Saltar al contenido principal
Español (México)

Captive Portal para Aruba

Una guía de referencia técnica autorizada para configurar los puntos de acceso administrados por Aruba Instant (IAP) y Aruba Central para redirigir a los usuarios invitados al Captive Portal externo, seguro y de alta conversión de Purple. Esta guía cubre la configuración paso a paso del SSID de invitados, la redirección al Captive Portal externo, los parámetros de autenticación y contabilidad del servidor RADIUS, las listas de excepciones de walled garden y el soporte de WISPr.

📖 11 min de lectura📝 2,686 palabras🔧 2 ejemplos resueltos❓ 3 preguntas de práctica📚 8 definiciones clave

Escucha esta guía

Ver transcripción del podcast
CAPTIVE PORTAL FOR ARUBA: INTEGRATING PURPLE FOR ENTERPRISE GUEST WIFI A Purple Technical Briefing — Approximately 10 Minutes [INTRODUCTION & CONTEXT — approx. 1 minute] Welcome to the Purple Technical Briefing series. I'm your host, and today we're covering something that comes up in almost every enterprise wireless deployment conversation we have: how to configure a captive portal on Aruba infrastructure, and specifically, how to connect that portal to Purple's guest WiFi intelligence platform. If you're running Aruba Instant APs, or you're managing a fleet of access points through Aruba Central, this episode is for you. We're going to move quickly — this is a practitioner briefing, not a lecture — so I'll assume you know your way around a WLAN configuration screen and you understand the basics of RADIUS authentication. The core problem we're solving is this: Aruba's built-in guest portal is functional, but it's limited. It doesn't give you the marketing data capture, GDPR-compliant consent flows, or the real-time analytics that enterprise venues need. Replacing it with Purple's external captive portal is the right architectural decision, and today I'll walk you through exactly how to do it. [TECHNICAL DEEP-DIVE — approx. 5 minutes] Let's start with the architecture. When a guest connects to your Aruba SSID and opens a browser, the AP intercepts that HTTP request on TCP port 80 and redirects it to the external portal URL — in this case, Purple's cloud-hosted splash page. The guest authenticates through Purple's portal, which then sends a RADIUS Access-Request to Purple's RADIUS servers on UDP port 1812. On success, the RADIUS server returns an Access-Accept message, and the AP grants the client full internet access. Accounting records are sent on UDP port 1813 throughout the session. That's the fundamental flow. Now let's get into the configuration. There are two management planes you might be working with: Aruba Instant, which is the on-premises virtual controller model running ArubaOS 8.x, and Aruba Central, which is HPE's cloud management platform. The configuration steps are similar in concept but differ in where you find the settings. Starting with Aruba Instant on ArubaOS 8. First, you'll configure your RADIUS server. Navigate to Security, then Authentication Server, and click New. You'll need four pieces of information from Purple's platform: the primary server IP address, the authentication port — typically 1812 — the accounting port — typically 1813 — and the shared secret. Purple provides these in your venue configuration dashboard. Add a secondary server for resilience; Purple operates a multi-region RADIUS infrastructure, so you'll have a geographically appropriate backup. Next, create the External Captive Portal profile. Go to Security, then Captive Portal, click New, and set the Type to External. Enter the splash page URL from your Purple venue configuration — this will be a Purple-hosted HTTPS endpoint. Set the port to 443, enable Use HTTPS, and critically, set the WISPr field to Enabled. WISPr — that's Wireless Internet Service Provider roaming — is the protocol that allows devices to auto-detect the captive portal and present it correctly, particularly on iOS and Android devices that use background captive portal detection. Without WISPr enabled, some devices will fail to trigger the portal automatically. Now, the Guest SSID. Create a new WLAN, set Primary Usage to Guest, and in the Security tab, set Splash Page Type to External — RADIUS Server. Assign the captive portal profile and RADIUS server you just created. Set the Reauth Interval to something sensible — 1440 minutes, which is 24 hours, is a common choice for hospitality environments. Enable MAC authentication if you want returning guests to bypass the portal on subsequent visits within that window. For Aruba Central on AOS-8, the flow is essentially the same but accessed through the WLAN wizard under Devices, Config, WLANs. Set Security Level to Visitors, Type to External Captive Portal, and create a new captive portal profile with the Purple splash URL. Add your primary and secondary RADIUS servers, enable accounting, and set an accounting interval of five minutes. This interval is important — it ensures Purple's analytics platform receives regular session updates for accurate dwell time and engagement reporting. On AOS-10, which is the cloud-first architecture, there's one important difference: the walled garden is no longer configured in the WLAN Security tab. Instead, you configure it through Access Rules. You create a pre-authentication role — call it Guest Logon — and add allow rules for each domain in the walled garden whitelist. Then you assign that role as the Pre-Authentication Role on the SSID. Speaking of the walled garden — this is where most deployments go wrong. The walled garden is the list of domains that unauthenticated guests can reach before they've completed the portal flow. Without these entries, the portal itself won't load, because the guest's device can't reach the Purple CDN to download the splash page assets. The mandatory Purple entries are: star dot purple dot ai, star dot cloudfront dot net, and star dot venuewifi dot com. If you're using social login — Google, Facebook, Apple, Microsoft — you'll need to add the relevant OAuth domains for each provider. Google requires star dot google dot com, star dot googleapis dot com, and star dot gstatic dot com. Facebook requires star dot facebook dot com, star dot fbcdn dot net, and connect dot facebook dot net. Apple Sign-In needs star dot apple dot com and appleid dot apple dot com. Microsoft Entra ID requires star dot microsoft dot com and star dot microsoftonline dot com. One thing worth calling out: on Aruba, you can enable Automatic