Sophos Firewall und Access Points Integration mit Purple WiFi

Willkommen zum Purple Architecture Briefing. Heute befassen wir uns mit einer entscheidenden Integration für Unternehmensnetzwerke: der Bereitstellung von Purple WiFi in Kombination mit einer Sophos-Infrastruktur, insbesondere Sophos AP6 und APX Access Points sowie Sophos XG und XGS Firewalls. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO sind und einen Standort verwalten – sei es eine Einzelhandelskette, ein Stadion oder ein Krankenhaus –, liefert Ihnen diese Session den praktischen Entwurf, um diese beiden leistungsstarken Plattformen nahtlos miteinander zu verbinden. Betrachten wir zunächst den Kontext. Sophos ist bekannt für seine robuste Sicherheitsarchitektur. Sophos Firewall-Appliances bieten Deep Packet Inspection und synchronisierte Sicherheit. Wenn es jedoch um Guest WiFi geht, wollen Sie nicht nur Sicherheit. Sie wollen geschäftlichen Mehrwert. Sie möchten demografische Daten erfassen, das Besucherverhalten verstehen und den Marketing-ROI steigern. Genau hier kommt Purple ins Spiel. Durch die Integration von Purple als externes Captive Portal verlagern Sie die komplexe Verwaltung von Gäste-Identitäten, die GDPR-Einwilligung und Social Logins auf die Cloud-RADIUS-Infrastruktur von Purple, während die Sophos Firewall das tut, was sie am besten kann: den Perimeter sichern. Wie funktioniert das nun genau unter der Haube? Gehen wir ins technische Detail. Die Architektur basiert auf Standard-RADIUS-Protokollen und HTTP-Weiterleitungen. Wenn sich ein Besucher am Standort mit Ihrer offenen Guest-WiFi-SSID verbindet, die vom Sophos AP ausgestrahlt wird, fängt die Sophos Firewall diese erste Webanfrage ab. Anstatt eine einfache, lokal gespeicherte Portalseite anzuzeigen, leitet die Firewall den Client auf die in der Cloud gehostete Splash Page von Purple weiter. Hier kommt das entscheidende Konzept ins Spiel: der Walled Garden. In dieser Phase vor der Authentifizierung hat der Benutzer noch keinen Internetzugang. Er muss jedoch die Portalgrafiken laden und eventuell Facebook oder Google aufrufen, um sich anzumelden. Der Walled Garden ist eine strikte Whitelist (Allowlist), die auf der Sophos Firewall konfiguriert ist und den Datenverkehr zu diesen spezifischen Domains zulässt. Sobald sich der Benutzer authentifiziert, sendet die Plattform von Purple eine RADIUS-Access-Accept-Nachricht zurück an die Sophos Firewall. Die Firewall schaltet daraufhin um, ändert den Sitzungsstatus auf "authentifiziert" und leitet den Benutzer in Ihre Firewall-Richtlinie nach der Authentifizierung weiter. Lassen Sie uns die RADIUS-Konfiguration genauer betrachten, denn hier kommt es auf Präzision an. Purple stellt Ihnen zwei Sätze von RADIUS-Anmeldedaten zur Verfügung: einen für die Authentifizierung auf Port 1812 und einen für das Accounting auf Port 1813. Beide müssen konfiguriert werden. Der Accounting-Server ist nicht optional. Über diesen Mechanismus meldet die Sophos Firewall Sitzungsdaten wie Dauer, verbrauchte Bandbreite und Sitzungsbeendigungen an Purple zurück. Ohne präzise Accounting-Daten zeigt Ihr Purple-Analytics-Dashboard unvollständige oder ungenaue Besucherkennzahlen an. Stellen Sie Ihr Accounting-Intervall (Interim Interval) auf 120 Sekunden ein. Dies bietet ein ausgewogenes Verhältnis zwischen Echtzeit-Sichtbarkeit und Netzwerk-Overhead. Sprechen