MikroTik RouterOS Captive Portal und Purple WiFi Integrationshandbuch

MikroTik RouterOS Captive Portal und Purple WiFi Integrationshandbuch - Podcast-Skript [INTRO - ca. 1 Minute] Willkommen. Wenn Sie die WiFi-Infrastruktur in einem Hotel, einer Einzelhandelskette, einem Stadion oder einem Konferenzzentrum verwalten und MikroTik RouterOS einsetzen, ist diese Episode genau das Richtige für Sie. Ich werde Sie genau durch die Integration des Hotspot Gateways von MikroTik in die Guest WiFi-Plattform von Purple führen. Dabei behandeln wir drei verschiedene Anwendungsfälle: Guest WiFi mit einem Captive Portal und Walled Garden, sicheres Staff WiFi mittels 802.1X und die Netzwerksegmentierung für mehrere Mandanten (Multi-Tenant) mithilfe der Private Pre-Shared Key-Funktion von MikroTik. Dies ist kein theoretischer Überblick. Am Ende dieser Folge verfügen Sie über die spezifischen CLI-Befehle, RADIUS-Attribute und die Konfigurationslogik, die Sie benötigen, um diese Setups selbst bereitzustellen oder zu überprüfen. Legen wir los. [TECHNISCHER DEEP-DIVE - ca. 5 Minuten] Teil eins: Guest WiFi und das MikroTik Captive Portal. Das Hotspot Gateway von MikroTik ist das Herzstück der Guest WiFi-Umleitung unter RouterOS. Wenn sich ein Besucher mit Ihrer Guest-SSID verbindet, fängt das Hotspot Gateway seinen HTTP-Datenverkehr ab und leitet ihn auf eine Begrüßungsseite um – das ist Ihr Captive Portal. Purple hostet diese Begrüßungsseite. Ihr MikroTik-Router fungiert als Hotspot Gateway und RADIUS-Client. Die Plattform von Purple fungiert als RADIUS-Server. So richten Sie es ein: Führen Sie zuerst den Hotspot-Setup-Assistenten über das IP-Menü in Winbox oder über die CLI aus. Sie weisen ihn Ihrer dem Gast zugewandten Schnittstelle zu – in der Regel einer VLAN-Schnittstelle oder einem Bridge-Port. Legen Sie Ihren lokalen Adresspool fest, konfigurieren Sie Ihre DNS-Server und geben Sie dem Hotspot einen DNS-Namen. Diesen DNS-Namen sehen die Gäste in ihrem Browser, bevor sie sich authentifizieren. Sobald der Assistent abgeschlossen ist, müssen Sie das Hotspot-Profil auf den RADIUS-Server von Purple verweisen lassen. In der CLI sieht das so aus: /radius add service=hotspot address=YOUR-PURPLE-RADIUS-IP secret=YOUR-SHARED-SECRET authentication-port=1812 accounting-port=1813 Aktivieren Sie dann RADIUS im Hotspot-Profil: /ip hotspot profile set default use-radius=yes Purple stellt Ihnen die RADIUS-IP-Adresse, das Shared Secret und die URL der Begrüßungsseite zur Verfügung, wenn Sie Ihren Standort im Purple-Dashboard einrichten. Nun zum Walled Garden. Das ist entscheidend. Bevor sich ein Gast authentifiziert, muss sein Gerät in der Lage sein, die Begrüßungsseite von Purple und alle von Ihnen verwendeten OAuth-Anbieter – wie Google, Facebook usw. – zu erreichen. Ohne Walled-Garden-Einträge wird die Umleitungsschleife unterbrochen und die Gäste können sich nicht anmelden. In RouterOS fügen Sie Walled-Garden-Einträge unter IP, Hotspot, Walled Garden hinzu. Sie müssen die Domäne der Purple-Begrüßungsseite, alle Social-Login-Domänen und alle CDN-Hosts hinzufügen, die die Ressourcen der Anmeldeseite bereitstellen. Die