So konfigurieren Sie ein Ruijie Captive Portal für Gäste-WiFi

Sprechen Sie in britischem Englisch mit einem selbstbewussten, autoritären und umgangssprachlichen Ton – wie ein leitender IT-Berater, der einen Kunden brieft. Gemäßigtes Tempo, klare Diktion, professionell, aber nicht steif. Gelegentliche natürliche Betonung von technischen Schlüsselbegriffen: So konfigurieren Sie ein Ruijie Captive Portal für Gäste-WiFi. Ein technisches Briefing von Purple. [medium pause] EINFÜHRUNG UND KONTEXT. [short pause] Willkommen. In den nächsten zehn Minuten werden wir alles behandeln, was Sie über die Konfiguration eines Ruijie Captive Portal für Gäste-WiFi wissen müssen – von den Architekturentscheidungen, die über Erfolg oder Misserfolg Ihrer Bereitstellung entscheiden, bis hin zu den spezifischen Konfigurationsschritten, die in den meisten Anleitungen gänzlich fehlen. Wenn Sie IT-Manager, Netzwerkarchitekt oder Leiter des Veranstaltungsbetriebs in einem Hotel, einer Einzelhandelskette, einem Stadion oder einem Konferenzzentrum sind und Ruijie-Hardware vor Ort im Einsatz haben oder diese evaluieren, ist dieses Briefing genau das Richtige für Sie. Ruijie Networks ist weltweit einer der am schnellsten wachsenden Anbieter von Enterprise-WLAN. Laut IDC-Daten belegt Ruijie mit einem Anteil von 23,34 % die Spitzenposition im chinesischen Enterprise-WLAN-Markt, und ihre Präsenz in Europa, dem Nahen Osten und dem asiatisch-pazifischen Raum wächst rasant. Ihre Wireless-Controller der RG-WS-Serie, Gateways der Reyee EG-Serie und Cloud-managed RG-RAP-Access-Points sind mittlerweile in Tausenden von Standorten weltweit im Einsatz. Aber hier ist der Haken: Um Gäste-WiFi auf Ruijie-Hardware – insbesondere den Captive Portal-Teil – richtig einzurichten, müssen Sie vorab einige wichtige Architekturentscheidungen verstehen. Treffen Sie diese Entscheidungen falsch, führt dies zu einem Portal, das auf iOS abstürzt, Gästen, die sich nicht authentifizieren können, und einem Netzwerk, das entweder zu offen oder zu stark eingeschränkt ist. Lassen Sie uns das beheben. [medium pause] TECHNISCHER DEEP-DIVE. [short pause] Zuerst die Architektur. Ruijie bietet Ihnen drei verschiedene Bereitstellungsmodelle für Gäste-WiFi-Captive Portals. Die Wahl des richtigen Modells hängt von Ihrer Skalierung und Ihren Verwaltungsanforderungen ab. Modell eins ist das native, über die Ruijie Cloud oder JaCS verwaltete Portal. JaCS ist das auf das Gastgewerbe ausgerichtete Verwaltungssystem von Ruijie. Dies ist die integrierte Option. Sie melden sich in der Ruijie Cloud an, navigieren zu „Device Config“, dann „Basic“, erstellen oder bearbeiten Ihre Gäste-SSID, aktivieren den Schalter „Authentication“ und wählen „Captive Portal“ als Modus aus. JaCS unterstützt Szenarien für Hotels und andere Bereiche und bietet einen Drag-and-Drop-Portal-Builder mit Anmeldeoptionen wie One-Click-Zugang, Gutscheincodes und kontobasierter Anmeldung. Dies ist die richtige Wahl für kleinere Bereitstellungen – ein einzelnes Hotel, ein Boutique-Einzelhandelsgeschäft oder ein Konferenzzentrum, das eine schnelle, gebrandete Landingpage ohne externe Abhängigkeiten wünscht. Modell zwei ist das externe Captive Portal über WISPr und RADIUS. WISPr – Wireless Internet Service Provider Roaming – ist das