wir nun über ein Szenario, das bei Enterprise-Bereitstellungen ständig vorkommt: Multi-Tenant WiFi. Denken Sie an einen Coworking-Space, einen Build-to-Rent-Wohnblock oder ein Studentenwohnheim. Sie haben mehrere unterschiedliche Benutzergruppen, die alle WiFi-Zugang benötigen, aber auf Netzwerkebene vollständig voneinander isoliert sein müssen. Das Ausstrahlen einer separaten SSID für jeden Mieter ist nicht praktikabel. Dies führt zu einer Überlastung der Funkfrequenzen und ist administrativ ein Albtraum. Die Lösung sind Sophos Private Pre-Shared Keys (PPSK) in Kombination mit dynamischer VLAN-Zuweisung. Und so funktioniert es: Sie konfigurieren eine einzige SSID auf Ihren Sophos AP6 Access Points. Anschließend weisen Sie jedem Mieter oder jeder Benutzergruppe ein eindeutiges Passwort zu. Wenn sich ein Gerät verbindet und seinen eindeutigen Schlüssel eingibt, authentifiziert der Sophos AP diesen Schlüssel über RADIUS. Der RADIUS-Server gibt im Access-Accept-Paket ein bestimmtes VLAN-ID-Attribut zurück. Der AP versieht den Datenverkehr des Benutzers dynamisch mit dieser VLAN-ID und leitet ihn in sein dediziertes Netzwerksegment weiter. Identitätsbasiertes Networking in der Praxis: Eine SSID, mehrere isolierte Netzwerke, null Funkfrequenz-Overhead durch zusätzliche Ausstrahlungen. Diese Architektur bietet zudem einen erheblichen Compliance-Vorteil. Gemäß den PCI-DSS-Anforderungen muss ein Guest WiFi vollständig von allen Netzwerksegmenten isoliert sein, die Karteninhaberdaten verarbeiten. Indem Sie die Guest-SSID in ein dediziertes VLAN legen und auf der Sophos Firewall strenge Firewall-Richtlinien zur Blockierung aller privaten RFC-1918-IP-Bereiche einrichten, erfüllen Sie diese Anforderung sauber. Purple, das in 80.000 Live-Standorten im Einsatz ist und im Jahr 2024 bereits 440 Millionen Logins verarbeitet hat, ist ISO-27001-zertifiziert, GDPR-konform und Cyber-Essentials-zertifiziert, sodass sich die Compliance-Sicherheit auch auf die Identitätsebene erstreckt. Kommen wir nun zu den Empfehlungen für die Implementierung. Bei der Einrichtung müssen Sie eine wichtige Entscheidung bezüglich der IP-Zuweisung treffen: NAT-Modus versus Bridge-Modus. Wenn Sie eine kleine Einzelhandelsfiliale mit vielleicht fünfzig bis einhundert gleichzeitigen Gastverbindungen ausstatten, ist der NAT-Modus völlig ausreichend. Der Sophos AP vergibt DHCP-Adressen an Gäste aus einem dedizierten internen Subnetz und übersetzt diese beim Verlassen des Datenverkehrs. Das ist einfach und erfordert nur minimale zusätzliche Infrastruktur. Wenn Sie jedoch eine Umgebung mit hoher Dichte bereitstellen – beispielsweise ein Hotel mit fünfhundert Zimmern, ein Konferenzzentrum mit mehreren parallelen Veranstaltungen oder ein Stadion –, müssen Sie den Bridge-Modus verwenden. Im Bridge-Modus leitet der Sophos AP den Gast-Datenverkehr direkt in ein dediziertes VLAN weiter, sodass Ihre zentralen Enterprise-DHCP-Server die Last bewältigen können. Dies verhindert, dass der Access Point oder die Firewall bei Spitzenlastzeiten zum DHCP-Engpass wird. Der Bridge-Modus stellt außerdem sicher, dass die Purple-Plattform die tatsächliche Client-IP-Adresse sieht, was für präzise Analysen und die Fehlerbehebung unerlässlich ist. Sprechen wir über die schrittweise Konfigurationsreihenfolge, denn die Reihenfolge ist hier entscheidend. Starten Sie im Purple-Portal. Rufen