Integration von NETGEAR Insight und Enterprise Access Points mit Purple WiFi

Willkommen beim Technical Briefing von Purple. Heute behandeln wir ein Thema, das in unseren Gesprächen mit IT-Managern und Netzwerkarchitekten in der Hotellerie, im Einzelhandel und an Multi-Tenant-Standorten ständig zur Sprache kommt: die Integration von NETGEAR Insight und Access Points der WAX-Serie mit Purple WiFi. Wenn Sie ein Hotel, ein Fachmarktzentrum, ein Konferenzzentrum oder eine gemischt genutzte Immobilie betreiben, ist dieses Briefing direkt für Ihre nächste Bereitstellungsentscheidung relevant. Betrachten wir zunächst die Ausgangslage. Die WAX-Serie von NETGEAR – WAX610, WAX620 und WAX630 – sind WiFi 6 Access Points, die über die Insight-Cloud-Plattform verwaltet werden. Sie unterstützen bis zu acht separate SSIDs pro Funkmodul, WPA3-Verschlüsselung und einen Durchsatz von bis zu sechs Gigabit beim WAX630. Sie sind PoE-betrieben, für die Deckenmontage geeignet und werden über eine zentrale Benutzeroberfläche im Insight Cloud Portal verwaltet. Für einen IT-Installateur oder KMU-Netzwerkadministrator ist dies eine äußerst leistungsfähige Plattform zu einem Preis, der deutlich unter dem Niveau von Cisco Meraki oder HPE Aruba liegt. Purple ist ein hardwareunabhängiges Cloud-Overlay. Wir setzen auf Ihrer bestehenden Infrastruktur auf und fügen die Ebene für das Gasterlebnis, die Datenerfassung und die Analysen hinzu. Wir haben im Jahr 2024 440 Millionen Logins an 80.000 aktiven Standorten verarbeitet. Die Integration mit NETGEAR Insight ist sauber und gut dokumentiert und deckt vier verschiedene Anwendungsfälle ab, die wir heute durchgehen werden. Kommen wir nun zum technischen Deep-Dive. Die vier Anwendungsfälle sind: Guest WiFi mit einem Purple Captive Portal, sicheres Mitarbeiter-WiFi mittels 802.1X, Multi-Tenant-Segmentierung über die PPSK-Funktion von NETGEAR und dynamische VLAN-Zuweisung via RADIUS für Identity-Based Networks. Anwendungsfall eins: Guest WiFi mit einem Purple Captive Portal. Dies ist der häufigste Ausgangspunkt. Sie erstellen eine dedizierte Guest SSID in NETGEAR Insight und konfigurieren sie als offenes Netzwerk. Die wichtigste Konfiguration befindet sich im Bereich Captive Portal der SSID-Einstellungen. Sie wählen 'External Captive Portal' und fügen die von Purple bereitgestellte Splash-Page-URL ein. Als Nächstes konfigurieren Sie den Authentifizierungstyp. Für die meisten Purple-Bereitstellungen wählen Sie die RADIUS-Authentifizierung. Purple stellt Ihnen eine primäre RADIUS-Server-IP-Adresse, Port 1812 für die Authentifizierung und Port 1813 für das Accounting sowie ein Shared Secret zur Verfügung. Diese tragen Sie in die Konfiguration des externen Captive Portals in NETGEAR Insight ein. Sie legen außerdem einen NAS-Identifier fest – eine Zeichenfolge, die diesen spezifischen Access Point oder Standort gegenüber dem RADIUS-Server identifiziert. Verwenden Sie einen aussagekräftigen Namen, z. B. Ihren Standortnamen und den Standortcode. Der Walled Garden ist der Punkt, an dem die meisten Installateure scheitern. Bevor sich ein Gast authentifiziert, muss sein Gerät in der Lage sein, die Purple Splash-Page, die Authentifizierungsserver und alle von Ihnen aktivierten Social-Login-Anbieter zu erreichen. NETGEAR Insight verfügt über einen dedizierten Walled-Garden-Bereich in der Konfiguration des externen Captive Portals, in dem Sie diese URLs hinzufügen. Die Support-Dokumentation von Purple enthält die genaue Liste der freizugebenden Domains. Wenn Sie hier einen Fehler machen, sehen die Gäste anstelle Ihres gebrandeten Portals eine leere Seite. Nach der Konfiguration sieht der