URL Whitelisting in the captive portal profile. This feature dynamically whitelists URLs that the portal page references. It's useful as a fallback, but I'd recommend explicitly configuring the walled garden rather than relying on automatic whitelisting in production — it's more predictable and easier to audit. Let's talk about RADIUS parameters specifically. The key attributes Purple uses are: NAS-IP-Address, which identifies your AP or controller; Called-Station-Id, which carries the BSSID and SSID in the format MAC-address:SSID-name — Purple uses this to map sessions to specific venues and access points; and Calling-Station-Id, which is the client MAC address. On the accounting side, Acct-Session-Id provides the unique session identifier, and Acct-Status-Type carries Start, Interim-Update, and Stop events. Make sure your Aruba configuration is sending all three accounting event types — some deployments only send Start and Stop, which means Purple's analytics miss the interim session data needed for accurate dwell time calculations. [IMPLEMENTATION RECOMMENDATIONS & PITFALLS — approx. 2 minutes] Let me give you the practical recommendations I'd give any client deploying this. First: always test with a dedicated test device before going live. Connect to the guest SSID, open a browser to an HTTP URL — not HTTPS — and verify the redirect fires. If you go straight to HTTPS, the redirect won't work because the AP can't intercept encrypted traffic. This is the number one support call we see. Second: firewall rules. Your AP management VLAN or controller needs outbound UDP access to Purple's RADIUS server IPs on ports 1812 and 1813. If you have a stateful firewall between your APs and the internet, make sure it allows these UDP flows. RADIUS is connectionless, so some firewalls need explicit rules rather than relying on stateful inspection. Third: certificate trust. When you configure the splash page URL as HTTPS, the AP needs to trust the certificate presented by Purple's portal server. On Aruba Central, you may need to import a trusted CA certificate into the global settings before the portal redirect works correctly over HTTPS. Purple uses certificates from a widely trusted CA, but it's worth verifying this in your environment. Fourth: VLAN segmentation. Your guest SSID should be on a dedicated VLAN that is isolated from your corporate network. This is both a security requirement — PCI DSS 3.2.1 requires network segmentation for cardholder data environments — and a practical necessity for captive portal functionality. The guest VLAN should have internet access but no route to internal resources. Fifth: the WISPr setting. I mentioned this earlier but it bears repeating. Enable WISPr. Without it, iOS devices in particular will not automatically detect the captive portal, and guests will see a confusing experience where they appear to be connected but have no internet access. [RAPID-FIRE Q&A — approx. 1 minute] Let me run through the questions I get most often. Can I use Aruba Instant On — the small-business product — with Purple? Yes, with some limitations. Instant On supports external captive portals, but the configuration interface is more limited than full Aruba Central. Purple has a dedicated Instant On integration guide. Does Purple support RadSec for encrypted RADIUS? Yes. Purple supports RADIUS over TLS — RadSec — for deployments where RADIUS traffic traverses untrusted networks. This is increasingly relevant for cloud-managed deployments where the RADIUS exchange crosses the public internet. What happens if the Purple portal is unreachable? You can configure the Captive Portal Failure setting to either Deny Internet — which is the secure default — or Allow Internet, which provides a fallback open access mode. For most enterprise venues, Deny Internet is the right choice. Can I run multiple SSIDs with different Purple venues on the same Aruba infrastructure? Absolutely. Each SSID gets its own captive portal profile pointing to a different Purple venue URL. The Called-Station-Id RADIUS attribute carries the SSID name, which Purple uses to route the session to the correct venue configuration. [SUMMARY & NEXT STEPS — approx. 1 minute] Let me bring this together. Deploying Purple as an external captive portal on Aruba infrastructure is a well-trodden integration path. The key steps are: configure your RADIUS servers with Purple's credentials, create an external captive portal profile pointing to your Purple splash URL with WISPr enabled, build your guest SSID with the External RADIUS Server splash type, and configure your walled garden with the Purple core domains plus any social login provider domains you're enabling. The AOS-10 difference to remember is that walled garden configuration moves to Access Rules rather than the WLAN Security tab. From a business perspective, replacing Aruba's basic local portal with Purple gives you GDPR-compliant data capture, real-time location analytics, demographic reporting, and marketing automation — all from the same WiFi infrastructure you already own. For your next steps: pull your Purple venue RADIUS credentials from the Purple dashboard, run through the configuration checklist in the accompanying written guide, and test with a dedicated device before rolling out to production. If you're deploying across multiple sites, Purple's multi-site management console lets you manage captive portal configurations, branding, and analytics across your entire estate from a single interface. Thanks for listening. The full written guide, configuration tables, and walled garden reference lists are available at purple dot ai. Until next time. [END OF SCRIPT]

📚 Part of our core series: WiFi multi-inquilino →

header_image.png

Resumen ejecutivo

Para los ingenieros inalámbricos empresariales, arquitectos de red y directores de operaciones de recintos, implementar una infraestructura inalámbrica de invitados robusta ya no se trata solo de proporcionar acceso básico a internet. Los recintos modernos requieren una solución que equilibre una seguridad de red estricta, el cumplimiento normativo y una experiencia de invitado de alta conversión. Aunque las capacidades nativas de Captive Portal de HPE Aruba son altamente confiables, carecen de la captura sofisticada de datos de marketing, la escalabilidad global multisitio y los análisis demográficos y de ubicación en tiempo real que requieren los recintos empresariales en los sectores de hospitalidad, retail y público.

