Captive Portal for Ruckus

Resumen Ejecutivo

Implementar una red inalámbrica para invitados de alto rendimiento en entornos empresariales requiere un delicado equilibrio entre una experiencia de usuario fluida y una seguridad técnica robusta. Para las organizaciones que utilizan arquitecturas CommScope Ruckus —que van desde estadios y centros de convenciones de alta densidad hasta extensas propiedades de retail y grupos hoteleros— el Captive Portal sirve como la puerta de enlace principal para la incorporación de usuarios, el cumplimiento de normativas y la captura de datos de primera mano.

Esta guía ofrece un manual paso a paso autorizado para integrar Captive Portals externos con controladores Ruckus SmartZone y Ruckus Unleashed. Al aprovechar los protocolos de itinerancia de proveedores de servicios de Internet inalámbrico (WISPr) estándar de la industria, los ingenieros de redes pueden implementar un redireccionamiento confiable, una autenticación segura de servicio de usuario de marcado de autenticación remota (RADIUS) y configuraciones detalladas de Walled Garden.

Al combinarse con la plataforma de Purple's Guest WiFi y WiFi Analytics , esta integración permite a los operadores de los establecimientos capturar datos demográficos críticos de los visitantes, cumplir con las regulaciones internacionales de datos (como GDPR y PCI DSS) y desbloquear una potente automatización de marketing. Ya sea que se implementen arquitecturas centralizadas de Virtual SmartZone (vSZ) en centros de Hospitality y Transport , o redes Unleashed distribuidas basadas en AP en entornos de Retail , esta referencia técnica garantiza una implementación resistente y de alto rendimiento.

Análisis Técnico Profundo

Para implementar una red de invitados altamente escalable, los ingenieros deben comprender los estándares de comunicación subyacentes que rigen el flujo del Captive Portal. Las arquitecturas Ruckus utilizan el estándar WISPr 2.0 para negociar el redireccionamiento y la autenticación del cliente. WISPr define cómo un punto de acceso (AP) inalámbrico o controlador intercepta el tráfico HTTP/HTTPS no autenticado y redirecciona el navegador del cliente a un servidor web de portal externo.

El Flujo de Autenticación WISPr

El proceso de redireccionamiento del Captive Portal externo sigue una secuencia estricta de transacciones de red. Comprender este flujo es esencial para la resolución de problemas y la configuración de políticas de firewall ascendentes:

1. Asociación: El cliente invitado se asocia con el SSID de invitados abierto y sin cifrar. El AP asigna una dirección IP al cliente a través de DHCP.
2. Sondeo HTTP: El sistema operativo del cliente lanza un sondeo HTTP (por ejemplo, el sondeo del Captive Network Assistant de Apple a captive.apple.com o la verificación de conectividad de Android a connectivitycheck.gstatic.com) para verificar el acceso a Internet.
3. Redirección HTTP 302: El AP de Ruckus o el controlador SmartZone intercepta esta solicitud HTTP no autenticada. Responde con una redirección HTTP 302, reenviando el navegador del cliente a la URL del portal externo (por ejemplo, la página de inicio de sesión de Purple). Esta URL de redirección se complementa con parámetros de consulta críticos, que incluyen la dirección MAC del cliente (client_mac), la dirección IP (client_ip), la dirección MAC del AP (ap_mac) y la IP de la interfaz Northbound del controlador (nbiIP).
4. Renderizado del Portal: El navegador del cliente carga la página del portal externo. El tráfico no autenticado hacia el dominio del portal y sus recursos asociados está permitido por la política de Walled Garden del controlador.
5. Autenticación de Usuario: El usuario completa los requisitos de inicio de sesión (por ejemplo, inicio de sesión con redes sociales, registro por SMS, envío de formularios) en el portal.
6. RADIUS Access-Request: La plataforma del portal externo, actuando como un cliente RADIUS, envía un Access-Request al servidor de autenticación RADIUS configurado (como la infraestructura Cloud RADIUS de Purple).
7. RADIUS Access-Accept: El servidor RADIUS valida las credenciales y devuelve un paquete Access-Accept que contiene los parámetros de la sesión (por ejemplo, tiempo de espera de la sesión, límites de ancho de banda) al controlador Ruckus.
8. Callback de NBI: El portal externo realiza una llamada de API a la interfaz Northbound (NBI) del controlador Ruckus utilizando credenciales WISPr, indicando al controlador que autorice la dirección MAC del cliente.
9. Acceso a Internet: El controlador cambia el estado del cliente a "Autenticado", permitiendo el acceso total a internet sujeto a las políticas de sesión configuradas.

