EnGenius Cloud Access Points Integration mit Purple WiFi

PODCAST-SKRIPT: Integration von EnGenius Cloud Access Points mit Purple WiFi Purple WiFi Intelligence Platform - Technische Informationsreihe Dauer: Ca. 10 Minuten Stimme: britisches Englisch, Tonfall eines Senior Consultants - selbstbewusst, locker, autoritär [INTRO - 1 MINUTE] Willkommen zur Purple Technische Informationsreihe. Heute befassen wir uns mit einem Thema, das bei Enterprise-Bereitstellungen regelmäßig auftritt: der Integration von EnGenius Cloud Access Points in die Guest-WiFi-Plattform von Purple. Wenn Sie eine EnGenius-Infrastruktur betreiben – sei es mit Access Points der ECW-Serie in einem Hotel, einer Einzelhandelskette oder einem Bürogebäude mit mehreren Mietern – und Sie ein gebrandetes Captive Portal hinzufügen, First-Party-Besucherdaten erfassen und eine ordnungsgemäße Netzwerksegmentierung durchsetzen möchten, dann ist dieses Briefing genau das Richtige für Sie. In den nächsten zehn Minuten möchte ich Sie durch die vier Kernbereiche der Konfiguration führen: Weiterleitung zum Guest Captive Portal, Einrichtung des Walled Garden, sicheres Mitarbeiter-WiFi mit 802.1X und Multi-Tenant-Isolierung mit EnGenius MyPSK mit dynamischer VLAN-Zuweisung. Am Ende werden Sie ein klares Bild davon haben, was genau in welcher Reihenfolge zu konfigurieren ist und wo die häufigsten Fallstricke liegen. Legen wir los. [TECHNISCHE DETAILS - 5 MINUTEN] Beginnen wir mit dem Guest Captive Portal, dem am häufigsten gewählten Ausgangspunkt für jeden Standortbetreiber. EnGenius Cloud unterstützt externe Splash Pages nativ. Das bedeutet, dass nicht authentifizierte Gäste auf das in der Cloud gehostete Portal von Purple weitergeleitet werden, anstatt eine einfache Anmeldeseite auf dem Access Point selbst zu hosten. Hier befinden sich das Branding, die Datenerfassung, das Einwilligungsmanagement und die Analysen. Hier ist die Konfigurationsreihenfolge in EnGenius Cloud. Melden Sie sich in Ihrem EnGenius Cloud-Dashboard an und navigieren Sie zu „Configure“, dann zu „SSID“. Wählen Sie Ihre Guest-SSID aus. Legen Sie unter der Registerkarte „Wireless“ den Sicherheitstyp je nach Wunsch auf „Open“ oder „WPA2 PSK“ fest. „Open“ ist der Standard für die meisten Guest-WiFi-Bereitstellungen. Wechseln Sie dann auf die Registerkarte „Captive Portal“. Aktivieren Sie das Captive Portal und stellen Sie den „Authentication Type“ auf „Custom RADIUS“. Dies ist die entscheidende Einstellung. Sie weist den Access Point an, Authentifizierungsanfragen an einen externen RADIUS-Server weiterzuleiten, bei dem es sich in diesem Fall um den Cloud-RADIUS-Endpunkt von Purple handelt. Geben Sie nun die RADIUS-Details von Purple ein. Die IP-Adresse des primären RADIUS-Servers finden Sie in Ihrem Purple-Dashboard unter „Hardware Configuration“. Der Authentifizierungs-Port ist UDP 1812. Der Accounting-Port ist UDP 1813. Geben Sie das Shared Secret ein. Purple generiert dieses für Sie, und es sollte mindestens 22 Zeichen lang sein, bestehend aus einer Mischung aus Groß- und Kleinschreibung, Zahlen und Sonderzeichen. Stellen Sie den NAS-Identifikator so ein, dass er mit Ihrem Standortnamen oder einem eindeutigen Identifikator übereinstimmt, den Sie in Purple definiert haben. Wechseln Sie als Nächstes zur Registerkarte Splash Page. Wählen Sie External Splash Page URL und geben Sie die URL des Purple-Portals ein. Dies ist die URL, die Purple für Ihren spezifischen Standort