Saltar al contenido principal
Español

Guía paso a paso: Configuración de controladores inalámbricos Ruijie para Captive Portals de WiFi de invitados

Esta guía ofrece un recorrido técnico completo para configurar controladores inalámbricos y gateways de Ruijie para implementar Captive Portals de WiFi de invitados de nivel empresarial. Cubre la segmentación de VLAN, la autenticación RADIUS externa a través del protocolo WISPr, la configuración de walled garden y la integración perfecta con la plataforma Identity-Based Networks de Purple para capturar datos de origen (first-party data) y generar un valor comercial medible en entornos de hostelería, retail y sector público.

📖 8 min de lectura📝 1,834 palabras🔧 2 ejemplos prácticos❓ 4 preguntas de práctica📚 9 definiciones clave

Escuchar esta guía

Ver transcripción del podcast
Welcome to the Purple technical briefing series. Today we are covering one of the most frequently searched topics in enterprise wireless: how to configure Ruijie wireless controllers for secure guest WiFi captive portals. I am your host, and this is a ten-minute briefing designed for IT managers, network architects, and venue operations directors who need to get this right, first time. Let us start with context. If you manage IT for a hotel, a retail chain, a conference centre, or a large public venue, guest WiFi is no longer just an amenity. It is a fundamental operational requirement. Guests expect it. Regulators require you to handle their data responsibly. And your marketing team wants the first-party data it generates. The challenge is deploying it securely across a distributed estate, at scale, without creating a compliance headache. Ruijie Networks is one of the world's largest enterprise networking vendors, with a significant installed base across hospitality, retail, and public sector environments. Their RG-WS series wireless controllers and RG-EG series gateways are capable platforms for enterprise guest WiFi, but the captive portal configuration requires precise execution. Get it wrong, and you end up with either a security gap or a portal that simply does not work. Now let us get into the technical architecture. The absolute foundation of any secure guest network is traffic isolation. You cannot have guest devices sitting on the same network segment as your payment terminals, your staff laptops, or your back-office servers. The mechanism for this is VLAN segmentation. In a Ruijie environment, you create a dedicated guest VLAN on your core switch, assign it a separate IP subnet, and trunk it through to your access points. A typical deployment might use VLAN ten for corporate, VLAN twenty for voice, VLAN thirty for guest, and VLAN ninety-nine for management. This is non-negotiable. If you skip this step, you have convenient WiFi, not secure WiFi. Once the network is correctly segmented, we move to authentication. A shared pre-shared key is not enterprise security. It offers no accountability, no individual session tracking, and no way to revoke access for a single user without changing the password for everyone. Instead, we use an external captive portal with RADIUS authentication. Here is how the flow works. A guest connects to the open SSID broadcast by the Ruijie access point. The Ruijie gateway intercepts their HTTP traffic and issues a redirect to an external splash page - in this case hosted by Purple. The guest sees a branded login page. They authenticate, perhaps via email registration, social login, or a one-click accept. Purple's servers process that authentication and send a RADIUS Accept message back to the Ruijie controller. The controller then grants the device internet access. This entire flow uses the WISPr protocol, which is the standard framework for external captive portal authentication in enterprise wireless. The business value here is significant. Every authentication event captures a consent record. Purple's platform stores that data in a GDPR and CCPA-compliant manner, builds a first-party marketing database, and feeds analytics back to your team. Harrods used this approach to promote their loyalty programme and achieved a fifty-seven times return on investment. c2c Rail achieved a hundred and twenty-one percent return on investment and saved seventy-six thousand pounds in operational costs. That is the commercial case for doing this properly. Now let us walk through the specific configuration steps in the Ruijie Cloud or local controller interface. Step one: create the guest SSID. Log in to Ruijie Cloud or your local controller. Navigate to Device Config, select Wi-Fi under Wireless, and create a new SSID. Name it something clear, like Free Guest WiFi. Set the security mode to Open, and assign it to your guest VLAN. Step two: define the captive portal policy. Navigate to Auth and Account, then select Captive Portal under Authentication. Create a new policy. Set the Policy Mode to External. Set the Authentication Device