Aruba Central y Purple WiFi: integración administrada en la nube

Aruba Central y Purple WiFi: integración gestionada en la nube. Una sesión informativa para líderes de TI. Bienvenido. Si gestionas WiFi para invitados en múltiples sedes y utilizas Aruba Central, este episodio es de gran relevancia para ti. Te guiaré exactamente a través de cómo Purple se integra con Aruba Central: la arquitectura, los pasos de configuración, los patrones de implementación multisitio y los obstáculos comunes que suelen atrapar a los equipos. Esta es una sesión informativa práctica, no una presentación de ventas. Comencemos. Sección uno: Contexto y por qué es importante. Aruba Central es la plataforma de red gestionada en la nube de HPE. Es el plano de control para decenas de miles de Aruba Instant Access Points desplegados en hoteles, cadenas de retail, estadios, centros de conferencias y edificios del sector público. Si has migrado de los controladores locales de Aruba - los Mobility Controllers o Mobility Conductors - a Central, ya has experimentado la transición de una configuración específica de sitio basada en CLI a una gestión de políticas basada en grupos y distribuida desde la nube. Ese cambio transforma fundamentalmente la forma de integrar una plataforma de WiFi para invitados como Purple. En un controlador local tradicional de Aruba, configurarías el redireccionamiento del Captive Portal y la autenticación RADIUS directamente en el propio controlador. El controlador era el punto de aplicación de políticas y se ubicaba en tu centro de datos o sala de comunicaciones. Con Aruba Central, la aplicación de las políticas sigue ocurriendo en el Access Point, pero la configuración se envía desde la nube. Eso significa que tus puntos de contacto de integración son diferentes. Estás trabajando con plantillas de grupo, perfiles de SSID y objetos de perfil de Captive Portal externos que residen en la jerarquía de configuración de Central, no en un equipo dentro de un rack. Purple se sitúa por encima de todo esto como una plataforma de inteligencia de WiFi para invitados alojada en la nube. Proporciona el Captive Portal - la página de inicio que ven los invitados -, maneja la lógica de autenticación, captura datos de primera fuente con consentimiento y envía analíticas a tus equipos de marketing y operaciones. La pregunta es: ¿cómo conectar estas dos plataformas en la nube de forma limpia, a gran escala y potencialmente en cientos de sitios? Sección dos: La arquitectura técnica. Permíteme describir el flujo de datos cuando un invitado se conecta. El dispositivo de un invitado se asocia con tu SSID de invitados - llamémoslo Hotel-Guest - que es transmitido por un Aruba Instant AP. El AP ha sido configurado, a través de Aruba Central, con un perfil de Captive Portal externo. Ese perfil contiene dos piezas críticas de información: la URL de redireccionamiento, que apunta al servidor de Captive Portal de Purple, y los detalles del servidor RADIUS, que apuntan al endpoint de RADIUS-as-a-Service de Purple. Cuando el huésped abre un navegador, el AP intercepta la solicitud HTTP y la redirige a la splash page de Purple. El huésped se autentica - a través de inicio de sesión social, correo electrónico, SMS o un formulario personalizado, según su configuración de Purple. El backend de Purple envía un mensaje RADIUS Access-Accept de vuelta al AP, el cual otorga acceso a internet al huésped y lo mueve del rol de preautenticación al rol de huésped autenticado. Los paquetes de contabilidad RADIUS fluyen durante toda la sesión, lo que le da a Purple visibilidad sobre la duración de la sesión y el uso de datos. Ahora, la diferencia clave con Aruba local: en Aruba Central, usted configura el perfil de Captive Portal externo una vez, a nivel de grupo, y este se propaga a cada AP en ese grupo. No es necesario modificar los AP de manera individual. Esto es enormemente potente para implementaciones en múltiples sitios, pero requiere que defina correctamente la estructura de grupos antes de comenzar. Aruba Central organiza los dispositivos en grupos, y dentro de los grupos, puede tener sitios. Un grupo es la unidad de configuración - los SSID, los perfiles de radio y las políticas de seguridad residen a nivel de grupo. Los sitios son la unidad de ubicación y monitoreo. Para una cadena hotelera, una estructura lógica es un grupo por tipo de propiedad - por ejemplo, hoteles de servicio completo y propiedades económicas - con cada hotel físico como un sitio independiente dentro del grupo correspondiente. La configuración de Purple se asigna luego a los grupos: un perfil de Captive Portal externo por grupo, apuntando al mismo endpoint RADIUS de Purple, pero potencialmente con diferentes temas de splash page por sitio utilizando la personalización a nivel de establecimiento de Purple. El walled garden es un elemento de configuración crítico que los equipos suelen configurar de manera incorrecta. Antes de que un huésped se autentique, el AP solo permite el tráfico DNS y DHCP, además de cualquier dominio que usted ponga explícitamente en la lista blanca. Para que Purple funcione, debe agregar a la lista blanca el dominio de Captive Portal de Purple, cualquier dominio de CDN que Purple use para