Grandstream GWN und Gäste-WiFi: Captive Portal-Einrichtung mit Purple

Willkommen bei der technischen Briefing-Reihe von Purple. Ich bin Ihr Gastgeber, und heute befassen wir uns mit einem Bereitstellungsmodell, das in der Hotellerie, im Einzelhandel und in Multi-Tenant-Liegenschaften immer häufiger zum Einsatz kommt: der Integration von Grandstream GWN Access Points mit der Guest-WiFi-Plattform von Purple. Wenn Sie ein MSP, ein internes IT-Team oder ein Netzwerkarchitekt sind, dem eine Grandstream GWN Bereitstellung übertragen wurde mit der Aufgabe, ein gebrandetes Captive Portal inklusive Analysen hinzuzufügen, dann ist diese Episode genau richtig für Sie. Wir behandeln den gesamten Stack: Weiterleitung zur Gäste-Splash-Page, Walled-Garden-Konfiguration, sicheres Mitarbeiter-WiFi mittels 802.1X und Multi-Tenant-Segmentierung über die Private Pre-Shared Key-Funktion von Grandstream. Lassen Sie uns direkt einsteigen. - Zunächst etwas Kontext. Die GWN-Serie von Grandstream ist eine solide Access-Point-Reihe für den Mittelstand. Sie haben den GWN7600 und GWN7630 für Innenbereiche, den GWN7660 und GWN7664 für Wi-Fi 6-Umgebungen sowie den GWN7610 als Deckenmontage-Option für Bereiche mit höherer Dichte. Verwaltet werden sie entweder über den GWN Manager, einen On-Premise-Controller, den Sie auf einem Linux- oder Windows-Server installieren, oder über GWN dot Cloud, die cloudbasierte Management-Plattform von Grandstream, die jetzt unter dem Namen GDMS Networking läuft. Die gute Nachricht für MSPs ist, dass beide Management-Plattformen die Captive Portal-Konfiguration nativ unterstützen. Sie können die Portal-Richtlinie erstellen, die Splash-Page anpassen und sie vollständig innerhalb des GWN Managers oder GWN dot Cloud einer SSID zuweisen. Aber bei Enterprise-Bereitstellungen, bei denen Sie eine GDPR-konforme Datenerfassung, Marketing-Automatisierung und Echtzeit-Analysen benötigen, werden Sie dieses native Portal durch eine externe Plattform ersetzen. Genau hier kommt Purple ins Spiel. Purple fungiert als Cloud-Overlay. Es setzt über Ihrer Hardware an und stellt das Captive Portal, den RADIUS-Authentifizierungs-Layer, die Engine für Analysen sowie die Marketing-Tools bereit. Purple unterstützt 80.000 Live-Standorte und hat allein im Jahr 2024 bereits 440 Millionen Logins verarbeitet - die Plattform ist also im großen Stil bestens bewährt. Die Integration mit Grandstream GWN folgt demselben standardbasierten Ansatz, den Purple auch bei Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist und Ubiquiti UniFi einsetzt. - Kommen wir nun zur technischen Architektur. Der Ablauf beim Gäste-WiFi auf einem Grandstream GWN mit Purple gestaltet sich wie folgt. Ein Gast verbindet sich mit Ihrer Gäste-SSID. Sein Gerät sendet eine HTTP-Anfrage an eine beliebige Website. Der GWN Access Point fängt diese Anfrage ab und gibt einen HTTP 302-Redirect an die Portal-URL von Purple aus. Der Gast landet auf Ihrer von Purple gehosteten, gebrandeten Splash-Page. Er authentifiziert sich dort - sei es per E-Mail, Social Login, SMS-Verifizierung oder über ein benutzerdefiniertes Formular. Die Plattform von Purple validiert diese Authentifizierung, erfasst die Einwilligung sowie die Daten im Einklang mit der GDPR und sendet anschließend ein RADIUS Access-Accept zurück an den GWN Access