Grandstream GWN Access Points Integration mit Purple WiFi

Willkommen zur Purple Technical Briefing Series. Ich bin Ihr Gastgeber, und heute befassen wir uns mit einem Bereitstellungsmuster, das in den Bereichen Gastgewerbe, Einzelhandel und Multi-Tenant-Liegenschaften immer häufiger anzutreffen ist: der Integration von Grandstream GWN Access Points mit der Guest-WiFi-Plattform von Purple. Wenn Sie ein MSP, ein internes IT-Team oder ein Netzwerkarchitekt sind, der mit einer Grandstream GWN-Bereitstellung betraut wurde und nun ein gebrandetes Captive Portal mit Analysen integrieren soll, ist diese Episode genau das Richtige für Sie. Wir decken den gesamten Stack ab: Weiterleitung der Guest-Splash-Page, Walled-Garden-Konfiguration, sicheres Mitarbeiter-WiFi mittels 802.1X und Multi-Tenant-Segmentierung über die Private Pre-Shared Key-Funktion von Grandstream. Legen wir los. --- Zunächst ein wenig Kontext. Die GWN-Serie von Grandstream ist eine solide Access-Point-Reihe für den Mittelstand. Für Innenbereiche gibt es die Modelle GWN7600 und GWN7630, für Wi-Fi 6-Umgebungen die Modelle GWN7660 und GWN7664 sowie den GWN7610 als Deckenmontage-Option für Bereiche mit höherer Dichte. Die Verwaltung erfolgt entweder über den GWN Manager, einen On-Premise-Controller, den Sie auf einem Linux- oder Windows-Server installieren, oder über GWN dot Cloud, die Cloud-basierte Management-Plattform von Grandstream, die jetzt unter dem Namen GDMS Networking läuft. Die gute Nachricht für MSPs ist, dass beide Management-Plattformen die Konfiguration von Captive Portals nativ unterstützen. Sie können die Portal-Richtlinie erstellen, die Splash-Page anpassen und sie vollständig innerhalb von GWN Manager oder GWN dot Cloud einer SSID zuweisen. Bei Enterprise-Bereitstellungen, die eine GDPR-konforme Datenerfassung, Marketing-Automatisierung und Echtzeit-Analysen erfordern, werden Sie dieses native Portal jedoch durch eine externe Plattform ersetzen. Genau hier kommt Purple ins Spiel. Purple fungiert als Cloud-Overlay. Es setzt auf Ihrer Hardware auf und stellt das Captive Portal, die RADIUS-Authentifizierungsebene, die Analyse-Engine und die Marketing-Tools bereit. Purple unterstützt 80.000 Live-Standorte und hat allein im Jahr 2024 440 Millionen Logins verarbeitet. Die Plattform ist also im großen Maßstab bestens bewährt. Die Integration mit Grandstream GWN folgt demselben standardbasierten Ansatz, den Purple auch bei Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist und Ubiquiti UniFi einsetzt. --- Kommen wir zur technischen Architektur. Der Guest-WiFi-Ablauf auf Grandstream GWN mit Purple funktioniert wie folgt. Ein Gast verbindet sich mit Ihrer Guest-SSID. Sein Gerät sendet eine HTTP-Anfrage an eine beliebige Website. Der GWN Access Point fängt diese Anfrage ab und gibt einen HTTP 302-Redirect an die Portal-URL von Purple aus. Der Gast landet auf Ihrer von Purple gehosteten, gebrandeten Splash-Page. Er authentifiziert sich, sei es per E-Mail, Social Login, SMS-Verifizierung oder über ein benutzerdefiniertes Formular. Die Plattform von Purple validiert diese Authentifizierung, erfasst die Einwilligung und die Daten gemäß GDPR und sendet anschließend ein RADIUS Access-Accept an den GWN Access Point zurück. Der AP gewährt den