Al integrar Purple directamente con los puntos de acceso administrados por Aruba Instant (IAP) o Aruba Central, las organizaciones pueden reemplazar las páginas de inicio locales básicas con un portal de invitados global, seguro y altamente escalable. Esta integración aprovecha los protocolos de red estándar, incluyendo el Servicio de usuario de marcado de autenticación remota (RADIUS) y el roaming de proveedor de servicios de internet inalámbrico (WISPr), para ofrecer una incorporación fluida, segura y consistente con la marca. Esta guía de referencia técnica proporciona los parámetros de configuración exactos, los diagramas de arquitectura y los flujos de trabajo de resolución de problemas necesarios para implementar con éxito Purple en la infraestructura de Aruba.

Análisis técnico profundo

La integración de Purple con la infraestructura inalámbrica de Aruba se basa en un flujo estándar de redirección de Captive Portal externo y autenticación RADIUS. Esta arquitectura garantiza que la autenticación de usuarios y la contabilidad de tráfico se manejen de forma segura en la nube, mientras que los puntos de acceso locales aplican las políticas de control de acceso y calidad de servicio (QoS).

El flujo de redirección del Captive Portal

Cuando un cliente no autenticado se asocia con el identificador de conjunto de servicios (SSID) de invitados, el punto de acceso de Aruba intercepta la solicitud HTTP inicial del cliente (normalmente el puerto TCP 80) y realiza una redirección HTTP 302 a la página de inicio de Purple alojada en la nube.

+--------------+             +-----------------+             +------------------+             +------------------+
| Dispositivo  |             |  Aruba AP / AP  |             |  Purple Captive  |             |  Purple RADIUS   |
|   (Cliente)  |             |  (Central/IAP)  |             |  Portal (Nube)   |             |  Servidor (Nube) |
+--------------+             +-----------------+             +------------------+             +------------------+
       |                              |                               |                                |
       |-- 1. Se asocia al SSID ----->|                               |                                |
       |                              |                               |                                |
       |-- 2. Solicitud HTTP (TCP 80)>|                               |                                |
       |                              |-- 3. Redirección HTTP 302 --->|                                |
       |<-- 4. Presenta página de inicio -----------------------------|                                |
       |                              |                               |                                |
       |-- 5. Envía formulario de inicio ---------------------------->|                                |
       |                              |                               |-- 6. RADIUS Access-Request --->|
       |                              |<-- 7. RADIUS Access-Accept ------------------------------------|
       |                              |   (con tiempo de espera de ses.)                               |
       |<-- 8. Internet otorgado -----|                               |                                |
       |                              |                               |                                |
       |                              |-- 9. Inicio contabilidad RADIUS ------------------------------>|
       |                              |-- 10. Intermedio contabilidad RADIUS (cada 5 min) ------------>|

architecture_overview.png

Parámetros de autenticación y contabilidad RADIUS

Una vez que el invitado envía sus credenciales o completa un inicio de sesión social en la página de inicio de Purple, el backend del portal de Purple se comunica con el punto de acceso o controlador local de Aruba para iniciar la autenticación RADIUS. El AP de Aruba actúa como el Servidor de acceso a la red (NAS) y envía un Access-Request de RADIUS a los servidores RADIUS en la nube de Purple en el puerto UDP 1812.

Para garantizar un seguimiento preciso de la sesión, la aplicación de políticas y los informes, se deben intercambiar los siguientes atributos RADIUS:

Nombre del atributo ID de atributo Descripción Contexto práctico
NAS-IP-Address 4 La dirección IP de administración del controlador virtual o AP de Aruba. Identifica el hardware físico que origina la solicitud de autenticación.
Calling-Station-Id 31 La dirección MAC del dispositivo cliente (normalmente formateada como XX-XX-XX-XX-XX-XX). Utilizado por Purple para rastrear dispositivos únicos y aplicar el almacenamiento en caché de MAC para los invitados que regresan.
Called-Station-Id 30 La dirección MAC de la radio del AP (BSSID) combinada con el nombre del SSID (formateado como MAC:SSID). Crucial para que Purple identifique el recinto físico exacto y el SSID específico al que se conecta el usuario.
Acct-Session-Id 44 Un identificador único generado por el AP para cada sesión de cliente. Vincula los eventos de autenticación con los registros posteriores de inicio, intermedio y parada de contabilidad.
Acct-Status-Type 40 Indica el tipo de registro de contabilidad: Start (1), Stop (2), o Interim-Update (3). Permite el seguimiento en tiempo real de las sesiones activas y cálculos precisos del tiempo de permanencia.
Acct-Interim-Interval 85 Especifica la frecuencia (en segundos) de las actualizaciones de contabilidad provisionales enviadas por el AP. Debe establecerse en 300 segundos (5 minutos) para garantizar que el panel de analíticas de Purple muestre datos precisos en tiempo real.

La arquitectura de Walled Garden (lista de excepciones)

Antes de que un usuario se autentique, el AP de Aruba restringe todo el tráfico excepto para los destinos definidos explícitamente en el Walled Garden (o lista de excepciones). Debido a que el portal de Purple está alojado en la nube y depende de proveedores de identidad externos (como Google, Facebook y Apple) para la autenticación social, el AP debe permitir que los clientes no autenticados resuelvan el DNS y se comuniquen con estos dominios externos.