Comparación de la Arquitectura Principal

Dependiendo de la escala del sitio, las organizaciones implementan arquitecturas CommScope Ruckus SmartZone (a escala empresarial, basada en controlador) o Ruckus Unleashed (distribuida, sin controlador). Aunque ambas son compatibles con Captive Portals externos basados en WISPr, sus rutas de configuración subyacentes y capacidades difieren significativamente:

Guía de Implementación

Esta guía de implementación paso a paso orienta a los ingenieros de red en la configuración de un Captive Portal externo en los controladores Ruckus SmartZone y Ruckus Unleashed.

Parte A: Configuración de Ruckus SmartZone

Paso 1: Configurar los Servidores AAA RADIUS

Para autenticar a los usuarios invitados contra una base de datos externa, primero debe definir los servidores de Autenticación y Contabilidad (Accounting) RADIUS.

1. Vaya a Services & Profiles > Authentication y seleccione la pestaña Proxy (SZ Authenticator).
2. Seleccione su Zone de destino y haga clic en Create.
3. Configure los siguientes parámetros:
   • Name: Purple_RADIUS_Auth
   • Service Protocol: RADIUS
   • Primary Server IP: Ingrese la dirección IP proporcionada en su Consola de Administración de Purple.
   • Port: 1812
   • Shared Secret: Ingrese su Secreto Compartido de Purple RADIUS.
   • Backup RADIUS: Enabled (Configure la IP secundaria, el puerto 1812 y el mismo secreto compartido para alta disponibilidad).
4. Haga clic en OK para guardar.
5. Vaya a Services & Profiles > Accounting y haga clic en Create bajo la pestaña Proxy (SZ Authenticator).
6. Configure los siguientes parámetros:
   • Name: Purple_RADIUS_Acct
   • Service Protocol: RADIUS Accounting
   • Primary Server IP: Ingrese la dirección IP proporcionada en su Consola de Administración de Purple.
   • Port: 1813
   • Shared Secret: Ingrese su Secreto Compartido de Purple RADIUS.
   • Backup RADIUS: Enabled (Configure la IP secundaria, el puerto 1813 y el mismo secreto compartido).
7. Haga clic en OK para guardar.

Paso 2: Configurar el Perfil del Portal Hotspot WISPr

El perfil Hotspot WISPr define el comportamiento de redirección y las reglas de Walled Garden.

1. Vaya a Services & Profiles > Hotspots & Portals > Hotspot (WISPr).
2. Seleccione su Zone de destino y haga clic en Create.
3. En la sección General Options, configure:
   • Portal Name: Purple_WISPr_Portal
   • WISPr Smart Client Support: None
   • Login URL: Seleccione External e ingrese la URL de redirección principal proporcionada por Purple (por ejemplo, https://login.purple.ai/start).
   • Redirect MAC Format: AA:BB:CC:DD:EE:FF (Este formato es fundamental para el análisis de la base de datos de Purple).
4. En la sección Start Page, configure:
   • Seleccione Redirect to the following URL e ingrese: https://login.purple.ai/success.php
5. En la sección Session Options, configure:
   • Session Timeout: 1440 minutos (24 horas, o según la política de su empresa).
   • Grace Period: 60 minutos (permite a los usuarios volver a conectarse dentro de 1 hora sin tener que volver a autenticarse).
6. Haz clic en OK para guardar el perfil.

Paso 3: Definir las excepciones de Walled Garden

El Walled Garden permite que los clientes no autenticados resuelvan el DNS y descarguen recursos de dominios específicos necesarios para cargar la splash page y autenticarse.

1. Edita tu perfil Purple_WISPr_Portal recién creado.
2. Desplázate hacia abajo y haz clic en el signo + para expandir la sección Walled Garden.
3. Agrega los siguientes dominios obligatorios. Ten en cuenta que Ruckus SmartZone requiere el formato de comodín *.domain.com:
   • *.purple.ai (Portal principal y dominio de redirección)
   • *.cloudfront.net (CDN para cargar hojas de estilo y recursos de JavaScript)
   • *.apple.com y captive.apple.com (Para administrar el comportamiento de Apple Captive Network Assistant)
   • *.googleapis.com y *.gstatic.com (Para la API de Google y entrega de recursos)
4. Agrega cualquier dominio de redes sociales si habilitas el inicio de sesión social (por ejemplo, *.facebook.com, *.facebook.net para el inicio de sesión de Facebook).
5. Haz clic en OK para guardar.