Internetzugang. Der gesamte Ablauf dauert von der Verbindung bis zum Internetzugang etwa drei bis fünf Sekunden. Die wichtigsten Konfigurationskomponenten auf der Grandstream-Seite sind: die Captive Portal-Richtlinie, die Splash-Page-Einstellungen, der Walled Garden und die SSID-Zuordnung. Lassen Sie uns die einzelnen Schritte durchgehen. --- Schritt eins: Konfigurieren Sie die Captive Portal-Richtlinie im GWN Manager oder in GWN.Cloud. Navigieren Sie zu Captive Portal, dann Policy List, und erstellen Sie eine neue Richtlinie. Vergeben Sie einen aussagekräftigen Namen, wie beispielsweise „Purple-Guest-Portal“. Setzen Sie den Authentication Type auf RADIUS Server. Sie sehen dann Felder für RADIUS Server Address, RADIUS Server Port und RADIUS Server Secret. Geben Sie die RADIUS-Server-IP-Adresse von Purple und den Port 1812 für die Authentifizierung ein. Ihr Shared Secret finden Sie in der Admin-Konsole des Purple-Portals im Bereich für die Hardwarekonfiguration des Standorts. Setzen Sie die RADIUS Authentication Method auf PAP, da der Captive Portal-Flow von Purple dieses Verfahren nutzt. Unter Landing Page wählen Sie Redirect to External Page und geben Sie Ihre Purple-Portal-Weiterleitungs-URL ein. Dies ist die URL, an die Gäste weitergeleitet werden, wenn sie sich zum ersten Mal verbinden. Auch diese finden Sie in Ihrer Purple-Admin-Konsole. Stellen Sie die Expiration-Zeit so ein, dass sie der Sitzungsrichtlinie Ihres Standorts entspricht. Für ein Hotel sind 24 Stunden typisch. Für ein Konferenzzentrum können Sie diese auf die Dauer der Veranstaltung einstellen. Für eine Einzelhandelsumgebung sind zwei bis vier Stunden üblich. Aktivieren Sie den Failsafe Mode. Das ist wichtig. Wenn der GWN-Access-Point den RADIUS-Server von Purple nicht erreichen kann, gewährt der Failsafe Mode dennoch Internetzugang, anstatt alle Gäste zu blockieren. Bei den meisten Implementierungen im Hotel- und Gastgewerbe sowie im Einzelhandel sollte ein kurzer RADIUS-Ausfall nicht dazu führen, dass alle Gäste die Verbindung verlieren. --- Schritt zwei: Konfigurieren Sie den Walled Garden. Der Walled Garden ist die Liste der Domains und IP-Adressen, auf die Gäste zugreifen können, bevor sie sich über das Portal authentifiziert haben. Wenn Sie hier einen Fehler machen, sehen Gäste eine leere Seite oder ein fehlerhaftes Portal und machen das WiFi dafür verantwortlich. Im GWN Manager wird der Walled Garden unter der Captive Portal-Richtlinie als Pre-Authentication Rules konfiguriert. Fügen Sie die folgenden Domains als Erlaubnisregeln hinzu: die Purple-Portal-Domain (portal.purple.ai), alle CDN-Domains, von denen die Splash-Page von Purple Ressourcen lädt (einschließlich cloudfront.net mit einem Platzhalter-Eintrag), Apples Endpunkt zur Erkennung von Captive Portals (captive.apple.com) und Googles Endpunkt für die Verbindungselement-Prüfung (connectivitycheck.gstatic.com). Das Support-Portal von Purple verfügt über einen dynamischen Walled-Garden-Generator unter support.purple.ai. Wählen Sie Grandstream aus der Hardwareliste aus, bestimmen Sie Ihre Authentifizierungsmethoden, und das Tool generiert genau die Domainliste, die Sie benötigen. Verwenden Sie diese Liste. Versuchen Sie nicht, sie manuell von Grund auf neu zu erstellen. Eine Entscheidung