Cisco WLC and Catalyst Integration with Purple WiFi: Step-by-Step Guest Access Guide

Diese Anleitung beschreibt die schrittweise Integration von Cisco WLC und Catalyst 9800 Wireless mit Purple. Sie umfasst die Weiterleitung zum Guest WiFi Captive Portal über Central Web Authentication, sicheres Mitarbeiter-WiFi mittels 802.1X EAP-TLS sowie Multi-Tenant-Segmentierung über Cisco Identity Pre-Shared Keys (iPSK) mit dynamischer VLAN-Zuweisung. Sie richtet sich an Netzwerkarchitekten in Unternehmen und IT-Sicherheitsverantwortliche, die Cisco-Infrastrukturen im Gastgewerbe, im Einzelhandel und in großen öffentlichen Veranstaltungsorten bereitstellen.

📖 9 Min. Lesezeit📝 2,116 Wörter🔧 2 ausgearbeitete Beispiele❓ 3 Übungsfragen📚 9 Schlüsseldefinitionen

Diesen Leitfaden anhören

Podcast-Transkript ansehen

Welcome to the Purple Technical Briefing. I'm your host, and today we're covering a definitive deployment scenario for enterprise network architects: integrating Cisco Wireless LAN Controllers and Catalyst 9800 hardware with the Purple WiFi platform. If you manage IT for a hotel chain, a retail network, or a large public venue, you know that relying on basic Pre-Shared Keys is an unacceptable security risk. Today, we'll outline the step-by-step architecture to segment your network, secure your staff, and turn your guest WiFi into a data-driven asset.

Let's establish the context. An enterprise wireless environment must handle three distinct profiles: Guests, Staff, and Headless or Tenant devices. You cannot treat them the same, and you cannot broadcast twenty different SSIDs to accommodate them. The solution is a unified hardware footprint leveraging different authentication mechanisms on a single Cisco Catalyst 9800 Wireless LAN Controller.

Now let's dive into the technical architecture. The first tier is Guest WiFi. The goal here is low-friction access combined with data capture. We achieve this using an open SSID and Central Web Authentication, or CWA. When a guest connects, the Cisco WLC applies a pre-authentication Access Control List. This is your walled garden. It blocks general internet access but permits traffic to Purple's domains and essential services. When the guest tries to browse, the WLC intercepts the HTTP request and redirects them to the Purple captive portal splash page. Once they authenticate, perhaps via a registration form, a social login, or a one-time code, Purple acts as the RADIUS server. It sends a Change of Authorization message, known as a CoA, to the WLC. This moves the client to an isolated guest VLAN and grants internet access. The entire flow is automated, and every login is recorded in Purple's analytics platform.

The second tier is Staff WiFi. For corporate devices, we mandate 802.1X authentication. Specifically, EAP-TLS, which stands for Extensible Authentication Protocol Transport Layer Security. This method uses digital certificates installed on corporate devices via your Mobile Device Management platform, whether that's Microsoft Intune, Jamf, or another solution. The WLC acts as the authenticator, passing EAP messages to the RADIUS server. Because we use certificates, there are no passwords to steal. If a device is lost or an employee leaves, you revoke the certificate. Access is terminated instantly, without changing a global password or disrupting anyone else. EAP-TLS is the gold standard for enterprise security.

The third tier is Multi-Tenant or IoT WiFi. Think of retail mall tenants, coworking space members, or smart building sensors that do not support 802.1X. For this, we deploy Cisco Identity PSK, or iPSK. Everyone connects to the same SSID, but the RADIUS server assigns a unique password and a unique VLAN to each tenant based on their MAC address. When a tenant's device connects, the WLC sends a MAC authentication request to the RADIUS server. The server returns the specific PSK for that tenant as a Cisco AV-Pair attribute, along with three standard IETF RADIUS attributes to dynamically assign the client to the correct VLAN. Those attributes are: Tunnel-Type, set to VLAN; Tunnel-Medium-Type, set to 802; and Tunnel-Private-Group-ID, set to the target VLAN ID. The WLC processes these attributes and places the device on the correct isolated network segment. iPSK delivers enterprise segmentation with consumer simplicity.

Now let's discuss implementation recommendations and the pitfalls we see most frequently in production deployments.

The most common point of failure in guest deployments is the walled garden ACL. If guests connect but the splash page does not appear, check your DNS configuration first. If your pre-authentication ACL blocks UDP port 53, the client cannot resolve domain names. The operating system will not trigger the captive portal mini-browser, and the guest will see a No Internet error. Always explicitly permit DNS traffic in your walled garden ACL. This is the single most common support issue we encounter.

