Huawei AirEngine und CloudCampus Integration mit Purple WiFi

Willkommen zur technischen Serie von Purple. Ich bin Ihr Moderator, und heute gehen wir durch eine der nuancierteren WiFi-Integrationen für Unternehmen, die wir in der Praxis sehen – Huawei AirEngine Access Points und den CloudCampus iMaster NCE-Campus-Controller, integriert mit Purple für Gäste-WiFi, Mitarbeiterauthentifizierung und mandantenfähige Netzwerksegmentierung. Wenn Sie ein Netzwerkarchitekt oder IT-Manager sind, der eine Huawei-Infrastruktur betreibt – sei es eine Hotelgruppe, eine Einzelhandelskette, ein Konferenzzentrum oder ein Campus im öffentlichen Sektor –, ist diese Episode genau das Richtige für Sie. Wir decken den gesamten Stack ab: Captive Portal-Umleitung, Pre-Authentication-ACLs, sicheres Mitarbeiter-WiFi mittels 802.1X und das Private Pre-Shared Key-Feature von Huawei für dynamisches VLAN-Steering über mehrere Mandanten hinweg. Legen wir los. Abschnitt eins: Kontext und Architektur. Das AirEngine-Portfolio von Huawei – das die Serien 5700, 6700, 8700 und 9700 umfasst – läuft auf WiFi 6 und WiFi 6E, wobei die High-End-Serie 9700 WiFi 7 unterstützt. Dies sind ernstzunehmende Enterprise Access Points. Die Verwaltungsebene ist iMaster NCE-Campus, der cloudbasierte Netzwerk-Controller von Huawei, der alles von der SSID-Bereitstellung und dem RADIUS-Relay bis hin zur Richtliniendurchsetzung und Syslog-Weiterleitung übernimmt. Purple setzt als Cloud-Overlay darauf auf. Wir sind an über 80.000 aktiven Standorten im Einsatz und haben allein im Jahr 2024 440 Millionen Logins verarbeitet. Wir sind hardwareunabhängig – das heißt, wir integrieren uns in Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist und ja, auch Huawei AirEngine – unter Verwendung derselben RADIUS- und Captive Portal-Standards, die jeder Enterprise-Controller unterstützt. Das Integrationsmodell hier ist unkompliziert. iMaster NCE-Campus fungiert als RADIUS-Relay und leitet Authentifizierungsanfragen von den Access Points an die RADIUS-Server von Purple weiter. Purple übernimmt die Authentifizierungslogik – sei es eine Gäste-Splashpage, eine 802.1X-Anmeldedatenprüfung oder eine PPSK-Abfrage – und gibt die entsprechende RADIUS-Antwort zurück, einschließlich aller Attribute für die dynamische VLAN-Zuweisung. Abschnitt zwei: Gäste-WiFi und Captive Portal-Konfiguration. Beginnen wir mit der häufigsten Bereitstellung: Gäste-WiFi mit einem Purple Captive Portal. In iMaster NCE-Campus navigieren Sie zu Design, dann Network Design, dann Template Management. Sie erstellen eine RADIUS-Relay-Servervorlage. Die wichtigsten Parameter sind: Stellen Sie den Authentifizierungsdienst auf Portal-Authentifizierung ein, fügen Sie die RADIUS-Server-IP-Adressen von Purple auf UDP-Port 1812 für die Authentifizierung und 1813 für das Accounting hinzu, stellen Sie den NAS-Identifier auf Device MAC ein und konfigurieren Sie das Shared Secret. Purple stellt diese RADIUS-Anmeldedaten im Bildschirm für die Standortkonfiguration im Purple-Dashboard bereit. Als Nächstes erstellen Sie eine ACL – das ist Ihr Walled Garden. Bevor sich ein Gast authentifiziert, muss er die Splashpage von Purple und alle unterstützenden Domänen erreichen können. Ihre ACL-Regeln sollten DNS auf UDP 53 zulassen, HTTPS zur Portal-Domäne von Purple zulassen und alle von Ihnen aktivierten Social-Login-Anbieter zulassen – beispielsweise die Graph-API-Endpunkte von Facebook, wenn Sie Social Sign-On verwenden. Alles andere wird vor der Authentifizierung