Dokumentation von Purple listet die genauen Domänen für Ihre Region auf. Fügen Sie sie als IP-Einträge oder Hostnamen-Einträge hinzu – Hostnamen-Einträge sind widerstandsfähiger, wenn sich IP-Adressen ändern. Zu den wichtigsten RADIUS-Attributen, die Purple bei einer erfolgreichen Authentifizierung zurückgibt, gehören das Session-Timeout, das steuert, wie lange ein Gast verbunden bleibt, bevor er erneut aufgefordert wird, und optional ein Bandbreitenlimit unter Verwendung des herstellerspezifischen Attributs `Mikrotik-Rate-Limit`. Auf diese Weise können Sie Fair-Use-Richtlinien pro Gastsitzung direkt über das Purple-Dashboard durchsetzen, ohne die Router-Konfiguration anfassen zu müssen. Teil zwei: Sicheres Staff WiFi mit 802.1X. Hier verabschieden Sie sich vollständig von gemeinsam genutzten Passwörtern. IEEE 802.1X is der Standard für die portbasierte Netzwerkzugriffskontrolle. Auf einer MikroTik-Wireless-Schnittstelle aktivieren Sie die WPA2-Enterprise- oder WPA3-Enterprise-Authentifizierung. Das bedeutet, dass der Access-Point zum Authentifikator wird – er leitet die EAP-Anmeldedaten vom Mitarbeitergerät an einen RADIUS-Server weiter, der sie validiert und ein Access-Accept oder Access-Reject zurückgibt. Das Staff WiFi-Produkt von Purple lässt sich mit Microsoft Entra ID, Okta und Google Workspace als Identitätsanbieter integrieren. Wenn sich das Gerät eines Mitarbeiters verbindet, präsentiert es ein Zertifikat oder einen Benutzernamen und ein Passwort über PEAP-MSCHAPv2. Der RADIUS-Server von Purple validiert diese Anmeldedaten in Echtzeit mit Ihrem Identitätsanbieter. Auf der MikroTik-Seite konfigurieren Sie das Wireless-Sicherheitsprofil mit `authentication-types=wpa2-eap` und verweisen den RADIUS-Client mit `service=wireless` auf den Server von Purple. In CAPsMAN – dem zentralen Access-Point-Verwaltungssystem von MikroTik – stellen Sie dies auf der Ebene der Sicherheitskonfiguration ein, sodass es konsistent auf alle Ihre verwalteten Access-Points angewendet wird. Der RADIUS-Server kann das Attribut `Mikrotik-Wireless-VLANID` zurückgeben, um authentifizierte Mitarbeiter in ein bestimmtes VLAN zu verschieben. So setzen Sie die Netzwerksegmentierung durch – die Finanzabteilung landet im VLAN 10, der Betrieb im VLAN 20 usw. – alles über eine einzige SSID, alles gesteuert durch Identität. Für den automatischen Widerruf – wenn ein Mitarbeiter das Unternehmen verlässt – sorgt die Integration von Purple mit Ihrem Identitätsanbieter dafür, dass bei der Deaktivierung des Kontos in Entra ID oder Okta der nächste Re-Authentifizierungsversuch fehlschlägt und das Gerät getrennt wird. Es sind keine manuellen Änderungen an der Router-Konfiguration erforderlich. Teil drei: Multi-Tenant WiFi mit Private Pre-Shared Keys. Dies ist architektonisch der interessanteste der drei Fälle. Private PSK – manchmal auch PPSK oder iPSK genannt – ermöglicht es Ihnen, eine einzige SSID zu betreiben, bei der sich jeder Mandant, Bewohner oder jede Gerätegruppe mit einer eindeutigen Passphrase verbindet und jede Passphrase einem anderen VLAN zugeordnet ist. Auf MikroTik funktioniert dies über eine