Integration von DrayTek Vigor Routern und Access Points mit Purple WiFi

Management-Zusammenfassung

DrayTek Vigor Router und VigorAP Access Points sind an Zehntausenden von KMU-, Einzelhandels- und Hotellerie-Standorten in ganz Großbritannien und Europa im Einsatz. Integriert in das Cloud-Overlay von Purple wird diese Hardware zur Grundlage eines identitätsbasierten Netzwerks – sie erfasst First-Party-Daten, sichert interne Ressourcen und segmentiert Multi-Tenant-Datenverkehr, alles über eine einzige Plattform.

Diese Anleitung deckt vier Bereitstellungsszenarien ab: Guest WiFi mit einer gebrandeten Splash-Page und RADIUS-Authentifizierung, sicheres Staff WiFi mittels IEEE 802.1X Enterprise, die Walled Garden-Konfiguration zur Zulassung von Datenverkehr vor der Authentifizierung sowie Multi-Tenant WiFi unter Verwendung der WPA2-PPSK-Funktion von DrayTek mit dynamischer VLAN-Zuweisung. Purple ist an über 80.000 aktiven Standorten mit einer Verfügbarkeit von 99,999 % im Einsatz und verfügt über ISO 27001-, GDPR- und Cyber Essentials-Zertifizierungen – die Sicherheits- und Compliance-Anforderungen, denen Ihr Standort gegenübersteht, sind also bereits in der Plattform verankert.

Zu den unterstützten DrayTek-Modellen gehören die Serien Vigor 2862, 2865, 2866, 2926, 2927, 2952, 2962, 3220 und 3910. Alle VigorAP Access Points, die über das Central AP Management (APM) verwaltet werden, sind mit dieser Integration kompatibel.

Technische Vertiefung

Funktionsweise der Integration

Die Integration von DrayTek und Purple basiert auf dem Zusammenspiel zweier Mechanismen: der externen Captive Portal-Weiterleitung und der RADIUS-Authentifizierung (Remote Authentication Dial-In User Service). Purple fungiert als zentraler Identitätsanbieter und Richtlinien-Engine. Der DrayTek Vigor Router agiert als Network Access Server (NAS) und setzt die von den RADIUS-Servern von Purple zurückgegebenen Zugriffsentscheidungen durch.

Wenn sich ein Gast mit der WiFi SSID verbindet, versetzt der DrayTek Router das Gerät in einen Zustand vor der Authentifizierung. Er fängt den HTTP-Datenverkehr des Geräts ab und leitet ihn über die Funktion „Hotspot Web Portal“ in DrayOS auf die in der Cloud gehostete Splash-Page von Purple weiter. Der Benutzer schließt den Anmeldevorgang auf der Plattform von Purple ab – unter Verwendung von Social Login, E-Mail, SMS oder einem verwalteten Identitätsanbieter wie Microsoft Entra ID, Okta oder Google Workspace. Der RADIUS-Server von Purple sendet daraufhin eine Access-Accept-Nachricht an den DrayTek Router, die den Internetzugang gewährt und das RADIUS-Accounting auf Port 1813 startet.

Guest WiFi und das DrayTek Captive Portal

Das DrayTek Hotspot Web Portal ist der Kernmechanismus für die Gäste-Authentifizierung. In DrayOS konfigurieren Sie ein Hotspot-Profil, das die Portal-Methode, den Authentifizierungsserver, Sitzungslimits und die Landingpage definiert. Die Einstellung der Portal-Methode auf External Server weist DrayOS an, nicht authentifizierte Clients an eine externe URL – in dieses Fall Ihre Purple-Zugriffs-URL – weiterzuleiten, anstatt eine lokal gehostete Seite anzuzeigen.

Die RADIUS-Konfiguration innerhalb des Hotspot-Profils verweist auf die RADIUS-Server-IP von Purple auf Port 1812 für die Authentifizierung und Port 1813 für das Accounting. Das Shared Secret muss exakt mit dem übereinstimmen, das in Ihrem Purple-Standort-Dashboard angezeigt wird. Eine Abweichung an dieser Stelle ist die häufigste Ursache für Authentifizierungsfehler.

Die Sitzungsverwaltung wird über die Einstellung Expired Time After Activation gesteuert. Für die meisten Bereitstellungen in der Hotellerie und im Einzelhandel sind sechs Stunden ein praktischer Standardwert. Sie können dies an Ihr Purple-Sitzungs-Timeout anpassen, um ein konsistentes Verhalten auf beiden Systemen zu gewährleisten.

