Configuración del Captive Portal de FortiGate con un servidor de portal externo

En FortiGate, un Captive Portal externo requiere cuatro cosas. Configure el SSID o el modo de seguridad de la interfaz en Captive Portal con una URL de portal externo. Apunte la autenticación y el accounting a un servidor RADIUS. Exima los dominios del portal y de inicio de sesión social de la autenticación, e instale un certificado de confianza para que el post-back HTTPS no genere advertencias en el navegador.

¿Qué hace realmente un Captive Portal externo en FortiGate?

Un Captive Portal es la página web que un visitante debe completar antes de que la red permita la salida de su tráfico. En una configuración externa, FortiGate aplica el portal y un servidor independiente aloja la página. Con Purple, ese servidor es nuestra plataforma de Guest WiFi.

El inicio de sesión consta de cinco etapas:

1. El invitado se conecta a un SSID (el nombre de la red) abierto emitido por un FortiAP, o a una red detrás de una interfaz FortiGate. Recibe una dirección IP.
2. El dispositivo realiza su primera solicitud web. FortiGate la intercepta y redirige el navegador a la URL del portal externo. Añade parámetros que identifican la sesión, la dirección MAC del cliente y la propia dirección de inicio de sesión de FortiGate.
3. El invitado completa la página de bienvenida de Purple: un formulario, un inicio de sesión social o la aceptación de términos.
4. El portal envía las credenciales de vuelta al listener de autenticación de FortiGate. De forma predeterminada, este escucha en TCP 1000 para HTTP y TCP 1003 para HTTPS.
5. FortiGate envía un RADIUS Access-Request a Purple. Al recibir Access-Accept, marca el dispositivo como autenticado y aplica la política de firewall para invitados. Los mensajes de accounting comunican entonces el inicio de la sesión, el uso intermedio y la finalización.

RADIUS (Remote Authentication Dial-In User Service) es el protocolo que utiliza FortiGate para preguntar "¿puede conectarse este dispositivo?". Está definido en RFC 2865, y el accounting en RFC 2866.

La división del trabajo es la clave. FortiGate se encarga de la aplicación: política de firewall, NAT y estado de la sesión. Purple gestiona la identidad, el consentimiento y los datos de los invitados. Puede modificar la página de bienvenida de todas sus instalaciones en Purple sin tocar FortiOS.

¿Portal integrado o portal externo?

FortiOS incluye su propio Captive Portal. Funciona y, para una sola ubicación con una página de aviso legal, puede ser suficiente. La tabla muestra en qué se diferencian ambos enfoques.

	Portal integrado de FortiGate	Portal externo con Purple
Dónde reside la página	HTML de mensaje de sustitución en cada FortiGate	Alojada por Purple, un único diseño para cada ubicación
Opciones de inicio de sesión	Tipos de portal con autenticación, aviso legal y recopilación de correo electrónico	Formularios, inicio de sesión social y aceptación de términos
Cómo se concede el acceso	Grupos de usuarios de firewall locales o remotos	RADIUS a Purple en UDP 1812
Gestión del consentimiento	Solo captura de correo electrónico; los registros de aceptación debe crearlos usted	Aceptaciones explícitas registradas por invitado
Cambiar la página en 40 ubicaciones	Editar cada FortiGate o aplicar mediante FortiManager	Un solo cambio en Purple
Informes	Registros de FortiGate y FortiAnalyzer	Paneles de WiFi Analytics por espacio
Entornos multifabricante	Solo hardware Fortinet	El mismo portal en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet
Uso ideal	Un solo centro, acceso solo con aviso legal	Entornos multicentro que buscan datos propios

¿Qué necesita antes de iniciar la configuración del Captive Portal de FortiGate?

Recopile estos elementos antes de abrir la GUI de FortiGate. La mayoría de los despliegues fallidos se deben a que falta algún punto de esta lista.