Si se omite algún dominio requerido del walled garden, el invitado experimentará una página en blanco, CSS roto, imágenes faltantes o un tiempo de espera agotado por completo durante el flujo de inicio de sesión.

walled_garden_infographic.png

Guía de implementación

La implementación de Purple en la infraestructura inalámbrica de Aruba se puede realizar a través de Aruba Instant (IAP) con ArubaOS 8.x (modo de controlador virtual local) o Aruba Central (AOS-8 o AOS-10 administrado en la nube).

Configuración de Aruba Instant (IAP) (ArubaOS 8.x)

Paso 1: Configurar los servidores RADIUS

  1. Inicie sesión en la interfaz web del controlador virtual de Aruba Instant AP.
  2. Vaya a Security > Authentication Server y haga clic en New.
  3. Configure el Primary RADIUS Server con los siguientes parámetros:
    • Name: Purple_Primary
    • IP Address: 34.94.146.135
    • Auth Port: 1812
    • Acct Port: 1813
    • Shared Key: [Proporcionado en su panel de control de Purple Venue]
  4. Haga clic en OK para guardar.
  5. Haga clic en New nuevamente para configurar el Secondary RADIUS Server:
    • Name: Purple_Secondary
    • IP Address: 34.94.183.201
    • Auth Port: 1812
    • Acct Port: 1813
    • Shared Key: [Proporcionado en su panel de control de Purple Venue]
  6. Haga clic en OK para guardar.

Paso 2: Crear el perfil de Captive Portal

  1. Vaya a Security > Captive Portal y haga clic en New.
  2. Configure el perfil con los siguientes ajustes:
    • Name: Purple_Portal
    • Type: External
    • IP or Hostname: portal.venuewifi.com
    • URL: /
    • Port: 443
    • Use HTTPS: Enabled
    • Redirect URL: https://portal.venuewifi.com
    • WISPr: Enabled (Crucial para activar automáticamente el portal en dispositivos iOS y Android)
  3. Haga clic en OK para guardar.

Paso 3: Configurar la lista de permitidos (Whitelist) de Walled Garden

  1. En el menú Security > Captive Portal, seleccione su perfil Purple_Portal recién creado.
  2. En la sección Walled Garden, haga clic en el enlace para abrir la configuración de la lista de permitidos.
  3. Agregue los siguientes dominios principales de Purple:
    • *.purple.ai
    • *.cloudfront.net
    • *.venuewifi.com
  4. Si el inicio de sesión con redes sociales está habilitado, agregue los dominios respectivos (por ejemplo, *.google.com, *.facebook.com, *.apple.com).
  5. Haga clic en Save.

Paso 4: Crear y configurar el SSID de invitados

  1. Vaya a Network > New para iniciar el asistente de WLAN.
  2. En la pestaña WLAN Settings:
    • Name (SSID): Guest-WiFi
    • Primary Usage: Guest
    • Haga clic en Next.
  3. En la pestaña VLAN, configure la asignación de IP y VLAN de acuerdo con su arquitectura de red (normalmente Client IP assignment: Network Assigned en una VLAN de invitados dedicada). Haga clic en Next.
  4. En la pestaña Security:
    • Splash Page Type: External
    • Captive Portal Profile: Seleccione Purple_Portal
    • Auth Server 1: Seleccione Purple_Primary
    • Auth Server 2: Seleccione Purple_Secondary
    • Reauth Interval: 1440 (24 horas, o según la política del establecimiento)
    • Accounting: Enabled
    • Accounting Interval: 5 minutos
  5. Haga clic en Next para continuar a la pestaña Access. Asegúrese de que la regla de invitados predeterminada permita la preautenticación de DHCP y DNS, luego haga clic en Finish.

Configuración de Aruba Central (AOS-8 y AOS-10)

Aruba Central AOS-8

  1. Vaya a Devices en la sección Manage de su grupo en Aruba Central.
  2. Haga clic en Config (icono de engranaje) en la parte superior derecha, luego vaya a la pestaña WLANs y haga clic en + Add SSID.
  3. En el Step 1: General, ingrese el nombre del SSID (por ejemplo, Guest-WiFi) y haga clic en Next.
  4. En el Step 2: VLANs, configure el mapeo de su VLAN de invitados y haga clic en Next.
  5. En el Step 3: Security:
    • Establezca Security Level en Visitors.
    • Establezca Type en External Captive Portal.
    • Asegúrese de que Key Management esté configurado en Open (no use Enhanced Open/OWE para portales de invitados estándar, ya que puede causar problemas de compatibilidad con los clientes).
    • Haga clic en el icono + junto a Captive Portal Profile para agregar un nuevo perfil:
      • Name: Purple_Central_Portal
      • IP or Hostname: portal.venuewifi.com
      • URL: /
      • Port: 443
      • Redirect URL: https://portal.venuewifi.com
      • Use HTTPS: True
      • Captive Portal Failure: Deny Internet (Recomendado para el cumplimiento de seguridad)
    • Haga clic en Save.
    • Haga clic en el icono + junto a Primary Server y Secondary Server para agregar los servidores RADIUS de Purple utilizando las direcciones IP 34.94.146.135 y 34.94.183.201 respectivamente, con los puertos 1812 (Auth) y 1813 (Acct).
    • Expanda Advanced Settings, desplácese hasta Accounting, seleccione Use authentication servers y establezca Accounting Interval en 5 minutos.
  6. Desplácese hacia abajo hasta la sección Walled Garden, haga clic en + Add e ingrese los dominios requeridos de Purple y de inicio de sesión con redes sociales.
  7. Haga clic en Save Settings.