recursos y cualquier dominio de proveedor de inicio de sesión social si utiliza autenticación social - Facebook, Google, Apple. Si omite un dominio, la splash page se cargará parcialmente o la autenticación fallará silenciosamente. La documentación de soporte de Purple proporciona la lista actual de walled garden, y vale la pena tratar esa lista como un documento vivo que se debe revisar cada vez que Purple actualice su plataforma. Sección tres: Superficie de API de Aruba Central para automatización. Si está realizando una implementación en más de veinte sitios, la configuración manual a través de la interfaz de usuario de Central se convierte en un cuello de botella. Aruba Central expone una API REST completa - la API de Central - que le permite automatizar la creación de SSID, la asignación de perfiles de Captive Portal y la configuración del walled garden. La API se autentica mediante OAuth 2.0 y necesitará generar credenciales de API desde el portal de Central.Los endpoints clave de la API para una integración con Purple son: el endpoint de configuración de WLAN, que le permite crear y actualizar perfiles de SSID; el endpoint de perfil de Captive Portal externo, que es donde se define la URL de redireccionamiento de Purple y los detalles del servidor RADIUS; y los endpoints de gestión de sitios y grupos, que le permiten asignar dispositivos a sitios y grupos de forma programática. Si está incorporando un nuevo punto de venta, puede escribir un script que cree el sitio en Central, asigne los AP al sitio, aplique la plantilla de grupo correcta y configure el perfil de Captive Portal específico de Purple, todo sin tocar la interfaz de usuario. Purple también expone su propia API, que le permite crear registros de puntos de venta, configurar temas de páginas de inicio y extraer datos analíticos. Una integración madura utilizará ambas APIs en conjunto: la API de Central para gestionar la capa de red y la API de Purple para gestionar la capa de experiencia del cliente de visita. Este es el patrón que las grandes cadenas de tiendas y grupos hoteleros utilizan cuando incorporan docenas de nuevos sitios por trimestre. Sección cuatro: Configuración paso a paso. Permítame guiarle a través de la secuencia de configuración para un solo sitio, que luego podrá automatizar a escala. Primero, en Aruba Central, navegue a su grupo objetivo y abra la configuración de WLAN. Cree un nuevo SSID - por ejemplo, Venue-Guest - y establezca el nivel de seguridad en Visitantes. Esta es la terminología de Aruba para una red abierta o autenticada mediante un Captive Portal. Segundo, en la pestaña de Seguridad, configure el tipo de Splash Page como External Captive Portal. Cree un nuevo perfil de External Captive Portal. Asígnele un nombre descriptivo - Purple-Guest-Portal funciona bien. Establezca el Tipo de autenticación en Autenticación RADIUS. Ingrese el nombre de host del servidor del Captive Portal de Purple en el campo IP o Nombre de host. Ingrese la URL de redireccionamiento. Habilite HTTPS. Configure el comportamiento ante fallas del Captive Portal en Denegar Internet, que es la opción predeterminada más segura. Tercero, configure el servidor RADIUS. En Central, vaya a la configuración del servidor de autenticación y agregue el servidor RADIUS-as-a-Service de Purple. Necesitará la IP o el nombre de host del servidor, el secreto compartido - que se genera en la plataforma de Purple - y el puerto de autenticación, que por estándar es el 1812, con contabilidad en el 1813. Agregue este servidor como el Servidor primario para su SSID de invitados. Cuarto, configure el jardín amurallado. En las reglas de acceso del SSID, agregue el dominio del Captive Portal de Purple y cualquier dominio de inicio de sesión de redes sociales a la lista de permitidos. Pruebe esto con cuidado - la falta de un dominio es la causa más común de fallas en la splash page. Quinto, guarde y envíe la configuración. Central enviará la configuración a todos los AP del grupo. Verifique en un dispositivo de prueba que el redireccionamiento se active correctamente y que la autenticación se complete. Sección cinco: Patrones de implementación en múltiples sitios. Para una implementación en cincuenta o más sitios, necesita un enfoque disciplinado. El patrón que recomiendo es: piloto, plantilla, automatización, validación. Realice una prueba piloto en un solo sitio. Asegúrese de que la configuración sea exactamente la correcta: el walled garden completo, el RADIUS funcionando, la página de inicio cargando de forma limpia y el flujo de contabilidad activo. Documente cada valor de los parámetros. Luego, incorpore esa configuración en una plantilla de grupo de Central. La plantilla se convertirá en su única fuente de verdad. Para el despliegue, utilice la API de Central para enviar la plantilla a los nuevos grupos a medida que incorpore sitios. Si su implementación de Purple utiliza diferentes temas de página de inicio por marca o región, parametrice el perfil del Captive Portal: la URL de redireccionamiento puede incluir parámetros de consulta que Purple utiliza para ofrecer el tema correcto. Esto significa que puede tener un único endpoint de RADIUS pero múltiples experiencias de páginas de inicio, todo gestionado