müssen Sie treffen: Nehmen Sie captive.apple.com in den Walled Garden auf oder nicht? Wenn Sie die Adresse aufnehmen, zeigen iOS-Geräte den Captive Network Assistant Mini-Browser nicht automatisch an. Gäste müssen dann manuell einen Browser öffnen, um das Portal zu erreichen. Wenn Sie sie ausschließen, öffnet iOS den Mini-Browser automatisch, sobald sich das Gerät verbindet. Für die meisten Umgebungen im Gastgewerbe ist es wünschenswert, dass der Mini-Browser erscheint. Lassen Sie captive.apple.com daher aus dem Walled Garden draußen. --- Schritt drei: SSID konfigurieren. Navigieren Sie im GWN Manager zu SSID und bearbeiten Sie Ihre Gäste-SSID. Aktivieren Sie das Captive Portal und wählen Sie die soeben erstellte Richtlinie aus. Stellen Sie die SSID auf WPA2-Personal mit einem einfachen, offenen Passwort ein oder konfigurieren Sie sie als offene SSID, falls Ihr Standort diesen Ansatz bevorzugt. Die Sicherheit in diesem Ablauf resultiert aus der Portal-Authentifizierung, nicht aus dem WiFi-Passwort. Aktivieren Sie die Client-Isolierung. Dies verhindert, dass Gäste die Geräte der anderen im Netzwerk sehen. Dies ist eine grundlegende Sicherheitsanforderung und ein Aspekt der PCI DSS, falls Ihr Standort Kartenzahlungen über dieselbe Infrastruktur abwickelt. Weisen Sie die SSID Ihrem Gäste-VLAN zu. VLAN 10 ist eine gängige Konvention für den Datenverkehr von Gästen. Stellen Sie sicher, dass Ihr Upstream-Switch und -Router so konfiguriert sind, dass sie dieses VLAN mit entsprechenden Firewall-Regeln ins Internet leiten. --- Sprechen wir nun über das Mitarbeiter-WiFi mit 802.1X. IEEE 802.1X ist der Standard für die portbasierte Netzwerkzugriffskontrolle. Für das Mitarbeiter-WiFi ersetzt es den gemeinsamen Pre-Shared Key durch benutzerspezifische Anmeldedaten, die mit einem Identitätsanbieter abgeglichen werden. Wenn sich ein Mitarbeiter verbindet, fungiert der GWN Access Point als Authentifikator, sein Gerät als Supplikant und der RADIUS-Server von Purple als Authentifizierungsserver. Erstellen Sie im GWN Manager eine separate SSID für Mitarbeiter. Stellen Sie den Sicherheitsmodus auf WPA2-Enterprise ein, wodurch 802.1X aktiviert wird. Konfigurieren Sie die RADIUS-Servereinstellungen mit der RADIUS-IP von Purple, Port 1812 und Ihrem Shared Secret. Aktivieren Sie das RADIUS-Accounting auf Port 1813, damit Sie ein vollständiges Audit-Protokoll erhalten, wer sich wann und wie lange verbunden hat. Dieses Audit-Protokoll ist das, was Sie für die GDPR-Compliance und für die Reaktion auf Sicherheitsvorfälle benötigen. Für die EAP-Methode haben Sie zwei Hauptoptionen. EAP-TLS verwendet digitale Zertifikate sowohl auf dem Server als auch auf dem Client-Gerät. Dies ist die sicherste Option, erfordert jedoch eine Mobile-Device-Management-Plattform, um Zertifikate auf die Geräte der Mitarbeiter zu übertragen. Wenn Sie Microsoft Intune oder Jamf nutzen, ist EAP-TLS die richtige Wahl. PEAP (Protected EAP) verwendet einen Benutzernamen und ein Passwort in einem verschlüsselten TLS-Tunnel. Die Bereitstellung ist einfacher, insbesondere für BYOD-Umgebungen, aber Sie müssen sicherstellen, dass die Mitarbeiter geschult sind, Zertifikatswarnungen nicht einfach zu akzeptieren. Ein manipulierter Access Point kann PEAP-Anmeldedaten abgreifen, wenn