MAC-basierte RADIUS-Authentifizierung an der Wireless-Schnittstelle. Wenn sich ein Gerät verbindet, sendet der Access-Point die MAC-Adresse des Geräts als Benutzernamen an den RADIUS-Server. Der RADIUS-Server – entweder der MikroTik-eigene User Manager in RouterOS 7 oder FreeRADIUS – sucht nach dieser MAC-Adresse und gibt zwei herstellerspezifische Attribute zurück: `Mikrotik-Wireless-Psk`, die gerätespezifische Passphrase, und `Mikrotik-Wireless-VLANID`, die das Gerät in das richtige VLAN einordnet. Das Wireless-Sicherheitsprofil erfordert, dass `radius-mac-authentication` auf `yes` gesetzt ist, und der RADIUS-Client benötigt `service=wireless`. In der Praxis würden Sie bei einer Mietimmobilie (Build-to-Rent) mit 200 Wohnungen die MAC-Adressen der Geräte jedes Bewohners bei dessen Einzug in der Plattform von Purple vorregistrieren. Purple ordnet jede MAC einem eindeutigen PSK und einem VLAN zu, das dem Netzwerksegment dieser Wohnung entspricht. Der Bewohner verbindet sich mit der Passphrase seiner Wohnung. Seine Geräte landen in einem isolierten VLAN. Die Geräte des Nachbarn befinden sich in einem völlig separaten VLAN. Keiner kann den Datenverkehr des anderen sehen. Für Geräte, die 802.1X nicht unterstützen – Smart-TVs, Spielekonsolen, IoT-Geräte –, ist dieser Ansatz die praktische Alternative. Das Gerät muss lediglich WPA2-PSK unterstützen, was auf praktisch alle zutrifft. [EMPFEHLUNGEN FÜR DIE IMPLEMENTIERUNG UND FALLSTRICKE - ca. 2 Minuten] Lassen Sie mich Ihnen die vier Dinge nennen, die bei diesen Bereitstellungen am häufigsten schiefgehen. Erstens: Lücken im Walled Garden. Wenn die Begrüßungsseite von Purple nicht geladen werden kann, überprüfen Sie Ihre Walled-Garden-Einträge. Der häufigste Grund ist eine fehlende CDN-Domäne oder eine Social-Login-Umleitung, die nicht auf der Whitelist steht. Verwenden Sie das MikroTik Torch-Tool oder den Packet Sniffer, um zu beobachten, welche DNS-Abfragen vor der Authentifizierung blockiert werden. Zweitens: Abweichende RADIUS-Timeouts. Das standardmäßige RADIUS-Timeout von MikroTik beträgt 1.100 Millisekunden. Wenn der RADIUS-Server von Purple geografisch weit entfernt ist oder der Netzwerkpfad Latenzen aufweist, kommt es zu sporadischen Authentifizierungsfehlern. Erhöhen Sie das Timeout auf 3.000 Millisekunden und konfigurieren Sie einen Backup-RADIUS-Server für zusätzliche Ausfallsicherheit. Drittens: Die VLAN-Filterung ist auf der Bridge nicht aktiviert. Die dynamische VLAN-Zuweisung über RADIUS funktioniert nur, wenn die Bridge-VLAN-Filterung aktiviert ist. Dies ist eine RouterOS-Anforderung. Wenn alle Clients unabhängig von der RADIUS-Rückgabe im Standard-VLAN landen, überprüfen Sie, ob `vlan-filtering=yes` auf Ihrer Bridge-Schnittstelle eingestellt ist. Viertens: CAPsMAN-Versionskonflikt. Wenn Sie eine Mischung aus verwalteten Access-Points der CAPsMAN-Version 2 und Version 3 betreiben, kann sich das VLAN-Tagging-Verhalten unterscheiden. Standardisieren Sie auf RouterOS 7 mit CAPsMAN Version 3 in Ihrer gesamten AP-Infrastruktur, bevor Sie dynamische VLAN-Funktionen bereitstellen. Eine architektonische Empfehlung: Betreiben Sie