portal-URL weiter. Es fügt Parameter an, die die Sitzung, die Client-MAC-Adresse und die eigene Login-Adresse der FortiGate identifizieren.
3. Der Gast füllt die Purple Begrüßungsseite aus: ein Formular, einen Social Login oder eine Zustimmungserklärung.
4. Das Portal sendet die Anmeldedaten an den Authentifizierungs-Listener der FortiGate zurück. Standardmäßig lauscht dieser auf TCP 1000 für HTTP und TCP 1003 für HTTPS.
5. FortiGate sendet eine RADIUS Access-Request an Purple. Bei Access-Accept markiert es das Gerät als authentifiziert und wendet die Gast-Firewall-Richtlinie an. Accounting-Nachrichten melden dann den Sitzungsstart, die zwischenzeitliche Nutzung und den Stopp.

RADIUS (Remote Authentication Dial-In User Service) ist das Protokoll, mit dem FortiGate fragt: "Darf dieses Gerät online gehen?" Es ist in RFC 2865 definiert, mit Accounting in RFC 2866.

Die Arbeitsteilung ist der entscheidende Punkt. FortiGate übernimmt die Durchsetzung: Firewall-Richtlinie, NAT und Sitzungsstatus. Purple kümmert sich um Identität, Einwilligung und Gastdaten. Sie können die Begrüßungsseite über jeden Standort hinweg in Purple ändern, ohne FortiOS anzupassen.

Integriertes Portal oder externes Portal?

FortiOS wird mit einem eigenen Captive Portal ausgeliefert. Es funktioniert, und für einen einzelnen Standort mit einer Haftungsausschluss-Seite mag es ausreichen. Die Tabelle zeigt, wo sich die beiden Ansätze trennen.

	Integriertes FortiGate-Portal	Externes Portal mit Purple
Wo die Seite gehostet wird	Ersetzungsnachrichten-HTML auf jeder FortiGate	Gehostet von Purple, ein Design für jeden Standort
Login-Optionen	Authentifizierungs-, Haftungsausschluss- und E-Mail-Erfassungs-Portaltypen	Formulare, Social Login und Zustimmungserklärungen
Wie der Zugriff gewährt wird	Lokale oder entfernte Firewall-Benutzergruppen	RADIUS an Purple über UDP 1812
Einwilligungshandhabung	Nur E-Mail-Erfassung; Opt-in-Datensätze müssen selbst erstellt werden	Erfassung von bewussten Opt-ins pro Gast
Ändern der Seite über 40 Standorte hinweg	Jede FortiGate bearbeiten oder über FortiManager bereitstellen	Eine Änderung in Purple
Berichterstattung	FortiGate-Protokolle und FortiAnalyzer	WiFi Analytics-Dashboards nach Standort
Umgebungen verschiedener Hersteller	Nur Fortinet-Hardware	Das gleiche Portal auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet
Bester Einsatzzweck	Ein einzelner Standort, Zugang nur mit Haftungsausschluss	Umgebungen mit mehreren Standorten, die eigene Erstpartei-Daten erfassen möchten

Was benötigen Sie, bevor Sie mit der Einrichtung des FortiGate Captive Portals beginnen?

Sammeln Sie diese Informationen, bevor Sie die FortiGate-Benutzeroberfläche öffnen. Die meisten fehlerhaften Bereitstellungen lassen sich auf einen fehlenden Punkt in dieser Liste zurückführen.