Point. Der AP gibt den Internetzugang frei. Der gesamte Ablauf dauert von der Verbindung bis zum Internetzugang etwa drei bis fünf Sekunden.Die wichtigsten Konfigurationskomponenten aufseiten von Grandstream sind: die Captive Portal Richtlinie, die Splashpage-Einstellungen, der Walled Garden und die SSID-Zuordnung. Lassen Sie uns die einzelnen Punkte durchgehen. --- Schritt eins: Konfigurieren Sie die Captive Portal Richtlinie im GWN Manager oder in GWN dot Cloud. Navigieren Sie zu Captive Portal, dann Policy List, und erstellen Sie eine neue Richtlinie. Geben Sie ihr einen aussagekräftigen Namen, wie zum Beispiel "Purple-Guest-Portal". Stellen Sie den Authentication Type auf RADIUS Server ein. Daraufhin werden Felder für RADIUS Server Address, RADIUS Server Port und RADIUS Server Secret angezeigt. Geben Sie die IP-Adresse des RADIUS-Servers von Purple und den Port 1812 für die Authentifizierung ein. Ihren Shared Secret finden Sie in der Admin-Konsole des Purple Hub unter der Hardware-Konfiguration des Standorts. Stellen Sie die RADIUS Authentication Method auf PAP ein, da dieser Typ vom Captive Portal Ablauf von Purple genutzt wird. Unter Landing Page wählen Sie Redirect to External Page und geben die Weiterleitungs-URL Ihres Purple Portals ein. Dies ist die URL, an die Gäste weitergeleitet werden, wenn sie sich zum ersten Mal verbinden. Auch diese erhalten Sie über Ihre Purple Admin-Konsole. Stellen Sie die Expiration Time so ein, dass sie der Sitzungsrichtlinie Ihres Standorts entspricht. Für ein Hotel sind 24 Stunden üblich. Für ein Konferenzzentrum können Sie dies auf die Dauer der Veranstaltung einstellen. Für eine Einzelhandelsumgebung sind zwei bis vier Stunden üblich. Aktivieren Sie den Failsafe Mode. Das ist wichtig. Wenn der GWN Access Point den RADIUS-Server von Purple nicht erreichen kann, gewährt der Failsafe Mode dennoch Internetzugang, anstatt alle Gäste zu blockieren. Bei den meisten Bereitstellungen im Gastgewerbe und im Einzelhandel sollte ein kurzer RADIUS-Ausfall nicht dazu führen, dass alle Gäste die Verbindung verlieren. --- Schritt zwei: Konfigurieren Sie den Walled Garden. Der Walled Garden ist die Liste der Domains und IP-Adresse, auf die Gäste zugreifen können, bevor sie sich über das Portal authentifiziert haben. Wenn Sie hier Fehler machen, sehen die Gäste eine leere Seite oder ein fehlerhaftes Portal und machen das WiFi dafür verantwortlich. Im GWN Manager wird der Walled Garden unter der Captive Portal Richtlinie als Pre-Authentication Rules konfiguriert. Fügen Sie die folgenden Domains als Erlaubnisregeln hinzu: die Purple Portal-Domain (portal dot purple dot ai), alle CDN-Domains, von denen die Splashpage von Purple Elemente lädt (einschließlich cloudfront dot net mittels Wildcard-Eintrag), Apples Endpunkt zur Erkennung von Captive Portalen (captive dot apple dot com) sowie Googles Endpunkt zur Konnektivitätsprüfung (connectivitycheck dot gstatic dot com). Das Support-Portal von Purple bietet unter support dot purple dot ai einen dynamischen Walled Garden Generator. Wählen Sie Grandstream aus der Hardware-Liste, wählen Sie Ihre Authentifizierungsmethoden aus, und es wird die genaue Domainliste generiert, die Sie benötigen. Verwenden Sie diese Liste. Versuchen Sie nicht, sie manuell von Grund auf neu zu erstellen. Eine Entscheidung, die