• Un FortiGate con una versión de FortiOS compatible. El FortiGate gestiona sus FortiAP como controlador inalámbrico o una de sus interfaces da servicio a la red de invitados. El modo interfaz cubre puntos de acceso de terceros y puertos de invitados por cable.
• Un segmento de red de invitados. Ubique a los invitados en su propia VLAN (LAN virtual, un dominio de difusión de Capa 2 independiente) o en una interfaz SSID dedicada. Nunca comparta una subred con el personal o los dispositivos de pago; la normativa PCI-DSS exige que los sistemas de titulares de tarjetas estén segmentados de las redes no seguras.
• Los valores de su cuenta de Purple. Necesitará la URL del portal externo, las direcciones del servidor RADIUS y el secreto compartido. Estos datos se obtienen del artículo de soporte de FortiGate en Purple y de su panel de control de Purple. Son específicos de su cuenta, por lo que nunca debe copiarlos de un foro.
• Alcance de salida. El FortiGate debe tener acceso a los servidores RADIUS de Purple a través del puerto UDP 1812 para autenticación y UDP 1813 para contabilidad (accounting).
• Un certificado con confianza pública. Debe cubrir un nombre de host que resuelva la dirección de la interfaz de invitados del FortiGate. En la sección de certificados que aparece más abajo se explica el motivo.
• Un inventario de la lista de excepciones. Decida qué métodos de inicio de sesión ofrecerá, ya que cada uno añade dominios a su jardín vallado (walled garden).
• Una cobertura fiable. Un portal no puede solucionar una señal débil. Si los invitados se quejan de interrupciones, realice primero un estudio de cobertura; nuestra guía sobre estudios de cobertura WiFi explica la metodología.

¿Qué cambia entre las distintas versiones de FortiOS?

Fortinet cambia de sitio y de nombre los ajustes del Captive Portal entre las distintas versiones principales de FortiOS. En algunas versiones, opciones como la lista de excepciones o el certificado de autenticación son más fáciles de configurar, o solo están disponibles, a través de la CLI. Los SSID en modo bridge y en modo tunnel también pueden comportarse de forma diferente según el firmware.

Tres hábitos le protegerán:

• Consulte la Guía de administración de la versión exacta de FortiOS que utilice en la Biblioteca de documentos de Fortinet, no la de la última versión.
• Revise las notas de la versión para comprobar los cambios en el Captive Portal y RADIUS antes de cada actualización.
• Vuelva a ejecutar su matriz de pruebas completa después de cada actualización de firmware, antes de que los invitados detecten el problema por usted.

¿Cómo se configura un Captive Portal en FortiGate con un servidor de portal externo?

La siguiente secuencia funciona tanto para los SSID de FortiAP como para las interfaces de FortiGate. El artículo de soporte de FortiGate en Purple contiene los valores exactos y las capturas de pantalla para cada paso. Utilícelo junto con este resumen.

Paso 1: añadir Purple como servidor RADIUS

Cree un objeto de servidor RADIUS en el FortiGate. Introduzca las direcciones de servidor de Purple y el secreto compartido de su cuenta. Habilite la contabilidad para que FortiGate envíe registros de inicio, intermedios y de fin de sesión a Purple.

Si el FortiGate tiene más de un enlace WAN, configure la dirección de origen RADIUS de forma explícita. Las solicitudes RADIUS siempre deben salir desde la dirección que Purple espera; de lo contrario, una conmutación por error desactivará los inicios de sesión de forma silenciosa. Utilice la prueba de conectividad integrada en el objeto RADIUS antes de continuar.

Paso 2: crear un grupo de usuarios de firewall

Cree un grupo de usuarios de tipo firewall y añada el servidor RADIUS de Purple como servidor remoto. El Captive Portal autenticará a los invitados contra este grupo. Mantenga un grupo por fuente de autenticación para que la resolución de problemas sea clara.