The second pitfall is in staff deployments. If you choose to deploy PEAP-MSCHAPv2 instead of EAP-TLS, because you do not yet have an MDM solution to distribute certificates, you must configure your client devices to explicitly validate the RADIUS server certificate. This means specifying the exact Certificate Authority to trust and the expected server name in the WiFi profile. If you leave this to the end user to configure manually, an attacker can spin up a rogue access point, present a fraudulent certificate, and capture corporate credentials. This is not a theoretical attack. It is a well-documented real-world threat. Enforce certificate validation via Group Policy for Windows devices and via MDM profiles for macOS and mobile devices.

The third pitfall is in iPSK deployments. If a client connects but receives the wrong VLAN, or fails to connect entirely, the most likely cause is that the target VLAN ID specified in the Tunnel-Private-Group-ID attribute does not exist on the WLC. The VLAN must be created and active on the controller before the RADIUS server can steer clients into it. Use the debug radius command on the WLC to verify that the attributes are being received correctly from the RADIUS server.

Now let's do a rapid-fire question and answer session on the questions we hear most often.

Question one: Can I use MAC Authentication Bypass instead of iPSK for IoT devices?

You can, but you should not. MAC addresses are broadcast in plaintext and are trivial to spoof. MAC Authentication Bypass provides device identification, not security. iPSK provides actual cryptographic security for headless devices. If the device supports any form of PSK, use iPSK.

Question two: Does Purple support Cisco Catalyst 9800 IOS-XE controllers?

Yes. Purple fully supports modern Catalyst 9800 IOS-XE controllers as well as legacy AireOS WLCs. The RADIUS and Change of Authorization integration is fully validated for both platforms.

Question three: How do I handle RADIUS server redundancy?

Always configure both a primary and secondary RADIUS server in your WLC AAA method lists. The WLC will automatically fail over to the secondary server if the primary does not respond within the configured timeout. Purple provides two RADIUS server IP addresses for exactly this purpose. Never deploy a single RADIUS server in a production environment.

Question four: What RADIUS port numbers does Purple use?

Purple uses UDP port 1812 for authentication and UDP port 1813 for accounting. These are the IANA-registered standard ports for RADIUS, as defined in RFC 2865 and RFC 2866.

To summarise the key takeaways from today's briefing. Audit your current wireless architecture. If you are using shared passwords for staff, plan a migration to 802.1X. If you are broadcasting multiple SSIDs for different tenants, consolidate them using Cisco iPSK. If your guest WiFi is simply an open network with no data capture, integrate it with Purple to collect first-party data, drive marketing return on investment, and ensure compliance with GDPR and PCI DSS requirements.

By combining Cisco's enterprise-grade infrastructure with Purple's cloud overlay, you deliver secure, segmented, and intelligent connectivity across your venue. Purple operates across more than 80,000 live venues and recorded 440 million logins in 2024. The platform is hardware-agnostic, ISO 27001 certified, and built for enterprise scale.

Your next step is clear. Review the full step-by-step configuration guide on the Purple website, obtain your RADIUS server credentials from the Purple portal, and begin the integration with your Cisco WLC today. For detailed configuration guides and hardware-specific documentation, visit the Purple support portal at support dot purple dot ai.

Thank you for listening to this Purple Technical Briefing. Until next time, stay secure.

Wichtigste Erkenntnisse

✓Replace insecure shared Pre-Shared Keys with a three-tier architecture: Guest WiFi via captive portal, Staff WiFi via 802.1X EAP-TLS, and Tenant/IoT WiFi via Cisco iPSK.
✓Integrate Cisco WLC with Purple using Central Web Authentication (CWA) and RADIUS CoA to automate guest onboarding and capture first-party data at scale.
✓Configure precise pre-authentication ACLs (walled garden) on the WLC, always permitting DNS (UDP 53) or the captive portal redirect will fail.
✓Deploy EAP-TLS for Staff WiFi to eliminate passwords entirely and rely on MDM-distributed digital certificates for the strongest available security posture.
✓Use Cisco iPSK with dynamic VLAN assignment (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) to segment multi-tenant and IoT environments over a single SSID.
✓Always enforce RADIUS server certificate validation on client devices when using PEAP-MSCHAPv2 to prevent rogue access point credential theft.
✓Purple operates across 80,000+ venues, is ISO 27001 and GDPR certified, and provides redundant RADIUS infrastructure - configure both primary and secondary servers on the WLC.

Executive summary

Drahtlose Unternehmensnetzwerke müssen verschiedene Benutzergruppen gleichzeitig bedienen: Gäste, die einen reibungslosen Internetzugang benötigen, Mitarbeiter, die sicheren Zugriff auf Unternehmensressourcen erfordern, und Headless- oder Mandantengeräte, die voneinander isoliert werden müssen. Sich bei einer dieser Gruppen auf einen einzigen, gemeinsam genutzten Pre-Shared Key zu verlassen, stellt ein Sicherheitsrisiko dar. Ein einziges kompromittiertes Anmeldedatum gefährdet das gesamte Segment, und der Entzug des Zugriffs erfordert die Änderung eines globalen Passworts, was jedes Gerät im Netzwerk beeinträchtigt.