Protokoll, das den Redirect- und Authentifizierungs-Handshake zwischen dem Ruijie-Gateway und einer externen Portal-Plattform abwickelt. Dies ist der Enterprise-Ansatz. Diesen benötigen Sie, wenn Sie Ruijie in eine externe Plattform für Gast-WiFi-Intelligence integrieren möchten. Hier navigieren Sie in der Ruijie-Benutzeroberfläche zu „Auth and Account“, wählen „Captive Portal“ aus, stellen den „Policy Mode“ auf „External“ und verweisen mit der „Portal Server URL“ auf Ihre externe Plattform. Anschließend konfigurieren Sie eine RADIUS-Servergruppe mit den von Ihrer Plattform bereitgestellten Zugangsdaten. Dieses Modell lässt sich über Hunderte von Standorten hinweg skalieren, bietet Ihnen zentralisierte Analysen und ermöglicht Ihnen die Durchführung von GDPR-konformen Datenerfassungsprozessen. Modell drei ist der Standalone-AP-Modus. Die Reyee-Access-Points von Ruijie, auf denen ReyeeOS Version 1.219 oder höher ausgeführt wird, können ein lokales Captive Portal ohne ein Gateway betreiben. Dies ist nützlich für temporäre Implementierungen oder kleine Standorte ohne einen EG-Router. Die Funktionalität ist jedoch im Vergleich zu Gateway-basierten Implementierungen eingeschränkt, weshalb Sie dies als Fallback und nicht als primäre Architektur betrachten sollten. [medium pause] Nun zu dem entscheidenden Teil, den die meisten Anleitungen komplett überspringen: die VLAN-Isolierung. Wenn Sie eine Gast-SSID auf Ruijie erstellen, haben Sie zwei Weiterleitungsoptionen – den NAT-Modus und den VLAN-Modus. Der NAT-Modus ist einfacher. Das Gateway weist Gastgeräten Adressen aus einem dedizierten Pool zu, standardmäßig meist 192.168.23.0 Slash 24, und der gesamte Gast-Traffic wird per NAT ins Internet geleitet. Dies funktioniert für ein Proof of Concept, bietet Ihnen jedoch auf Layer 3 nur begrenzte Sichtbarkeit und Kontrolle über den Gast-Traffic. Der VLAN-Modus ist die richtige Wahl für jede Produktivbereitstellung. Sie weisen die Gast-SSID einem dedizierten VLAN zu, beispielsweise VLAN 100, und verwenden ACLs auf dem Gateway, um zu verhindern, dass Gast-Traffic Ihr Unternehmens-VLAN erreicht. Das Muster lautet: Erstellen Sie eine erweiterte Access-List, verweigern Sie IP-Traffic vom Gast-Subnetz zum Unternehmens-Subnetz, lassen Sie alles andere zu und wenden Sie diese Access-List eingehend auf dem Gast-BVI-Interface an. Dies ist dasselbe Prinzip, das Sie auch bei Cisco Meraki, HPE Aruba oder Ruckus anwenden würden – Ruijie hat lediglich seine eigene CLI-Syntax. Sicherheitsstandards sind hierbei wichtig. Ruijie unterstützt WPA3-Personal und den WPA2-Slash-WPA3-Mischmodus auf Gast-SSIDs. Für ein Gastnetzwerk, bei dem Sie einen reibungslosen Zugriff wünschen, betreiben Sie in der Regel eine offene SSID mit Captive Portal-Authentifizierung anstelle eines Pre-Shared Keys. Das Captive Portal wird so zu Ihrer Authentifizierungsebene. Wenn Sie eine stärkere Sicherheit benötigen – beispielsweise im Gesundheitswesen oder im Finanzdienstleistungsbereich –, können Sie IEEE 802.1X darüberlegen und EAP-TLS oder PEAP mit einem RADIUS-Server für eine zertifikatsbasierte oder anmeldedatenbasierte Authentifizierung nutzen. Die Controller der RG-WS-Serie von Ruijie unterstützen vollständiges 802.1X mit dynamischer VLAN-Zuweisung, was bedeutet, dass