Ablauf wie folgt aus: Ein Gast verbindet sich mit der Hotel-Guest-SSID. Der Access Point fängt seine erste HTTP-Anfrage ab und leitet ihn auf die Purple Splash-Page weiter. Der Gast sieht Ihr gebrandetes Portal, akzeptiert die Bedingungen und gibt optional seine E-Mail-Adresse an oder meldet sich über soziale Medien an. Der RADIUS-Server von Purple sendet eine Access-Accept-Nachricht an den Access Point zurück, und dem Gast wird Internetzugang gewährt. Purple erfasst die Einwilligungsdaten, protokolliert die Sitzung und diese Daten fließen in Ihr Purple-Analyse-Dashboard. Anwendungsfall zwei: Sicheres Mitarbeiter-WiFi mittels 802.1X. Hier verabschieden Sie sich vollständig von gemeinsam genutzten Passwörtern. Für Mitarbeiternetzwerke ist ein Pre-Shared Key ein Sicherheitsrisiko – wenn ein Mitarbeiter das Unternehmen verlässt, müssen Sie das Passwort für alle ändern. 802.1X, definiert im IEEE-802.1X-Standard, gibt jedem Benutzer individuelle Anmeldedaten. Wenn sie das Unternehmen verlassen, deaktivieren Sie ihr Konto in Ihrem Verzeichnis, und ihr Zugriff wird sofort entzogen. In NETGEAR Insight konfigurieren Sie eine separate Staff SSID mit WPA2 Enterprise- oder WPA3 Enterprise-Sicherheit. Dies weist den Access Point an, die 802.1X-Authentifizierung anstelle eines Pre-Shared Keys zu verwenden. Anschließend konfigurieren Sie die RADIUS-Server-Einstellungen auf Netzwerkstandort-Ebene. Gehen Sie zu den Netzwerkstandort-Einstellungen, wählen Sie RADIUS, aktivieren Sie die 802.1X-Zugriffsauthentifizierung und geben Sie die IP, den Port und das Shared Secret Ihres RADIUS-Servers ein. Das Standard-Reauthentifizierungsintervall beträgt 3.600 Sekunden – eine Stunde –, was für die meisten Standorte ein sinnvoller Ausgangspunkt ist. Die am häufigsten verwendete EAP-Methode in KMU-Bereitstellungen ist PEAP-MSCHAPv2, die ein serverseitiges Zertifikat verwendet, um einen verschlüsselten Tunnel zu erstellen, in dem sich der Benutzer mit seinem Active Directory-Benutzernamen und -Passwort authentifiziert. EAP-TLS ist sicherer – es verwendet Zertifikate auf beiden Seiten –, erfordert jedoch eine PKI-Infrastruktur und MDM, um Zertifikate auf die Geräte zu übertragen. Ein kritischer Punkt: Erzwingen Sie die Zertifikatsvalidierung auf jedem Client-Gerät. Konfigurieren Sie Ihre Windows-Geräte über Gruppenrichtlinienobjekte und Ihre Mobilgeräte über MDM-Profile so, dass sie das Zertifikat des RADIUS-Servers validieren. Wenn Sie diesen Schritt überspringen, sind die Geräte anfällig für Rogue-Access-Point-Angriffe, bei denen ein Angreifer ein gefälschtes Zertifikat präsentiert und Anmeldedaten abfängt. Anwendungsfall drei: NETGEAR PPSK für Multi-Tenant-Standorte. Private Pre-Shared Key löst ein spezifisches Problem in Fachmarktzentren, gemischt genutzten Immobilien und Co-Working-Spaces. Sie haben mehrere Mieter, die sich dieselbe physische WiFi-Infrastruktur teilen. Sie möchten nicht für jeden Mieter separate SSIDs betreiben – das führt zu Hochfrequenz-Überlastung und erhöht die Verwaltungskomplexität. Sie können aber auch nicht allen dasselbe Passwort geben, da Mieter A sonst den Datenverkehr von Mieter B einsehen könnte. PPSK löst dies elegant. Sie erstellen eine einzige SSID und generieren in NETGEAR Insight unter Wireless, Einstellungen, Erweitert, Multi-PSK-Einstellungen mehrere Pre-Shared Keys. Jeder Schlüssel ist einem bestimmten VLAN zugeordnet. Mieter A erhält ein eindeutiges 16-stelliges Passwort, das VLAN 30 zugewiesen ist. Mieter B erhält ein anderes Passwort, das VLAN 40 zugewiesen ist. Das Standort-Management-Team erhält ein drittes Passwort, das VLAN 20 zugewiesen ist, welches Zugriff auf die