bereitstellt. Wenn sich ein Gast mit der SSID verbindet und einen Browser öffnet, fängt der Access Point die Anfrage ab und leitet sie an diese URL weiter. Dabei werden Parameter wie die MAC-Adresse des Clients, die MAC-Adresse des APs und die ursprüngliche URL, die der Gast aufrufen wollte, übergeben. Nun zum Walled Garden. Dies ist die Liste der Domains und IP-Adressen, die Gäste vor der Authentifizierung erreichen können. Ohne diese Liste kann das Purple-Portal selbst nicht geladen werden, da der Browser des Gasts die Server von Purple nicht erreichen kann. In der EnGenius Cloud befindet sich der Walled Garden unter Captive Portal, dann Advanced Settings und schließlich Walled Garden. Sie müssen die Domain des Purple-Portals, die CDN-Endpunkte von Purple und die Captive Portal Probe-Endpunkte der Betriebssysteme hinzufügen. Für Apple-Geräte ist das captive.apple.com. Für Android connectivitycheck.gstatic.com. Für Windows msftconnecttest.com. Wenn Sie einen dieser Endpunkte vergessen, wird den Gästen auf diesen Plattformen das Portal überhaupt nicht angezeigt. Wenn Sie Social Login über Google oder Facebook anbieten, müssen Sie auch die OAuth-Endpunkte dieser Anbieter auf die Whitelist setzen. Google erfordert mindestens accounts.google.com, oauth2.googleapis.com und apis.google.com. Facebook benötigt www.facebook.com, graph.facebook.com und connect.facebook.net. Die Support-Dokumentation von Purple bietet eine aktuelle Walled Garden-Liste für jede Authentifizierungsmethode. Nutzen Sie diese als Referenz, da sich diese Domains ändern können. Kommen wir nun zum sicheren Mitarbeiter-WiFi mittels 802.1X. Dies ist eine separate SSID. Der Sicherheitstyp ist hier WPA2 Enterprise oder WPA3 Enterprise. Wählen Sie in der EnGenius Cloud unter der Registerkarte SSID Wireless die Option WPA2 Enterprise und dann Custom RADIUS. Geben Sie dieselben RADIUS-Server-Details ein: den RADIUS-Endpunkt von Purple, Port 1812 und das Shared Secret. Der Unterschied zur Gasteinrichtung besteht darin, dass es hier kein Captive Portal gibt. Die Geräte der Mitarbeiter authentifizieren sich geräuschlos über das IEEE 802.1X-Protokoll. Das Gerät legt dem RADIUS-Server ein Zertifikat oder einen Benutzernamen und ein Passwort vor, der diese überprüft und eine Access-Accept-Nachricht zusammen mit VLAN-Zuweisungsattributen zurückgibt. Die RADIUS-Attribute, die die dynamische VLAN-Zuweisung steuern, sind Tunnel-Type (eingestellt auf VLAN), Tunnel-Medium-Type (eingestellt auf 802) und Tunnel-Private-Group-ID (eingestellt auf die VLAN-Nummer). Wenn Ihr Mitarbeiter-VLAN also VLAN 20 ist, gibt der RADIUS-Server Tunnel-Private-Group-ID mit dem Wert 20 zurück. Der EnGenius Access Point liest dieses Attribut und weist das authentifizierte Gerät automatisch VLAN 20 zu. Das bedeutet, dass Sie eine einzige SSID für mehrere Mitarbeiterrollen (Finanzen, Betrieb, IT, Auftragnehmer) nutzen können, wobei jeder basierend auf seiner Verzeichnisgruppenmitgliedschaft in einem anderen VLAN landet – und das ganz ohne manuelle VLAN-Konfiguration pro Gerät. Für die EAP-Methode ist PEAP-MSCHAPv2 die am häufigsten gewählte Option für Umgebungen, die Active Directory oder Microsoft Entra ID verwenden. Sie erfordert ein serverseitiges Zertifikat auf dem RADIUS-Server und Benutzername-Passwort-Anmeldedaten auf dem Client. EAP-TLS ist sicherer. Es verwendet Zertifikate auf beiden Seiten. Allerdings erfordert es eine PKI-Infrastruktur und ein MDM-Deployment, um