Aruba Central AOS-10

En AOS-10, la configuración de walled garden se traslada de la pestaña WLAN Security a Access Rules.

  1. Siga los mismos pasos de configuración de SSID y RADIUS que en AOS-8 anteriormente.
  2. En el SSID asistente, navegue a la pestaña Access.
  3. Haga clic en + Add Role y cree un rol de preautenticación llamado Purple_Pre_Auth.
  4. En el editor de reglas para este rol, configure reglas explícitas de tipo Allow (Permitir) para DNS, DHCP y los dominios requeridos del walled garden (por ejemplo, *.purple.ai, *.venuewifi.com).
  5. Desplácese hacia abajo hasta Assign Pre-Authentication Role, habilite la opción y seleccione Purple_Pre_Auth en el menú desplegable.
  6. El rol de postautorización (que normalmente coincide con el nombre del SSID) debe permanecer configurado con Allow any to all destinations o con sus políticas específicas de acceso corporativo.
  7. Haga clic en Save Settings.

Mejores prácticas

Para garantizar el máximo rendimiento, seguridad y cumplimiento, los arquitectos de red deben adherirse a los siguientes estándares de la industria y mejores prácticas neutrales del proveedor al implementar Captive Portals en Aruba y Purple.

1. Gestión segura de certificados

Los puntos de acceso de Aruba deben presentar un certificado SSL/TLS válido y confiable durante el flujo de redirección del Captive Portal.

  • Evite certificados autofirmados: Si el AP presenta un certificado autofirmado, los navegadores modernos mostrarán una advertencia muy visible de "La conexión no es privada", lo que dañará gravemente la confianza de los invitados y reducirá las tasas de conversión.
  • Implemente un certificado de CA confiable: Suba un certificado comodín (wildcard) de una Autoridad de Certificación (CA) reconocida mundialmente a la configuración global de Aruba Central o a los controladores virtuales Instant. Asegúrese de que los certificados intermedios y raíz se combinen en un solo archivo para completar la cadena de confianza.

2. Segmentación de red y cumplimiento

El tráfico de invitados debe mantenerse completamente separado del tráfico corporativo y administrativo para mitigar los riesgos de seguridad y garantizar el cumplimiento de los estándares de la industria.

  • Aislamiento de VLAN: Asocie el SSID de invitados a una VLAN dedicada y no enrutable. Utilice Listas de Control de Acceso (ACL) en el switch principal (core) ascendente o en el firewall para evitar cualquier enrutamiento entre la VLAN de invitados y las subredes corporativas internas.
  • Cumplimiento de PCI DSS: Si su establecimiento procesa pagos con tarjeta (por ejemplo, puntos de venta minoristas), la segmentación de red es un requisito obligatorio según el Requisito 1.2 de PCI DSS [3]. El WiFi de invitados debe estar física o lógicamente aislado del Entorno de Datos de Tarjetahabientes (CDE).
  • GDPR y privacidad de datos: Asegúrese de que el portal de Purple esté configurado para mostrar casillas de verificación de consentimiento explícitas y sin marcar para la suscripción a campañas de marketing, cumpliendo con los estrictos requisitos del Reglamento General de Protección de Datos (GDPR) [4].

3. Optimización de WISPr y detección de Captive Portal

Los sistemas operativos móviles modernos utilizan sondeos activos para detectar Captive Portals inmediatamente después de la asociación.

  • Habilitar WISPr: Asegúrese siempre de que el soporte de WISPr esté habilitado en su perfil de Captive Portal de Aruba. Este protocolo pasa metadatos en formato XML al sistema operativo del cliente, lo que permite que iOS (Captive Network Assistant) y Android (Captive Portal Login) abran de manera fluida la pantalla de inicio de sesión en una ventana de navegador dedicada.
  • Evitar problemas de "Enhanced Open" (OWE): Aunque el Cifrado Inalámbrico Oportunista (OWE) proporciona cifrado en redes abiertas, muchos dispositivos cliente heredados no lo admiten. Para redes públicas de invitados, mantenga la gestión de claves estándar Open para maximizar la compatibilidad de los dispositivos.

Resolución de problemas y mitigación de riesgos

Incluso con una planificación meticulosa, las implementaciones de Captive Portal pueden presentar fallas comunes. La siguiente matriz de resolución de problemas proporciona pasos inmediatos y prácticos para los ingenieros de redes inalámbricas.