Diese Anleitung beschreibt die Integration von Cisco Wireless LAN Controllern (WLC) und Hardware der Catalyst 9800-Serie mit dem Cloud-Overlay von Purple. Wir bieten die Schritt-für-Schritt-Konfiguration für drei verschiedene Authentifizierungsebenen: ein offenes Guest WiFi -Netzwerk mit Captive Portal-Weiterleitung powered by Purple, ein sicheres Mitarbeiter-WiFi-Netzwerk mit 802.1X EAP-TLS-Zertifikatsauthentifizierung und eine Multi-Tenant-WiFi-Umgebung mit Cisco Identity Pre-Shared Keys (iPSK) und dynamischer VLAN-Zuweisung. Durch die Bereitstellung dieser Architektur isolieren Sie Unternehmensressourcen vom Besucherverkehr, automatisieren die identitätsbasierte Zugriffskontrolle und erfassen First-Party-Daten über die WiFi Analytics -Plattform von Purple. Purple ist an über 80.000 Live-Standorten im Einsatz und verzeichnete im Jahr 2024 440 Millionen Logins (interne Daten von Purple), was es zu einem bewährten Cloud-Overlay für Cisco-Infrastrukturen im großen Stil macht.

Technischer Deep-Dive: Die dreistufige Architektur

Eine moderne drahtlose Bereitstellung in Unternehmen auf Cisco-Hardware muss unterschiedliche Benutzerprofile mit verschiedenen Sicherheits- und Zugriffsanforderungen bedienen. Die Integration zwischen Cisco WLC und Purple ermöglicht einen einheitlichen Hardware-Footprint, um diese Profile über verschiedene Authentifizierungsmechanismen zu bedienen – alles verwaltet über einen einzigen Catalyst 9800 Controller.

Stufe 1: Guest WiFi – Central Web Authentication (CWA)

Für Besucher im Gastgewerbe und im Einzelhandel ist das Ziel ein reibungsloses Onboarding in Kombination mit einer datenschutzkonformen Datenerfassung. Dies wird durch eine offene SSID in Verbindung mit Central Web Authentication (CWA) erreicht. Wenn sich ein Gast verbindet, wendet der Cisco WLC eine Pre-Authentication Access Control List (ACL) an – den Walled Garden. Diese ACL blockiert den allgemeinen Internetverkehr, während sie den Datenverkehr zu den Captive Portal-Domains von Purple, DNS und Social-Login-Endpunkten zulässt.

Wenn der Gast versucht, im Web zu surfen, fängt der WLC die HTTP-Anfrage ab und leitet sie auf die Splash-Page von Purple weiter. Der Gast authentifiziert sich über die gewählte Methode (Social Login, E-Mail-Registrierung oder Gutscheincode). Purple fungiert dann als RADIUS-Server und sendet eine RADIUS Change of Authorization (CoA)-Nachricht zurück an den WLC. Die CoA weist den WLC an, den Client vom Pre-Authentication-Status in einen Post-Authentication-Status in einem isolierten Gast-VLAN zu verschieben und so den Internetzugang freizugeben. Jeder Login wird in der Analyseplattform von Purple erfasst, wodurch First-Party-Daten in Übereinstimmung mit der GDPR und dem CCPA erfasst werden.

Stufe 2: Mitarbeiter-WiFi – 802.1X EAP-TLS

Unternehmensgeräte erfordern das höchste Sicherheitsniveau. IEEE 802.1X definiert die portbasierte Netzwerkzugriffskontrolle (PNAC). In Kombination mit EAP-TLS (Extensible Authentication Protocol – Transport Layer Security) bietet dies eine zertifikatsbasierte Authentifizierung, die Passwörter vollständig überflüssig macht. Digitale Zertifikate werden über Mobile Device Management (MDM) – Microsoft Intune, Jamf oder gleichwertige Systeme – auf den Unternehmensgeräten bereitgestellt. Der Cisco WLC fungiert als Authentifikator und leitet EAP-Nachrichten zwischen dem Supplicant (Gerät) und dem RADIUS-Server weiter. Der RADIUS-Server validiert das Zertifikat und gibt ein Access-Accept mit optionalen VLAN-Zuweisungsattributen zurück.

Da die Authentifizierung auf Zertifikaten statt auf Passwörtern basiert, gibt es keine Anmeldedaten, die gestohlen werden könnten. Wenn ein Gerät verloren geht oder ein Mitarbeiter das Unternehmen verlässt, widerrufen Sie das Zertifikat. Der Zugriff wird sofort beendet, ohne andere Benutzer zu beeinträchtigen. Für eine umfassende Behandlung von Sicherheitsstandards in Unternehmen, einschließlich WPA3 und Zero Trust, lesen Sie unseren Leitfaden Enterprise WiFi Security: A Complete Guide for 2026 .