• Eine FortiGate mit einer unterstützten FortiOS-Version. Entweder verwaltet die FortiGate Ihre FortiAPs als WLAN-Controller oder eine ihrer Schnittstellen dient als Gästenetzwerk. Der Schnittstellenmodus deckt Access Points von Drittanbietern und kabelgebundene Gäste-Ports ab.
• Ein Gästenetzwerk-Segment. Isolieren Sie Gäste auf einem eigenen VLAN (virtuelles LAN, eine separate Layer-2-Broadcast-Domäne) oder einer dedizierten SSID-Schnittstelle. Teilen Sie ein Subnetz niemals mit Mitarbeitern oder Zahlungsgeräten; PCI DSS setzt voraus, dass Karteninhabersysteme von nicht vertrauenswürdigen Netzwerken getrennt sind.
• Ihre Purple-Konto-Werte. Sie benötigen die externe Portal-URL, die RADIUS-Serveradressen und das Shared Secret. Diese Angaben stammen aus dem FortiGate-Support-Artikel von Purple und Ihrem Purple-Dashboard. Sie sind für Ihr Konto spezifisch, kopieren Sie sie daher niemals aus einem Forum.
• Ausgehende Erreichbarkeit. Die FortiGate muss die RADIUS-Server von Purple über UDP 1812 für die Authentifizierung und UDP 1813 für das Accounting erreichen können.
• Ein öffentlich vertrauenswürdiges Zertifikat. Es muss einen Hostnamen abdecken, der auf die Adresse der Gäste-Schnittstelle der FortiGate verweist. Der folgende Abschnitt zum Thema Zertifikate erklärt die Gründe dafür.
• Eine Bestandsaufnahme der Ausnahmeliste (Walled Garden). Entscheiden Sie, welche Anmeldemethoden Sie anbieten möchten, da jede Methode weitere Domänen zu Ihrem Walled Garden hinzufügt.
• Eine Abdeckung, der Sie vertrauen. Ein Portal kann kein schwaches Signal ausgleichen. Wenn sich Gäste über Verbindungsabbrüche beschweren, führen Sie zuerst eine Messung durch; unser Leitfaden zu WiFi Site Surveys beschreibt die genaue Methode.

Was ändert sich zwischen den FortiOS-Versionen?

Fortinet verschiebt und benennt Einstellungen für das Captive Portal zwischen den Hauptversionen von FortiOS um. In einigen Builds sind Optionen wie die Ausnahmeliste oder das Authentifizierungszertifikat in der CLI einfacher einzustellen oder nur dort verfügbar. Bridge-Modus- und Tunnel-Modus-SSIDs können sich je nach Firmware ebenfalls unterschiedlich verhalten.

Drei Gewohnheiten schützen Sie:

• Lesen Sie das Administration Guide für Ihre genaue FortiOS-Version in der Fortinet Dokumentenbibliothek, nicht das der neuesten Version.
• Überprüfen Sie vor jedem Upgrade die Release Notes auf Änderungen am Captive Portal und an RADIUS.
• Führen Sie Ihre vollständige Testmatrix nach jedem Firmware-Upgrade erneut aus, bevor Gäste das Problem für Sie entdecken.

Wie richten Sie ein Captive Portal auf der FortiGate mit einem externen Portal-Server ein?

Die folgende Reihenfolge funktioniert sowohl für FortiAP-SSIDs als auch für FortiGate-Schnittstellen. Der FortiGate-Support-Artikel von Purple enthält die genauen Werte und Screenshots für jeden Schritt. Nutzen Sie ihn zusammen mit dieser Zusammenfassung.

Schritt 1: Purple als RADIUS-Server hinzufügen

Erstellen Sie ein RADIUS-Server-Objekt auf der FortiGate. Geben Sie die Purple Serveradressen und das Shared Secret aus Ihrem Konto ein. Aktivieren Sie Accounting, damit FortiGate Session-Start-, Interim- und Stop-Einträge an Purple welches sendet.

Falls die FortiGate über mehr als einen WAN-Link verfügt, legen Sie die RADIUS-Quelladresse explizit fest. RADIUS-Anfragen sollten immer von der Adresse gesendet werden, die Purple erwartet; andernfalls führt ein Failover zu nicht sichtbaren Fehlern bei Logins. Nutzen Sie den integrierten Verbindungstest des RADIUS-Objekts, bevor Sie fortfahren.

Schritt 2: Erstellen Sie eine Firewall-Benutzergruppe

Erstellen Sie eine Benutzergruppe vom Typ Firewall und fügen Sie den Purple RADIUS-Server als Remote-Server hinzu. Das Captive Portal authentifiziert Gäste über diese Gruppe. Behalten Sie eine Gruppe pro Authentifizierungsquelle bei, um die Fehlersuche übersichtlich zu halten.