to your Ruijie gateway or access point. Select the guest SSID. In the Portal Server URL field, enter your Purple splash page URL. Enter the Purple RADIUS server IP addresses. Step three: configure the Walled Garden, which Ruijie calls the Allowlist. This is the most commonly misconfigured element in any captive portal deployment. The Walled Garden defines what traffic can pass before the user authenticates. If you do not explicitly allow the Purple domains, the splash page will not load. If you offer Facebook or Google login but do not allow their OAuth domains, the authentication will hang at the social login button. Add all required Purple infrastructure domains, and all social provider domains you intend to support. Step four: configure RADIUS. Add the primary and secondary Purple RADIUS server IP addresses. Enter the shared secret from your Purple dashboard. Ensure RADIUS accounting is enabled on port 1813. This allows Purple to track session duration and data usage accurately, which feeds directly into your analytics reports. Step five: apply QoS policies. Unrestricted guest access can saturate your internet link. Set hard bandwidth limits per user on the Ruijie gateway - typically five to ten megabits down and two to five up for a standard hospitality deployment. This protects the experience for all guests and prevents a single device from degrading the network. Now let us cover the critical implementation pitfalls. The first is the Walled Garden. I cannot overstate how often this is the root cause of a failed deployment. Test your portal from a clean device with no cached credentials. If the page does not load, check your allowlist first. The second pitfall is the Portal Escape setting. This Ruijie feature automatically releases user traffic if the access point and portal server become unreachable. It sounds helpful, but it means unauthenticated users get internet access during an outage. In an enterprise environment where consent capture is a legal requirement, you want this disabled to enforce strict authentication at all times. The third pitfall is firmware versions. Some captive portal features - particularly around bandwidth controls and dynamic VLAN assignment - require specific firmware versions on the Ruijie gateway. Check the Ruijie release notes before you deploy, and ensure your devices are running a supported firmware version. Now for rapid-fire questions. Should I handle the captive portal on the access point or the gateway? In a Ruijie enterprise deployment, handle it at the gateway. The RG-EG series gateways are designed to manage the external portal interception and enforce QoS policies. Access points focus on RF performance and SSID broadcast. Can I run multiple captive portals on different SSIDs? Yes. Ruijie supports multiple captive portal policies mapped to different SSIDs. You might have a standard guest portal on one SSID and a paid premium portal on another, each with different bandwidth limits and authentication methods. How do I handle a multi-site deployment? Use Ruijie Cloud to manage configuration centrally. You can push portal policies across all sites simultaneously, ensuring consistency and eliminating per-site configuration drift. To summarise the key takeaways. Segment your traffic with VLANs before you do anything else. Use external RADIUS authentication to capture compliant, first-party data. Configure your Walled Garden meticulously and test it from a clean device. Make a deliberate decision on Portal Escape based on your compliance requirements. Apply QoS to protect the user experience. And integrate your Ruijie infrastructure with Purple's Identity-Based Networks to turn a basic connection into a secure, data-driven, revenue-generating asset. Purple operates across more than eighty thousand live venues, has processed four hundred and forty million logins in 2024, and holds ISO 27001, GDPR, CCPA, and Cyber Essentials certifications. We are hardware-agnostic, which means your Ruijie investment is fully compatible with our cloud overlay platform. Thank you for listening. If you want to explore how Purple integrates with your Ruijie estate, visit purple dot ai slash guest dash wifi. Deploy securely, and we will see you in the next briefing.

header_image.png

Resumen ejecutivo

Implementar WiFi de invitados en una empresa distribuida requiere algo más que un SSID abierto. Para los responsables de TI y arquitectos de red, el desafío consiste en equilibrar un acceso sin fricciones con una seguridad estricta, el cumplimiento del GDPR y los requisitos de captura de datos. Esta guía detalla los pasos de configuración exactos para implementar un Captive Portal seguro y escalable utilizando controladores inalámbricos y gateways de Ruijie, y muestra cómo la integración de esa infraestructura con la plataforma de Guest WiFi de Purple transforma una conexión inalámbrica básica en un activo de generación de ingresos que cumple con la normativa.