Paso 3: establecer el modo de seguridad en Captive Portal

Para FortiAP, edite el SSID de invitados. Para puntos de acceso cableados o de terceros, edite la interfaz de invitados. A continuación:

• Establezca el modo de seguridad en Captive Portal.
• Elija el tipo de portal de autenticación y seleccione la opción de portal externo.
• Pegue la URL del portal externo de Purple.
• Seleccione el grupo de usuarios del Paso 2.
• Elija la redirección tras el inicio de sesión: la URL original del invitado o una página que especifique.

En FortiAP, asigne el SSID al perfil de FortiAP utilizado por sus puntos de acceso. La documentación de Fortinet utiliza el modo túnel como referencia para los SSID con Captive Portal. Si realiza un puente de forma local, confirme que su firmware admite Captive Portal en ese modo.

Paso 4: crear la lista de excepciones

Cree objetos de dirección de firewall para cada destino al que los invitados deban acceder antes de la autenticación. Adjúntelos al SSID o a la interfaz como lista de excepciones de seguridad. La siguiente sección detalla qué debe incluirse allí y qué debe quedar fuera.

Paso 5: redactar la política de firewall para invitados

Cree una política desde el SSID o la interfaz de invitados hacia la WAN, con NAT habilitado. Aplique los perfiles de filtro web y control de aplicaciones que requiera su política de uso aceptable. Asegúrese de que los invitados puedan resolver DNS antes de autenticarse o la redirección nunca se activará.

Paso 6: instalar el certificado y utilizar HTTPS para la respuesta (post-back)

Importe su certificado con confianza pública y configure FortiGate para que lo use en la autenticación. Apunte la respuesta (post-back) del portal al agente de escucha HTTPS, utilizando el nombre de host de ese certificado. Esto elimina la advertencia que los invitados verían al enviar el formulario.

Paso 7: alinear los tiempos de espera (timeouts)

El tiempo de espera de autenticación de FortiGate decide cuánto tiempo permanece un dispositivo autenticado en la lista. La configuración de sesión de Purple decide qué ve un invitado que regresa. Si su firmware admite el atributo Session-Timeout de RADIUS (RFC 2865), permita que Purple configure la duración de la sesión desde un único lugar.

¿Qué debe incluir la lista de excepciones de FortiGate?

La lista de excepciones es el recinto vallado (walled garden) de FortiGate: destinos a los que un dispositivo puede acceder antes de autenticarse. Si es demasiado corta, el portal fallará. Si es demasiado larga, los invitados navegarán sin iniciar sesión nunca.

Categoría	Entradas de ejemplo	Por qué	¿Exento?
Portal y recursos de Purple	Nombres de host enumerados en el artículo de soporte de FortiGate de Purple	Carga la página de acceso, imágenes y scripts	Sí
Proveedores de inicio de sesión social	Dominios de inicio de sesión para Facebook, Google, Apple y Microsoft, como objetos FQDN con comodines	El inicio de sesión OAuth debe completarse antes de la autenticación	Sí, solo para los proveedores que habilite
Sus propias páginas de información	Sitio de información para pacientes de un hospital, página del día del partido de un estadio	Los visitantes acceden a información esencial sin iniciar sesión	Opcional
Detección de red cautiva del SO	captive.apple.com, connectivitycheck.gstatic.com, www.msftconnecttest.com	La comprobación debe fallar para que el dispositivo abra la pantalla de inicio de sesión	No, nunca
Navegación general	Sitios de noticias, búsqueda y streaming	Anula el portal	No

Dos reglas evitan la mayoría de los fallos en el walled garden.

Utilice objetos FQDN, no direcciones IP. Los proveedores de inicio de sesión social sirven páginas de inicio de sesión desde redes de entrega de contenido (CDN) cuyas direcciones cambian constantemente. Una lista de IP estáticas se queda obsoleta en cuestión de semanas.