Stufe 3: Multi-Tenant-WiFi – Cisco iPSK und dynamische VLAN-Zuweisung

In Umgebungen wie Studentenwohnheimen, Coworking-Spaces oder Einkaufszentren benötigen Sie private, segmentierte Netzwerke für verschiedene Mandanten, ohne Dutzende von SSIDs auszustrahlen. Cisco Identity PSK (iPSK) löst dies. Alle Mandanten verbinden sich mit einer einzigen SSID. Der WLC sendet für jedes sich verbindende Gerät eine MAC-Authentifizierungsanfrage an den RADIUS-Server. Der RADIUS-Server gibt den spezifischen PSK für diesen Mandanten als cisco-av-pair-Attribut zurück, zusammen mit Standard-IETF-RADIUS-Attributen, um den Client dynamisch dem richtigen VLAN zuzuweisen.

Die drei IETF-RADIUS-Attribute, die die dynamische VLAN-Zuweisung steuern, sind:

RADIUS-Attribut	ID	Wert
Tunnel-Type	64	VLAN
Tunnel-Medium-Type	65	802
Tunnel-Private-Group-ID	81	Ziel-VLAN-ID (z. B. 31)

Die Tunnel-Private-Group-ID wird als String codiert, wie in RFC 2868 definiert. Die VLAN-ID muss auf dem WLC vorhanden sein, damit die Zuweisung erfolgreich ist.

Implementierungsleitfaden: Cisco Catalyst 9800 WLC-Konfiguration

Die folgenden Schritte beschreiben die Konfiguration für einen Cisco Catalyst 9800 WLC unter IOS-XE zur Integration mit Purple für die Guest WiFi-Weiterleitung. Für ältere AireOS WLC-Bereitstellungen sind die entsprechenden Einstellungen im Support-Portal von Purple verfügbar.

Schritt 1: RADIUS-Authentifizierung und -Accounting konfigurieren

Sie müssen den WLC auf die RADIUS-Server von Purple verweisen, um die Gast-Authentifizierung und das Session-Accounting abzuwickeln.

Navigieren Sie zu Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add.
Geben Sie die IP-Adresse des primären Purple RADIUS-Servers ein, setzen Sie auth-port auf 1812, acct-port auf 1813 und geben Sie das Shared Secret aus dem Purple-Portal ein.
Aktivieren Sie Support for CoA – dies ist für die Weiterleitung zum Captive Portal zwingend erforderlich.
Wiederholen Sie den Vorgang für den sekundären Purple RADIUS-Server.
Navigieren Sie zu RADIUS > Server Groups > + Add und erstellen Sie eine Gruppe, die beide Server enthält.
Navigieren Sie zu AAA Method List > Authorization > + Add, setzen Sie Type auf network und verweisen Sie auf die RADIUS-Servergruppe.
Navigieren Sie zu AAA Method List > Accounting > + Add, setzen Sie Type auf identity und verweisen Sie auf dieselbe Gruppe.

Die entsprechenden CLI-Befehle auf IOS-XE lauten:

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Schritt 2: Pre-Authentication-ACL (Walled Garden) definieren

Die Pre-Authentication-ACL lässt Datenverkehr zur Splash-Page von Purple und zu wichtigen Diensten zu, bevor sich der Benutzer authentifiziert. Dies ist der Walled Garden.

Navigieren Sie zu Configuration > Security > ACL > + Add.
Erstellen Sie eine IPv4 Extended ACL mit dem Namen Purple_Guest_Walled_Garden.
Fügen Sie Regeln hinzu, um Datenverkehr zur WLC-Management-IP und den RADIUS-Server-IPs zu blockieren (deny).
Fügen Sie Regeln hinzu, um DNS (UDP-Port 53) zu Ihren DNS-Servern zuzulassen (permit).
Fügen Sie Regeln hinzu, um Datenverkehr zu den Walled-Garden-IP-Bereichen und -Domains von Purple zuzulassen (permit) (die aktuelle Liste erhalten Sie im Purple-Supportportal für Ihren spezifischen Hardwaretyp).
Fügen Sie eine abschließende permit ip any any-Regel hinzu – der WLC leitet den zugelassenen Datenverkehr zur Portalverarbeitung an die CPU weiter.