blockiert. Dann konfigurieren Sie die SSID. Stellen Sie den Netzwerktyp auf Open ein, wählen Sie Open plus Portal-Authentifizierung, stellen Sie den Authentifizierungstyp auf Relay-Authentifizierung durch Cloud-Plattform ein und wählen Sie RADIUS-Relay als Verbindungsmethode. Stellen Sie das Seiten-Push-Protokoll auf HTTPS ein. Fügen Sie in den Portal-Authentifizierungsparametern von Drittanbietern die Purple-Umleitungs-URL ein – dies ist die Splashpage-URL, die Sie aus dem Purple-Standort-Dashboard kopieren, wobei das Suffix so angepasst wird, dass es die Huawei-spezifischen Parameter enthält: ap-mac, uaddress, umac, ssid und redirect-url. Erstellen Sie abschließend eine URL-Vorlage in iMaster NCE-Campus, die diese Parameternamen den Werten zuordnet, die Huawei bei der Umleitung übergibt. Die Parameterzuordnung lautet: redirect-url zu redirect-url, loginurl zu login-url, device-mac zu ap-mac, user-ip zu uaddress, user-mac zu umac und ssid zu ssid. Sobald dies konfiguriert ist, ein Gast verbindet sich mit der SSID, erhält eine DHCP-Adresse, und sein HTTP-Traffic wird vom Controller abgefangen und auf die Purple Splashpage umgeleitet. Er authentifiziert sich – per E-Mail, Social Login oder SMS-Verifizierung – und der RADIUS-Server von Purple sendet ein Access-Accept zurück an iMaster NCE-Campus, was dem Gast vollen Internetzugriff gewährt. Aus Datensicht erfasst Purple an diesem Punkt First-Party-Einwilligungsdaten. Jede Anmeldung ist ein bewusstes Opt-in, das der GDPR und dem CCPA entspricht. Diese Daten fließen in die Analyseplattform von Purple ein und liefern Ihnen Informationen über Sitzungsdauer, Gerätetyp, Wiederholungsbesuchsraten und Verweildauer – und das alles ohne Tracking durch Drittanbieter. Abschnitt drei: Sicheres Mitarbeiter-WiFi mit 802.1X. Sprechen wir nun über das Mitarbeiter-WiFi. Dies erfordert eine völlig andere Sicherheitsstruktur. Sie möchten nicht, dass sich Mitarbeiter im selben Netzwerksegment wie Gäste befinden, und Sie möchten keine gemeinsam genutzten PSK-Passwörter, die das Unternehmen verlassen, wenn jemand kündigt. Die Antwort ist die 802.1X-Authentifizierung, definiert in IEEE 802.1X-2020, unter Verwendung von EAP-TLS oder EAP-PEAP. In iMaster NCE-Campus erstellen Sie eine separate SSID für Mitarbeiter – nennen wir sie CorpNet. Im Authentifizierungsprofil für diese SSID stellen Sie den Authentifizierungsmodus auf 802.1X ein, weisen auf den RADIUS-Server von Purple und stellen das Sicherheitsprofil auf WPA2-Enterprise oder WPA3-Enterprise mit AES-CCMP-Verschlüsselung ein. Purple fungiert auch hier als RADIUS-Server, validiert nun jedoch die Anmeldedaten gegenüber Ihrem Identitätsanbieter. Purple lässt sich nativ in Microsoft Entra ID, Okta und Google Workspace integrieren. Wenn sich ein Mitarbeiter mit CorpNet verbindet, sendet sein Gerät EAP-Anmeldedaten an den Access Point, der sie über RADIUS an Purple weiterleitet, wo sie mittels SCIM oder SAML mit Entra ID abgeglichen werden. Wenn die Anmeldedaten gültig sind, Purple gibt ein Access-Accept mit einem RADIUS-Attribut zurück, das das Mitarbeiter-VLAN spezifiziert – beispielsweise VLAN 20. iMaster NCE-Campus leitet den Client automatisch in dieses VLAN um. Die wichtigsten RADIUS-Attribute für die dynamische VLAN-Zuweisung sind: Tunnel-Type eingestellt auf VLAN oder den Wert 13, Tunnel-Medium-Type eingestellt auf 802 oder den Wert 6 und Tunnel-Private-Group-ID eingestellt auf die VLAN-ID. Diese drei Attribute zusammen teilen dem Huawei-Controller