Schritt 3: Stellen Sie den Sicherheitsmodus auf Captive Portal ein

Bearbeiten Sie für FortiAP die Gast-SSID. Bearbeiten Sie für kabelgebundene oder Access Points von Drittanbietern die Schnittstelle für Gäste. Danach:

• Stellen Sie den Sicherheitsmodus auf Captive Portal ein.
• Wählen Sie den Authentifizierungsportal-Typ und wählen Sie die Option für ein externes Portal.
• Fügen Sie die externe Portal-URL von Purple ein.
• Wählen Sie die Benutzergruppe aus Schritt 2 aus.
• Wählen Sie die Weiterleitung nach dem Login: die ursprüngliche URL des Gastes oder eine von Ihnen festgelegte Seite.

Weisen Sie auf der FortiAP die SSID dem FortiAP-Profil zu, das von Ihren Access Points verwendet wird. Die Dokumentation von Fortinet nutzt den Tunnel-Modus als Referenz für Captive Portal SSIDs. Wenn Sie ein lokales Bridging nutzen, stellen Sie sicher, dass Ihre Firmware Captive Portal in diesem Modus unterstützt.

Schritt 4: Erstellen Sie die Ausnahmeliste

Erstellen Sie Firewall-Adress-Objekte für jedes Ziel, das Gäste vor der Authentifizierung erreichen müssen. Fügen Sie diese als Sicherheitsausnahmeliste zur SSID oder Schnittstelle hinzu. Der nächste Abschnitt listet auf, was dazu gehört und was draußen bleiben muss.

Schritt 5: Erstellen Sie die Firewall-Richtlinie für Gäste

Erstellen Sie eine Richtlinie von der Gast-SSID oder -Schnittstelle zum WAN mit aktiviertem NAT. Wenden Sie die Webfilter- und Anwendungssteuerungs-Profile an, die Ihre Richtlinie für die zulässige Nutzung erfordert. Stellen Sie sicher, dass Gäste DNS auflösen können, bevor sie sich authentifizieren, da die Weiterleitung sonst nicht ausgelöst wird.

Schritt 6: Installieren Sie das Zertifikat und nutzen Sie HTTPS für den Post-back

Importieren Sie Ihr öffentlich vertrauenswürdiges Zertifikat und konfigurieren Sie FortiGate so, dass es dieses für die Authentifizierung verwendet. Richten Sie den Post-back des Portals auf den HTTPS-Listener unter Verwendung des Hostnamens dieses Zertifikats aus. Dadurch wird die Warnung entfernt, die Gäste andernfalls im Moment des Absendens des Formulars sehen würden.

Schritt 7: Zeitüberschreitungen abstimmen

Das Authentifizierungs-Timeout von FortiGate entscheidet, wie lange ein authentifiziertes Gerät auf der Liste bleibt. Die Sitzungseinstellungen von Purple entscheiden, was ein wiederkehrender Gast sieht. Wenn Ihre Firmware das RADIUS Session-Timeout-Attribut (RFC 2865) unterstützt, lassen Sie Purple die Sitzungsdauer von zentraler Stelle aus festlegen.

Was sollte die FortiGate-Ausnahmeliste enthalten?

Die Ausnahmeliste ist der Walled Garden der FortiGate: Ziele, die ein Gerät erreichen kann, bevor es sich authentifiziert. Ist sie zu kurz, funktioniert das Portal nicht. Ist sie zu lang, surfen Gäste, ohne sich jemals anzumelden.

