Drei SSIDs für alle Fälle: Einrichtungsleitfaden für Guest, Passpoint und IoT WiFi

Willkommen bei der technischen Briefing-Reihe von Purple. Heute befassen wir uns mit dem Drei-SSID-WiFi-Design – einer Netzwerkarchitektur, die Gastzugang, sicheres automatisiertes Onboarding und IoT-Geräteverwaltung unter drei zweckbestimmten Drahtlosnetzwerken konsolidiert. Wenn Sie WiFi in einem Hotel, einem Einzelhandelsobjekt, einem Stadion oder einem Konferenzzentrum betreiben, ist dies das Design, das Sie im Jahr 2025 und darüber hinaus implementieren sollten. [medium pause] Lassen Sie mich zunächst den Kontext erläutern. Die meisten Standorte, die wir sehen, betreiben bestenfalls immer noch zwei SSIDs – ein Gastnetzwerk und etwas, das vage als Mitarbeiternetzwerk bezeichnet wird. Das Problem ist, dass diese beiden Netzwerke letztendlich alles tragen. Kartenterminals befinden sich im selben Segment wie die Smartphones der Gäste. Externe Dienstleister verbinden sich mit derselben SSID wie Ihre digitale Beschilderung. IoT-Sensoren teilen sich die Bandbreite mit Besuchern, die Videos streamen. Das ist kein Sicherheitskonzept. Das ist ein Sicherheitsrisiko. Das Drei-SSID-Design löst dies, indem es jeder Geräte- und Benutzerklasse ihr eigenes dediziertes Netzwerk, ihr eigenes VLAN und ihre eigene Authentifizierungsmethode zuweist. Drei SSIDs. Drei VLANs. Eine kohärente Sicherheitsarchitektur. [medium pause] Gehen wir die einzelnen Netzwerke der Reihe nach durch. SSID Nummer eins ist Ihr offenes Gast-WiFi. Dies ist das traditionelle Captive Portal-Netzwerk – dasjenige, das Ihre Besucher sehen, wenn sie ihr Telefon öffnen und eine Verbindung herstellen. Es ist offen, d. h. ohne Pre-Shared Key, da Sie am Verbindungspunkt keinerlei Reibungsverluste wünschen. Die Authentifizierung erfolgt auf der Portalebene. Der Besucher stellt eine Verbindung her, wird auf eine Begrüßungsseite weitergeleitet, akzeptiert Ihre Nutzungsbedingungen und gibt optional eine E-Mail-Adresse oder Telefonnummer an. Das ist Ihre bewusste Einwilligung (Opt-in) zur Einhaltung der GDPR. Die Plattform von Purple übernimmt dies nativ – das Portal erfasst First-Party-Daten, protokolliert den Zeitstempel der Einwilligung und ordnet die Sitzung dem VLAN 10 zu, Ihrem Gastsegment. VLAN 10 erhält ausschließlich Internetzugang. Es kann weder auf Ihre POS-Systeme noch auf Ihre Backoffice-Server oder andere interne Ressourcen zugreifen. Firewall-Regeln setzen dies an der Peripherie durch. Unter Compliance-Gesichtspunkten leistet diese SSID die Hauptarbeit. Die GDPR verlangt, dass Sie die Einwilligung, die Rechtsgrundlage für die Verarbeitung und den Zeitstempel erfassen. Purple protokolliert all dies automatisch. Wenn Sie sich an einem Standort befinden, der unter PCI DSS fällt – beispielsweise ein Hotel mit Zahlungsterminals auf den Zimmern –, muss die Gast-SSID vollständig von jeglicher Karteninhaber-Datenumgebung isoliert sein. Eine VLAN-Segmentierung mit einer Inter-VLAN-Firewall-Richtlinie erreicht dies. [medium pause] SSID Nummer zwei ist Ihr Passpoint-Netzwerk, auch bekannt als Hotspot 2.0. Hier wird das Design erst richtig interessant. Passpoint ist ein IEEE 802.11u-Standard, der es einem Gerät ermöglicht, ein