Benutzer Zertifikatsfehler einfach wegklicken. Aktivieren Sie die dynamische VLAN-Zuweisung in den SSID-Einstellungen. Wenn diese Option aktiviert ist, kann der RADIUS-Server eine VLAN-ID im Access-Accept-Paket zurückgeben, und der GWN AP ordnet das verbundene Gerät diesem VLAN zu. Das bedeutet, dass Sie eine einzige Mitarbeiter-SSID haben können, aber IT-Mitarbeiter automatisch in das VLAN 20 segmentiert werden, das Management in das VLAN 21 und Point-of-Sale-Geräte in das VLAN 40 – alles basierend auf der Identität des Benutzers im Verzeichnis von Purple. Die RADIUS-Attribute für dynamisches VLAN sind: Tunnel-Type auf VLAN gesetzt (Attributwert 13), Tunnel-Medium-Type auf IEEE-802 gesetzt (Attributwert 6) und Tunnel-Private-Group-ID auf die VLAN-Nummer als Zeichenfolge gesetzt. Diese drei Attribute im Access-Accept-Paket sind alles, was der GWN AP benötigt, um das Gerät an das richtige VLAN weiterzuleiten. --- Nun zu der Funktion, die für mandantenfähige Objekte besonders relevant ist: Grandstream Private Pre-Shared Keys oder PPSK. PPSK ist ein Mechanismus, der es einer einzigen SSID ermöglicht, mehrere eindeutige Passwörter zu unterstützen, die jeweils einem anderen VLAN oder einer anderen Netzwerkrichtlinie zugeordnet sind. Denken Sie an ein Mietshaus, einen Co-Working-Space oder ein Bürogebäude mit Service. Sie möchten, dass eine SSID für alle sichtbar ist, aber jeder Mieter erhält sein eigenes Passwort, das ihn in sein eigenes isoliertes Netzwerksegment einordnet. Im GWN Manager wird PPSK unter den SSID-Einstellungen konfiguriert. Stellen Sie den Sicherheitsmodus auf WPA2-Personal ein und aktivieren Sie dann PPSK. Sie können dann einzelne PSK-Einträge erstellen, jeweils mit einem eindeutigen Passwort und einer zugehörigen VLAN-ID. Wenn sich ein Gerät mit dem Passwort von Mieter A verbindet, ordnet der AP es dem VLAN 31 zu. Wenn ein Gerät das Passwort von Mieter B verwendet, landet es im VLAN 32. Die Mieter teilen sich dieselbe SSID, sind aber auf der Netzwerkesuchebene vollständig voneinander isoliert. Für größere Bereitstellungen unterstützt Grandstream auch PPSK mit RADIUS-Backend. In diesem Modus sendet der AP den PSK als RADIUS-Attribut an den Authentifizierungsserver, der ihn validiert und die entsprechende VLAN-Zuweisung zurückgibt. Hier lässt sich die Funktion Identity-Based Networks von Purple direkt integrieren. Purple kann die PPSK-Datenbank verwalten, Schlüssel mit seinem Verzeichnis abgleichen und dynamische VLAN-Zuweisungen zurückgeben, wodurch Sie hunderte von Mieter-Anmeldedaten von einer einzigen Plattform aus zentral verwalten können. Das für die PPSK-Validierung verwendete RADIUS-Attribut ist in der Regel das Tunnel-Password-Attribut oder ein herstellerspezifisches Attribut, je nach Firmware-Version. Überprüfen Sie die Versionshinweise von Grandstream für Ihre spezifische Firmware, da sich die Attributzuordnung im Laufe der Versionen des GWN Managers weiterentwickelt hat. --- Lassen Sie mich die zwei häufigsten Fehlermuster beschreiben, die ich bei Grandstream-Bereitstellungen mit externen Portalen sehe. Das erste Problem ist, dass die Weiterleitung nicht funktioniert. Ein Gast verbindet sich mit der SSID, öffnet einen Browser und erhält anstelle der Portal-Seite die Fehlermeldung "Website ist nicht erreichbar". Die wahrscheinlichste Ursache ist eine Fehlkonfiguration des Walled Garden. Die Portal-Seite selbst wird vor der Authentifizierung blockiert. Öffnen Sie die Entwicklertools Ihres Browsers auf einem Testgerät, das mit der Gäste-SSID verbunden ist, prüfen Sie die Registerkarte „Netzwerk“ und identifizieren Sie, welche Anfragen fehlschlagen. Fügen Sie diese Domänen zu Ihren Pre-Authentication-Regeln hinzu. Der zweite Fehlermodus ist ein RADIUS-Timeout. Der AP sendet einen Access-Request an den RADIUS-Server von Purple und erhält keine Antwort. Dies bedeutet in der Regel, dass eine Firewall den ausgehenden UDP-Port 1812 vom Management-VLAN des APs zum RADIUS-IP-Bereich von Purple blockiert. Überprüfen Sie Ihre Firewall-Regeln. Die RADIUS-IP-Adressen von Purple sind in der Purple-Administrationskonsole unter den Standorteinstellungen dokumentiert. Stellen Sie sicher, dass sowohl die primäre als auch die sekundäre RADIUS-IP zugelassen sind. Ein dritter erwähnenswerter Punkt: Das dynamische VLAN funktioniert nicht. Mitarbeiter verbinden sich und landen im falschen VLAN. Die häufigste Ursache ist, dass „Dynamisches VLAN aktivieren“ in den SSID-Einstellungen im GWN-Manager nicht aktiviert ist. Dies ist ein einzelnes Kontrollkästchen, das leicht übersehen werden kann. Die zweite Ursache ist ein unpassendes Shared Secret. Wenn das Shared Secret auf dem AP nicht mit dem in Purple konfigurierten übereinstimmt, verwirft der AP die RADIUS-Antwort stillschweigend und fällt auf das Standard-VLAN zurück. --- Lassen Sie mich Ihnen zwei Praxisbeispiele geben, um dies zu verdeutlichen. Szenario eins: ein Hotel mit 120 Zimmern. Das Hotel nutzt GWN7660 Access Points, die über GWN.Cloud verwaltet werden. Sie benötigen ein gebrandetes Gäste-Portal für Gäste, ein sicheres Mitarbeiternetzwerk für Rezeption und Housekeeping sowie ein separates Management-VLAN für das Property Management System. Die Konfiguration verwendet drei SSIDs: Gäste-WiFi auf VLAN 10 mit der Purple Captive Portal-Richtlinie; Mitarbeiter-WiFi auf VLAN 20 mit WPA2-Enterprise und PEAP-Authentifizierung gegen den RADIUS von Purple; und eine versteckte Management-SSID auf VLAN 30 für PMS-Terminals. Die dynamische VLAN-Zuweisung auf der Mitarbeiter-SSID sorgt dafür, dass Geräte des Housekeepings im VLAN 21 mit eingeschränktem Internetzugang landen, während Geräte der Rezeption im VLAN 20 mit vollem Zugriff landen. Das Analytics-Dashboard von Purple zeigt dem Hotelbetreiber tägliche Gästezahlen, Sitzungsdauern und Opt-in-Raten für das Marketing, sodass das Marketingteam die erforderlichen Daten für gezielte Kampagnen erhält. Szenario zwei: Ein Build-to-Rent-Apartmentkomplex mit 40 Wohneinheiten. Der Betreiber nutzt GWN7630 Access Points mit GWN Manager on-premise. Jedes Apartment benötigt sein eigenes isoliertes Netzwerk. Der Betreiber nutzt PPSK mit RADIUS-Backend. Purple verwaltet 40 eindeutige Mieter-Anmeldedaten, die jeweils einem dedizierten VLAN zugeordnet sind. Die Bewohner verbinden sich über das Passwort ihrer Wohneinheit mit der einzigen SSID „BuildingConnect“. Das Captive Portal von Purple übernimmt den ersten Onboarding-Flow, erfasst die Zustimmung der Bewohner und liefert dem Betreiber Belegungsanalysen sowie Interaktionsdaten. Zieht