Matriz de resolución de problemas de Captive Portal

Síntoma Causa probable Pasos de diagnóstico Solución práctica
El invitado se asocia pero la página de bienvenida no carga (Tiempo de espera agotado/Página en blanco). Configuración de Walled Garden faltante o incompleta. Intente hacer ping a portal.venuewifi.com desde un dispositivo cableado en la misma VLAN. Verifique si el dispositivo está intentando cargar recursos externos (por ejemplo, scripts de inicio de sesión social) que están bloqueados. Agregue explícitamente *.purple.ai, *.venuewifi.com y *.cloudfront.net al walled garden de Aruba. Verifique que la resolución de DNS esté permitida en el rol de preautenticación.
El invitado es redirigido pero el navegador muestra una advertencia de certificado SSL/TLS. El AP de Aruba está presentando un certificado no confiable o autofirmado para la página de redirección local. Inspeccione los detalles del certificado del navegador para ver qué certificado se está presentando. Suba un certificado SSL válido y confiable firmado por una CA pública al controlador virtual de Aruba o a la configuración global de Central.
El invitado completa el formulario de inicio de sesión pero no se le concede acceso a Internet (bucle de redirección). Falla de comunicación RADIUS entre el AP de Aruba y los servidores de Purple. Revise los registros del controlador virtual de Aruba para ver si hay tiempos de espera de RADIUS o rechazos de acceso (access-rejects). Ejecute show auth-survivability o revise los registros del firewall. Verifique que los puertos UDP de salida 1812 (Auth) y 1813 (Acct) estén abiertos en su firewall perimetral. Asegúrese de que el secreto compartido de RADIUS coincida exactamente tanto en Purple como en Aruba.
El Captive Portal no se abre automáticamente en dispositivos iOS o Android. WISPr está deshabilitado o el AP está bloqueando las URL de detección de Captive Portal del sistema operativo. Verifique si el dispositivo puede acceder a Internet sin iniciar sesión, o si permanece conectado con "Sin Internet" y no tiene ventana emergente. Habilite WISPr en el perfil de Captive Portal de Aruba. Asegúrese de que las URL de detección de Captive Portal (por ejemplo, captive.apple.com, connectivitycheck.gstatic.com) no estén bloqueadas por ACL de preautenticación personalizadas.
Las estadísticas de tiempo de permanencia en tiempo real son inexactas o faltan en Purple. El registro de conexiones (RADIUS Accounting) está deshabilitado o el intervalo de registro está configurado demasiado alto. Revise la configuración del AP para ver si el registro de conexiones está habilitado e inspeccione el intervalo. Habilite RADIUS Accounting en el SSID de Aruba. Establezca el Accounting Interval (Intervalo de registro) exactamente en 5 minutos (300 segundos) para garantizar actualizaciones periódicas de la sesión.

ROI e impacto comercial

La transición de un Captive Portal básico y local a una plataforma de inteligencia de WiFi de nivel empresarial como PPurple ofrece resultados de negocio medibles en operaciones, marketing y gestión de redes.

Eficiencia operativa y escalabilidad

Gestionar Captive Portals locales individuales en cientos de tiendas de retail, hoteles o lugares públicos es un cuello de botella administrativo. Purple proporciona una consola centralizada y gestionada en la nube que permite a los equipos de TI implementar, actualizar y auditar configuraciones de Captive Portal a nivel global con un solo clic. Esto reduce la discrepancia de configuración, garantiza una imagen de marca coherente y reduce la carga administrativa hasta en un 60%.

Monetización de datos y ROI de marketing

Para sectores como el Retail y la Hospitalidad, el WiFi de invitados es un canal potente para la adquisición y el engagement de clientes. Purple reemplaza las conexiones anónimas con perfiles demográficos enriquecidos.

  • Integración directa: Purple se integra con plataformas de CRM y automatización de marketing para activar campañas en tiempo real y adaptadas al contexto. Por ejemplo, un establecimiento de retail puede activar un SMS de descuento personalizado en el momento en que un cliente de su programa de lealtad se conecta al WiFi de invitados.
  • Análisis de afluencia medible: Al analizar los datos de contabilidad de RADIUS y las asociaciones de BSSID, Purple proporciona informes altamente precisos de tiempo de permanencia, tasa de retorno y análisis de trayectoria. Estos datos permiten a los directores de operaciones de los establecimientos optimizar los niveles de personal, evaluar la efectividad de los escaparates y medir el ROI directo de las campañas de marketing.

Análisis de costo-beneficio: Aruba nativo frente a la integración con Purple

Característica / Métrica Portal local nativo de Aruba Integración de Aruba + Purple Impacto en el negocio
Gestión centralizada de múltiples sitios Limitada. Requiere configuración individual por controlador virtual o un mapeo complejo de grupos en Central. Totalmente centralizada. Gestione miles de establecimientos y SSIDs desde un único panel en la nube. Reduce la carga de TI y elimina la discrepancia de configuración en propiedades distribuidas.
Captura de datos y cumplimiento Captura de formularios básica. Sin flujos de trabajo integrados para la validación de consentimiento GDPR/CCPA. De nivel empresarial. Seguimiento de consentimiento automatizado y legalmente conforme con sincronización de API en tiempo real con CRMs. Mitiga el riesgo legal y garantiza el cumplimiento de las normativas de privacidad globales [4].
Autenticación social Requiere desarrollo web externo personalizado y mantenimiento manual de la API. Soporte listo para usar para Google, Facebook, Apple, Microsoft, LinkedIn y SMS. Aumenta las tasas de conversión hasta en un 40% a través de opciones de inicio de sesión sin fricciones.
Análisis e informes Registros de sesión básicos (IP, MAC, tiempo de conexión). Sin seguimiento demográfico ni de comportamiento. Análisis enriquecidos: edad, género, tiempo de permanencia, tasas de retorno, mapas de calor y roaming entre establecimientos. Impulsa el ROI de marketing y proporciona inteligencia de negocio accionable para las operaciones.

Definiciones clave

Captive Portal

A web page that is displayed to newly connected users of a Wi-Fi network before they are granted broader access to network resources.