Walled Garden-Konfiguration

Bevor sich ein Gast authentifiziert, hat sein Gerät keinen Internetzugang. Das Gerät muss jedoch in der Lage sein, die Server von Purple zu erreichen, um die Splash-Page zu laden. Der Walled Garden – konfiguriert über den Reiter Dest Domain im DrayTek Hotspot-Profil – definiert, welche Domains vor der Authentifizierung zugänglich sind.

Sie müssen die Authentifizierungsdomains von Purple zu dieser Liste hinzufügen, eine pro Index. Wenn Sie Social-Login-Anbieter (wie Google oder Facebook) oder einen verwalteten Identitätsanbieter wie Microsoft Entra ID verwenden, müssen deren Domains ebenfalls enthalten sein. Eine fehlerhafte Konfiguration des Walled Gardens ist der mit Abstand häufigste Grund, warum ein DrayTek Captive Portal die Splash-Page nicht anzeigt. Die Support-Dokumentation von Purple enthält die aktuelle Liste der erforderlichen Domains für jede Anmeldemethode.

Sicheres Staff WiFi mittels 802.1X

Für interne Mitarbeiter ist ein Captive Portal das falsche Werkzeug. Gemeinsam genutzte WPA2-Passwörter stellen ein Sicherheitsrisiko dar: Wenn ein Mitarbeiter das Unternehmen verlässt, müssen Sie das Passwort auf jedem Gerät aktualisieren. Die IEEE 802.1X Enterprise-Authentifizierung eliminiert dieses Problem vollständig.

Navigieren Sie in DrayOS zu Wireless LAN > Security und wählen Sie WPA2/802.1X für Ihre Mitarbeiter-SSID. Klicken Sie auf den Link „RADIUS Server“ und geben Sie die Server-IP von Purple, den Port und das Shared Secret ein. Die Geräte der Mitarbeiter authentifizieren sich über PEAP (Protected Extensible Authentication Protocol) mit MS-CHAPv2 as innerer Methode. Dies ist die erforderliche Konfiguration für Windows-, macOS-, iOS- und Android-Geräte, die sich mit einem drahtlosen Unternehmensnetzwerk verbinden.

Purple entzieht den Zugriff auf Identitätsebene. Wenn ein Mitarbeiter das Unternehmen verlässt, deaktivieren Sie sein Konto in Ihrem Identitätsanbieter (Microsoft Entra ID, Okta oder Google Workspace). Der RADIUS-Server von Purple akzeptiert daraufhin sofort keine Authentifizierungsanfragen dieses Kontos mehr. Es ist keine Passwortänderung am gesamten Standort erforderlich.

Weitere Informationen zur Sicherheitsarchitektur von Unternehmens-WLANs finden Sie in unserem Leitfaden Enterprise WiFi Security: Ein vollständiger Leitfaden für 2026 .

Multi-Tenant-Netzwerksegmentierung mit DrayTek Multiple PSKs

Multi-Tenant-Umgebungen – wie Hotels mit verpachteten Restaurant- oder Einzelhandelsflächen, Coworking-Standorte, Studentenwohnheime und Build-to-Rent-Entwicklungen – erfordern eine strikte Netzwerktrennung zwischen den Mietern. Ein Käufer in einer Konzessionsfläche darf nicht auf das interne Netzwerk des Hotels zugreifen können, und zwei Einzelhandelsmieter dürfen den Datenverkehr des jeweils anderen nicht einsehen können.

DrayTek löstergänzt dies mit zwei komplementären Funktionen: VLAN-Tagging und WPA2-PPSK (Private Pre-Shared Key).

VLAN-Konfiguration auf dem Vigor-Router weist jeden Mandanten einem separaten logischen Netzwerk zu. Navigieren Sie zu LAN > VLAN, aktivieren Sie die VLAN-Konfiguration und weisen Sie jedem Mandantensegment eine eindeutige VLAN-ID zu. Alle LAN-Ports, die mit VigorAPs verbunden sind, müssen Mitglieder aller relevanten VLANs sein und effektiv als 802.1Q-Trunk-Ports fungieren. Die Inter-LAN Routing Table unter LAN > General Setup steuert, ob Datenverkehr zwischen VLANs übertragen werden kann – für die Mandantentrennung muss dies deaktiviert werden.