WiFi-Netzwerk automatisch zu erkennen, sich zu authentifizieren und eine Verbindung herzustellen, ohne dass eine Benutzerinteraktion erforderlich ist. Kein Portal. Keine Kennwortabfrage. Das Gerät handelt die Authentifizierung im Hintergrund mittels EAP (Extensible Authentication Protocol) aus und stellt ab dem ersten Paket eine verschlüsselte Verbindung her. Wie weiß ein Gerät, dass es eine Verbindung herstellen soll? Es hat ein Passpoint-Profil installiert. Mit Purple wird dieses Profil über die Purple-App oder über ein SDK bereitgestellt, das Sie in Ihre eigene Marken-App einbetten. Wenn ein wiederkehrender Besucher Ihre Location betritt, erkennt sein Gerät, dass Ihr Passpoint-SSID eine ANQP-Antwort ausstrahlt, gleicht diese mit dem installierten Profil ab und verbindet sich automatisch. Der gesamte Vorgang dauert weniger als zwei Sekunden. Der Nutzer muss sein Telefon nicht einmal berühren. Der Authentifizierungs-Flow verwendet EAP-TLS oder EAP-TTLS mit PEAP, je nach Ihrer Konfiguration. Das Gerät übermittelt Anmeldedaten an Ihren RADIUS-Server – Purple fungiert dabei als dieser RADIUS-Server in der Cloud – und der Server gibt ein RADIUS Access-Accept mit einem VLAN-Zuweisungsattribut zurück. Dieses Attribut teilt dem Access Point mit, auf welchem VLAN diese Sitzung platziert werden soll. So landet ein Nutzer der Loyalty-App beispielsweise auf VLAN 20, das Zugriff auf Ihre Loyalty-Plattform und umfassendere Inhalte bietet. Ein Mitarbeiter, der dieselbe Passpoint-SSID mit anderen Anmeldedaten nutzt, landet auf VLAN 30, das Zugriff auf interne Systeme hat. Eine SSID. Dynamische VLAN-Zuweisung. Richtliniendurchsetzung pro Identität. [medium pause] SSID Nummer drei ist Ihr xPSK-Netzwerk. xPSK ist ein Oberbegriff für iPSK, PPSK, DPSK und MPSK – allesamt Varianten desselben Konzepts von Pre-Shared Keys pro Gerät oder pro Gruppe. Die Idee ist einfach: Statt eines gemeinsamen Passworts für Ihre IoT-Geräte und externen Dienstleister erhält jedes Gerät oder jede Gruppe einen eigenen, eindeutigen Schlüssel. Dieser Schlüssel ist einem bestimmten VLAN zugeordnet. Wenn sich ein Kartenterminal mit seinem Schlüssel verbindet, landet es auf VLAN 40, Ihrem PCI-konformen Zahlungsnetzwerk. Wenn sich ein Digital-Signage-Player mit seinem Schlüssel verbindet, landet er auf VLAN 50, das Zugriff auf Ihren Content-Management-Server, aber auf sonst nichts hat. Wenn sich ein externer Dienstleister mit einem temporären Schlüssel verbindet, landet er auf VLAN 60, das Internetzugang, aber keinen Zugriff auf interne Ressourcen hat. Wenn Sie den Schlüssel dieses Dienstleisters widerrufen, ist er sofort vom Netzwerk getrennt. Es ist keine Passwortänderung auf allen anderen Geräten erforderlich. Der Mechanismus hinter xPSK variiert je nach Hersteller. Bei Cisco Meraki heißt er iPSK – Identity PSK – und funktioniert über RADIUS. Bei HPE Aruba lautet die Entsprechung MPSK, ebenfalls RADIUS-gesteuert. Ruckus nennt es DPSK – Dynamic PSK. Juniper Mist nutzt PPSK mit dynamischer VLAN-Zuweisung über das Cloud-Dashboard von Mist. Ubiquiti UniFi unterstützt in neueren Firmware-Versionen Network Access Control mit VLAN-Zuweisung pro Client. Purple lässt sich mit allen fünf dieser Plattformen als