Cubrimos los requisitos técnicos previos, las estrategias de segmentación de VLAN, la autenticación RADIUS externa a través del protocolo WISPr, la configuración de walled garden y los ajustes específicos de QoS necesarios para una implementación en producción. Ya sea que gestione un hotel de 200 habitaciones, una cadena de retail de 50 establecimientos o un estadio con 40 000 asistentes, esta guía proporciona el plan de referencia definitivo para una configuración segura de Captive Portal de Ruijie. Purple opera en más de 80 000 establecimientos activos y procesó 440 millones de inicios de sesión en 2024 (datos internos de Purple), por lo que los patrones de integración descritos aquí están probados a gran escala.

architecture_overview.png

Arquitectura técnica y requisitos previos

Antes de modificar su controlador Ruijie, establezca la arquitectura de red correcta. Una red de invitados segura exige un aislamiento completo del tráfico corporativo en la Capa 2 (a nivel de switch).

Segmentación de red

La base de un WiFi de invitados seguro es el aislamiento de VLAN. Debe crear una VLAN de invitados dedicada en su gateway o switch principal de Ruijie. Esto garantiza que el tráfico de invitados nunca se cruce con los sistemas internos, los terminales de pago o los dispositivos del personal. Un esquema de VLAN empresarial estándar para una implementación de Ruijie tiene el siguiente aspecto:

VLAN ID Propósito Notas
10 Corporativa Dispositivos del personal, servidores internos
20 Voz Terminales VoIP
30 Invitados Captive Portal, solo internet
40 IoT Impresoras, Smart TV, sensores
99 Gestión Controlador, gestión de switches

Para obtener más información sobre por qué los enfoques de nivel de consumo fallan en este aspecto, lea Por qué los equipos de WiFi domésticos no deben usarse en su red de invitados .

Componentes necesarios

Para completar esta implementación, necesita:

  • Una cuenta de Ruijie Cloud o un controlador inalámbrico local de la serie Ruijie RG-WS (por ejemplo, RG-WS6008 o RG-WS7110).
  • Un gateway de la serie Ruijie RG-EG, necesario para la autenticación de portal externo a través de WISPr.
  • Puntos de acceso de la serie Ruijie RG-AP (por ejemplo, RG-AP820-I, RG-AP850-AR).
  • Una licencia de Purple Connect, Capture o Engage.
  • Acceso UDP saliente en los puertos 1812 (autenticación RADIUS) y 1813 (contabilidad RADIUS) desde el gateway a los servidores de Purple.

Descripción general del protocolo de autenticación

Ruijie admite varios métodos de autenticación. Las implementaciones empresariales deben utilizar la autenticación RADIUS externa. Este enfoque utiliza el protocolo WISPr (Wireless Internet Service Provider roaming) para redirigir de forma segura a los usuarios no autenticados a la página de inicio (splash page) de Purple, procesar sus credenciales y devolver un mensaje de aceptación (Accept) o rechazo (Reject) de RADIUS al controlador Ruijie.

comparison_chart.png

La tabla anterior resume los cinco métodos de autenticación disponibles en las plataformas Ruijie. El registro por correo electrónico y el inicio de sesión a través de redes sociales son las opciones más comunes para entornos de hostelería y retail, ya que capturan datos de origen (first-party data) estructurados y conformes con el GDPR. Los códigos de cupón (vouchers) son adecuados para salas de conferencias y niveles de acceso de pago. RADIUS con 802.1X se reserva para redes de personal donde se requiere una identidad respaldada por un directorio.

Guía de implementación paso a paso

Siga estos pasos dentro de la interfaz de Ruijie Cloud o del controlador local. Las rutas de la interfaz de usuario que se muestran a continuación se aplican a la nueva interfaz de Ruijie Cloud (posterior a 2024) y a la plataforma Ruijie JaCS.

Paso 1: Configurar el SSID de invitados

Establezca la red de difusión inalámbrica.