Used to capture guest data, enforce terms of service, and present branded marketing content.

RADIUS (Remote Authentication Dial-In User Service)

A networking protocol that provides centralized Authentication, Authorization, and Accounting (AAA) management for users who connect and use a network service.

Purple acts as the external RADIUS server, authenticating guests and tracking their session duration.

WISPr (Wireless Internet Service Provider roaming)

A draft protocol that enables independent wireless internet service providers to allow users to roam onto each other's networks using a common login portal.

Enabling WISPr on Aruba APs allows modern smartphones to automatically detect the captive portal and display the splash page in a system-native window.

Walled Garden

A restricted set of web sites or domains that an unauthenticated user is allowed to access before they complete the captive portal login process.

Crucial for allowing guests to load the splash page assets (CSS, JS, images) and access social login providers (Google, Facebook) before being authenticated.

BSSID (Basic Service Set Identifier)

The MAC address of the wireless access point's radio interface for a specific SSID.

Sent in the RADIUS Called-Station-Id attribute, allowing Purple to map the user's physical location to a specific AP.

NAS-IP-Address

The IP address of the Network Access Server (the Aruba AP or controller) originating the RADIUS request.

Used in RADIUS packets to identify which physical hardware is requesting authentication.

RadSec

A protocol that secures RADIUS transactions using Transport Layer Security (TLS) over TCP.

Used to encrypt RADIUS authentication and accounting traffic when traversing untrusted public networks between the local AP and Purple's cloud.

Enhanced Open (OWE)

An extension to Wi-Fi Certified Easy Connect that provides encryption of wireless transmissions on open networks without requiring a password.

Can cause compatibility issues with older guest devices; standard Open security is recommended for public captive portals.

Ejemplos resueltos

An enterprise wireless engineer is deploying guest WiFi across a national retail chain with 150 stores. Each store has 3-5 Aruba Instant APs managed via Aruba Central. The marketing team requires a branded captive portal with Facebook and Google social login options, and the compliance team mandates that guest traffic must be completely isolated from the store's Point-of-Sale (PoS) network. How should this be architected and configured?

  1. Network Segmentation: Map the Guest SSID to VLAN 100 on the Aruba APs. Configure the local switch ports as trunk ports, allowing VLAN 100. On the store's gateway firewall, configure VLAN 100 with a DHCP scope and an outbound-only NAT policy. Apply an ACL on the firewall to drop all traffic from VLAN 100 to the PoS VLAN (VLAN 10).
  2. RADIUS & Portal Configuration in Aruba Central: Create a new SSID named 'Store-Guest' on VLAN 100. Set Security to 'Visitors' and Splash Page to 'External Captive Portal'. Add Purple's primary RADIUS server (34.94.146.135) and secondary server (34.94.183.201) with ports 1812/1813. Enable RADIUS Accounting with a 5-minute interval.
  3. Walled Garden: Configure the walled garden in Aruba Central to include: *.purple.ai, *.venuewifi.com, *.cloudfront.net (for Purple core), and the social login domains: *.google.com, *.googleapis.com, *.gstatic.com (for Google) and *.facebook.com, *.fbcdn.net, connect.facebook.net (for Facebook).
  4. Testing: Connect a test device to 'Store-Guest', verify DHCP assigns an IP on VLAN 100, confirm the browser redirects to the Purple portal over HTTPS, complete the Facebook login, and verify that internet access is granted while internal PoS resources remain completely unreachable.
Comentario del examinador: This approach is highly effective because it addresses both security and user experience. Using VLAN isolation at the physical switch and gateway firewall ensures robust PCI DSS compliance, preventing guest devices from ever reaching the CDE. Explicitly defining the social login domains in the walled garden is critical; relying on 'Automatic URL Whitelisting' can sometimes cause intermittent failures if the social provider dynamically changes their CDN subdomains. Setting the RADIUS accounting interval to 5 minutes ensures the marketing team gets high-fidelity dwell-time analytics without overloading the AP's CPU.

A stadium venue with 50,000 seats is running Aruba Central on AOS-10 with high-density AP-555 access points. During peak event hours, thousands of users attempt to connect to the guest WiFi simultaneously. The IT director is concerned about the performance impact of captive portal redirects on the virtual controller and wants to ensure the authentication process is as fast and resilient as possible. What advanced configurations should be applied?

  1. Pre-Authentication Role (AOS-10): In AOS-10, configure a dedicated pre-authentication role named 'Stadium-Pre-Auth'. Apply an ACL that permits DHCP (UDP 67-68), DNS (UDP 53), and outbound traffic to the Purple walled garden domains. Assign this role as the 'Pre-Authentication Role' in the SSID settings. This offloads the packet filtering from the central controller to the individual APs, distributing the load.
  2. RADIUS Load Balancing: In Aruba Central, enable RADIUS Load Balancing across the primary and secondary Purple RADIUS servers. This distributes the authentication load evenly during peak ingress windows.
  3. Server Offload: Enable 'Server Offload' in the Captive Portal Profile settings. This prevents non-browser client applications (like background mobile apps, system updates, or IoT devices) from being repeatedly redirected to the external captive portal, preserving AP CPU cycles and WAN bandwidth.
  4. Captive Portal Failure Policy: Set 'Captive Portal Failure' to 'Deny Internet'. While 'Allow Internet' seems customer-friendly, during an extreme network event it could lead to uncontrolled open access, bypassing security controls and exhausting DHCP pools.
Comentario del examinador: High-density environments like stadiums require a distributed processing model. Configuring the walled garden via Access Rules in AOS-10 ensures that the access control lists are compiled and executed locally in the AP's hardware-accelerated data path, rather than being tunneled back to a gateway. Enabling Server Offload is an industry-standard best practice for stadium deployments; it mitigates the 'captive portal storm' caused by background apps on thousands of locked phones attempting to reach their respective cloud servers simultaneously.