Cloud-RADIUS-Anbieter integrieren. [medium pause] Sprechen wir nun über die Implementierungsreihenfolge. Die Reihenfolge ist entscheidend. Beginnen Sie mit Ihrem VLAN-Design, bevor Sie die Wireless-Konfiguration anpassen. Definieren Sie Ihre VLANs zuerst auf der Switch-Ebene. Konfigurieren Sie Ihre Inter-VLAN-Routing-Richtlinie und sichern Sie diese auf der Firewall ab, bevor sich ein Gerät verbindet. Dies ist der häufigste Fehler, den wir sehen: Teams konfigurieren zuerst das Wireless-Netzwerk und versuchen dann nachträglich, die VLAN-Segmentierung einzurichten. Machen Sie es umgekehrt. Zweitens: Konfigurieren Sie Ihren RADIUS-Server. Navigieren Sie in der Plattform von Purple zum Bereich RADIUS-Konfiguration, generieren Sie Ihre Server-Anmeldedaten und notieren Sie sich die primäre und sekundäre IP-Adresse, den Authentifizierungsport – typischerweise 1812 – sowie das Shared Secret. Drittens: Erstellen Sie Ihre SSIDs. Setzen Sie für die Gäste-SSID die Sicherheit auf „Offen“, aktivieren Sie die Captive Portal-Weiterleitung und leiten Sie die Redirect-URL auf Ihr Purple-Portal um. Aktivieren Sie für die Passpoint-SSID 802.11u und konfigurieren Sie Ihre ANQP-Elemente – Ihren NAI-Realm, Ihre Roaming Consortium OI, falls Sie an OpenRoaming teilnehmen, sowie Ihre Standortinformationen. Legen Sie WPA2-Enterprise oder WPA3-Enterprise als Sicherheitstyp fest. Konfigurieren Sie für die xPSK-SSID die herstellerspezifischen MPSK- oder DPSK-Einstellungen und verweisen Sie bei der Authentifizierung auf Ihren Purple RADIUS-Endpunkt. Viertens: Konfigurieren Sie Ihren Walled Garden für die Gäste-SSID. Fügen Sie die Portal-Domains von Purple, Ihren DNS-Resolver und die Endpunkte zur Erkennung von Captive Portals hinzu, die von iOS und Android verwendet werden – captivedetect.apple.com von Apple und connectivitycheck.gstatic.com von Google. [mittlere Pause] Zwei Praxisbeispiele. Ein Hotel mit 350 Zimmern im Zentrum von London implementierte diese Architektur auf 28 Access Points mit HPE Aruba-Hardware. Vor der Implementierung teilten sich Kartenterminals ein Netzwerksegment mit den Geräten der Gäste – ein Verstoß gegen die PCI-Compliance. Durch das Redesign mit drei SSIDs wurden die Kartenterminals in ein dediziertes VLAN verschoben, dessen Firewall-Regeln nur ausgehenden HTTPS-Verkehr zum Zahlungsabwickler zulassen. Das PCI-Audit wurde im nächsten Zyklus bestanden. Die Erfassung von Gästedaten stieg in den ersten drei Monaten um 34 %, da das Portal-Erlebnis schneller und der Opt-In-Prozess übersichtlicher war. Eine Einzelhandelskette mit 80 Filialen in ganz Großbritannien reduzierte ihre SSID-Anzahl pro Filiale von durchschnittlich 4,2 auf drei. EPOS-Terminals und digitale Beschilderungen wurden auf die xPSK-SSID verschoben, wobei die Schlüssel pro Gerät zentral über Purple verwaltet werden. Die Mitarbeiter wechselten zu einer Passpoint-SSID und nutzten ihre Microsoft Entra ID-Anmeldedaten via EAP-TTLS. Das IT-Team verzeichnete im ersten Quartal nach dem Rollout einen Rückgang der Support-Tickets im Bereich WiFi um 60 %. [mittlere Pause] Einige Fallstricke bei der Implementierung, auf die Sie achten sollten. RADIUS-Timeout-Konfiguration: Wenn Ihre Access Points den Purple RADIUS-Server