Sie verschiedenen Benutzergruppen basierend auf RADIUS-Attributen unterschiedliche VLANs zuweisen können. [medium pause] Der Walled Garden – oder die Allowlist – ist ein weiterer Bereich, der häufig zu Problemen führt. Bevor sich ein Gast über das Captive Portal authentifiziert, befindet sich sein Gerät in einem eingeschränkten Zustand. Es kann nur Domains erreichen, die Sie explizit auf die Whitelist gesetzt haben. Mindestens müssen Sie die Domain und IP-Adresse Ihrer Portal-Plattform, alle von Ihnen genutzten Social-Login-Anbieter und Apples Endpunkt zur Erkennung von Captive Portals – captive.apple.com – zulassen. Wenn Sie Letzteres vergessen, wird auf iOS-Geräten ein fehlerhaftes Portal-Erlebnis angezeigt. Sie konfigurieren die Allowlist in der Ruijie Cloud unter „Auth and Account“ und dann „Allowlist“. Fügen Sie jede Domain und IP-Adresse einzeln hinzu. [medium pause] IMPLEMENTIERUNGSEMPFEHLUNGEN UND STOLPERSTEINE. [short pause] Lassen Sie mich Ihnen die vier Entscheidungen vorstellen, die über Erfolg oder Misserfolg Ihrer Ruijie-Gast-WiFi-Bereitstellung entscheiden. Entscheidung eins: natives Portal versus externe Plattform. Wenn Sie mehr als fünf Standorte betreiben oder First-Party-Daten für das Marketing erfassen müssen, sollten Sie eine externe Plattform nutzen. Purple beispielsweise fungiert als hardwareunabhängiges Cloud-Overlay in über 80.000 Live-Standorten. Sie verweisen mit Ihrem Ruijie-Gateway auf die Portal-URL von Purple, konfigurieren die RADIUS-Anmeldedaten und erhalten zentrale Analysen, GDPR-konforme Datenerfassung und CRM-Integrationen – und das alles, ohne die Ruijie-Hardware jemals wieder anzufassen. Purple hat allein im Jahr 2024 bereits 440 Millionen Logins verarbeitet und ist nach ISO 27001 zertifiziert, sodass der Compliance-Aspekt abgedeckt ist. Entscheidung zwei: NAT versus VLAN. Verwenden Sie für Produktivbereitstellungen immer den VLAN-Modus. Der NAT-Modus eignet sich für ein Proof of Concept, aber der VLAN-Modus bietet Ihnen eine echte Layer-3-Isolierung, eine einfachere Verwaltung der Firewall-Richtlinien und die Möglichkeit, QoS-Richtlinien pro VLAN anzuwenden. Entscheidung drei: Bandbreitenmanagement. Die EG-Gateways von Ruijie verfügen über integrierte QoS-Steuerungen. Legen Sie Download- und Upload-Limits pro Benutzer für die Gast-SSID fest – in der Regel zwei bis fahr Megabit pro Sekunde Download für ein Standard-Gastnetzwerk. Dies verhindert, dass ein einzelner Gast, der 4K-Videos streamt, das Erlebnis für alle anderen beeinträchtigt. Wenn Sie eine externe Plattform verwenden, deaktivieren Sie „Client Escape“ auf der Ruijie-Seite, um sicherzustellen, dass die Bandbreitensteuerungen der Plattform korrekt wirksam werden. Entscheidung vier: Sitzungs-Timeout und Re-Authentifizierung. Legen Sie ein vernünftiges Sitzungs-Timeout fest – acht bis 24 Stunden für das Gastgewerbe, kürzer für den Einzelhandel oder Veranstaltungen. Ruijie ermöglicht es Ihnen, dies pro Portal-Richtlinie zu konfigurieren. Verknüpfen Sie dies mit einer Redirect-URL nach dem Login, sodass Gäste nach der Verbindung auf der Website Ihres Standorts oder einer Aktionsseite landen. [medium pause] Der häufigste Stolperstein, den ich beobachte, ist, dass Teams ein Captive Portal bereitstellen, ohne es gleichzeitig