Schritt 3: Gast-WLAN konfigurieren

Navigieren Sie zu Configuration > Tags & Profiles > WLANs > + Add.
Erstellen Sie ein WLAN mit dem Namen Guest-WiFi und Ihrer gewählten SSID.
Setzen Sie unter Security > Layer 2 die Sicherheit auf None (Open).
Aktivieren Sie unter Security > Layer 3 die Option Web Policy und setzen Sie den Web-Auth-Typ auf External.
Geben Sie Ihre Purple-Zugriffs-URL in das Redirect-Feld ein.
Wenden Sie die ACL Purple_Guest_Walled_Garden an.
Weisen Sie unter Security > AAA Servers die Purple RADIUS-Server sowohl der Authentifizierung als auch dem Accounting zu.

Schritt 4: Policy-Profil konfigurieren

Navigieren Sie zu Configuration > Tags & Profiles > Policy > + Add.
Weisen Sie unter Access Policies das VLAN 20 (oder Ihr vorgesehenes Gast-VLAN) zu.
Aktivieren Sie unter Advanced die Optionen Allow AAA Override und NAC State.
Weisen Sie die Purple-Accounting-Methodenliste zu.

Die CLI-Entsprechung:

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

Schritt 5: iPSK für Multi-Tenant- oder IoT-Bereitstellungen konfigurieren

Bei iPSK unterscheidet sich die WLAN-Konfiguration von der Gast-Einrichtung. Das WLAN verwendet WPA2-PSK mit aktiviertem MAC-Filtering, und im Policy-Profil ist AAA Override aktiv, um den client-spezifischen PSK und das VLAN vom RADIUS-Server zu akzeptieren.

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

Der RADIUS-Server (konfiguriert in Purple oder Ihrer RADIUS-Plattform) gibt die folgenden Attribute pro Mandantengruppe zurück:

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID =

Best Practices

Die Einhaltung etablierter Standards gewährleistet Stabilität, Sicherheit und Compliance bei Ihrer Bereitstellung.

Erzwingen Sie eine strenge Zertifikatsvalidierung. Konfigurieren Sie bei der Bereitstellung von 802.1X die Client-Geräte über MDM so, dass sie der Zertifizierungsstelle Ihres RADIUS-Servers explizit vertrauen, und geben Sie den erwarteten Servernamen an. Wenn dies nicht erzwungen wird, sind Clients anfällig für Rogue-Access-Point-Angriffe, bei denen ein Angreifer ein gefälschtes Zertifikat vorlegt, um Anmeldedaten abzufangen. Dies ist eine zwingende Voraussetzung, keine Empfehlung.

Isolieren Sie den Gast-Datenverkehr auf der Netzwerkschicht. Gast-WiFi muss auf einem dedizierten VLAN enden, das durch eine Firewall von allen Unternehmensressourcen getrennt ist. PCI DSS 4.0 erfordert, dass Karteninhaber-Datenumgebungen von öffentlichen Netzwerken isoliert sind. Ein Gast in VLAN 20 darf keine Route zum Unternehmensnetzwerk in VLAN 10 haben.

Verwenden Sie iPSK für IoT-Geräte, nicht MAC Authentication Bypass. MAC-Adressen werden im Klartext übertragen und können leicht gefälscht werden. iPSK bietet kryptografische Sicherheit für Headless-Geräte. Weitere Informationen darüber, wie Display- und IoT-Geräte mit drahtlosen Protokollen interagieren, finden Sie unter What Is Wireless Display: Protocols & Best Practices 2026 .

Definieren Sie klare Nutzungsbedingungen. Ihr Captive Portal muss eine Nutzungsvereinbarung anzeigen, bevor der Zugriff gewährt wird. Dies ist eine GDPR-Anforderung für die Datenerfassung und eine rechtliche Notwendigkeit für Netzwerknutzungsrichtlinien. Für interne Mitarbeiternetzwerke lesen Sie Staff WiFi Terms and Conditions: Legal and Compliance Essentials .

Richten Sie eine RADIUS-Redundanz ein. Konfigurieren Sie immer einen primären und einen sekundären RADIUS-Server. Purple stellt zu diesem Zweck zwei Server-IP-Adressen zur Verfügung. Der Ausfall eines einzelnen RADIUS-Servers verhindert alle Gast-Anmeldungen.

Fehlerbehebung und Risikominderung

Selbst bei sorgfältiger Konfiguration kann die Integratisobald Probleme auftreten. Beheben Sie die häufigsten Fehlermuster systematisch, bevor Sie eskalieren.

Problem: Gäste verbinden sich, aber die Splash-Page wird nicht angezeigt.

Dies ist das häufigste Problem. Die Pre-Authentication-ACL blockiert DNS. Ohne DNS kann der Client die ursprüngliche HTTP-Anfrage nicht auflösen, und das Betriebssystem löst den Captive Portal-Mini-Browser nicht aus. Stellen Sie sicher, dass UDP-Port 53 in der Walled-Garden-ACL für Ihre DNS-Server freigegeben ist. Führen Sie auf dem WLC show wireless client summary aus, um zu bestätigen, dass sich der Client im Zustand Webauth Pending und nicht in Run befindet.