ein Bewohner aus, widerruft der Betreiber dessen PPSK-Anmeldedaten in der Admin-Konsole von Purple, und der Zugang wird sofort gesperrt. Das SSID-Passwort muss nicht geändert und die APs müssen nicht neu konfiguriert werden. --- Schnellfragerunde. Drei Fragen, die mir bei Grandstream-Bereitstellungen ständig gestellt werden. Frage eins: Kann ich GWN dot Cloud anstelle von GWN Manager für die Purple-Integration nutzen? Ja. Die Konfiguration des Captive Portals in GWN dot Cloud ist funktional identisch mit der im GWN Manager. Die Menüpfade sind dieselben. Die RADIUS- und Walled-Garden-Einstellungen befinden sich an den gleichen Stellen. GWN dot Cloud ist die bessere Wahl für MSPs, die mehrere Standorte verwalten, da Sie eine einzige zentrale Benutzeroberfläche für alle Bereitstellungen erhalten. Frage zwei: Unterstützt Purple die nativen Analysen von Grandstream neben den eigenen? Purple ersetzt die nativen Analysen des Captive Portals durch eigene, detailliertere Datensätze. Sie erhalten Sitzungszahlen, Verweildauern, Opt-In-Raten, demografische Daten aus Formularfeldern und eine Integration mit Marketing-Plattformen. Die nativen GWN-Analysen für RF-Leistung, AP-Zustand und Client-Zahlen bleiben im GWN Manager oder in GWN dot Cloud neben den Portal-Analysen von Purple weiterhin verfügbar. Frage drei: Welche Firmware-Version benötige ich auf den GWN APs für PPSK mit RADIUS? PPSK mit RADIUS-Backend erfordert die GWN-Firmware 1.0.19 oder höher auf der GWN76xx-Serie. Prüfen Sie vor der Bereitstellung die Versionshinweise von Grandstream. Die Verwendung einer veralteten Firmware ist die häufigste Ursache für unerwartetes Verhalten bei PPSK-Bereitstellungen. --- Fazit. Die Integration von Grandstream GWN Access Points mit Purple ist ein unkomplizierter Prozess, wenn Sie die richtige Reihenfolge einhalten. Konfigurieren Sie zuerst die Einstellungen Ihres RADIUS-Servers in der Richtlinie des Captive Portals. Erstellen Sie Ihren Walled Garden mit dem Domain-Generator-Tool von Purple. Verknüpfen Sie die Richtlinie mit Ihrer Gäste-SSID und aktivieren Sie die Client-Isolierung. Aktivieren Sie für das Mitarbeiter-WiFi WPA2-Enterprise mit dynamischer VLAN-Zuweisung. Verwenden Sie für Immobilien mit mehreren Mietern PPSK mit RADIUS-Backend und verwalten Sie die Anmeldedaten zentral über Purple. Die fünf Punkte, auf die es ankommt: RADIUS auf UDP 1812 mit einem übereinstimmenden Shared Secret; der Walled Garden, der alle Portal-Asset-Domains abdeckt; aktivierte Client-Isolierung auf der Gäste-SSID; aktiviertes dynamisches VLAN in den SSID-Einstellungen; und eine PPSK-Firmware in Version 1.0.19 oder höher.Wenn Sie diese fünf Punkte richtig umsetzen, haben Sie eine solide, skalierbare Bereitstellung, die Ihrem Standort jahrelang gute Dienste leisten wird. Das Onboarding-Team von Purple kann Ihre Konfiguration vor dem Go-live validieren, und die Betriebszeit der Plattform von 99,999 % bedeutet, dass Sie Hotelgästen um zwei Uhr morgens keine Portal-Ausfälle erklären müssen. Vielen Dank fürs Zuhören. Weitere technische Anleitungen zu WiFi-Integrationen für Unternehmen finden Sie auf purple dot ai. In der nächsten Folge behandeln wir die dynamische VLAN-Zuweisung mit Microsoft Entra ID und der SecurePass-Funktion von Purple. Bis dahin.