  1. Inicie sesión en Ruijie Cloud o en la interfaz web del controlador local.
  2. Vaya a Device Config y seleccione Wi-Fi en la sección Wireless.
  3. Haga clic en + para crear un nuevo SSID o edite uno existente.
  4. Establezca el SSID Name (por ejemplo, "Free Guest WiFi").
  5. Establezca el Security Mode en Open (sin clave precompartida).
  6. Asigne el SSID a su VLAN de invitados dedicada (por ejemplo, VLAN 30).
  7. Guarde la configuración del SSID.

Paso 2: Definir la política de Captive Portal

Indique al controlador que intercepte el tráfico de invitados y lo redirija a Purple.

  1. Vaya a Auth & Account y seleccione Captive Portal en la sección Authentication.
  2. Cree una nueva política. Establezca un Policy Name descriptivo (por ejemplo, "Purple-Guest-Portal").
  3. Establezca el Policy Mode en External.
  4. Establezca el Authentication Device en su gateway Ruijie (serie RG-EG) o punto de acceso.
  5. Seleccione el SSID de invitados creado en el Paso 1.
  6. En el campo Portal Server URL, introduzca la URL específica de su página de inicio de Purple (disponible en su panel de Purple en Hardware Configuration).
  7. Introduzca las direcciones IP del servidor RADIUS de Purple en los campos designados.
  8. Establezca la duración de Seamless Online para que coincida con su política de tiempo de espera de sesión (por ejemplo, 24 horas para hostelería, una hora para retail).
  9. Decida el comportamiento de Portal Escape (consulte la sección de Buenas prácticas a continuación).

Paso 3: Configurar el walled garden (lista de permitidos)

Un Captive Portal intercepta todo el tráfico hasta que el usuario se autentica. Cierto tráfico debe pasar a través de la preautenticación para permitir que se cargue la página de inicio de sesióny procesar inicios de sesión con redes sociales. Este es el elemento que se configura incorrectamente con más frecuencia en cualquier despliegue de Captive Portal.

  1. Navegue a Auth & Account y seleccione Allowlist.
  2. Añada todos los dominios de infraestructura de Purple requeridos. Su panel de control de Purple proporciona la lista exacta para su región.
  3. Si ofrece inicio de sesión con redes sociales, añada los dominios de OAuth para cada proveedor:
    • Para Microsoft Entra ID: *.microsoft.com, *.microsoftonline.com, login.live.com
    • Para Google Workspace: *.google.com, accounts.google.com
    • Para Okta: su dominio de inquilino de Okta específico
  4. Añada los dominios de los procesadores de pago si ofrece niveles de WiFi de pago.
  5. Guarde y aplique la allowlist.

Paso 4: Configurar la autenticación RADIUS

Configure el canal de comunicación seguro entre Ruijie y Purple.

  1. Navegue a la configuración del servidor RADIUS en su controlador o puerta de enlace de Ruijie.
  2. Añada la dirección IP del servidor RADIUS principal de Purple y el puerto 1812 para la autenticación.
  3. Añada la dirección IP del servidor RADIUS secundario de Purple como alternativa por fallo (failover).
  4. Introduzca el Shared Secret de su panel de control de Purple. Debe coincidir exactamente.
  5. Añada el servidor de contabilidad (accounting) en el puerto 1813 y habilite la contabilidad RADIUS. Esto realiza un seguimiento de la duración de la sesión y el uso de datos, enviando la información directamente a los informes de WiFi Analytics de Purple.
  6. Establezca el NAS Identifier con una cadena descriptiva (por ejemplo, el nombre de su establecimiento) para distinguir el tráfico en las analíticas de Purple.

Paso 5: Aplicar políticas de QoS

El acceso de invitados sin restricciones puede saturar su conexión a Internet durante los períodos de máxima actividad.

  1. Navegue a la sección de QoS o gestión de ancho de banda de su puerta de enlace de Ruijie.
  2. Establezca límites de descarga por usuario (por ejemplo, 10 Mbps para huéspedes de hoteles, 5 Mbps para clientes de tiendas).
  3. Establezca límites de subida por usuario (por ejemplo, 2-5 Mbps).
  4. Desactive Client Escape para garantizar que los usuarios no autenticados no puedan acceder a la red si el servidor del portal no está disponible temporalmente.
  5. Guarde y envíe la configuración a todos los dispositivos relevantes.