Problem: iPSK-Clients können sich nicht verbinden oder landen im falschen VLAN.

Das in Tunnel-Private-Group-ID angegebene VLAN existiert nicht auf dem WLC, oder die cisco-av-pair-Attribute sind fehlerhaft formatiert. Führen Sie debug radius all auf dem WLC aus, um die rohe RADIUS-Antwort zu analysieren. Stellen Sie sicher, dass die VLAN-ID unter Configuration > Layer 2 > VLAN > VLAN List angelegt ist.

Problem: Die Authentifizierung von 802.1X-Mitarbeiter-Clients schlägt sporadisch fehl.

Dies ist in der Regel auf ein Timeout des RADIUS-Servers oder ein Problem mit dem Zertifikatsvertrauen auf dem Client zurückzuführen. Überprüfen Sie die Protokolle des RADIUS-Servers auf Access-Reject-Meldungen. Stellen Sie auf Windows-Clients sicher, dass das WiFi-Profil so konfiguriert ist, dass es das Serverzertifikat validiert und die korrekte vertrauenswürdige CA angibt.

Problem: CoA von Purple wird vom WLC nicht verarbeitet.

Das gemeinsame CoA-Geheimnis (Shared Secret) muss mit dem auf dem WLC konfigurierten gemeinsamen RADIUS-Geheimnis übereinstimmen. Ab IOS-XE 17.4 wird der CoA-Schlüssel separat vom Shared Secret konfiguriert. Stellen Sie sicher, dass beide mit den Werten im Purple-Portal übereinstimmen.

ROI und geschäftliche Auswirkungen

Der Übergang von einfachen PSK-Netzwerken zu einer strukturierten, identitätsbasierten Architektur mit Purple liefert messbare Geschäftsergebnisse in den Branchen Gastgewerbe , Einzelhandel , Gesundheitswesen und Transportwesen .

Erstens eliminiert diese Architektur die Betriebskosten für die Verwaltung gemeinsam genutzter Passwörter. Wenn Mitarbeiter das Unternehmen verlassen, widerrufen Sie einfach deren Zertifikat. Sie müssen kein globales Passwort ändern und jedes Gerät im Bestand aktualisieren. Zweitens verwandelt die Integration mit dem Captive Portal von Purple eine IT-Kostenstelle in einen Umsatztreiber. Die Plattform von Purple erfasst bei jeder Anmeldung datenschutzkonforme First-Party-Daten und ermöglicht so automatisierte Marketingkampagnen und Besucheranalysen. Mit 29 Milliarden gesammelten Datenpunkten im gesamten Purple-Netzwerk (interne Daten von Purple) bietet die Plattform umsetzbare Einblicke in das Besucherverhalten, die Verweildauer und die Rückkehrquoten.

Für Standortbetreiber, die Umfragen zur Kundenzufriedenheit durchführen, lässt sich die Purple-Plattform direkt in Forschungs-Workflows integrieren. Unter Design of a Survey: A Practical Guide for Venues finden Sie Anleitungen zur Strukturierung effektiver Standortumfragen, die über das Captive Portal bereitgestellt werden.

Durch die Integration der Enterprise-Hardware von Cisco mit dem Cloud-Overlay von Purple erhalten Sie ein sicheres, skalierbares Netzwerk, das aktiv zu den kommerziellen Zielen des Standorts beiträgt. Purple ist ISO 27001-zertifiziert, GDPR- und CCPA-konform, Cyber Essentials-zertifiziert und B Corp-zertifiziert – und erfüllt damit die Compliance-Anforderungen von Enterprise-Beschaffungsteams.

Schlüsseldefinitionen

RADIUS

Remote Authentication Dial-In User Service. A networking protocol that provides centralised Authentication, Authorization, and Accounting (AAA) management for network access. Defined in RFC 2865 and RFC 2866.

IT teams configure the Cisco WLC to forward client credentials to the RADIUS server, which checks them against a directory and returns an Access-Accept or Access-Reject response along with policy attributes.

Captive portal

A web page that a user of a public-access network must view and interact with before internet access is granted. Implemented via HTTP redirection by the network access device.

Used in Guest WiFi deployments to capture visitor data, present terms of use, or display branded content before allowing internet access. Purple provides the hosted captive portal infrastructure.

iPSK (Identity Pre-Shared Key)

A Cisco feature that allows unique Pre-Shared Keys to be assigned to different users or device groups on the same SSID, with the PSK delivered per-client by a RADIUS server.

Essential for IoT devices or multi-tenant environments where 802.1X is not feasible but network segmentation is required. Eliminates the need to broadcast multiple SSIDs.