genau mit, welchem VLAN der authentifizierte Client zugewiesen werden soll. Speziell für EAP-TLS – den Goldstandard für die Mitarbeiterauthentifizierung – benötigen Sie Client-Zertifikate. Das SecurePass-Add-on von Purple übernimmt die Zertifikatsausstellung und das Lifecycle-Management, wobei es sich in Ihre bestehende PKI integriert oder als schlanke Zertifizierungsstelle fungiert. Dies eliminiert passwortbasierte Angriffe vollständig. Kein Passwort, kein Phishing-Vektor. Abschnitt vier: Mandantensegmentierung mit Huawei PPSK. Hier wird es richtig interessant. Wenn Sie einen gemischt genutzten Standort betreiben – ein Einkaufszentrum mit mehreren Einzelhandelsmietern, einen Co-Working-Space mit mehreren Mitgliedsunternehmen oder ein Konferenzzentrum, in dem parallele Veranstaltungen stattfinden –, benötigen Sie eine Netzwerktrennung zwischen den Mandanten, ohne für jeden eine eigene SSID bereitzustellen. Das PPSK-Feature von Huawei – Private Pre-Shared Key – löst dies. In anderen Hersteller-Ökosystemen wird es manchmal als iPSK bezeichnet. Das Konzept lautet: eine SSID, mehrere eindeutige Passwörter, wobei jedes Passwort einem bestimmten VLAN zugeordnet ist. Mandant A erhält das Passwort Alpha, das dem VLAN 30 zugeordnet ist. Mandant B erhält das Passwort Beta, das dem VLAN 40 zugeordnet ist. Beide Mandanten sehen dieselbe SSID, sind jedoch auf Layer 2 vollständig voneinander isoliert. In der Huawei-CLI konfigurieren Sie dies in der WLAN-Ansicht mit dem Befehl ppsk-user. Für jeden Mandanten führen Sie Folgendes aus: ppsk-user psk pass-phrase, gefolgt von der eindeutigen Passphrase, dann user-name, der Mandantenkennung, dann vlan, der VLAN-ID, und schließlich ssid, dem SSID-Namen. Sie können auch ein Ablaufdatum und eine maximale Geräteanzahl festlegen sowie eine Bindung an eine bestimmte MAC-Adresse vornehmen, wenn Sie eine strengere Kontrolle benötigen. In iMaster NCE-Campus kann die PPSK-Abfrage lokal auf dem Controller oder – bei großen Bereitstellungen – über RADIUS erfolgen. Wenn RADIUS-gestütztes PPSK verwendet wird, wird Purple zur maßgeblichen Quelle für die PPSK-zu-VLAN-Zuordnungen. Das Gerät eines Mandanten verbindet sich mit seiner eindeutigen Passphrase, der Controller sendet einen RADIUS Access-Request mit der Passphrase als Anmeldedaten an Purple, Purple schlägt die Zuordnung nach und gibt ein Access-Accept mit den drei VLAN-Tunnel-Attributen zurück. Der Controller leitet den Client in das richtige VLAN. Diese Architektur lässt sich auf Hunderte von Mandanten auf einer einzigen SSID skalieren. Dies bedeutet auch, dass Sie Mandanten-Anmeldedaten über das Purple-Dashboard bereitstellen, rotieren und widerrufen können, ohne die Controller-Konfiguration anfassen zu müssen. Abschnitt fünf: Implementierungsfehler und wie man sie vermeidet. Lassen Sie mich Ihnen die drei Fehlerquellen nennen, die ich bei Huawei- und Purple-Bereitstellungen am häufigsten sehe. Erstens: Der Walled Garden ist unvollständig. Gäste verbinden sich mit der SSID, werden zur Splashpage umgeleitet, aber die Seite lädt nicht, weil eine erforderliche Domäne – oft ein CDN-Endpunkt oder eine Social-Login-API – durch die Pre-Auth-ACL blockiert wird. Die Lösung besteht darin, den Splashpage-Fluss vor der Liveschaltung mit einem neuen Gerät zu testen, die durchgeführten DNS-Abfragen und HTTPS-Verbindungen zu erfassen und jede erforderliche Domäne zur ACL hinzuzufügen. Purple veröffentlicht eine Liste der erforderlichen Domänen in der Integrationsdokumentation. Zweitens: Keine Übereinstimmung beim gemeinsamen RADIUS-Geheimnis. Das in iMaster NCE-Campus gekonfigurierte Geheimnis muss exakt mit dem Geheimnis im Purple-Dashboard übereinstimmen. Ein einziger abweichender Buchstabe führt zu stillschweigenden Authentifizierungsfehlern – in den Controller-Protokollen wird Access-Reject ohne nützliche Fehlermeldung angezeigt. Kopieren Sie das Geheimnis immer per Copy-Paste, geben Sie es niemals manuell ein. Drittens: Fehlkonfiguration des VLAN-Trunks. Die dynamische VLAN-Zuweisung über RADIUS funktioniert nur, wenn das VLAN bereits auf dem Uplink-Port zwischen dem Access Point und dem Aggregation-Switch als Trunk eingerichtet ist. Wenn VLAN 20 nicht in der Trunk-Zulassungsliste (allow-pass) auf der Switch-Schnittstelle enthalten ist, erhalten authentifizierte Mitarbeiter-Clients einen DHCP-Timeout und die Authentifizierung scheint fehlzuschlagen. Überprüfen Sie Ihre Trunk-Konfigurationen, bevor Sie RADIUS-zugewiesene VLANs testen. Abschnitt sechs: Schnelle Fragen. Frage: Kann ich das integrierte RADIUS von Purple mit der lokalen iMaster NCE-Campus-Bereitstellung von Huawei verwenden, anstatt mit der Cloud-Version? Ja. Die RADIUS-Server von Purple sind in der Cloud gehostet und über das Internet erreichbar. Ihr lokaler iMaster NCE-Campus-Controller benötigt ausgehenden Zugriff über UDP 1812 und 1813 auf die RADIUS-IP-Bereiche von Purple. Purple veröffentlicht diese IP-Bereiche im Dashboard unter den Standorteinstellungen. Frage: Unterstützt Huawei PPSK WPA3-SAE? Ab der AirEngine-Firmware V600R025 wird WPA3-SAE-PPSK auf den Serien 6700 und 9700 unterstützt. Überprüfen Sie Ihre Firmware-Version, bevor Sie WPA3 auf PPSK-SSIDs aktivieren. Frage: Wie handhabt Purple die GDPR-Einwilligung für Gäste-WiFi auf Huawei-Hardware? Die Splashpage von Purple holt die Einwilligung zum Zeitpunkt der Authentifizierung ein. Der Einwilligungsdatensatz – einschließlich Zeitstempel, IP-Adresse und den spezifischen akzeptierten Bedingungen – wird auf der Plattform von Purple gespeichert und ist für Compliance-Audits exportierbar. Dies gilt unabhängig vom zugrunde liegenden Hardware-Hersteller. Abschnitt sieben: Zusammenfassung und nächste Schritte. Zusammenfassend: Huawei AirEngine und iMaster NCE-Campus lassen sich mit Purple über ein RADIUS-Relay für das Gäste-Captive Portal, 802.1X für das Mitarbeiter-WiFi und PPSK für die mandantenfähige VLAN-Segmentierung integrieren. Die Konfiguration erfolgt in iMaster NCE-Campus unter Design, Network Design, Template Management für die RADIUS- und ACL-Einrichtung sowie unter Provision, Device Configuration, Site Configuration für die SSID- und Authentifizierungsprofilbindung. Ihre nächsten Schritte: Rufen Sie die Purple-RADIUS-Anmeldedaten aus Ihrem Standort-Dashboard ab, konfigurieren Sie die RADIUS-Relay-Servervorlage in iMaster NCE-Campus, erstellen Sie Ihre Walled Garden ACL, richten Sie die Gäste-SSID mit Open plus Portal-Authentifizierung ein und testen Sie den gesamten Ablauf mit einem neuen Gerät, bevor Sie ihn für alle bereitstellen. Wenn Sie PPSK für die mandantenfähige Isolierung bereitstellen, planen Sie zuerst Ihr VLAN-Schema – stellen Sie sicher, dass jedes Mandanten-VLAN durchgängig als Trunk konfiguriert ist, bevor Sie einen einzigen PPSK-Benutzer einrichten. Die vollständige Schritt-für-Schritt-Konfigurationsanleitung, einschließlich CLI-Beispielen und Architekturdiagrammen, finden Sie in der schriftlichen Anleitung auf der Purple-Website. Vielen Dank fürs Zuhören.