nicht innerhalb des konfigurierten Timeouts erreichen können, lehnen sie die Verbindung ab. Konfigurieren Sie daher immer sowohl die primäre als auch die sekundäre RADIUS-Serveradresse. VLAN-Tagging auf Trunk-Ports: Jeder Uplink-Port des Access Points muss als Trunk konfiguriert sein, der alle von Ihren SSIDs verwendeten VLANs überträgt. Ein häufiger Fehler besteht darin, das VLAN am Controller zu konfigurieren, aber zu vergessen, es dem Trunk auf dem Switch-Port hinzuzufügen. Passpoint ANQP-Konfiguration: Die NAI-Realm-Liste muss exakt mit der im auf dem Gerät installierten Passpoint-Profil übereinstimmen. Bei einer Abweichung überspringen die Geräte Ihr Netzwerk bei der Erkennung. Testen Sie dies mit einem bekannten, funktionierenden Gerät, bevor Sie das System für die Produktion freigeben. xPSK-Schlüsselrotation: Schlüssel für externe Dienstleister sollten bereits bei der Bereitstellung mit einem Ablaufdatum versehen werden. Mit dem Dashboard von Purple können Sie einzelne Schlüssel widerrufen, ohne andere Geräte im Netzwerk zu beeinträchtigen. [medium pause] Kurze Fragen, schnelle Antworten. Kann ich alle drei SSIDs auf demselben Access Point betreiben? Ja. Halten Sie die Gesamtzahl der SSIDs pro Access Point bei sechs oder weniger, um den Beacon-Overhead zu minimieren. Erfordert Passpoint eine bestimmte App? Bei Purple ist entweder die Purple-App oder ein in Ihre eigene Marken-App integriertes SDK erforderlich. Das SDK übernimmt die Profilbereitstellung geräuschlos im Hintergrund. Ist xPSK PCI-konform für Kartenterminals? Ja, vorausgesetzt, das VLAN, das den Datenverkehr der Zahlungsgeräte überträgt, ist ordnungsgemäß segmentiert und Firewall-Regeln beschränken den Datenverkehr auf das vom Zahlungsabwickler geforderte Maß. Was passiert, wenn ein Gäste-SSID-Portal ausfällt? Konfigurieren Sie eine Fallback-Weiterleitung oder eine lokale Splash-Page auf dem Access-Point-Controller. Die Plattform von Purple läuft mit einer Ausfallsicherheit von 99,999 %, aber eine doppelte Absicherung ist immer eine gute Praxis. [medium pause] Zusammenfassung: Das Drei-SSID-Design bietet Ihnen ein Gästenetzwerk mit einem konformen Captive Portal zur Datenerfassung, ein Passpoint-Netzwerk für ein automatisiertes, sicheres Onboarding über die Purple-App oder das SDK mit dynamischer VLAN-Zuweisung sowie ein xPSK-Netzwerk, das IoT-Geräte, Kartenterminals, Digital Signage, externe Dienstleister und BYOD unter gerätespezifischen Schlüsseln konsolidiert, die bestimmten VLANs zugewiesen sind. Das Ergebnis ist ein höheres Sicherheitsniveau, eine bessere Besucherfahrung und ein Netzwerk, das sich auch in großem Maßstab problemlos verwalten lässt. Beginnen Sie mit Ihrem VLAN-Design, konfigurieren Sie RADIUS, erstellen Sie Ihre SSIDs und richten Sie Ihren Walled Garden ein. Das Onboarding-Team von Purple kann Sie durch die Konfiguration für Ihre spezifische Hardwareplattform führen. Der vollständige schriftliche Leitfaden ist unter purple.ai verfügbar. Suchen Sie nach "three SSIDs to rule them all" für die Schritt-für-Schritt-Konfigurationsanleitung mit herstellerspezifischen Details für Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist und Ubiquiti UniFi. Vielen Dank fürs Zuhören.