Kategorie	Beispieleinträge	Warum	Ausgenommen?
Purple Portal und Assets	Hostnames, die im FortiGate Support Artikel von Purple aufgeführt sind	Lädt die Splash Page, Bilder und Skripte	Ja
Social-Login-Anbieter	Anmeldedomänen für Facebook, Google, Apple und Microsoft als Wildcard-FQDN-Objekte	Die OAuth-Anmeldung muss vor der Authentifizierung abgeschlossen sein	Ja, nur für von Ihnen aktivierte Anbieter
Ihre eigenen Informationsseiten	Die Patienteninformationsseite eines Krankenhauses, die Spieltag-Seite eines Stadions	Besucher erreichen wichtige Informationen ohne Anmeldung	Optional
Captive Network Detection des Betriebssystems	captive.apple.com, connectivitycheck.gstatic.com, www.msftconnecttest.com	Die Überprüfung muss fehlschlagen, damit das Gerät die Anmeldeseite öffnet	Nein, niemals
Allgemeines Surfen	Nachrichten-, Such- und Streaming-Seiten	Umgeht das Portal	Nein

Zwei Regeln verhindern die meisten Fehler beim Walled Garden.

Verwenden Sie FQDN-Objekte, keine IP-Adressen. Social-Login-Anbieter stellen Anmeldeseiten über Content Delivery Networks bereit, deren Adressen sich ständig ändern. Eine statische IP-Liste ist innerhalb weniger Wochen veraltet.

Stellen Sie sicher, dass FortiGate und der Gast dieselben DNS-Einstellungen nutzen. FortiGate löst FQDN-Adressobjekte selbst auf. Wildcard-FQDN-Objekte werden aus DNS-Antworten befüllt, die die FortiGate passieren. Wenn DHCP den Gästen einen öffentlichen Resolver zuweist, können der Gast und die FortiGate unterschiedliche CDN-Adressen erhalten, sodass der ausgenommene Eintrag nicht greift. Weisen Sie die FortiGate oder den von ihr genutzten Resolver als DNS-Server für Gäste zu.

Für Standorte im Bereich Healthcare ermöglicht die Ausnahme einer Patienteninformationsseite den Besuchern, Stationszeiten ohne Anmeldung zu finden. Halten Sie solche Einträge auf einer kurzen, benannten Liste und überprüfen Sie diese vierteljährlich.

Warum zeigt das FortiGate Captive Portal einen Zertifikatsfehler an?

Zwei verschiedene Momente erzeugen Zertifikatswarnungen. Sie haben unterschiedliche Ursachen und unterschiedliche Lösungen.

Warnung 1: Der Gast ruft vor der Anmeldung eine HTTPS-Seite auf

Der Großteil des Surfens erfolgt über HTTPS. Um dies umzuleiten, muss FortiGate selbst auf den TLS-Handshake antworten und sein eigenes Zertifikat für eine Website vorlegen, die ihr nicht gehört. Der Browser erkennt eine Namensabweichung und warnt den Nutzer. Kein Zertifikat kann dies beheben, da kein Zertifikat für jede Website gültig ist.

Websites auf der HSTS-Preload-Liste (HTTP Strict Transport Security, was Browser anweist, unsichere Verbindungen abzulehnen) können überhaupt nicht übersprungen werden. Banking- und E-Mail-Seiten fallen gewöhnlich in diese Gruppe.

Die Lösung besteht darin, sich auf die Captive Network Detection des Betriebssystems zu verlassen. iOS, Android, Windows und macOS prüfen beim Beitritt zu einem Netzwerk jeweils eine einfache HTTP-URL. FortiGate leitet diese Prüfung um und das Gerät öffnet die Anmeldeseite, bevor der Gast einen Browser öffnet. Aus diesem Grund dürfen Erkennungsdomänen niemals in der Ausnahmeliste stehen.

Warnung 2: Der Gast sendet das Portal-Formular ab

Nachdem der Gast die Purple Seite ausgefüllt hat, sendet der Browser die Daten an den Authentifizierungs-Listener der FortiGate. Wenn dieser Listener das Werksszertifikat verwendet, warnt der Browser, da das Zertifikat selbstsigniert ist.

Sendet das Portal stattdessen an den HTTP Listener, warnt Chrome, dass das Formular nicht sicher ist. Die Seite ist HTTPS, aber das Formular wird über HTTP übermittelt.