die Zertifikate auf die Geräte zu pushen. Für die meisten Betreiber von Veranstaltungsorten ist PEAP-MSCHAPv2 mit einer strikten Zertifikatsvalidierung, die über Gruppenrichtlinien oder MDM erzwungen wird, die praktischste Wahl. Nun zum technisch interessantesten Teil: EnGenius MyPSK und Multi-Tenant-Isolierung. MyPSK, auch als PPSK oder Private Pre-Shared Key bezeichnet, löst ein spezifisches Problem in Multi-Tenant-Umgebungen. In einer Mietwohnanlage (Build-to-Rent), einem Serviced Office oder einem Studentenwohnheim möchten Sie, dass jeder Mieter oder Bewohner sein eigenes, eindeutiges WiFi-Passwort hat. Sie möchten jedoch nicht für jeden Mieter eine eigene SSID erstellen. Das führt zu einer Überlastung der Funkfrequenzen und erhöht den Verwaltungsaufwand. Mit MyPSK können Sie bis zu 500 eindeutige Pre-Shared Keys pro SSID erstellen. Jeder Schlüssel ist an ein bestimmtes VLAN gebunden. Wenn sich ein Bewohner mit seinem eindeutigen Schlüssel verbindet, weist der Access Point ihn automatisch seinem zugewiesenen VLAN zu. Der Datenverkehr von Mieter A berührt niemals das Netzwerksegment von Mieter B. Die Verschlüsselung erfolgt ebenfalls pro Benutzer. Jeder Schlüssel generiert einen eindeutigen Pairwise Master Key, sodass ein Mieter den Over-the-Air-Datenverkehr eines anderen Mieters nicht entschlüsseln kann, obwohl sie dieselbe SSID nutzen. In EnGenius Cloud konfigurieren Sie MyPSK unter den SSID-Sicherheitseinstellungen. Wählen Sie WPA2 PSK oder WPA3 Personal und aktivieren Sie dann MyPSK. Sie können dann PSKs einzeln erstellen oder automatisch Batches von bis zu 50 Keys gleichzeitig generieren. Für jeden PSK weisen Sie eine VLAN-ID zu und legen optional ein Ablaufdatum fest. Wenn ein Mietvertrag endet oder ein Student seinen Abschluss macht, lassen Sie seinen PSK einfach ablaufen oder löschen ihn. Der Zugriff wird sofort widerrufen, ohne dass sich dies auf andere Mieter auswirkt. Für die Purple-Integration in einer MyPSK-Umgebung können die für Gäste vorgesehenen Mieter weiterhin über ein Captive Portal in ihrem VLAN geleitet werden. Mitarbeiter und betriebliche Mieter umgehen das Portal vollständig. Die VLAN-Segmentierung stellt sicher, dass die Analysedaten von Purple dem jeweiligen Netzwerksegment korrekt zugeordnet werden. [UMSETZUNGSEMPFEHLUNGEN UND FALLSTRICKE - 2 MINUTEN] Lassen Sie mich Ihnen die Implementierungsreihenfolge empfehlen, die ich für ein sauberes erstes Deployment vorschlage. Beginnen Sie mit Ihrer VLAN-Architektur, bevor Sie die WiFi-Konfiguration anpassen. Definieren Sie VLAN 10 für Gäste, VLAN 20 für Mitarbeiter, VLAN 30 für Mieter oder die Nummerierung, die zu Ihrem bestehenden Schema passt. Konfigurieren Sie diese VLANs zuerst auf Ihren ECS-Switchen mit den entsprechenden Trunk- und Access-Port-Zuweisungen. Die Access Points müssen getaggten Datenverkehr auf dem Uplink-Port für jedes VLAN empfangen, das Sie verwenden möchten. Konfigurieren Sie dann die SSIDs in der EnGenius Cloud in dieser Reihenfolge: Zuerst die Gäste-SSID, da diese am einfachsten ist. Überprüfen Sie die Weiterleitung zum Captive Portal von Purple, bevor Sie fortfahren. Konfigurieren Sie anschließend die Mitarbeiter-SSID mit 802.1X. Testen Sie dies mit einem bekannten Gerät, bevor Sie das System für die gesamte Umgebung bereitstellen. Konfigurieren Sie dann MyPSK, falls Sie eine Mandantenisolierung benötigen. Die Fallstricke. Erstens: Das Walled Garden. Dies ist die häufigste Ursache für fehlerhafte