de forma centralizada. Valide cada sitio después de la incorporación. Un script de validación simple que asocie un dispositivo de prueba, verifique la redirección, se autentique y compruebe el acceso a internet detectará variaciones en la configuración antes de que los huéspedes lo experimenten. El panel de analítica de Purple también le mostrará si se están registrando las sesiones; si un sitio deja de reportar en Purple, esa es su señal de que algo falla en la capa de red. Sección seis: Errores comunes de implementación. El walled garden es el punto de falla número uno. Realice pruebas con un dispositivo que no tenga caché de DNS ni sesiones de portal guardadas. Utilice un perfil de navegador nuevo o el modo incógnito. El segundo error común es la discrepancia en el secreto compartido de RADIUS. El secreto que configure en Central debe coincidir exactamente con el secreto en la plataforma de Purple. Una diferencia de un solo carácter provocará fallas de autenticación silenciosas: el AP no recibirá respuesta del servidor RADIUS y denegará el acceso al huésped o, si ha configurado el modo de falla del Captive Portal en Permitir Internet, otorgará acceso sin autenticación, lo cual representa un riesgo de cumplimiento. El tercer error común es la configuración incorrecta de la VLAN. El tráfico de invitados debe estar en una VLAN dedicada, aislada de su red corporativa. En Aruba Central, esto se configura en los ajustes de VLAN del perfil de SSID. Si su VLAN de invitados no está correctamente canalizada (trunked) en el puerto del switch de enlace ascendente, los AP se activarán pero los invitados no obtendrán direcciones DHCP. El cuarto error común es la confianza del certificado en la redirección del Captive Portal. Los navegadores y sistemas operativos modernos son cada vez más estrictos con la aplicación de HTTPS. El servidor del Captive Portal de Purple utiliza un certificado TLS válido, pero si su walled garden bloquea los endpoints OCSP o CRL que el cliente utiliza para validar el certificado, verá errores de certificado en la página de inicio. Agregue esos endpoints a su walled garden. Sección siete: Preguntas rápidas. ¿Funciona Purple con la arquitectura AOS-10 de Aruba Central al igual que con AOS-8? Sí. El mecanismo del Captive Portal externo es consistente en ambas versiones de firmware. La ruta de la interfaz de usuario difiere ligeramente, pero los objetos de configuración subyacentes son los mismos. ¿Puedo usar el RADIUS-as-a-Service de Purple sin ejecutar mi propia infraestructura de RADIUS? Sí, ese es el punto. El RADIUS-as-a-Service de Purple es un servidor RADIUS alojado en la nube al que apuntas tus puntos de acceso de Aruba. No necesitas FreeRADIUS ni Cisco ISE de forma local. ¿Esta integración es compatible con WPA3? Aruba Central es compatible con WPA3 en los puntos de acceso compatibles, y puedes habilitar el modo de transición WPA3 en tu SSID de invitados. El mecanismo de Captive Portal de Purple es independiente de la capa de cifrado; opera a nivel de redirección HTTP, no a nivel de asociación 802.11. ¿Los datos que recopila Purple cumplen con el GDPR? Purple está diseñado con el cumplimiento del GDPR como un requisito fundamental. La página de inicio presenta un mecanismo de consentimiento, y el procesamiento de datos de Purple se rige por el acuerdo de procesamiento de datos que tengas con ellos. Para los establecimientos de la UE, asegúrate de que tu configuración de Purple incluya el texto de consentimiento adecuado y que tu DPA esté en vigor antes del lanzamiento. Sección ocho: Resumen y siguientes pasos. En resumen: Aruba Central y Purple se integran a través del mecanismo de External Captive Portal, con la autenticación RADIUS gestionada por el servicio RADIUS en la nube de Purple. La configuración reside a nivel de grupo en Central y se propaga a todos los puntos de acceso del grupo - lo cual es la diferencia arquitectónica clave con respecto a Aruba de forma local. Para implementaciones en múltiples sitios, utiliza la API de Central para automatizar el aprovisionamiento y trata la configuración de tu sitio piloto como la plantilla para todo lo que sigue. Tus siguientes pasos inmediatos: primero, confirma que la estructura de tu grupo de Aruba Central se mapee con la jerarquía de tus establecimientos de Purple. Segundo, obtén la lista actual de dominios de walled garden de Purple y los detalles del endpoint de RADIUS en el portal de soporte de Purple. Tercero, realiza un piloto en un solo sitio y valida todo el flujo de autenticación antes de escalar. Cuarto, crea tus scripts de automatización utilizando la API de Central y la API de Purple en paralelo. Si estás evaluando Purple por primera vez, las páginas de la plataforma de WiFi de invitados y analítica en purple dot ai te ofrecen una imagen clara de lo que obtienes más allá del Captive Portal - la captura de datos de primera mano, la automatización de marketing y la analítica de visitas. Ese es el caso de negocio que consigue el financiamiento para este proyecto. Gracias por escuchar. Si tienes preguntas sobre esta integración, el equipo de soluciones de Purple puede guiarte a través de una prueba de concepto adaptada a tu entorno específico de Aruba Central.