Die Lösung ist Schritt 6: Ein öffentlich vertrauenswürdiges Zertifikat für einen Hostnamen, der auf die Gast-Schnittstelle der FortiGate verweist, mit dem Post-Back über HTTPS. Erneuern Sie es vor dem Ablaufdatum. Ein abgelaufenes Authentifizierungszertifikat unterbricht jede Anmeldung gleichzeitig, über jede SSID auf dieser FortiGate.

Wie überprüfen Sie, ob das FortiGate Gast-Portal funktioniert?

Testen Sie auf echten Geräten, nicht nur auf einem Laptop. Erstellen Sie eine Matrix aus iOS, Android, Windows und macOS und führen Sie jede Prüfung auf jeder Plattform durch.

1. Verbinden Sie sich mit der SSID. Das Anmeldefenster sollte sich innerhalb von Sekunden automatisch öffnen. Wenn dies nicht der Fall ist, überprüfen Sie die Ausnahmeliste auf Erkennungsdomänen.
2. Schließen Sie jede Anmeldemethode ab. Testen Sie das Formular, jeden aktivierten Social-Media-Anbieter und die Zustimmung zu den Nutzungsbedingungen.
3. Achten Sie auf Warnungen. Zu keinem Zeitpunkt im Ablauf sollte eine Zertifikatswarnung erscheinen.
4. Bestätigen Sie die Authentifizierung auf der FortiGate. Der Monitor für authentifizierte Firewall-Benutzer sollte das Gerät in der Gastgruppe aufführen.
5. Bestätigen Sie RADIUS über die CLI. diagnose test authserver radius testet das Serverobjekt direkt. diagnose debug application fnbamd -1 zeigt bei aktivierter Fehlersuche jedes Access-Request und jede Antwort in Echtzeit an.
6. Bestätigen Sie das Accounting in Purple. Die Sitzung sollte mit einem Start-Datensatz, dann mit Zwischen-Updates und schließlich mit einem Stopp erscheinen, wenn der Gast die Verbindung trennt.
7. Testen Sie den Wiederholungsbesuch. Verbinden Sie sich nach Ablauf des Zeitlimits erneut und überprüfen Sie, ob der Gast die von Ihnen vorgesehene Seite sieht.

Welche Probleme können bei einem FortiGate Captive Portal auftreten und wie beheben Sie diese?

Symptom	Wahrscheinliche Ursache	Lösung
Anmeldefenster erscheint nie; Gerät zeigt "verbunden" an	Erkennungsdomänen in der Ausnahmeliste oder eine Richtlinie, die Datenverkehr vor der Authentifizierung zulässt	Entfernen Sie captive.apple.com und ähnliche Einträge; stellen Sie sicher, dass die Gast-Richtlinie eine Authentifizierung erfordert
Splash-Page lädt leer oder ohne Styling	Hostnamen von Purple-Assets fehlen in der Ausnahmeliste	Fügen Sie jeden Hostnamen aus dem FortiGate-Supportartikel von Purple hinzu
Zertifikatswarnung beim Surfen vor der Anmeldung	FortiGate fängt eine HTTPS-Website ab	Erwartetes Verhalten; Gäste sollten das Anmeldefenster verwenden oder eine HTTP-Seite öffnen
Zertifikatswarnung beim Absenden des Formulars	Werkseigenes Zertifikat auf dem Authentifizierungs-Listener	Installieren Sie ein vertrauenswürdiges Zertifikat und senden Sie die Daten über HTTPS zurück
Social-Login lädt endlos oder schlägt fehl	Anbieter-Domänen nicht ausgenommen oder DNS-Abweichung zwischen Gast und FortiGate	Verwenden Sie Wildcard-FQDN-Objekte; legen Sie die FortiGate als Gast-DNS fest
Portal akzeptiert Daten, aber es folgt kein Internet	RADIUS-Ablehnung oder Zeitüberschreitung: Falsches Shared Secret, falsche Quelladresse, UDP 1812 blockiert	Führen Sie den authserver-Test aus; lesen Sie die fnbamd-Debug-Ausgabe
Gäste werden zu oft zur Anmeldung aufgefordert	Kurzes Authentifizierungs- oder Inaktivitäts-Zeitlimit	Stimmen Sie die FortiGate-Zeitlimits mit den Sitzungseinstellungen von Purple ab
Sitzungen fehlen in Berichten	Accounting deaktiviert oder UDP 1813 blockiert	Accounting auf dem RADIUS-Objekt aktivieren; UDP 1813 öffnen
Logins funktionieren nach Firmware-Upgrade nicht mehr	Einstellungen verschoben oder Standardwerte in der neuen Version geändert	Überprüfen Sie die Release Notes und führen Sie die Testmatrix erneut aus