Paso 4: Configurar la red inalámbrica local para invitados (WLAN)

Ahora, vincula los servidores RADIUS y el perfil de Hotspot a un nuevo SSID.

1. Navega a Wireless LANs y selecciona tu Zone de destino.
2. Haz clic en Create para crear una nueva WLAN.
3. Configura las General Options:
   • Name: Guest_WiFi
   • SSID: !Free_Venue_WiFi
4. Configura las Security Options:
   • Authentication Type: Hotspot (WISPr)
   • Method: Open
   • Encryption Options: None
5. Expande la sección Hotspot Portal:
   • Hotspot (WISPr) Portal: Selecciona Purple_WISPr_Portal.
   • Authentication Service: Selecciona Purple_RADIUS_Auth.
   • Accounting Service: Selecciona Purple_RADIUS_Acct.
   • Send Interim Update: Establécelo en 5 minutos (esencial para el seguimiento de sesiones en tiempo real).
6. Expande las RADIUS Options:
   • NAS ID: Establécelo en User-defined e ingresa el ID de tu establecimiento asignado por Purple.
   • Called Station ID: Selecciona AP MAC.
   • Single Session ID: ON (Evita la duplicación de sesiones entre APs).
7. Haz clic en OK para implementar la WLAN.

Paso 5: Habilitar la interfaz WISPr Northbound Interface (NBI)

La NBI permite que Purple se comunique de vuelta con el SmartZone para autorizar a los clientes.

1. Navega a Administration > External Services > WISPr Northbound Interface.
2. Marca la casilla para Enable Northbound Interface support.
3. Define un Username y Password (por ejemplo, purple_nbi / SecureNbiPassword123!).
4. Ingresa estas credenciales en la consola de administración de Purple en Integrations > Ruckus SmartZone.

Paso 6: Deshabilitar el cifrado de MAC/IP (PASO CRÍTICO DE CLI)

De forma predeterminada, SmartZone cifra las direcciones MAC en la URL de redirección. Debes deshabilitar esto para que Purple pueda leer las MAC de los clientes.

1. Abre una sesión SSH a la IP de administración de tu controlador SmartZone.
2. Inicia sesión con tus credenciales de administrador.
3. Ejecuta los siguientes comandos:

   ruckus> enable
   ruckus# config
   ruckus(config)# no encrypt-mac-ip
   ruckus(config)# end
   ruckus# write memory
   

Parte B: Configuración de Ruckus Unleashed

Para establecimientos más pequeños que utilizan una arquitectura Unleashed sin controlador, configure el Captive Portal a través de la interfaz web del AP maestro.

Paso 1: Definir servidores AAA

1. Vaya a Admin & Services > Services > AAA Servers.
2. Haga clic en Create New para agregar el servidor de autenticación RADIUS:
   • Name: Purple_Auth
   • Type: RADIUS
   • IP Address: Ingrese la IP de RADIUS de Purple.
   • Port: 1812
   • Shared Secret: Ingrese su secreto compartido de RADIUS de Purple.
3. Haga clic en OK.
4. Haga clic en Create New para agregar el servidor de contabilidad (Accounting) RADIUS:
   • Name: Purple_Acct
   • Type: RADIUS Accounting
   • IP Address: Ingrese la IP de RADIUS de Purple.
   • Port: 1813
   • Shared Secret: Ingrese su secreto compartido de RADIUS de Purple.
5. Haga clic en OK.

Paso 2: Configurar el servicio de Hotspot

1. Vaya a Admin & Services > Services > Hotspot Services.
2. Haga clic en Create New.
3. Bajo la pestaña General:
   • Name: Purple_Hotspot
   • Login URL: Ingrese su URL de redireccionamiento de Purple.
   • Start Page: Seleccione Redirect to the following URL e ingrese https://login.purple.ai/success.php.
4. Bajo la pestaña Authentication:
   • Authentication Server: Seleccione Purple_Auth.
   • Accounting Server: Seleccione Purple_Acct.
   • Interim Update: Establézcalo en 5 minutos.
5. Bajo la pestaña Walled Garden:
   • Agregue entradas a nivel de dominio (por ejemplo, purple.ai, cloudfront.net, gstatic.com). Tenga en cuenta que Unleashed no requiere el prefijo de comodín de asterisco; la coincidencia estándar a nivel de dominio se aplica automáticamente.
6. Haga clic en OK para guardar.

Paso 3: Asignar el servicio de Hotspot a la WLAN

1. Vaya a Wi-Fi Networks y haga clic en Create.
2. Establezca Name y SSID con el nombre de su red de invitados.
3. Establezca Usage Type en Hotspot Service.
4. Seleccione Purple_Hotspot de la lista de servicios.
5. Haga clic en OK para publicar el SSID en todos los AP Unleashed.