Sie Ihre RADIUS-Server-Anmeldedaten ab: die Server-IP-Adressen, Shared Secrets, die Captive Portal-URL und die Redirect-URL. Dies sind die vier entscheidenden Informationen, die Sie benötigen, bevor Sie mit der Sophos-Konfiguration beginnen. Wechseln Sie anschließend zu Sophos Central oder Ihrer lokalen Firewall-Verwaltungsoberfläche. Definieren Sie zuerst Ihre RADIUS-Server, Authentifizierung auf Port 1812, Accounting auf Port 1813. Konfigurieren Sie dann Ihren Walled Garden unter den Hotspot-Einstellungen. Erstellen Sie als Nächstes Ihre Gäste-SSID, stellen Sie die Verschlüsselung auf „Open“, aktivieren Sie das Captive Portal und geben Sie die Purple-Portal-URL ein. Definieren Sie schließlich Ihre Firewall-Regeln nach der Authentifizierung. Speziell für den Walled Garden müssen Sie mindestens die folgenden Domains zulassen: die Purple-Portal-Domain, in der Regel region1.purpleportal.net; venuewifi.com; sowie alle Social-Login-Domains, die Ihre Gäste verwenden werden, wie facebook.com, accounts.google.com und die zugehörigen CDN-Domains. Wenn Sie Microsoft Entra ID oder Okta für die Identitätsföderation nutzen, müssen diese Domains ebenfalls einbezogen werden. Was ist mit Fallstricken? Wo laufen Implementierungen normalerweise schief? Das Problem Nummer eins ist ohne Frage ein unvollständiger Walled Garden. Wenn sich ein Gast verbindet und einen leeren Bildschirm oder ein Verbindungs-Timeout erhält, bedeutet dies fast immer, dass die Sophos Firewall den Zugriff auf die CSS-Dateien, JavaScript-Assets von Purple oder die Social-Login-APIs vor der Authentifizierung blockiert. Sie müssen sicherstellen, dass jede erforderliche Domain in dieser Pre-Authentifizierungsrichtlinie explizit erlaubt ist. Purple stellt eine umfassende Liste der erforderlichen Domains zur Verfügung. Nutzen Sie diese vollständig. Vergessen Sie auch DNS nicht. Nicht authentifizierten Clients muss es gestattet sein, DNS-Anfragen aufzulösen, da die Weiterleitung sonst schlichtweg nicht funktioniert. Das Gerät muss den Hostnamen des Purple-Portals auflösen können, bevor es überhaupt versuchen kann, die Seite zu laden. Der zweithäufigste Fallstrick sind Zertifikatsfehler. Stellen Sie sicher, dass Ihre Sophos Firewall ein gültiges, öffentlich vertrauenswürdiges SSL-Zertifikat für die Weiterleitungsschnittstelle bereitstellt. Wenn Sie das standardmäßige selbstsignierte Zertifikat verwenden, zeigen moderne iPhones und Android-Geräte erhebliche Sicherheitswarnungen an, und Ihre Gäste werden die Verbindung komplett abbrechen. Dies ist ein besonders akutes Problem im Gastgewerbe, wo das Gästeerlebnis an erster Stelle steht. Der dritte Fallstrick sind RADIUS-Timeout-Fehler. Wenn das Portal geladen wird, aber die Authentifizierung konsequent fehlschlägt, überprüfen Sie, ob die Shared Secrets zwischen Ihrer Sophos-Konfiguration und dem Purple-Portal exakt übereinstimmen. Selbst ein Unterschied von einem einzigen Zeichen führt dazu, dass alle Authentifizierungsversuche geräuschlos fehlschlagen. Stellen Sie außerdem sicher, dass keine zwischengeschaltete Firewall die UDP-Ports 1812 und 1813 zwischen Ihrer Sophos-Infrastruktur und den Cloud-RADIUS-Servern von Purple blockiert. Lassen Sie uns mit einer schnellen Fragerunde abschließen, die auf den häufigsten Fragen unserer Kunden basiert. Frage eins: Umgeht die Nutzung von Purple meine Sophos