Wie sieht das in der Praxis vor Ort aus?

Szenario 1: Ein Hotel mit 200 Zimmern ersetzt einen bisherigen Anbieter für Gäste-WiFi

Situation. Ein Hotel mit 200 Zimmern nutzte eine FortiGate mit 30 FortiAPs und eine Gäste-SSID im Tunnel-Modus. Gäste mit iPhones sahen keine Anmeldeseite und öffneten stattdessen Safari. Diejenigen, die die Seite erreichten, erhielten beim Absenden eine Zertifikatswarnung.

Was getan wurde. Der Techniker fand captive.apple.com in der Ausnahme-Liste, die vom vorherigen Anbieter hinterlassen wurde, und entfernte den Eintrag. Er installierte ein öffentlich vertrauenswürdiges Zertifikat auf einem Hostnamen, der auf die Gäste-Schnittstelle verweist, und umstellte den Post-Back auf HTTPS. Er fügte die RADIUS-Server von Purple mit aktiviertem Accounting hinzu.

Ergebnis. In der Testmatrix nach der Änderung öffnete sich die Anmeldeseite auf allen vier Plattformen automatisch. Im Anmeldeablauf traten keinerlei Zertifikatswarnungen mehr auf. Sitzungsdatensätze mit Start-, Interim- und Stop-Einträgen erreichten Purple für jede Testsitzung. Weitere Informationen zu Hotel-Installationen finden Sie unter Hotels.

Szenario 2: Eine Einzelhandelskette mit 40 Filialen, verwaltet von einem MSP

Situation. Ein MSP betrieb eine FortiGate pro Filiale für eine Retail-Kette mit 40 Standorten. Kunden meldeten sporadische Fehler bei der Anmeldung über Google und Apple, jedoch nur in einigen Filialen.

Was getan wurde. DHCP in den betroffenen Filialen wies den Kunden einen öffentlichen DNS-Resolver zu. Die FortiGate löste die CDN-Hostnamen der Anbieter zu unterschiedlichen Adressen auf, sodass die Ausnahme-Einträge nicht griffen. Der MSP stellte die Anbieter auf Wildcard-FQDN-Objekte um und machte die FortiGate zum DNS-Server für Gäste. Er testete die Änderung pilotweise in drei Filialen, bevor er sie über FortiManager ausrollte.

Ergebnis. Alle drei Social-Login-Methoden wurden bei jedem Pilottest auf jeder Plattform erfolgreich abgeschlossen. Der MSP wendete dasselbe Template anschließend auf die verbleibenden 37 Filialen an. Wenn Sie Gäste-WiFi an solche Kunden weiterverkaufen, deckt unser Leitfaden für white label captive portal software die kaufmännischen Prüfungen ab.

Szenario 3: Eine kommunale Bibliothek mit kabelgebundenen Gäste-Kiosken

Situation. Das Netzwerk einer kommunalen Bibliothek bot Gäste-WiFi über Access Points von Drittanbietern und vier kabelgebundene öffentliche Kioske. Beide waren über eine FortiGate verbunden. Die Gemeinde wünschte sich eine einheitliche Nutzungsbedingungen-Seite und einen gemeinsamen Audit-Trail.

Was getan wurde. Der Techniker aktivierte das Captive Portal auf der FortiGate-Gäste-Schnittstelle statt auf einer SSID. Dasselbe externe Portal von Purple und dieselbe RADIUS-Gruppe bedienten sowohl WLAN-Besucher als auch Kiosk-Sitzungen.