auf iOS und Android zu testen. Apple und Google verfügen beide über Mechanismen zur Erkennung von Captive Portals, die sich unterschiedlich verhalten. Testen Sie beide vor dem Go-live. Der zweithäufigste Stolperstein ist das Vergessen der Synchronisierung der Portal-Konfiguration mit dem EG-Produkt in JaCS – es gibt eine explizite Schaltfläche „Synchronisieren“, auf die Sie nach dem Erstellen oder Bearbeiten eines Portals klicken müssen, da das Gateway die Änderungen andernfalls nicht übernimmt. [medium pause] SCHNELLE FRAGEN UND ANTWORTEN. [short pause] Lassen Sie mich die Fragen durchgehen, die mir am häufigsten gestellt werden. Können Ruijie APs ein Captive Portal ohne Gateway betreiben? Ja, auf ReyeeOS 1.219 oder höher, aber der Funktionsumfang ist im Vergleich zu Gateway-basierten Bereitstellungen eingeschränkt. Unterstützt Ruijie 802.1X für Gastnetzwerke? Ja, die Controller der RG-WS-Serie unterstützen volles 802.1X mit dynamischer VLAN-Zuweisung über RADIUS. Kann ich Ruijie mit Purple integrieren? Ja. Konfigurieren Sie den externen Captive Portal-Modus, leiten Sie die Portal-URL an den Endpunkt von Purple weiter, richten Sie die RADIUS-Servergruppe mit den Anmeldedaten von Purple ein und fügen Sie die Domains von Purple zur Freigabeliste hinzu. Die hardwareunabhängige Architektur von Purple übernimmt den Rest. Funktioniert WPA3 mit Captive Portals? Ja. Sie betreiben eine offene SSID für den Captive Portal-Ablauf. WPA3 gilt für authentifizierte SSIDs. Für Gastnetzwerke ist das Portal selbst die Authentifizierungsebene. Welche RADIUS-Ports verwendet Ruijie? Port 1812 für die Authentifizierung und Port 1813 für Accounting – dies sind die von der IANA zugewiesenen Standardports gemäß RFC 2865 und RFC 2866. [medium pause] ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE. [short pause] Zusammenfassend lässt sich sagen: Ruijie Networks bietet Ihnen eine leistungsstarke und flexible Plattform für die Bereitstellung von Gast-WiFi und Captive Portals. Die drei Bereitstellungsmodelle – natives Cloud-Portal, externes RADIUS-basiertes Portal und eigenständiger AP – decken alles ab, vom Boutique-Hotel an einem einzelnen Standort bis hin zu einer Einzelhandelskette mit mehreren Standorten. Die wichtigsten Entscheidungen sind: VLAN-Isolierung über NAT für jede produktive Bereitstellung. Externe Plattform für alle Anwendungsfälle mit mehreren Standorten oder zur Datenerfassung. Eine korrekte Walled-Garden-Konfiguration, um iOS-Authentifizierungsfehler zu vermeiden. Und testen Sie vor der Live-Schaltung immer sowohl auf iOS als auch auf Android. Ihre nächsten Schritte: Überprüfen Sie Ihre aktuellen Ruijie-Firmware-Versionen, um die Kompatibilität mit ReyeeOS zu bestätigen. Entscheiden Sie, ob Sie eine native oder externe Portal-Verwaltung benötigen. Wenn Sie mehr als fünf Standorte betreiben oder Analysen benötigen, sprechen Sie mit Purple über die Integration ihrer Plattform in Ihre Ruijie-Infrastruktur. Purple ist in über 80.000 Standorten im Einsatz, verarbeitet Hunderte Millionen Logins pro Jahr und ist nach ISO 27001, GDPR und Cyber Essentials zertifiziert. Die Integrationsdokumentation von Purple finden Sie unter purple.ai, wo Sie auch eine Demo anfordern können. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.