Captive Portal-Bereitstellungen. Wenn Gäste das Portal nicht erreichen können, überprüfen Sie zuerst das Walled Garden. Zweitens: Falsche Übereinstimmung beim gemeinsamen RADIUS-Schlüssel (Shared Secret). Das Shared Secret muss in der EnGenius Cloud-Konfiguration und der Purple RADIUS-Serverkonfiguration absolut identisch sein. Schon ein einziger abweichender Buchstabe führt dazu, dass jede Authentifizierung im Hintergrund fehlschlägt. Drittens: VLAN-Trunk-Konfiguration auf dem Switch. Wenn der ECS-Switch-Port, der mit dem Access Point verbunden ist, nicht als Trunk konfiguriert ist, der alle erforderlichen VLANs überträgt, schlägt die dynamische VLAN-Zuweisung fehl. Viertens: Zertifikatsvalidierung auf 802.1X-Clients. Wenn Mitarbeitergeräte nicht so konfiguriert sind, dass sie das RADIUS-Serverzertifikat validieren, sind sie anfällig für Diebstahl von Zugangsdaten über gefälschte Access Points. Setzen Sie dies über Gruppenrichtlinien für Windows und über MDM-Profile für alle anderen Geräte durch. [SCHNELLE FRAGERUNDE - 1 MINUTE] Ein paar Fragen, die mir bei EnGenius- und Purple-Bereitstellungen regelmäßig gestellt werden. Kann ich anstelle des RADIUS von Purple den EnGenius Cloud RADIUS verwenden? Ja, für die interne Authentifizierung. Für Gäste-WiFi mit den Analysen und dem Portal von Purple müssen Sie jedoch auf den RADIUS-Endpunkt von Purple verweisen. Beide können auf unterschiedlichen SSIDs koexistieren. Funktioniert MyPSK mit WPA3? Ja. EnGenius unterstützt WPA3 und den WPA2/WPA3-Mischmodus mit MyPSK. So erhalten WPA3-fähige Geräte eine SAE-Authentifizierung, während ältere Geräte auf WPA2 PSK zurückgreifen – und das alles mit demselben benutzerdefinierten Schlüssel. Unterstützt Purple RADIUS Accounting für Sitzungsdaten? Ja. Aktivieren Sie den Accounting-Server in der RADIUS-Konfiguration der EnGenius Cloud und verweisen Sie auf den Accounting-Endpunkt von Purple auf UDP 1813. Dadurch fließen Sitzungsdauer und Datenvolumen in die Analysen von Purple ein. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - 1 MINUTE] Zusammenfassend lässt sich sagen: Die Access Points der EnGenius Cloud lassen sich über vier Konfigurationsebenen nahtlos in die Gäste-WiFi-Plattform von Purple integrieren. Die Weiterleitung zum Gäste-Captive Portal nutzt benutzerdefiniertes RADIUS und eine externe Splash-Page-URL, die auf Purple verweist. Die Walled Garden-Whitelist stellt sicher, dass das Portal vor der Authentifizierung geladen wird. Das Mitarbeiter-WiFi nutzt WPA2 Enterprise mit 802.1X und dynamischer VLAN-Zuweisung über RADIUS-Attribute. Und die Mandantenisolierung nutzt EnGenius MyPSK, um eindeutige, an bestimmte VLANs gebundene Schlüssel pro Benutzer zuzuweisen, optional mit Ablaufdatum für zeitlich begrenzten Zugriff. Purple ist an über 80.000 Standorten im Einsatz und hat allein im Jahr 2024 bereits 440 Millionen Logins verarbeitet. Die Plattform ist ISO 27001-zertifiziert, GDPR-konform und hardwareunabhängig. Genau deshalb funktioniert sie so reibungslos mit EnGenius sowie mit Cisco Meraki, HPE Aruba, Ruckus und dem Rest des Enterprise-Hardware-Ökosystems. Wenn Sie für das Deployment bereit sind, beginnen Sie mit der Anleitung zur Konfiguration des Walled Gardens in der Support-Dokumentation von Purple und führen Sie anschließend die Einrichtung der SSID in der EnGenius Cloud durch. Die vollständige Schritt-für-Schritt-Anleitung finden Sie auf purple.ai. Vielen Dank für Ihre Aufmerksamkeit.