Haga que el FortiGate y el invitado coincidan en el DNS. FortiGate resuelve los objetos de dirección FQDN por sí mismo. Los objetos FQDN con comodines se rellenan a partir de las respuestas DNS que pasan a través del FortiGate. Si el DHCP entrega a los invitados un resolvedor público, el invitado y el FortiGate pueden recibir direcciones CDN diferentes, y la entrada exenta no se aplicará. Entregue el FortiGate, o el resolvedor que este utilice, como el servidor DNS del invitado.

Para sitios de Sanidad, eximir una página de información para pacientes permite a los visitantes consultar los horarios de las salas sin iniciar sesión. Mantenga estas entradas en una lista corta y con nombre, y revísela trimestralmente.

¿Por qué el Captive Portal de FortiGate muestra un error de certificado?

Dos momentos diferentes producen advertencias de certificado. Tienen causas diferentes y soluciones diferentes.

Advertencia 1: el invitado abre un sitio HTTPS antes de iniciar sesión

La mayor parte de la navegación es HTTPS. Para redirigirla, FortiGate debe responder él mismo al enlace TLS, presentando su propio certificado para un sitio que no le pertenece. El navegador detecta una discrepancia de nombre y emite una advertencia. Ningún certificado puede solucionar esto, porque ningún certificado es válido para todos los sitios web.

Los sitios web incluidos en la lista de precarga HSTS (HTTP Strict Transport Security, que indica a los navegadores que rechacen las conexiones no seguras) no se pueden omitir haciendo clic. Los sitios web bancarios y de correo electrónico suelen pertenecer a este grupo.

La solución consiste en confiar en la detección de red cautiva del sistema operativo. iOS, Android, Windows y macOS realizan una comprobación en una URL HTTP estándar al unirse a una red. FortiGate redirige esa comprobación y el dispositivo abre la pantalla de inicio de sesión antes de que el invitado abra un navegador. Por este motivo, los dominios de detección nunca deben estar en la lista de exenciones.

Advertencia 2: el invitado envía el formulario del portal

Una vez que el invitado completa la página de Purple, el navegador envía la información al agente de escucha de autenticación de FortiGate. Si ese agente de escucha utiliza el certificado de fábrica, el navegador emite una advertencia porque el certificado está autofirmado.

Si el portal realiza el envío al agente de escucha HTTP en su lugar, Chrome advierte que el formulario no es seguro. La página es HTTPS, pero el formulario se envía mediante HTTP.

La solución es el Paso 6: un certificado de confianza pública en un nombre de host que resuelva a la interfaz de invitados de FortiGate, con el reenvío a través de HTTPS. Renuévelo antes de su caducidad. Un certificado de autenticación caducado interrumpe todos los inicios de sesión a la vez, en todos los SSID de ese FortiGate.

¿Cómo comprobar que el portal de invitados de FortiGate funciona?

Realice las pruebas en dispositivos reales, no solo en un portátil. Cree una matriz de iOS, Android, Windows y macOS, y ejecute cada comprobación en cada plataforma.

1. Conéctese al SSID. La ventana de inicio de sesión debería abrirse automáticamente en cuestión de segundos. Si no es así, revise la lista de exenciones para ver los dominios de detección.
2. Complete cada método de inicio de sesión. Pruebe el formulario, cada proveedor social que haya habilitado y la aceptación de los términos.
3. Esté atento a las advertencias. No debería aparecer ninguna advertencia de certificado en ningún punto del flujo.
4. Confirme la autenticación en el FortiGate. El monitor de usuarios autenticados del firewall debería listar el dispositivo en el grupo de invitados.
5. Confirme RADIUS desde la CLI. diagnose test authserver radius prueba el objeto de servidor directamente. diagnose debug application fnbamd -1, con el depurador habilitado, muestra cada respuesta y Access-Request en tiempo real.
6. Confirme la contabilidad en Purple. La sesión debería aparecer con un registro de inicio, luego actualizaciones intermedias y, finalmente, un registro de parada cuando el invitado se marche.
7. Pruebe la visita de regreso. Vuelva a conectarse después del tiempo de espera y compruebe que el invitado vea la página prevista.