WPA2-PPSK auf dem VigorAP weist jedem Mandanten eine eindeutige Passphrase zu. Der Access Point bindet diese Passphrase an die MAC-Adresse des Geräts. Wenn sich ein Gerät verbindet, identifiziert der AP die verwendete Passphrase und versieht den Datenverkehr mit dem Tag der entsprechenden VLAN-ID. Dies ermöglicht es einer einzigen SSID, mehrere isolierte Mandantennetzwerke gleichzeitig zu bedienen, was den Wireless-Overhead reduziert und die Benutzererfahrung vereinfacht.

Dynamische VLAN-Zuweisung via RADIUS

Für Bereitstellungen, bei denen die VLAN-Zuweisung eher durch die Benutzeridentität als durch eine statische Passphrase gesteuert werden soll, unterstützt der RADIUS-Server von Purple dynamisches VLAN-Steering. Wenn sich ein Benutzer authentifiziert, gibt Purple drei RADIUS-Attribute in der Access-Accept-Nachricht zurück:

Der DrayTek-Router liest diese Attribute aus und weist den authentifizierten Client dem angegebenen VLAN zu, unabhängig davon, mit welcher SSID er sich verbunden hat. Dies ist Identity-Based Networking: Das Netzwerksegment wird dadurch bestimmt, wer der Benutzer ist, und nicht, welches Passwort er eingegeben hat.

Implementierungsleitfaden

Checkliste vor der Bereitstellung

Bestätigen Sie Folgendes, bevor Sie beginnen:

Schritt 1: RADIUS auf dem DrayTek-Router konfigurieren

Navigieren Sie in der DrayOS-Weboberfläche zu Applications > RADIUS/TACACS+. Aktivieren Sie auf der Registerkarte External RADIUS das Profil und geben Sie die IP-Adresse des RADIUS-Servers von Purple, den Port (1812) und das Shared Secret ein. Klicken Sie auf OK, um zu speichern. Der Router erfordert einen Neustart, um diese Änderung zu übernehmen – überspringen Sie diesen Schritt nicht.

Schritt 2: Hotspot-Webportal-Profil erstellen

Navigieren Sie zu Hotspot Web Portal > Profile Setup und wählen Sie einen verfügbaren Index aus. Konfigurieren Sie das Profil wie folgt:

Klicken Sie auf OK, um zu speichern.

Schritt 3: Walled Garden konfigurieren

Klicken Sie auf Save and Next, um zur Registerkarte Dest Domain zu gelangen. Fügen Sie jede erforderliche Purple-Domain hinzu, eine pro Index. Die aktuelle Liste finden Sie in der Walled Garden Domain Whitelist von Purple in der Support-Dokumentation. Klicken Sie auf Save and Next, um fortzufahren.

Schritt 4: Sitzungs- und Landingpage-Einstellungen konfigurieren

Stellen Sie auf dem letzten Konfigurationsbildschirm Folgendes ein:

Klicken Sie auf Finish, um zu speichern. Starten Sie den Router vor dem Testen neu.

Schritt 5: VLANs für die Netzwerksegmentierung konfigurieren

Navigieren Sie zu LAN > VLAN und aktivieren Sie die VLAN-Konfiguration. Erstellen Sie einen VLAN-Eintrag für jedes Netzwerksegment. Weisen Sie alle LAN-Ports, die mit VigorAPs verbunden sind, als Mitglieder aller relevanten VLANs zu (Trunk-Konfiguration). Navigieren Sie zu LAN > General Setup und verwenden Sie die Inter-LAN Routing Table, um den VLAN-übergreifenden Zugriff bei Bedarf zu blockieren.

Schritt 6: 802.1X für Staff-WiFi konfigurieren

Navigieren Sie zu Wireless LAN > Security und wählen Sie die Staff-SSID aus. Stellen Sie den Sicherheitsmodus auf WPA2/802.1X ein. Klicken Sie auf den Link RADIUS Server und geben Sie die Server-IP von Purple, Port 1812 und das Shared Secret ein. Speichern Sie die Konfiguration.

Schritt 7: PPSK für die Mandantentrennung konfigurieren

Navigieren Sie auf jedem VigorAP zu Wireless LAN > Security Settings und wählen Sie WPA2PPSK. Klicken Sie auf die Schaltfläche PPSK, um Einträge hinzuzufügen. Erstellen Sie für jeden Mandanten einen PPSK-Eintrag mit der MAC-Adresse des Mandantengeräts und einer eindeutigen Passphrase. Stellen Sie sicher, dass die Passphrase in Ihrer Router-Konfiguration dem richtigen VLAN zugeordnet ist. Beachten Sie, dass PPSK-Profile für 2,4 GHz und 5 GHz auf VigorAPs separat verwaltet werden.