Firewall-Sicherheitsrichtlinien? Absolut nicht. Purple übernimmt die Authentifizierung und die Identitätserfassung. Nach der Authentifizierung fließt der gesamte Gast-Traffic durch die Post-Authentifizierungsrichtlinie Ihrer Sophos Firewall. Genau hier wenden Sie Web-Filterung an, blockieren Peer-to-Peer-Traffic und steuern die Bandbreite. Stellen Sie es sich so vor: Die Pre-Authentifizierung ist durchlässig, um die Anmeldung zu ermöglichen; die Post-Authentifizierung ist restriktiv, um das Netzwerk zu schützen. Frage zwei: Muss ich lokale RADIUS-Server bereitstellen? Nein. Purple bietet RADIUS-as-a-Service. Sie konfigurieren die Sophos APs so, dass sie direkt auf die Cloud-RADIUS-IP-Adressen von Purple verweisen. Es ist nicht erforderlich, FreeRADIUS oder Windows NPS für das Gastnetzwerk bereitzustellen und zu warten. Frage drei: Kann ich Purple sowohl mit Sophos AP6 als auch mit der älteren APX-Serie nutzen? Ja. Der Integrationsansatz ist über beide Hardware-Generationen hinweg konsistent. Beachten Sie jedoch, dass Sophos das End-of-Life-Datum für die APX-Serie für den 31. Dezember 2027 angekündigt hat. Wenn Sie eine neue Bereitstellung planen, investieren Sie in die AP6-Serie, die Wi-Fi 6 und Wi-Fi 6E unterstützt. Frage vier: Wie sieht es mit der GDPR-Konformität aus? Purple erfasst die ausdrückliche Zustimmung auf Portal-Ebene und präsentiert Ihre Allgemeinen Geschäftsbedingungen sowie Datenschutzhinweise vor der Authentifizierung. Diese Einwilligungsdaten werden auf der Purple-Plattform gespeichert und sind auditierbar. Die Rolle der Sophos Firewall beschränkt sich rein auf die Netzwerkdurchsetzung. Zusammenfassend die wichtigsten Erkenntnisse aus dem heutigen Briefing: Erstens: Trennen Sie Ihre Mitarbeiter- und Gäste-SSIDs absolut voneinander. Mitarbeiter über 802.1X mit WPA2-Enterprise. Gäste über Purple mit einem externen Captive Portal. Zweitens: Konfigurieren Sie Ihren Walled Garden akribisch. Er ist die häufigste Fehlerquelle und das wichtigste Konfigurationselement vor der Authentifizierung. Drittens: Verwenden Sie den Bridge-Modus für alle High-Density-Bereitstellungen, um DHCP-Engpässe zu vermeiden und eine genaue Sichtbarkeit der Client-IPs zu gewährleisten. Viertens: Konfigurieren Sie sowohl RADIUS-Authentifizierungs- als auch Accounting-Server. Accounting ist nicht optional, wenn Sie aussagekräftige Analysen wünschen. Fünftens: Nutzen Sie Sophos PPSK für Multi-Tenant-Umgebungen, um Identity-Based Networking mit dynamischer VLAN-Zuweisung zu ermöglichen. Eine SSID, mehrere isolierte Netzwerke. Sechstens: Wenden Sie Sophos-Sicherheitsrichtlinien strikt nach der Authentifizierung an. Web-Filterung, Anwendungssteuerung und Bandbreiten-Shaping sollten alle in der Post-Authentifizierungs-Firewall-Richtlinie angewendet werden. Durch die korrekte Umsetzung dieser Integration verwandeln Sie Ihr Gast-WiFi von einem Kostenfaktor in ein konformes, sicheres und umsatzgenerierendes Asset. Die Kombination aus der tiefgehenden Sicherheit von Sophos und der Marketing-Intelligence von Purple ist für jeden Standortbetreiber, der seine Customer Experience und Datenstrategie ernst nehmen möchte, absolut zukunftsweisend. Vielen Dank für Ihr Interesse am Purple Architecture Briefing. Wenn Sie Ihre spezifischen Bereitstellungsanforderungen besprechen möchten, besuchen Sie purple.ai, um mit dem Solutions-Team zu sprechen.