¿Qué fallos suelen surgir con un Captive Portal de FortiGate y cómo solucionarlos?

Síntoma	Causa probable	Solución
La ventana de inicio de sesión nunca aparece; el dispositivo indica "conectado"	Dominios de detección en la lista de exenciones, o una directiva que permite el tráfico antes de la autenticación	Elimine captive.apple.com y entradas similares; compruebe que la directiva de invitados requiera autenticación
La página de inicio carga en blanco o sin estilos	Faltan los nombres de host de recursos de Purple en la lista de exenciones	Añada cada nombre de host mencionado en el artículo de soporte de FortiGate de Purple
Advertencia de certificado al navegar antes de iniciar sesión	FortiGate está interceptando un sitio HTTPS	Comportamiento esperado; los invitados deben usar la ventana de inicio de sesión o abrir una página HTTP
Advertencia de certificado al enviar el formulario	Certificado de fábrica en el agente de escucha de autenticación	Instale un certificado de confianza y realice el envío a través de HTTPS
El inicio de sesión social se queda cargando o falla	Los dominios del proveedor no están exentos, o hay un desajuste de DNS entre el invitado y FortiGate	Utilice objetos FQDN con comodines; configure el FortiGate como DNS de invitados
El portal acepta los datos pero no hay internet a continuación	Rechazo o tiempo de espera agotado de RADIUS: secreto compartido incorrecto, dirección de origen incorrecta, UDP 1812 bloqueado	Ejecute la prueba authserver; lea la salida de depuración de fnbamd
Se pide a los invitados que inicien sesión con demasiada frecuencia	Tiempo de espera de autenticación o de inactividad corto	Alinee los tiempos de espera de FortiGate con la configuración de sesión de Purple
Sesiones que faltan en los informes	Accounting desactivado o UDP 1813 bloqueado	Active el accounting en el objeto RADIUS; abra el puerto UDP 1813
Los inicios de sesión fallan tras actualizar el firmware	Ajustes movidos o valores predeterminados cambiados en la nueva versión	Vuelva a verificar las notas de la versión y ejecute de nuevo la matriz de pruebas

¿Cómo se aplica esto en instalaciones reales?

Escenario 1: un hotel de 200 habitaciones que sustituye a un proveedor anterior de WiFi para invitados

Situación. Un hotel de 200 habitaciones ejecutaba un FortiGate con 30 FortiAPs y un SSID de invitados en modo túnel. Los huéspedes con iPhone no veían la pantalla de inicio de sesión y abrían Safari en su lugar. Aquellos que conseguían llegar a la página se encontraban con una advertencia de certificado al enviarla.

Qué se hizo. El ingeniero encontró captive.apple.com en la lista de excepciones, dejada por el proveedor anterior, y la eliminó. Instaló un certificado de confianza pública en un nombre de host que resolvía a la interfaz de invitados y cambió el post-back a HTTPS. Añadió los servidores RADIUS de Purple con el accounting activado.

Resultado. En la matriz de pruebas posterior al cambio, la pantalla de inicio de sesión se abrió automáticamente en las cuatro plataformas. Aparecieron cero advertencias de certificado en el flujo de inicio de sesión. Los registros de sesión con entradas de inicio, intermedias y de parada llegaron a Purple para cada sesión de prueba. Para obtener más información sobre implementaciones en hoteles, consulte Hoteles.

Escenario 2: una cadena minorista de 40 tiendas gestionada por un MSP

Situación. Un MSP ejecutaba un FortiGate por tienda para una cadena del sector Retail de 40 tiendas. Los compradores informaron de fallos intermitentes con el inicio de sesión de Google y Apple, pero solo en algunas tiendas.

Qué se hizo. El DHCP de las tiendas afectadas asignaba a los compradores un resolvedor DNS público. El FortiGate resolvía los nombres de host CDN de los proveedores a direcciones diferentes, por lo que las entradas exentas no coincidían. El MSP cambió los proveedores a objetos FQDN con comodines y convirtió al FortiGate en el servidor DNS para invitados. Probaron el cambio en tres tiendas antes de desplegarlo a través de FortiManager.