Best Practices

Die folgenden Empfehlungen spiegeln die Bereitstellungserfahrung von Purple an über 80.000 Standorten wider, darunter Umgebungen in den Bereichen Gastgewerbe , Einzelhandel , Gesundheitswesen und Transportwesen .

Verwenden Sie für alle VigorAPs ein kabelgebundenes Backhaul. Wireless Distribution Systems (WDS) und universelle Repeater-Modi können keine 802.1Q-VLAN-Tags übertragen. Wenn Sie eine Netzwerksegmentierung benötigen – und das ist in jeder mandantenfähigen oder gemischt genutzten Umgebung der Fall –, muss jeder Access Point über Ethernet mit dem Router oder einem Managed Switch verbunden werden.

Aktivieren Sie AP-Assisted Mobility. DrayTek VigorAPs unterstützen Pre-Authentication und PMK-Caching, um die 802.1X-Reauthentifizierung beim Roaming eines Clients zu beschleunigenzwischen Access Points. Aktivieren Sie AP-Assisted Mobility, um Clients mit geringer Signalstärke aktiv zu trennen und sie so zu zwingen, sich mit dem nächstgelegenen AP zu verbinden. Dies ist besonders in Einzelhandelsumgebungen wichtig, in denen sich Kunden kontinuierlich durch den Raum bewegen.

Planen Sie Ihr VLAN-Schema vor der Bereitstellung. Eine Änderung der VLAN-IDs nach der Bereitstellung erfordert die Neukonfiguration des Routers, aller Access Points und aller verwalteten Switches im Pfad. Dokumentieren Sie Ihr Schema – VLAN 10 für Gäste, VLAN 20 für Mitarbeiter, VLAN 30+ für Mieter –, bevor Sie die Hardware anfassen.

Stimmen Sie die Sitzungs-Timeouts zwischen DrayTek und Purple ab. Wenn das DrayTek-Hotspot-Profil eine Sitzung nach sechs Stunden beendet, die Sitzung von Purple jedoch auf 24 Stunden eingestellt ist, werden Benutzer mitten in der Sitzung zur Splash-Page weitergeleitet. Stellen Sie beide auf denselben Wert ein.

Deaktivieren Sie die MAC-Randomisierung für PPSK-Bereitstellungen. iOS- und macOS-Geräte verwenden standardmäßig private WiFi-Adressen (randomisierte MACs). Da DrayTek PPSK eine Passphrase an eine bestimmte MAC-Adresse bindet, führt die Randomisierung zu Authentifizierungsfehlern. Weisen Sie Benutzer an, diese Einstellung für Ihr Netzwerk zu deaktivieren, oder dokumentieren Sie den Prozess klar in Ihrem Onboarding-Flow.

Nutzen Sie Band Steering auf VigorAPs. Aktivieren Sie Band Steering, um dualbandfähige Geräte auf das 5-GHz-Band zu leiten. Dies reduziert die Überlastung im 2,4-GHz-Band und verbessert den Durchsatz für alle verbundenen Geräte.

Für einen umfassenderen Überblick über die Sicherheitsarchitektur von Unternehmens-WLANs lesen Sie unseren Leitfaden Enterprise WiFi Security: A Complete Guide for 2026 . Wenn Sie die Bereitstellung über mehrere Standorte mit unterschiedlichen Hardware-Herstellern hinweg durchführen, deckt unser Leitfaden SonicWall TZ and SonicWave Integration with Purple WiFi ein vergleichbares Integrationsmuster ab.

Fehlerbehebung und Risikominderung

Die Splash-Page lädt nicht. Die häufigste Ursache ist ein unvollständiger Walled Garden. Überprüfen Sie, ob alle erforderlichen Purple-Domains auf der Registerkarte „Dest Domain“ aufgeführt sind. Bestätigen Sie außerdem, dass der DHCP-Pool für Gäste aktiv ist und die DNS-Auflösung für vorauthentifizierte Clients funktioniert. Testen Sie dies, indem Sie ein Gerät verbinden und versuchen, eine bekannte HTTP-URL aufzurufen.