Sie treffen müssen: Nehmen Sie captive dot apple dot com in den Walled Garden auf oder nicht? Wenn Sie die Adresse aufnehmen, zeigen iOS-Geräte den Captive Network Assistant Mini-Browser nicht automatisch an. Gäste müssen dann manuell einen Browser öffnen, um das Portal zu erreichen. Wenn Sie sie ausschließen, startet iOS den Mini-Browser automatisch, sobald sich das Gerät verbindet. Für die meisten Deployments im Gastgewerbe ist es wünschenswert, dass der Mini-Browser erscheint - lassen Sie captive dot apple dot com daher aus dem Walled Garden heraus. - - - Schritt drei: SSID konfigurieren. Navigieren Sie im GWN Manager zu SSID und bearbeiten Sie Ihre Gäste-SSID. Aktivieren Sie das Captive Portal und wählen Sie die soeben erstellte Richtlinie aus. Stellen Sie die SSID auf WPA2-Personal mit einem einfachen, offenen Passwort ein, oder konfigurieren Sie sie als offene SSID, falls Ihr Standort diesen Ansatz bevorzugt. Die Sicherheit bei diesem Ablauf ergibt sich aus der Portal-Authentifizierung, nicht aus dem WiFi-Passwort. Aktivieren Sie die Client-Isolierung. Dies verhindert, dass Gäste die Geräte der anderen im Netzwerk sehen können. Dies ist eine grundlegende Sicherheitsanforderung und ein wichtiger Aspekt für die PCI-DSS-Compliance, falls Ihr Standort Kartenzahlungen über dieselbe Infrastruktur abwickelt. Weisen Sie die SSID Ihrem Gäste-VLAN zu. VLAN 10 ist eine gängige Konvention für den Datenverkehr von Gästen. Stellen Sie sicher, dass Ihr Upstream-Switch und Ihr Router so konfiguriert sind, dass sie dieses VLAN mit entsprechenden Firewall-Regeln ins Internet leiten. - - - Sprechen wir nun über das Mitarbeiter-WiFi unter Verwendung von 802.1X. IEEE 802.1X ist der Standard für die portbasierte Netzwerkzugriffskontrolle. Beim Mitarbeiter-WiFi ersetzt es den gemeinsam genutzten Pre-Shared Key durch benutzerbezogene Anmeldedaten, die mit einem Identitätsanbieter abgeglichen werden. Wenn sich ein Mitarbeiter verbindet, fungiert der GWN Access Point als Authentifikator, sein Gerät als Supplikant und der RADIUS-Server von Purple als Authentifizierungsserver. Erstellen Sie im GWN Manager eine separate SSID für Mitarbeiter. Stellen Sie den Sicherheitsmodus auf WPA2-Enterprise ein, wodurch 802.1X aktiviert wird. Konfigurieren Sie die RADIUS-Server-Einstellungen mit der RADIUS-IP von Purple, Port 1812 und Ihrem Shared Secret. Aktivieren Sie das RADIUS-Accounting auf Port 1813, damit Sie ein vollständiges Audit-Protokoll darüber erhalten, wer sich wann und wie lange verbunden hat. Dieses Audit-Protokoll ist genau das, was Sie für die DSGVO-Compliance (GDPR) und für die Reaktion auf Sicherheitsvorfälle benötigen. Für die EAP-Methode haben Sie zwei Hauptoptionen. EAP-TLS verwendet digitale Zertifikate sowohl auf dem Server als auch auf dem Client-Gerät. Dies ist die sicherste Option, erfordert jedoch eine Mobile-Device-Management-Plattform, um die Zertifikate auf die Geräte der Mitarbeiter zu übertragen. Wenn Sie Microsoft Intune oder Jamf im Einsatz haben, ist EAP-TLS die richtige Wahl. PEAP, was für Protected EAP steht, verwendet einen Benutzernamen und ein Passwort innerhalb eines verschlüsselten TLS-Tunnels. Es ist einfacher zu implementieren, insbesondere in BYOD-Umgebungen, aber Sie müssen sicherstellen, dass die Mitarbeiter darin geschult sind, keine