Paso 6: Probar el despliegue

Realice siempre las pruebas desde un dispositivo limpio sin credenciales almacenadas en caché.

  1. Conecte un dispositivo móvil al SSID de invitados.
  2. Abra un navegador y navegue a una URL que no sea HTTPS (por ejemplo, http://example.com). El portal debería redirigirle.
  3. Verifique que la splash page de Purple se cargue correctamente.
  4. Complete el flujo de autenticación.
  5. Confirme que se concede acceso a Internet tras la autenticación.
  6. Compruebe el panel de control de Purple para confirmar que la sesión aparece en sus analíticas.

Buenas prácticas para el despliegue empresarial

Seguridad y cumplimiento normativo

Nunca confíe en una PSK compartida para el acceso de invitados. Las contraseñas compartidas no ofrecen trazabilidad y son imposibles de revocar para un solo usuario. Al utilizar el Captive Portal de Purple con autenticación individual, se exige el consentimiento explícito para el procesamiento de datos, cumpliendo con los requisitos del Artículo 7 del GDPR. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, lo que garantiza que el propio mecanismo de captura de datos sea auditable.

Para analizar más a fondo la arquitectura de seguridad, lea nuestra Seguridad WiFi empresarial: guía completa para 2026 y ¿Qué es el WiFi seguro? Guía esencial para empresas en 2026 .

Portal Escape: una decisión deliberada

La función Portal Escape de Ruijie libera automáticamente el tráfico de los usuarios si el AP y el servidor del portal dejan de estar accesibles. En un entorno de hostelería, puede optar por activarla: un huésped que se quede sin WiFi debido a un fallo temporal del servidor generará quejas. En un entorno comercial o sanitario, puede optar por desactivarla: el acceso no autenticado representa un riesgo de seguridad y cumplimiento normativo. Documente su decisión y los motivos en su manual de procedimientos de red (runbook).

Consistencia multisitio

Utilice Ruijie Cloud para gestionar la configuración de forma centralizada en todos los sitios. Envíe las políticas del portal simultáneamente para eliminar la desviación de configuración entre sitios, que es la causa más común de experiencias de usuario inconsistentes en un patrimonio distribuido. La superposición en la nube de Purple funciona bajo el mismo principio: un único panel de control, todos los establecimientos.

Gestión de firmware

Algunas funciones del Captive Portal de Ruijie (en particular, los controles de ancho de banda y la asignación dinámica de VLAN) requieren versiones de firmware específicas en la puerta de enlace. Las notas de la versión de Ruijie documentan estas dependencias. Asegúrese de que sus puertas de enlace RG-EG ejecuten el firmware RGOS11.9(6)B17T1 o superior para obtener soporte completo de QoS en despliegues gestionados en la nube.

Resolución de problemas y mitigación de riesgos

La página del portal no se carga

Si el Captive Portal no aparece cuando se conecta un dispositivo, verifique primero la configuración de su walled garden. El dispositivo debe resolver el DNS y llegar a la URL del portal de Purple antes de la autenticación. Compruebe que su allowlist de Ruijie incluya todos los dominios necesarios y que su servidor DNS sea accesible desde la VLAN de invitados.

Tiempos de espera de autenticación agotados

Si los usuarios ven el portal pero no pueden iniciar sesión, el problema suele residir en la configuración de RADIUS. Verifique las direcciones IP del servidor RADIUS, los puertos (1812 para autenticación, 1813 para contabilidad) y el secreto compartido (shared secret). Asegúrese de que su cortafuegos permita el tráfico UDP saliente en estos puertos desde la IP de gestión de la puerta de enlace de Ruijie.

El inicio de sesión con redes sociales se queda colgado

Si los usuarios hacen clic en un botón de inicio de sesión con redes sociales y no ocurre nada, la redirección de OAuth se está bloqueando. Añada los dominios de los proveedores de redes sociales requeridos a su allowlist de Ruijie. Realice una prueba permitiendo temporalmente todo el tráfico antes de la autenticación para confirmar que el portal funciona y, a continuación, restrinja la allowlist de forma incremental.