RADIUS-Authentifizierung schlägt fehl. Überprüfen Sie das Shared Secret auf Tippfehler – es wird zwischen Groß- und Kleinschreibung unterschieden. Vergewissern Sie sich, dass der DrayTek-Router eine Verbindung zum Internet hat und den ausgehenden UDP-Verkehr auf den Ports 1812 und 1813 nicht blockiert. Bestätigen Sie, dass Sie den Router nach dem Anwenden der RADIUS-Konfiguration neu gestartet haben. Überprüfen Sie das Purple-Dashboard auf Authentifizierungsprotokolle, um festzustellen, ob die Anfrage die Server von Purple erreicht.

Clients dem falschen VLAN zugewiesen. Überprüfen Sie die Trunk-Port-Konfiguration zwischen dem DrayTek-Router und den VigorAPs. Die Switch-Ports müssen die spezifischen VLAN-Tags zulassen. Wenn Sie einen unverwalteten Switch verwenden, stellen Sie sicher, dass dieser 802.1Q-getaggte Frames weiterleitet, ohne die Tags zu entfernen. Überprüfen Sie das PPSK-Profil, um die korrekte Zuordnung von Passphrase zu VLAN zu bestätigen.

Sticky Clients roamen nicht. Wenn Geräte nicht wie erwartet zwischen den VigorAPs roamen, überprüfen Sie, ob AP-Assisted Mobility aktiviert ist und der RSSI-Schwellenwert für Ihren Standort angemessen eingestellt ist. Bestätigen Sie außerdem, dass auf allen VigorAPs dieselbe Firmware-Version ausgeführt wird, da Inkonsistenzen das Roaming-Verhalten beeinträchtigen können.

iOS-Geräte schlagen bei der PPSK-Authentifizierung fehl. Bestätigen Sie, dass der Benutzer die private WiFi-Adresse für Ihr spezifisches Netzwerk unter Einstellungen > WiFi > [Netzwerkname] > Private WiFi-Adresse deaktiviert hat. Das PPSK-Profil muss die echte Hardware-MAC-Adresse des Geräts enthalten.

ROI und geschäftliche Auswirkungen

Die Bereitstellung von DrayTek-Hardware mit Purple liefert messbare Erträge in drei Bereichen: betriebliche Effizienz, Datenerfassung und Compliance.

Betriebliche Effizienz. Die 802.1X-Authentifizierung eliminiert den Aufwand für die Verwaltung gemeinsam genutzter WiFi-Passwörter. Wenn ein Mitarbeiter das Unternehmen verlässt, deaktivieren Sie sein Konto in Microsoft Entra ID, Okta oder Google Workspace. Der RADIUS-Server von Purple akzeptiert dessen Anmeldedaten sofort nicht mehr. Keine standortweite Passwortänderung erforderlich. Für eine Einzelhandelskette mit 50 Standorten spart dies allein Hunderte von Stunden an IT-Aufwand pro Jahr.

Datenerfassung und Marketing-ROI. Jeder Gast, der sich über das Purple Captive Portal verbindet, gibt eine verifizierte Identität an – E-Mail-Adresse, Telefonnummer oder Social-Media-Profil. Diese First-Party-Daten fließen direkt in die WiFi Analytics -Plattform von Purple ein, auf der Sie Verweildauer, Wiederholungsbesuchsraten und Kampagnen-Engagement verfolgen können. Purple hat in seinem gesamten Netzwerk 29 Milliarden Datenpunkte gesammelt. Standorte, die den Engage-Tarif von Purple nutzen, berichten von messbaren Steigerungen der Wiederholungsbesuchsraten durch gezielte Kommunikation nach dem Besuch.

Compliance. Purple ist ISO 27001-zertifiziert, GDPR- und CCPA-konform sowie Cyber Essentials-zertifiziert. Das Captive Portal erzwingt bewusste Opt-ins und stellt sicher, dass die Datenerfassung den GDPR-Anforderungen entspricht. Die VLAN-Segmentierung isoliert Zahlungskartenumgebungen vom Gästeverkehr und unterstützt so die PCI-DSS-Compliance. Für Gesundheitseinrichtungen entspricht die Netzwerkisolation von Patienten und Besuchern den Richtlinien von NHS und ICO zur Datenverarbeitung.

Für eine detaillierte Ansicht darüber, wie Purple datengestützte Entscheidungen in Veranstaltungs- und Standortumgebungen ermöglicht, lesen Sie unsere WiFi Analytics-Plattformübersicht .