Resultado. Los tres métodos de inicio de sesión social se completaron en todas las pruebas piloto, en todas las plataformas. A continuación, el MSP aplicó la misma plantilla a las 37 tiendas restantes. Si revende WiFi para invitados a clientes como este, nuestra guía sobre software de Captive Portal de marca blanca cubre las comprobaciones comerciales.

Escenario 3: una biblioteca municipal con quioscos públicos por cable

Situación. La red de una biblioteca municipal ofrecía WiFi para invitados en puntos de acceso de terceros y cuatro quioscos públicos conectados por cable. Ambos se conectaban a través de un FortiGate. El ayuntamiento quería una sola página de términos y un único registro de auditoría.

Qué se hizo. El ingeniero activó el Captive Portal en la interfaz de invitados del FortiGate en lugar de en un SSID. El mismo portal externo de Purple y el mismo grupo RADIUS sirvieron tanto a los visitantes inalámbricos como a las sesiones de los quioscos.

Resultado. Tanto las sesiones inalámbricas como las cableadas aparecieron en un único registro de accounting en Purple, asociadas a un solo registro de aceptación de términos. Esto dio al ayuntamiento una respuesta única cuando se le preguntó quién utilizó la red y cuándo.

¿Cuánto cuesta y qué se obtiene a cambio?

Lo que cuesta

El coste de hardware suele ser nulo. El Captive Portal y el cliente RADIUS forman parte de FortiOS, por lo que configura los FortiGate y FortiAPs que ya posee. Purple es independiente del hardware: el mismo portal se ejecuta en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Nuestro artículo sobre por qué su próxima actualización de WiFi no necesita hardware nuevo explica el caso general.

El coste de software es el plan de Purple: Connect, Capture o Engage. Cada uno se tarifica de forma diferente según se cuenten los sitios, los puntos de acceso o los invitados. Nuestra guía sobre modelos de precios de Captive Portal compara los modelos por sitio, por punto de acceso y por usuario.

El coste de esfuerzo es el tiempo de ingeniería por sitio. Cree una plantilla una vez, pruébela en un piloto y aplique la plantilla a través de FortiManager para toda la red de instalaciones.

Lo que obtiene a cambio

• Datos de primera parte con consentimiento. Purple registra las autorizaciones explícitas de cada invitado. El tratamiento de datos cumple con el GDPR, y Purple cuenta con las certificaciones ISO 27001, Cyber Essentials y B Corp.
• Un único portal en toda la red de instalaciones. Cambie la página de bienvenida una sola vez en lugar de hacerlo en cada FortiGate, incluidos los sitios con otro hardware.
• Informes sobre los que puede actuar. Los datos de contabilidad alimentan la analítica de WiFi: visitas, tiempo de permanencia y tasas de retorno por ubicación.
• Una plataforma a gran escala. Purple opera en más de 80.000 ubicaciones activas y gestionó 440 millones de inicios de sesión en 2024 (datos propios de Purple). Para los operadores de hostelería, nuestra guía sobre WiFi en restaurantes cubre la cobertura y la seguridad en el Reino Unido.

Preguntas frecuentes

¿Funciona Purple con mi hardware FortiGate y FortiAP existente?

Sí, Purple se ejecuta en su red de FortiGate y FortiAP existente sin necesidad de nuevo hardware. FortiGate aplica el Captive Portal y envía la autenticación y contabilidad RADIUS a Purple, mientras que Purple aloja la página de bienvenida. El mismo enfoque cubre puntos de acceso de terceros detrás de una interfaz FortiGate. Purple también es compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium y Extreme, por lo que una red mixta comparte un único portal.

¿Necesito una licencia de Fortinet adicional para un Captive Portal externo?