Ergebnis. Sowohl WLAN- als auch kabelgebundene Sitzungen erschienen in einem einzigen Accounting-Protokoll in Purple, verknüpft mit einem einzigen Nachweis über die Zustimmung zu den Nutzungsbedingungen. Das lieferte der Gemeinde eine klare Antwort auf die Frage, wer das Netzwerk wann genutzt hat.

Was kostet es und was erhalten Sie zurück?

Was es kostet

Die Hardwarekosten liegen in der Regel bei null. Captive Portal und der RADIUS-Client sind Teil von FortiOS, sodass Sie die FortiGate und FortiAPs konfigurieren, die Sie bereits besitzen. Purple ist hardwareunabhängig: Das gleiche Portal läuft auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Unser Blogbeitrag darüber, warum Ihr nächstes WiFi Upgrade keine neue Hardware benötigt, erläutert den umfassenden Rahmen.

Die Softwarekosten entsprechen dem Purple-Tarif: Connect, Capture oder Engage. Die Preise variieren je nachdem, wie Sie Standorte, Access Points oder Gäste zählen. Unser Leitfaden für Captive Portal Preismodelle vergleicht Modelle pro Standort, pro Access Point und pro Benutzer.

Der Aufwand besteht aus der Entwicklungszeit pro Standort. Erstellen Sie einmal eine Vorlage, testen Sie diese in einem Pilotprojekt und rollen Sie die Vorlage über FortiManager für den gesamten Bestand aus.

Was Sie zurückerhalten

• Erstanbieterdaten mit Einwilligung. Purple erfasst bewusste Opt-ins pro Gast. Die Datenverarbeitung ist GDPR-konform, und Purple hält Zertifizierungen nach ISO 27001, Cyber Essentials sowie die B Corp-Zertifizierung.
• Ein Portal für den gesamten Bestand. Ändern Sie die Begrüßungsseite einmal statt auf jeder FortiGate, einschließlich Standorten mit anderer Hardware.
• Aussagekräftige Berichte. Accounting-Daten speisen WiFi Analytics: Besuche, Verweildauer und Wiederkehrraten nach Standort.
• Eine skalierebare Plattform. Purple läuft an über 80.000 aktiven Standorten und verarbeitete im Jahr 2024 insgesamt 440 Millionen Anmeldungen (eigene Daten von Purple). Für Gastronomiebetreiber deckt unser Leitfaden für WiFi in Restaurants die Abdeckung und Sicherheit in Großbritannien ab.

Häufig gestellte Fragen

Funktioniert Purple mit meiner vorhandenen FortiGate- und FortiAP-Hardware?

Ja, Purple läuft auf Ihrem vorhandenen FortiGate- und FortiAP-Bestand ohne neue Hardware. FortiGate erzwingt das Captive Portal und sendet RADIUS-Authentifizierung und -Accounting an Purple, während Purple die Begrüßungsseite hostet. Der gleiche Ansatz deckt Dritthersteller-Access-Points hinter einer FortiGate-Schnittstelle ab. Purple unterstützt auch Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium und Extreme, sodass ein gemischter Bestand ein einziges Portal nutzt.

Benötige ich eine zusätzliche Fortinet-Lizenz für ein externes Captive Portal?

Nein, Captive Portal und der RADIUS-Client sind Standardfunktionen von FortiOS, sodass die FortiGate keine separate Portal-Lizenz benötigt. Sie benötigen eine unterstützte FortiOS-Version und für WLAN von der FortiGate verwaltete FortiAPs. Der Purple-Tarif, ob Connect, Capture oder Engage, wird separat lizenziert. Unser Leitfaden für Captive Portal Preismodelle erklärt den Vergleich zwischen Preismodellen pro Standort, pro Access Point und pro Benutzer.

Kann ich ohne Ausfallzeiten von meinem aktuellen Gast-WiFi-Anbieter wechseln?