IEEE 802.1X

An IEEE standard for port-based Network Access Control (PNAC). It provides an authentication mechanism that blocks all data traffic from a device until the RADIUS server has confirmed authorisation.

The foundation of enterprise Staff WiFi, ensuring only authorised corporate devices with valid credentials or certificates can access internal resources.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. A certificate-based authentication method that requires digital certificates on both the RADIUS server and the client device, eliminating passwords entirely.

The most secure method for authenticating corporate devices. Certificates are deployed via MDM. Access is revoked by invalidating the certificate, not by changing a shared password.

Walled garden

A limited network environment that controls the user's access to web content before they have fully authenticated. Implemented as a pre-authentication ACL on the WLC.

Configured on the Cisco WLC to allow access to the Purple splash page, DNS, and social login providers before the guest is granted full internet access.

Dynamic VLAN assignment

The process of automatically placing a connected device on a specific Virtual LAN based on RADIUS authorization attributes returned at authentication time.

Ensures that staff, guests, and IoT devices are placed on isolated network segments automatically upon connection, without manual configuration per device.

Change of Authorization (CoA)

A RADIUS extension (RFC 5176) that allows the RADIUS server to dynamically modify the session authorization attributes of an already-connected client.

Required for captive portals. Once the guest authenticates on the Purple splash page, Purple sends a CoA message to the WLC to transition the client from the pre-authentication walled garden state to full internet access.

Central Web Authentication (CWA)

A Cisco authentication method where the RADIUS server (rather than the WLC) hosts or redirects to the web authentication portal, enabling cloud-hosted captive portal solutions.

Used to integrate the Cisco WLC with Purple's cloud-hosted captive portal, allowing Purple to manage the guest authentication experience and data capture.

Ausgearbeitete Beispiele

A large shopping centre needs to provide secure, private WiFi to 50 retail tenants using a single Cisco Catalyst 9800 WLC and a single broadcast SSID. Each tenant must be isolated from every other tenant's devices. How do they achieve this without broadcasting 50 separate SSIDs?

The IT team deploys Cisco iPSK. They configure a single SSID named 'Mall-Tenant-WiFi' with WPA2-PSK and MAC filtering enabled. In the RADIUS server, they create 50 endpoint identity groups, one per tenant. Each group is assigned a unique PSK via the cisco-av-pair psk= attribute and a unique VLAN ID via the IETF Tunnel-Private-Group-ID attribute. When a retail tenant's point-of-sale device connects using their specific password, the WLC sends a MAC authentication request to the RADIUS server. The server matches the MAC address to the tenant's group and returns the PSK and VLAN assignment. The WLC processes the attributes, validates the PSK, and places the device on the tenant's isolated VLAN. The peer-blocking allow-private-group setting ensures devices sharing the same PSK can communicate with each other, while devices on different PSKs are blocked from cross-tenant communication.

Kommentar des Prüfers: This approach scales efficiently. Broadcasting 50 separate SSIDs would cause severe co-channel interference in a dense environment and degrade performance for every user. Each additional SSID consumes airtime with management frames. iPSK delivers the security and segmentation of 50 separate networks with the RF efficiency of one. The trade-off is that the RADIUS server becomes a critical dependency - ensure it is highly available.

A 300-room Premier Inn property is migrating from local WLC guest accounts to Purple's cloud captive portal. After the configuration is applied, guests report they connect to the WiFi SSID, receive an IP address, but their devices show 'No Internet' and the splash page never appears. What is the diagnostic process?

Step 1: Verify the client state on the WLC using show wireless client detail <mac-address>. The client should be in 'Webauth Pending' state. If it shows 'Run', the pre-authentication ACL is not applied correctly. Step 2: Check the pre-authentication ACL. The most common cause of this symptom is that the ACL blocks DNS (UDP port 53). Without DNS, the client cannot resolve any domain, and the OS captive portal detection mechanism fails silently. Add an explicit permit rule for UDP port 53 to the venue's DNS server IPs. Step 3: Verify the Purple walled garden domains are permitted in the ACL. The client must be able to reach the Purple splash page URL before authentication. Step 4: Confirm the WLC virtual IP address has been changed from the default 1.1.1.1 to a non-routable address such as 192.0.2.1, as the default address can conflict with legitimate internet traffic.

Kommentar des Prüfers: The 'No Internet' symptom with no redirect is almost always a DNS or walled garden ACL issue. Modern operating systems (iOS, Android, Windows, macOS) use captive portal detection by making HTTP requests to known URLs. If DNS fails, these requests cannot be made, and the OS never triggers the captive portal browser. Always permit DNS in the pre-authentication ACL - this is the single most common deployment error we see.

Übungsfragen

Q1. You are deploying Staff WiFi across 40 retail branches using Cisco Catalyst 9800 WLCs. You want to use 802.1X, but the company does not yet have an MDM solution to distribute certificates to employee smartphones. What is the most secure viable approach, and what risk mitigation must you implement?