Zertifikatswarnungen zu akzeptieren. Ein manipulierter Access Point kann PEAP-Anmeldedaten abgreifen, wenn Benutzer Zertifikatsfehler einfach wegklicken. Aktivieren Sie die dynamische VLAN-Zuweisung in den SSID-Einstellungen. Wenn diese Option aktiviert ist, kann der RADIUS-Server eine VLAN-ID im Access-Accept-Paket zurückgeben und der GWN AP platziert das verbindende Gerät in diesem VLAN. Das bedeutet, dass Sie eine einzige Mitarbeiter-SSID haben können, aber IT-Mitarbeiter automatisch in VLAN 20, das Management in VLAN 21 und Point-of-Sale-Geräte in VLAN 40 segmentieren, basierend auf der Identität des Benutzers im Verzeichnis von Purple. Die RADIUS-Attribute für dynamisches VLAN sind: Tunnel-Type eingestellt auf VLAN, was dem Attributwert 13 entspricht; Tunnel-Medium-Type eingestellt auf IEEE-802, was dem Attributwert 6 entspricht; und Tunnel-Private-Group-ID eingestellt auf die VLAN-Nummer als String. Diese drei Attribute im Access-Accept-Paket sind alles, was der GWN AP benötigt, um das Gerät an das richtige VLAN weiterzuleiten. - Nun zu der Funktion, die für mandantenfähige Immobilien besonders relevant ist: Grandstream Private Pre-Shared Keys, oder PPSK. PPSK ist ein Mechanismus, der es einer einzelnen SSID ermöglicht, mehrere eindeutige Passwörter zu unterstützen, die jeweils einem anderen VLAN oder einer anderen Netzwerkrichtlinie zugeordnet sind. Denken Sie an ein Build-to-Rent-Apartmenthaus, einen Co-Working-Space oder ein serviced Bürogebäude. Sie möchten eine SSID, die für jeden sichtbar ist, aber jeder Mieter erhält sein eigenes Passwort, das ihn in sein eigenes isoliertes Netzwerksegment einordnet. Im GWN Manager wird PPSK unter den SSID-Einstellungen konfiguriert. Stellen Sie den Security Mode auf WPA2-Personal ein und aktivieren Sie dann PPSK. Sie können dann einzelne PSK-Einträge erstellen, jeweils mit einem eindeutigen Passwort und einer zugehörigen VLAN-ID. Wenn sich ein Gerät mit dem Passwort von Mieter A verbindet, platziert der AP es in VLAN 31. Wenn ein Gerät das Passwort von Mieter B verwendet, landet es in VLAN 32. Die Mieter teilen sich dieselbe SSID, sind aber auf der Netzwerkschicht vollständig voneinander isoliert. Für größere Bereitstellungen unterstützt Grandstream auch PPSK mit RADIUS-Backend. In diesem Modus sendet der AP den PSK als RADIUS-Attribut an den Authentifizierungsserver, der ihn validiert und die entsprechende VLAN-Zuweisung zurückgibt. Hier integriert sich die Identity-Based Networks-Funktion von Purple direkt. Purple kann die PPSK-Datenbank verwalten, Schlüssel mit seinem Verzeichnis abgleichen und dynamische VLAN-Zuweisungen zurückgeben, wodurch Sie hunderte von Mieter-Zugangsdaten zentral von einer einzigen Plattform aus verwalten können. Das für die PPSK-Validierung verwendete RADIUS-Attribut ist in der Regel das Tunnel-Password-Attribut oder ein herstellerspezifisches Attribut, je nach Firmware-Version. Überprüfen Sie die Versionshinweise von Grandstream für Ihre spezifische Firmware, da sich die Attributzuordnung in den verschiedenen GWN Manager-Versionen weiterentwickelt hat. - Lassen Sie mich die beiden am häufigsten auftretenden Fehlerfälle beschreiben, die ich bei Grandstream-Bereitstellungen mit externen Portalen sehe. Das erste Problem ist, dass die Weiterleitung nicht ausgelöst wird. Ein Gast verbindet