Fallos en la asignación dinámica de VLAN

Si está utilizando RADIUS para asignar usuarios a VLAN de forma dinámica, asegúrese de que la respuesta de RADIUS incluya los atributos de VLAN correctos (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID). Las puertas de enlace RG-EG310GH-E de Ruijie y similares admiten la asignación dinámica de VLAN, pero la función requiere una configuración explícita tanto en el servidor RADIUS como en la puerta de enlace.

ROI e impacto empresarial

El despliegue de un Captive Portal seguro transforma el WiFi de invitados de un centro de costes a un activo estratégico. La plataforma WiFi Analytics de Purple, integradse integra con su infraestructura Ruijie, captura datos de primera mano, crea listas de contactos con alta intención de compra y ofrece información práctica sobre el comportamiento de los visitantes en todas sus instalaciones.

Harrods utilizó el Guest WiFi de Purple para promocionar su programa de fidelización, logrando una tasa de opt-in líder en el mercado y un ROI de 57x (datos de clientes de Purple). c2c Rail utilizó Purple para fomentar las reservas directas, logrando un retorno de la inversión del 121 % y ahorrando 76.000 £ en costes operativos (datos de clientes de Purple). Pizza Express desplegó Purple en más de 470 restaurantes para crear perfiles de clientes más completos.

Para los operadores de hostelería , los datos capturados al iniciar sesión (correo electrónico, datos demográficos, frecuencia de visitas) se integran directamente en los sistemas CRM y programas de fidelización. En entornos de retail , el análisis de visitas recurrentes identifica a los compradores de mayor valor. Para los centros de transporte , los datos de flujo de pasajeros optimizan la planificación del personal y del espacio comercial.

Purple se integra con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, así como con Ruijie, lo que la convierte en la capa en la nube independiente del hardware que funciona con su infraestructura existente en lugar de reemplazarla.

Guías relacionadas: Integración de los puntos de acceso Grandstream GWN con Purple WiFi

Definiciones clave

Captive portal

A web page that a user of a public access network must view and interact with before internet access is granted. It intercepts all HTTP traffic and redirects the user's browser to the portal page.

The core mechanism for enforcing authentication on guest WiFi networks. Used in hotels, retail, stadiums, and public-sector venues to control access and capture consent.

Walled garden

A pre-authentication allowlist that permits specific domains and IP addresses to bypass captive portal interception. Traffic to these destinations is allowed before the user authenticates.

Essential for allowing devices to load the splash page, reach social login providers, and process payment flows before the user is fully authenticated. Misconfiguration here is the leading cause of captive portal failures.

RADIUS

Remote Authentication Dial-In User Service. A networking protocol that provides centralised Authentication, Authorisation, and Accounting management for users connecting to a network service.

The secure protocol Ruijie controllers use to communicate with Purple's servers. Authentication requests go to port 1812 (UDP); accounting records go to port 1813 (UDP).

WISPr

Wireless Internet Service Provider roaming. A protocol specification that defines how a captive portal redirects unauthenticated users to a login page and how the access controller receives the authentication result.

The specific protocol framework used by Ruijie and Purple to handle the external captive portal redirection and authentication flow. Required for external portal mode on Ruijie gateways.

VLAN isolation

The practice of separating network traffic into distinct virtual local area networks at the switch level, preventing devices on different VLANs from communicating directly.

Non-negotiable for guest networks. Ensures guest devices cannot communicate with corporate servers, staff laptops, or payment terminals, even if they are connected to the same physical infrastructure.

Portal Escape

A Ruijie feature that automatically releases user traffic if the access point and portal server become unreachable, allowing unauthenticated internet access during an outage.

A deliberate trade-off between availability and security. Hospitality operators may enable it to prevent guest complaints during outages. Healthcare and retail operators typically disable it to enforce strict authentication at all times.

SSID

Service Set Identifier. The public name of a wireless network that devices display in their available networks list.

The network name guests select on their devices, which triggers the captive portal redirection. Each SSID in a Ruijie deployment is mapped to a specific VLAN and authentication policy.

QoS

Quality of Service. A set of technologies that manage data traffic to reduce packet loss, latency, and jitter, and to ensure predictable performance for specific traffic types.