Ja, wenn Sie die Purple-Konfiguration vor dem Wechsel parallel aufbauen. Fügen Sie die RADIUS-Server von Purple und eine neue Benutzergruppe neben den bestehenden hinzu und erstellen Sie dann ein Test-SSID oder eine Test-Schnittstelle unter deren Verwendung. Führen Sie die vollständige Gerätetestmatrix auf diesem Testnetzwerk aus. Wenn diese erfolgreich ist, leiten Sie das Live-Gäste-SSID um und entfernen Sie die Einträge in der Ausnahmeliste des alten Anbieters, insbesondere alle Domänen zur Erkennung unverankertes Netzwerke.

Sind über ein FortiGate-Portal erfasste Gästedaten GDPR-konform?

Ja, wenn das Portal auf Purple läuft, folgen Einwilligung und Datenverarbeitung der GDPR. Purple zeichnet die bewusste Einwilligung pro Gast auf, sodass die Marketing-Einwilligung vom Netzwerkzugriff getrennt ist. Purple ist ISO 27001 und Cyber Essentials zertifiziert. FortiGate übermittelt Sitzungsdetails wie die Client-MAC-Adresse an das Portal, die Gästedatensätze verbleiben jedoch in Purple. Sie bleiben der Datenverantwortliche und legen Ihre eigenen Aufbewahrungs- und Datenschutzhinweise fest.

Sollte ich das integrierte FortiGate-Portal oder ein externes Portal verwenden?

Verwenden Sie das integrierte Portal für einen einzelnen Standort, der nur eine Haftungsausschlussseite benötigt. Verwenden Sie ein externes Portal, wenn Sie mehrere Standorte betreiben, Social Login oder Erstanbieterdaten wünschen oder gemischte Hardware verwalten. Die integrierte Seite befindet sich auf jedem FortiGate und muss Standort für Standort bearbeitet werden. Ein externes Purple-Portal wird an einer zentralen Stelle geändert und erfasst Einwilligungen sowie Sitzungsanalysen für jeden Veranstaltungsort.

Wie viel Engineering-Aufwand erfordert eine FortiGate-Bereitstellung?

Ein einzelner Standort ist eine Konfigurationsänderung, kein Hardwareprojekt. Sie erstellen ein RADIUS-Serverobjekt, eine Benutzergruppe, eine SSID- oder Schnittstellenänderung, eine Ausnahmeliste, eine Richtlinie und ein Zertifikat. Der größte Aufwand entfällt auf das Testen unter iOS, Android, Windows und macOS. Für umfangreichere Netzwerke erstellen Sie die Konfiguration einmal als FortiManager-Vorlage, testen diese an einigen Standorten und rollen sie dann überall aus.

Kann ein MSP Purple über viele Kunden-FortiGates hinweg betreiben?

Ja, MSPs betreiben Purple über viele Kunden-FortiGates hinweg aus einer einzigen Kontostruktur. Jeder Kundenstandort nutzt dasselbe Konfigurationsmuster, sodass Sie es in FortiManager als Vorlage erstellen und in Paketen bereitstellen können. Das hardwareunabhängige Design von Purple bedeutet, dass Kunden mit Cisco Meraki, HPE Aruba oder Ruckus dasselbe Portal nutzen. Überprüfen Sie die kommerziellen Bedingungen in unserem Leitfaden für White-Label-Captive-Portal-Software vor dem Abschluss.

Funktioniert das externe Portal in kabelgebundenen Gästenetzwerken?

Ja, FortiGate kann ein Captive Portal sowohl auf einer Schnittstelle als auch auf einem FortiAP-SSID erzwingen. Aktivieren Sie das Captive Portal auf der Schnittstelle, die das kabelgebundene Gäste-VLAN bedient, wählen Sie das externe Portal aus und weisen Sie es derselben Purple RADIUS-Gruppe zu. Kioske, Tagungsraumanschlüsse und Access Points von Drittanbietern teilen sich dann eine Splash-Page, einen Datensatz zur Zustimmungsannahme und ein Accounting-Protokoll mit Ihren WLAN-Gästen.