sich mit der SSID, öffnet einen Browser und erhält die Fehlermeldung "Seite kann nicht erreicht werden" anstelle der Captive Portal Seite. Die wahrscheinlichste Ursache ist eine Fehlkonfiguration des Walled Garden. Die Captive Portal Seite selbst wird vor der Authentifizierung blockiert. Öffnen Sie die Entwicklertools Ihres Browsers auf einem Testgerät, das mit der Gäste-SSID verbunden ist, prüfen Sie die Registerkarte "Netzwerk" und identifizieren Sie, welche Anfragen fehlschlagen. Fügen Sie diese Domains zu Ihren Pre-Authentication-Regeln hinzu. Das zweite Fehlerszenario ist ein RADIUS-Timeout. Der AP sendet einen Access-Request an den RADIUS-Server von Purple und erhält keine Antwort. Dies bedeutet in der Regel, dass eine Firewall den ausgehenden UDP-Port 1812 aus dem Management-VLAN des APs zum RADIUS-IP-Bereich von Purple blockiert. Überprüfen Sie Ihre Firewall-Regeln. Die RADIUS-IP-Adressen von Purple sind in der Purple Admin-Konsole unter den Standorteinstellungen dokumentiert. Stellen Sie sicher, dass sowohl die primären als auch die sekundären RADIUS-IPs zugelassen sind. Ein drittes erwähnenswertes Problem: Dynamisches VLAN funktioniert nicht. Mitarbeiter verbinden sich und landen im falschen VLAN. Die häufigste Ursache ist, dass "Dynamic VLAN aktivieren" in den SSID-Einstellungen im GWN Manager nicht aktiviert ist. Es ist ein einzelnes Kontrollkästchen, das man leicht übersieht. Die zweite Ursache ist ein nicht übereinstimmender Shared Secret. Wenn das Shared Secret auf dem AP nicht mit dem in Purple konfigurierten übereinstimmt, verwirft der AP die RADIUS-Antwort stillschweigend und fällt auf das Standard-VLAN zurück. - Lassen Sie mich Ihnen zwei Praxisbeispiele geben, um dies zu verdeutlichen. Szenario eins: ein Hotel mit 120 Zimmern. Das Hotel betreibt GWN7660 Access Points, die über GWN.Cloud verwaltet werden. Sie benötigen ein gebrandetes Gäste-Portal für Gäste, ein sicheres Mitarbeiternetzwerk für die Rezeption und das Housekeeping sowie ein separates Management-VLAN für das Property-Management-System. Die Konfiguration nutzt drei SSIDs: Guest WiFi auf VLAN 10 mit den Purple Captive Portal Richtlinien; Staff WiFi auf VLAN 20 mit WPA2-Enterprise und PEAP-Authentifizierung gegenüber dem RADIUS von Purple; und eine versteckte Management-SSID auf VLAN 30 für PMS-Terminals. Die dynamische VLAN-Zuweisung auf der Mitarbeiter-SSID sorgt dafür, dass Geräte des Housekeepings auf VLAN 21 mit eingeschränktem Internetzugang landen, während Geräte der Rezeption auf VLAN 20 mit vollem Zugriff geleitet werden. Das Analytics-Dashboard von Purple zeigt dem Hotelbetreiber die tägliche Gästeanzahl, die Sitzungsdauer und die Opt-In-Raten für das Marketing. So erhält das Marketing-Team genau die Daten, die es für gezielte Kampagnen benötigt. Szenario zwei: ein Apartmentblock mit 40 Mieteinheiten. Der Betreiber nutzt GWN7630 Access Points mit lokalem GWN Manager. Jedes Apartment benötigt sein eigenes isoliertes Netzwerk. Der Betreiber nutzt PPSK mit RADIUS-Backend. Purple verwaltet 40 eindeutige Mieter-Anmeldedaten, die jeweils einem dedizierten VLAN zugewiesen sind. Bewohner verbinden sich mit der einzelnen "BuildingConnect" SSID unter Verwendung des Passworts ihrer Wohneinheit. Das Portal von Purple übernimmt den ersten Onboarding-Prozess, erfasst die Zustimmung