Used in guest networks to cap per-user bandwidth, preventing a single device from saturating the internet link and degrading the experience for all other connected users.

802.1X

An IEEE standard for port-based network access control, providing an authentication mechanism for devices connecting to a LAN or WLAN.

Used for staff networks requiring directory-backed identity (e.g., via Microsoft Entra ID or Okta). Not typically used for guest networks, where a captive portal with RADIUS is the appropriate pattern.

Ejemplos prácticos

A 250-room hotel uses Ruijie RG-AP820-I access points and an RG-EG310GH-E gateway. They require guests to authenticate via email to build a marketing database. Management is concerned about guests bypassing the portal and about peak-hour bandwidth saturation during conference events.

The IT team creates a dedicated guest VLAN (VLAN 40) on the core switch and trunks it to the Ruijie gateway and APs. In Ruijie Cloud, they create an open SSID mapped to VLAN 40. They configure an External Captive Portal policy pointing to the Purple splash page URL, with the Portal Server URL and RADIUS credentials from the Purple dashboard. Crucially, they configure the Walled Garden to allow traffic only to Purple's domains and disable the Portal Escape feature on the Ruijie gateway, preventing unauthenticated access during any portal outage. They apply a QoS policy limiting each client to 10 Mbps down and 3 Mbps up. For conference events, they create a separate SSID on VLAN 50 with a voucher-based portal and tighter bandwidth limits of 5 Mbps per device.

Comentario del examinador: This approach correctly isolates guest traffic at Layer 2, enforces external RADIUS authentication for GDPR-compliant data capture, and applies bandwidth controls proportionate to the use case. Disabling Portal Escape is a deliberate security decision that prevents unauthenticated access during network disruptions. The separate conference SSID with voucher authentication is a practical pattern for venues that host both transient guests and event attendees with different access requirements.

A retail chain with 50 locations uses Ruijie WS6008 controllers. They implement social login (Facebook and Google Workspace) for shoppers accessing WiFi, but the portal page hangs when users click the social login buttons. The issue affects all 50 sites simultaneously.

The IT manager identifies that the Allowlist (Walled Garden) configuration on the Ruijie controllers is missing the OAuth domains required by Facebook and Google. While the Purple portal URL was correctly allowed, the social provider domains needed for the OAuth handshake were blocked by the captive portal interception. The team adds the required wildcard domains - specifically *.facebook.com, *.fbcdn.net, accounts.google.com, and *.googleapis.com - to the Ruijie Allowlist. They push the updated configuration to all 50 sites simultaneously via Ruijie Cloud, resolving the issue across the entire estate in a single operation.

Comentario del examinador: Walled garden misconfiguration is the most common cause of social login failure in captive portal deployments. The captive portal must explicitly permit pre-authentication traffic to the identity providers' OAuth domains, otherwise the redirect process cannot complete. The use of Ruijie Cloud for centralised configuration push is the correct approach for a multi-site estate - manual per-site configuration at 50 locations would be error-prone and time-consuming.

Preguntas de práctica

Q1. You have configured an external captive portal on a Ruijie RG-EG gateway. Guests connect to the SSID, but their devices report 'No Internet Connection' and the portal page never loads. What is the most likely configuration error and how do you resolve it?

Sugerencia: Consider what network operations must succeed before the user can even see the login page.

Ver respuesta modelo

The walled garden (Allowlist) is misconfigured. The Ruijie gateway is blocking DNS resolution or HTTP traffic required to reach the external Purple splash page URL. Before authentication, the device must be able to resolve the portal domain and make an HTTP connection to it. Add the specific Purple domains to the pre-authentication allowlist in the Ruijie Auth & Account section. Also verify that the guest VLAN has a valid DNS server assigned via DHCP.

Q2. A stadium IT director wants to deploy Ruijie APs for fan WiFi during events. They want to collect marketing data but are concerned that RADIUS authentication will cause delays when 10,000 fans connect simultaneously during the first 30 minutes of doors opening. How should they design the authentication flow to balance data capture with user experience?

Sugerencia: Consider the trade-off between data richness and authentication friction at scale.