No, el Captive Portal y el cliente RADIUS son funciones estándar de FortiOS, por lo que FortiGate no necesita una licencia de portal independiente. Necesita una versión de FortiOS compatible y, para redes inalámbricas, FortiAPs gestionados por FortiGate. El plan de Purple, ya sea Connect, Capture o Engage, se licencia por separado. Nuestra guía sobre modelos de precios de Captive Portal explica cómo se comparan los precios por sitio, por punto de acceso y por usuario.

¿Puedo cambiar de mi proveedor de WiFi de invitados actual sin tiempo de inactividad?

Sí, si construye la configuración de Purple en paralelo antes de realizar el cambio. Añada los servidores RADIUS de Purple y un nuevo grupo de usuarios junto a los existentes y, a continuación, cree un SSID o interfaz de prueba utilizando dichos elementos. Ejecute la matriz de prueba de dispositivos completa en esa red de prueba. Cuando la supere, vuelva a apuntar el SSID de invitados en vivo y elimine las entradas de la lista de exenciones del antiguo proveedor, especialmente cualquier dominio de detección de redes cautivas.

¿Los datos de invitados capturados a través de un portal de FortiGate cumplen con el GDPR?

Sí, cuando el portal se ejecuta en Purple, el consentimiento y el tratamiento de datos cumplen con el GDPR. Purple registra la aceptación explícita de cada invitado, de modo que el consentimiento de marketing es independiente del acceso a la red. Purple cuenta con las certificaciones ISO 27001 y Cyber Essentials. FortiGate pasa los detalles de la sesión, como la dirección MAC del cliente, al portal, pero los registros de los invitados se almacenan en Purple. Usted sigue siendo el responsable del tratamiento de los datos y establece su propia retención y aviso de privacidad.

¿Debo utilizar el portal integrado de FortiGate o un portal externo?

Utilice el portal integrado para un solo centro que solo necesite una página de exención de responsabilidad. Utilice un portal externo cuando gestione varios centros, desee un inicio de sesión social o datos de primera mano, o gestione hardware mixto. La página integrada reside en cada FortiGate y debe editarse centro por centro. Un portal externo de Purple se modifica en un solo lugar y registra las aceptaciones y las analíticas de sesión de cada establecimiento.

¿Cuánto esfuerzo de ingeniería requiere un despliegue de FortiGate?

Un solo centro es un cambio de configuración, no un proyecto de hardware. Debe crear un objeto de servidor RADIUS, un grupo de usuarios, un cambio de SSID o de interfaz, una lista de exenciones, una directiva y un certificado. La mayor parte del esfuerzo se dedica a realizar pruebas en iOS, Android, Windows y macOS. Para grandes instalaciones, cree la configuración una vez como una plantilla de FortiManager, realice una prueba piloto en unos pocos centros y, a continuación, despliéguela en todas partes.

¿Puede un MSP ejecutar Purple en múltiples FortiGate de clientes?

Sí, los MSP ejecutan Purple en múltiples FortiGate de clientes desde una sola estructura de cuenta. Cada centro de cliente utiliza el mismo patrón de configuración, por lo que puede utilizarlo como plantilla en FortiManager y desplegarlo por lotes. El diseño independiente del hardware de Purple permite que los clientes en Cisco Meraki, HPE Aruba o Ruckus utilicen el mismo portal. Consulte los términos comerciales en nuestra guía para software de Captive Portal de marca blanca antes de firmar.

¿Funciona el portal externo en redes de invitados cableadas?

Sí, FortiGate puede aplicar un Captive Portal tanto en una interfaz como en un SSID de FortiAP. Habilite el Captive Portal en la interfaz que da servicio a la VLAN de invitados cableada, seleccione el portal externo y apúntelo al mismo grupo RADIUS de Purple. De este modo, los quioscos, los puertos de las salas de reuniones y los puntos de acceso de terceros comparten la misma página de bienvenida, el mismo registro de aceptación de términos y el mismo registro de contabilidad con sus invitados de la red WiFi.