der Bewohner und liefert dem Betreiber Belegungsanalysen und Engagement-Daten. Wenn ein Bewohner auszieht, widerruft der Betreiber dessen PPSK-Anmeldedaten in der Admin-Konsole von Purple, und der Zugriff wird sofort beendet. Das SSID-Passwort muss nicht geändert und die APs müssen nicht neu konfiguriert werden. - - - Schnellschuss. Drei Fragen, die mir bei Grandstream-Implementierungen ständig gestellt werden. Frage eins: Kann ich GWN dot Cloud anstelle von GWN Manager für die Purple-Integration nutzen? Ja. Die Konfiguration des Captive Portal in GWN dot Cloud ist funktional identisch mit der im GWN Manager. Die Menüpfade sind gleich. Die Einstellungen für RADIUS und Walled Garden befinden sich an denselben Stellen. GWN dot Cloud ist die bessere Wahl für MSPs, die mehrere Standorte verwalten, da Sie eine zentrale Oberfläche für alle Implementierungen erhalten. Frage zwei: Unterstützt Purple die nativen Analysen von Grandstream parallel zu den eigenen? Purple ersetzt die nativen Analysen des Captive Portal durch eigene, detailliertere Datensätze. Sie erhalten Sitzungszahlen, Verweildauern, Opt-in-Raten, demografische Daten aus Formularfeldern und die Integration in Marketing-Plattformen. Die nativen GWN-Analysen für RF-Leistung, AP-Zustand und Client-Zahlen bleiben im GWN Manager oder in GWN dot Cloud parallel zu den Portal-Analysen von Purple verfügbar. Frage drei: Welche Firmware-Version benötige ich auf den GWN APs für PPSK mit RADIUS? PPSK mit RADIUS-Backend erfordert die GWN-Firmware 1.0.19 oder höher auf der GWN76xx-Serie. Prüfen Sie vor der Implementierung die Release Notes von Grandstream. Die Verwendung veralteter Firmware ist die häufigste Ursache für unerwartetes Verhalten bei PPSK-Implementierungen. - - - Zusammenfassung. Die Integration von Grandstream GWN Access Points mit Purple ist ein unkomplizierter Prozess, wenn Sie die richtige Reihenfolge einhalten. Konfigurieren Sie zuerst Ihre RADIUS-Server-Einstellungen in den Richtlinien des Captive Portal. Erstellen Sie Ihren Walled Garden mit dem Domain-Generator-Tool von Purple. Verknüpfen Sie die Richtlinie mit Ihrer Gäste-SSID und aktivieren Sie die Client-Isolierung. Für das Mitarbeiter-WiFi aktivieren Sie WPA2-Enterprise mit dynamischer VLAN-Zuweisung. Für Multi-Tenant-Objekte nutzen Sie PPSK mit RADIUS-Backend und verwalten Sie die Anmeldedaten zentral über Purple. Die fünf Dinge, die stimmen müssen: RADIUS auf UDP 1812 mit einem passenden Shared Secret; der Walled Garden, der alle Portal-Asset-Domains abdeckt; aktivierte Client-Isolierung auf der Gäste-SSID; aktiviertes dynamisches VLAN in den SSID-Einstellungen; und eine PPSK-Firmware der Version 1.0.19 oder höher.Wenn Sie diese fünf Punkte richtig umsetzen, haben Sie eine solide, skalierbare Bereitstellung, die Ihren Standort über Jahre hinweg zuverlässig versorgen wird. Das Onboarding-Team von Purple kann Ihre Konfiguration vor dem Go-Live validieren, und die Plattform-Verfügbarkeit von 99,999 % bedeutet, dass Sie Hotelgästen um zwei Uhr nachts keine Portal-Ausfälle erklären müssen. Vielen Dank fürs Zuhören. Weitere technische Anleitungen zu WiFi-Integrationen für Unternehmen finden Sie auf purple.ai. In der nächsten Folge behandeln wir die dynamische VLAN-Zuweisung mit Microsoft Entra ID und der SecurePass-Funktion von Purple. Bis dahin.