Verwaltungssysteme hat. Wenn sich die Geräte von Mieter A mit ihrem Passwort verbinden, weist der Access Point sie automatisch VLAN 30 zu. Sie können keinen Datenverkehr auf VLAN 40 oder VLAN 20 sehen. Aus Sicht des Mieters haben sie einfach ein WiFi-Passwort. Aus Ihrer Sicht als Netzwerkadministrator haben Sie eine vollständige Isolation des Datenverkehrs zwischen den Mietern ohne zusätzliche Hardware. Es gibt zwei wichtige Einschränkungen, die Sie kennen sollten. Erstens erfordert PPSK in NETGEAR Insight eine WPA2 Personal- oder WPA2 Personal Mixed-Verschlüsselung. Es funktioniert nicht im 6-GHz-Band. Zweitens kann PPSK nicht mit einem Captive Portal auf derselben SSID kombiniert werden. Wenn Sie beides benötigen, brauchen Sie zwei separate SSIDs – was kein Problem ist, da die Access Points der WAX-Serie bis zu acht unterstützen. Anwendungsfall vier: Dynamische VLAN-Zuweisung via RADIUS. Dies ist die anspruchsvollste Konfiguration und die Grundlage für die Identity-Based Networks-Funktion von Purple. Anstatt ein VLAN statisch einem Passwort oder einer SSID zuzuweisen, lassen Sie den RADIUS-Server entscheiden, welches VLAN basierend auf der Identität des sich authentifizierenden Benutzers zugewiesen wird. Der Mechanismus verwendet drei Standard-RADIUS-Attribute: Tunnel-Type, das für VLAN auf den Wert 13 gesetzt werden muss; Tunnel-Medium-Type, das für IEEE 802 auf den Wert 6 gesetzt werden muss; und Tunnel-Private-Group-ID, das die VLAN-ID als Zeichenfolge enthält. Wenn sich ein Benutzer erfolgreich authentifiziert, gibt der RADIUS-Server diese drei Attribute in der Access-Accept-Nachricht zurück. Der Access Point liest sie aus und stuft den Client in das angegebene VLAN ein. In der Praxis bedeutet dies, dass Sie eine einzige WPA2 Enterprise SSID haben können, bei der sich ein Hotelmanager authentifiziert und in VLAN 20 mit Zugriff auf die Hotelmanagementsysteme landet, ein Mitarbeiter an der Rezeption sich authentifiziert und in VLAN 21 mit Zugriff nur auf das Check-in-System landet und ein externer Dienstleister sich authentifiziert und in VLAN 50 mit reinem Internetzugang landet. Alles über dieselbe SSID, alles automatisch vom RADIUS-Server basierend auf der Active Directory-Gruppenmitgliedschaft erzwungen. Lassen Sie uns nun über Implementierungsempfehlungen und Fallstricke sprechen. Der erste Fallstrick ist der Walled Garden. Jede externe Captive Portal-Bereitstellung scheitert mindestens einmal am Walled Garden. Das Symptom ist, dass sich Gäste mit der SSID verbinden, aber einen Browserfehler anstelle der Splash-Page sehen. Die Lösung ist methodisch: Öffnen Sie die Support-Dokumentation von Purple, kopieren Sie jede Domain in der Walled-Garden-Liste und fügen Sie sie in den Walled-Garden-Bereich von NETGEAR Insight ein. Testen Sie mit einem Gerät, das keine zwischengespeicherten Anmeldedaten besitzt. Der zweite Fallstrick ist die RADIUS-Erreichbarkeit. Der NETGEAR Access Point muss Ihren RADIUS-Server erreichen können. RADIUS verwendet den UDP-Port 1812 für die Authentifizierung und den UDP-Port 1813 für das Accounting. Öffnen Sie diese Ports von der Management-IP des Access Points zur IP des RADIUS-Servers. Testen Sie dies mit einem RADIUS-Testtool, bevor Sie live gehen. Der dritte Fallstrick ist der Konflikt zwischen PPSK und Captive Portal. NETGEAR Insight erlaubt PPSK und Captive Portal nicht auf derselben SSID. Wenn Sie beides benötigen, erstellen Sie zwei SSIDs. Benennen Sie diese eindeutig – eine für die PPSK-Mieter und eine für die Captive Portal-Gäste. Der vierte Fallstrick ist die Zertifikatsvalidierung auf 802.1X-Clients. Jedes Windows-Gerät benötigt ein Gruppenrichtlinienobjekt, das