Ver respuesta modelo

They should use Purple's One-Click Login for returning fans who have previously authenticated, which bypasses the form fill and reduces RADIUS load. For new fans, a minimal email capture form is preferable to social login, which requires additional OAuth round-trips. The Ruijie gateway must be sized to handle concurrent RADIUS requests - for 10,000 simultaneous connections, a high-capacity RG-EG series gateway is required. Enabling Seamless Online with a 30-day session duration means returning fans connect automatically at subsequent events. QoS limits should be strict (5 Mbps per device) to prevent early arrivals from saturating the link before the main crowd arrives.

Q3. During a security audit, a penetration tester accesses the corporate file server while connected to the 'Guest WiFi' SSID broadcast by a Ruijie AP. The guest network uses a correctly configured captive portal. How do you resolve this critical vulnerability?

Sugerencia: Authentication and network segmentation are separate concerns. One does not imply the other.

Ver respuesta modelo

The captive portal is working correctly, but VLAN isolation is missing or misconfigured. The guest SSID is dropping authenticated users onto the corporate VLAN or native VLAN, which has routing access to internal servers. You need to: (1) create a dedicated guest VLAN (e.g., VLAN 50) on the core switch; (2) assign the Guest SSID to VLAN 50 in the Ruijie controller; (3) configure the switch ports connecting the APs as 802.1Q trunks permitting VLAN 50; (4) configure the Ruijie gateway to block routing between VLAN 50 and all corporate subnets, permitting only internet-bound traffic from the guest VLAN. Authentication and network segmentation are independent controls - both must be correctly configured.

Q4. Your Ruijie deployment has Portal Escape enabled. During a planned maintenance window on the Purple RADIUS servers, you notice that guests are accessing the internet without authenticating. Is this expected behaviour, and what are the compliance implications?

Sugerencia: Consider the purpose of Portal Escape and your GDPR obligations.

Ver respuesta modelo

Yes, this is the expected behaviour of Portal Escape. When the portal server is unreachable, Ruijie automatically releases traffic to maintain connectivity. However, this creates a compliance gap: users are accessing the internet without providing consent for data processing, which may violate GDPR requirements if your terms of service or data capture are tied to the authentication event. For venues where consent capture is a legal or commercial requirement, Portal Escape should be disabled. Schedule RADIUS server maintenance during periods of minimal guest activity, and communicate the maintenance window to venue management. Consider implementing a secondary Purple RADIUS server as a failover to eliminate the scenario entirely.

Continúe leyendo esta serie

Configuración del redireccionamiento de Captive Portal en controladores de red Enterprise

Esta guía autorizada detalla la arquitectura técnica y los pasos de configuración específicos de cada proveedor necesarios para implementar el redireccionamiento de Captive Portal en controladores de red enterprise. Proporciona orientación práctica para los equipos de TI sobre cómo configurar walled gardens, integrar la autenticación RADIUS y garantizar el cumplimiento de GDPR y PCI DSS.

Leer la guía →

Guía de configuración de WiFi para invitados empresarial: segmentación de VLAN, seguridad y Captive Portals

Esta guía proporciona un diseño técnico para la implementación de WiFi para invitados empresarial, centrándose en la segmentación de VLAN, los protocolos de seguridad y la arquitectura de captive portal. Detalla cómo aislar el tráfico, aplicar estándares de cifrado y capturar datos de origen de forma segura en entornos complejos.

Leer la guía →

Términos y condiciones de la WiFi para empleados: Aspectos legales y de cumplimiento esenciales

Esta guía aborda los aspectos legales y técnicos esenciales para redactar y aplicar los términos y condiciones de la WiFi para empleados en establecimientos corporativos. Detalla qué incluir en una Política de Uso Aceptable (AUP), cómo cumplir con los requisitos de GDPR y PCI DSS, y cómo implementar la autenticación basada en la identidad y la segmentación de red para proteger los activos corporativos. Los responsables de TI, equipos de RR. HH. y directores de operaciones de hoteles, cadenas de retail, estadios y organizaciones del sector público encontrarán pautas prácticas que podrán implementar este trimestre.

Leer la guía →