Preguntas de práctica

Q1. A network engineer configures a new guest SSID on an Aruba Instant AP cluster. When testing, they connect to the SSID, but instead of the branded Purple splash page, they see a browser timeout error. What is the most likely cause of this issue, and what troubleshooting steps should be taken?

Sugerencia: Think about what is required for the client device to reach the cloud-hosted splash page before authentication.

Ver respuesta modelo

The most likely cause is a missing or incomplete Walled Garden configuration, or a DNS resolution issue. Before authentication, the AP blocks all traffic except for whitelisted domains. If the Purple domains (*.purple.ai, *.venuewifi.com, *.cloudfront.net) are not in the walled garden, the client cannot load the splash page. Troubleshooting steps: 1. Verify the client device has received a valid IP address and DNS server via DHCP. 2. Attempt to resolve 'portal.venuewifi.com' from a wired device on the same VLAN to confirm DNS is working. 3. Check the Aruba AP configuration to ensure the Walled Garden whitelist is active and contains all required Purple domains. 4. Verify that the pre-authentication role allows DNS traffic (UDP port 53) to the DNS server.

Q2. During a rollout of Purple guest WiFi at a large convention center, the IT team reports that guest devices connect successfully, but they are prompted to log in again every 15 minutes. The desired behavior is for guests to remain logged in for 24 hours. Which Aruba and Purple configuration parameters should be inspected to resolve this?

Sugerencia: Look at parameters controlling session lifetime and re-authentication intervals.

Ver respuesta modelo

This issue is caused by a mismatch in session timeout or re-authentication interval settings. To resolve this: 1. Inspect the 'Reauth Interval' on the Aruba SSID security tab; it should be set to 1440 minutes (24 hours) rather than 15 minutes. 2. Check the 'Session Timeout' attribute returned by the Purple RADIUS server in the Access-Accept message. If Purple is configured with a short session lifetime, it will force re-authentication. 3. Ensure that MAC Authentication is enabled on the Aruba SSID. This allows the AP to automatically authenticate returning guests via their MAC address against Purple's database without prompting them with the splash page again during the 24-hour window.

Q3. A public-sector organization is deploying guest WiFi across multiple libraries using Aruba Central on AOS-10. The security policy mandates that all guest traffic must be encrypted over the air, but the library directors want a seamless, friction-free login experience. How can the wireless architect achieve both requirements using Aruba and Purple?

Sugerencia: Consider the differences between Open, OWE (Enhanced Open), and WPA2/WPA3-Enterprise, and how they interact with captive portals.

Ver respuesta modelo

To achieve both over-the-air encryption and a seamless captive portal experience, the architect should deploy 'Enhanced Open' (Opportunistic Wireless Encryption - OWE) with a transition mode if legacy device compatibility is required. Enhanced Open encrypts the wireless connection between the client and the AP without requiring a pre-shared key, protecting guests from passive eavesdropping. 1. Configure the guest SSID in Aruba Central with Security Level set to 'Visitors' and Key Management set to 'Enhanced Open'. 2. Enable 'OWE Transition Mode' and associate it with a standard Open guest SSID to support older devices that do not support WPA3 OWE. 3. Configure the External Captive Portal profile pointing to Purple as usual. This combination ensures that modern devices get encrypted wireless transport automatically, while still redirecting to the Purple splash page for data capture and compliance.

Continúe leyendo esta serie

Aruba ClearPass y Purple WiFi: Guía de Integración y Despliegue

Esta guía proporciona una referencia técnica completa para integrar HPE Aruba ClearPass Policy Manager con la plataforma Purple WiFi, cubriendo la arquitectura de proxy RADIUS, la configuración del Captive Portal y el mapeo dinámico de roles de VLAN. Está diseñada para gerentes de TI y arquitectos de red en entornos con gran presencia de Aruba que necesitan mantener ClearPass para NAC mientras implementan Purple para la autenticación de invitados y análisis. La implementación de esta integración cierra una brecha crítica de proveedores, permitiendo seguridad y cumplimiento de nivel empresarial junto con las capacidades líderes en el mercado de inteligencia de visitantes de Purple.

Leer la guía →

Aruba Central y Purple WiFi: Integración Gestionada en la Nube

Una guía de referencia técnica completa para integrar Aruba Central con la plataforma de inteligencia de WiFi para invitados alojada en la nube de Purple. Esta guía cubre la arquitectura, la configuración paso a paso de portales cautivos externos y RADIUS, y estrategias de implementación multisitio para equipos de TI empresariales.

Leer la guía →

Extreme Networks y Purple WiFi: Integración con ExtremeCloud IQ

Esta guía de referencia técnica proporciona un plan integral para integrar Purple WiFi con la plataforma ExtremeCloud IQ de Extreme Networks. Detalla el flujo arquitectónico, los pasos de configuración para la redirección del Captive Portal y la autenticación RADIUS, y las mejores prácticas para lograr un acceso de invitados seguro y con gran cantidad de datos en entornos empresariales.

Leer la guía →