die vertrauenswürdige Zertifizierungsstelle und den erwarteten RADIUS-Servernamen angibt. Jedes Mobilgerät benötigt ein MDM-Profil mit denselben Einstellungen. Ohne dies könnte sich ein Benutzer unwissentlich an einem Rogue-Access-Point authentifizieren und seine Active Directory-Anmeldedaten preisgeben. Kommen wir nun zu einer schnellen Fragerunde. Frage eins: Kann ich Purple mit NETGEAR Insight ohne einen RADIUS-Server verwenden? Ja, für Guest Captive Portal-Bereitstellungen können Sie den Web-Authentifizierungsmodus von Purple anstelle von RADIUS verwenden. Der Access Point leitet über HTTP auf die Splash-Page weiter, und Purple übernimmt die Authentifizierung über eine Websitzung. RADIUS bietet Ihnen mehr Kontrolle und bessere Accounting-Daten, ist aber für einfache Guest Portal-Bereitstellungen nicht zwingend erforderlich. Frage zwei: Wie viele PPSK-Schlüssel kann ich in NETGEAR Insight erstellen? NETGEAR Insight unterstützt bis zu 64 PPSK-Schlüssel pro SSID auf Access Points der WAX-Serie. Für die meisten Multi-Tenant-Standorte ist dies mehr als ausreichend. Wenn Sie mehr als 64 Mieter haben, müssen Sie stattdessen auf eine RADIUS-basierte dynamische VLAN-Lösung umsteigen. Frage drei: Unterstützt NETGEAR Insight WPA3 Enterprise für 802.1X? Ja, Access Points der WAX-Serie unterstützen WPA3 Enterprise. Für die meisten KMU-Bereitstellungen ist WPA2 Enterprise ausreichend und bietet eine breitere Kompatibilität mit Client-Geräten. WPA3 Enterprise ist für Umgebungen in Betracht zu ziehen, die mit sensiblen Daten umgehen, wie z. B. im Gesundheitswesen oder bei Finanzdienstleistungen. Frage vier: Was passiert, wenn der Purple RADIUS-Server nicht erreichbar ist? NETGEAR Insight unterstützt eine Failsafe-Option in der Konfiguration des externen Captive Portals. Wenn Sie Failsafe aktivieren, erhalten Gäste für kurze Zeit Internetzugang, selbst wenn die Captive Portal-Server nicht erreichbar sind. Purple hält eine Betriebszeit von 99,999 % in unserer gesamten Infrastruktur aufrecht, aber die Aktivierung von Failsafe ist eine gute Praxis für jede Produktivbereitstellung. Zusammenfassend die wichtigsten Erkenntnisse aus dem heutigen Briefing: Access Points der NETGEAR WAX-Serie lassen sich über den Mechanismus des externen Captive Portals in NETGEAR Insight mit Purple integrieren. Sie konfigurieren die Splash-Page-URL, die RADIUS-Server-Anmeldedaten und die Walled-Garden-Domains im Insight Cloud Portal. Verwenden Sie für Mitarbeiternetzwerke WPA2 Enterprise mit 802.1X und erzwingen Sie die Zertifikatsvalidierung auf jedem Client-Gerät. Für Multi-Tenant-Standorte bietet Ihnen die PPSK-Funktion von NETGEAR eine VLAN-Isolation pro Mieter über eine einzige SSID mit bis zu 64 eindeutigen Schlüsseln. Für die anspruchsvollsten Bereitstellungen bietet Ihnen die dynamische VLAN-Zuweisung über RADIUS-Attribute eine identitätsgesteuerte Netzwerksegmentierung, die sich daran anpasst, wer sich verbindet, und nicht nur, von wo aus die Verbindung hergestellt wird. Wenn Sie eine NETGEAR-Bereitstellung mit Purple planen, besteht der nächste Schritt darin, Ihre Purple RADIUS-Anmeldedaten und die Walled-Garden-Domainliste beim Support-Team von Purple anzufordern und die Captive Portal-Weiterleitung auf einer Staging-SSID zu testen, bevor Sie sie in der Produktion einführen. Die Konfiguration dauert weniger als 30 Minuten, sobald Sie diese Anmeldedaten vorliegen haben. Vielen Dank, dass Sie sich das Technical Briefing von Purple angehört haben. Den vollständigen schriftlichen Leitfaden, einschließlich detaillierter Schritt-für-Schritt-Konfigurationsdetails und Praxisbeispielen, finden Sie auf purple.ai.