Hinweis: Consider the balance between credential security and deployment feasibility when certificates are not yet an option. Focus on the specific risk that arises from the alternative method.

Musterlösung anzeigen

Deploy PEAP-MSCHAPv2 as an interim measure. While not as secure as EAP-TLS, it provides encrypted password authentication within a TLS tunnel. The critical risk mitigation is enforcing server certificate validation on every client device. For Windows laptops, deploy a Group Policy Object that specifies the exact trusted Certificate Authority and the expected RADIUS server name in the WiFi profile. For iOS and Android devices, distribute a WiFi configuration profile via email or a lightweight MDM-free tool that enforces certificate validation. Without this, an attacker can deploy a rogue access point with a fraudulent certificate and capture credentials. Plan the migration to EAP-TLS as soon as MDM is available.

Q2. A stadium IT director needs to segment media broadcasters, ticketing terminals, and HVAC IoT sensors onto separate isolated networks. The IoT sensors do not support 802.1X. All three groups must use WiFi. How should the WLC be configured?

Hinweis: Look for a solution that provides unique credentials and VLAN assignment per device group without requiring enterprise supplicants on headless devices.

Musterlösung anzeigen

Implement Cisco iPSK with a single SSID for venue operations. Create three endpoint identity groups in the RADIUS server: Broadcasters, Ticketing, and HVAC. Assign each group a unique PSK via cisco-av-pair and a unique VLAN ID via Tunnel-Private-Group-ID. Configure the WLC WLAN with WPA2-PSK, MAC filtering enabled, and AAA Override active. Broadcasters receive PSK-A and VLAN 31, ticketing receives PSK-B and VLAN 32, and HVAC sensors receive PSK-C and VLAN 33. Set peer-blocking to allow-private-group so devices within the same group can communicate (e.g., ticketing terminals to their server), while cross-group communication is blocked. This avoids MAC Authentication Bypass, which would be trivially spoofed.

Q3. During a Guest WiFi deployment at a conference centre, clients connect to the SSID and receive an IP address, but the captive portal redirect never occurs. The walled garden ACL permits traffic to all Purple IP ranges. What is the most likely missing configuration element, and how do you verify it?

Hinweis: Think about the protocols required before an HTTP request can be made by the client device.

Musterlösung anzeigen

The most likely cause is that the pre-authentication ACL blocks DNS traffic (UDP port 53). Before a client device can make the HTTP request that the WLC intercepts to trigger the redirect, it must resolve the domain name via DNS. Modern OS captive portal detection mechanisms (Apple's captive.apple.com, Microsoft's www.msftconnecttest.com , Google's connectivitycheck.gstatic.com) all require DNS resolution. To verify: run 'show wireless client detail ' on the WLC and confirm the client is in 'Webauth Pending' state. Then review the ACL hit counters to see if DNS traffic is being denied. Fix by adding an explicit permit rule for UDP port 53 to the venue's DNS server IPs in the walled garden ACL.

Weiterlesen in dieser Reihe

CommScope Ruckus Integration mit Purple WiFi: Einrichtungs- und Konfigurationshandbuch

Dieses technische Referenzhandbuch bietet einen maßgeblichen Konfigurationsleitfaden für die Integration von CommScope Ruckus-Architekturen mit Purple WiFi. Es beschreibt Schritt-für-Schritt-Bereitstellungen für Guest WiFi Captive Portals, sicheres Mitarbeiter-WiFi über 802.1X und mandantenfähige Netzwerkisolierung mithilfe von Ruckus Dynamic PSK.

OpenWrt Custom Firmware Integration with Purple WiFi

Dieses Handbuch bietet das vollständige Integrations-Playbook für die Bereitstellung von OpenWrt Custom Firmware mit Purple WiFi. Es deckt die Konfiguration des CoovaChilli Captive Portal, die Verwaltung des iptables Walled Garden, sicheres Mitarbeiter-WiFi über 802.1X mit hostapd sowie die mandantenfähige PPSK-Segmentierung mit dynamischer VLAN-Zuweisung ab. Damit erhalten IT-Teams die genauen Konfigurationsschritte, die für den Aufbau eines identitätsbasierten Netzwerks auf jeder OpenWrt-fähigen Hardware erforderlich sind.

Huawei AirEngine und CloudCampus Integration mit Purple WiFi

Diese Anleitung bietet Schritt-für-Schritt-Anweisungen für die Integration von Huawei AirEngine Access Points und iMaster NCE-Campus mit Purple WiFi. Sie deckt die Captive Portal-Konfiguration, die 802.1X-Mitarbeiterauthentifizierung und das dynamische PPSK-VLAN-Steering für Unternehmensnetzwerke ab.