Ihren Gast-, Mitarbeiter- und Verwaltungsdatenverkehr vom ersten Tag an in separaten VLANs, selbst wenn Sie nicht sofort alle drei Purple-Anwendungsfälle nutzen. Die nachträgliche Implementierung einer VLAN-Segmentierung in ein flaches Netzwerk ist wesentlich aufwendiger, als sie von Anfang an einzuplanen. [SCHNELLE FRAGERUNDE - ca. 1 Minute] Kann ich den integrierten User Manager von MikroTik anstelle eines externen RADIUS-Servers verwenden? Ja, bei kleineren Bereitstellungen. Der User Manager in RouterOS 7 unterstützt PEAP-MSCHAPv2 für Wireless 802.1X und kann das Attribut `Mikrotik-Wireless-VLANID` zurückgeben. Für produktive Bereitstellungen mit Purple nutzen Sie die gehostete RADIUS-Infrastruktur von Purple, die die Integration des Identitätsanbieters und das Sitzungsmanagement für Sie übernimmt. Unterstützt Purple MikroTik CAPsMAN? Ja. Purple ist hardwareunabhängig. Die Integration erfolgt auf RADIUS- und Hotspot-Umleitungsebene, sodass sie gleichermaßen mit eigenständigen MikroTik-Access-Points und CAPsMAN-verwalteten Bereitstellungen kompatibel ist. Welche RouterOS-Version benötige ich? RouterOS 7.x wird für alle drei in diesem Handbuch behandelten Anwendungsfälle empfohlen. Die dynamische VLAN-Zuweisung über Wireless-RADIUS und der aktualisierte User Manager sind Funktionen von RouterOS 7. RouterOS 6.x unterstützt Hotspots und grundlegende RADIUS-Authentifizierung, bietet jedoch nicht alle Wireless-VLAN-Funktionen. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute] Zusammenfassend lässt sich sagen: MikroTik RouterOS bietet Ihnen drei verschiedene Integrationspunkte mit Purple. Das Hotspot Gateway übernimmt die Guest WiFi-Umleitung und die Captive Portal-Authentifizierung. Die Wireless-802.1X-Konfiguration mit RADIUS ermöglicht sicheres Staff WiFi mit identitätsbasiertem Zugriff. Und die MAC-basierte RADIUS-Authentifizierung mit Private PSK übernimmt die Netzwerksegmentierung für mehrere Mandanten in Wohn- und Mischimmobilien. Der gemeinsame Nenner aller drei ist RADIUS. Richten Sie Ihre RADIUS-Client-Konfiguration korrekt ein – richtige IP, richtiges Shared Secret, richtiger Diensttyp, richtiges Timeout – und der Rest ergibt sich von selbst. Ihre nächsten Schritte: Melden Sie sich in Ihrem Purple-Dashboard an, navigieren Sie zur Standortkonfiguration und rufen Sie Ihre RADIUS-Anmeldedaten ab. Folgen Sie dann den CLI-Befehlen im schriftlichen Handbuch, um Ihr Hotspot-Profil, Ihr Wireless-Sicherheitsprofil und Ihre Walled-Garden-Einträge zu konfigurieren. Testen Sie das Setup mit einem einzelnen Access-Point, bevor Sie es auf Ihre gesamte Infrastruktur ausrollen. Wenn Sie dieses Setup in großem Maßstab bereitstellen – an mehreren Standorten mit Hunderten von Access-Points –, kann das Professional Services-Team von Purple Sie beim Rollout unterstützen. Purple läuft an über 80.000 aktiven Standorten weltweit mit einer Betriebszeit von 99,999 % und ist nach ISO 27001, GDPR und Cyber Essentials zertifiziert. Vielen Dank fürs Zuhören. Das vollständige schriftliche Handbuch mit allen CLI-Befehlen, RADIUS-Attributtabellen und Praxisbeispielen ist in den Shownotes verlinkt.