Mejores prácticas

Para garantizar el máximo rendimiento, la seguridad y el cumplimiento normativo, los arquitectos de red deben implementar las siguientes mejores prácticas estándar de la industria:

1. Segmentación granular de VLAN de invitados

Nunca asocie el tráfico de invitados a la VLAN nativa o de administración. Aísle siempre a los clientes invitados en una VLAN dedicada y no enrutable (por ejemplo, VLAN 100). Implemente listas de control de acceso (ACL) estrictas en el switch o firewall ascendente para bloquear el tráfico de invitados y evitar que llegue a las subredes corporativas, sistemas de punto de venta (POS) e infraestructura de IoT. Esta segmentación es un requisito fundamental para el cumplimiento de PCI DSS.

2. Optimización de RF de alta densidad

In high-density environments like stadiums, conference centres, and large retail hubs, RF tuning is critical. Disable lower legacy data rates (e.g., disable 802.11b rates below 12 Mbps) to force clients onto faster rates, reducing airtime contention. Enable Band Steering to direct dual-band client devices to the 5 GHz and 6 GHz spectrum, preserving the highly congested 2.4 GHz band for legacy devices.

3. Dynamic Walled Garden Management

Keep your Walled Garden as lean as possible. Overly permissive walled gardens (such as adding large IP subnets like 172.217.0.0/16) can allow unauthenticated users to bypass the captive portal and access external services (like Google Search or YouTube) without logging in. Regularly audit your walled garden domains, especially after enabling new social login providers.

4. Secure Session Management

Set reasonable session timeouts (e.g., 1440 minutes / 24 hours) and grace periods (e.g., 60 minutes). A well-configured grace period prevents "portal fatigue" by allowing users who temporarily lose WiFi coverage (e.g., stepping outside a hotel lobby) to reconnect seamlessly without being forced to re-authenticate.

5. Regulatory Compliance and Security

Deploying public guest WiFi exposes venues to legal risks. Ensure your captive portal integration complies with local regulations:

• GDPR / CCPA: Ensure the splash page displays clear terms of service and privacy policies, requiring active opt-in consent for marketing communications.
• WPA3-Transition Mode: While guest networks are typically open, consider enabling WPA3-Transition mode with Opportunistic Wireless Encryption (OWE) to encrypt wireless traffic between the client and the AP without requiring a pre-shared key, protecting guests from passive eavesdropping.
• Web Content Filtering: Upstream DNS servers (such as Cisco Umbrella or Cloudflare Families) should be configured to block malicious domains, adult content, and illegal file-sharing traffic on the guest VLAN.

Troubleshooting & Risk Mitigation

When deploying external captive portals on Ruckus hardware, engineers commonly encounter a predictable set of configuration and network path issues. Use this structured troubleshooting framework to resolve deployment bottlenecks.

Common Failure Modes and Resolution Paths

Issue 1: Guest devices are not redirected to the captive portal page.

• Root Cause A: DNS Resolution Failure. Unauthenticated clients must be able to resolve DNS queries before redirection. If the client cannot resolve login.purple.ai, the redirect will fail.
  • Resolution: Verify that the DHCP scope assigned to the guest VLAN provides valid, public DNS servers (e.g., 1.1.1.1 or 8.8.8.8). Ensure the upstream firewall permits UDP port 53 traffic from the guest subnet to the internet pre-authentication.
• Root Cause B: Firewall blocking Port 9080/9443. SmartZone requires specific ports open to load the splash page.
  • Resolución: Asegúrate de que el puerto TCP 9080 (HTTP) o 9443 (HTTPS) esté permitido a través de cualquier firewall local.
• Causa raíz C: Configuración incorrecta del Walled Garden. Es posible que la URL de redirección misma esté bloqueada.
  • Resolución: Asegúrate de que *.purple.ai esté definido explícitamente en el Hotspot WISPr Walled Garden.

Problema 2: Los invitados pueden ver y completar la página de inicio de sesión, pero no pueden acceder a internet después de hacer clic en "Conectar".

• Causa raíz A: Falla de comunicación de la NBI. El portal externo no puede enviar la llamada de la API de autorización de regreso al controlador SmartZone.
  • Resolución: Verifica que la Northbound Interface (NBI) de SmartZone esté habilitada y que las credenciales ingresadas en la consola de administración de Purple coincidan con la configuración del controlador. Asegúrate de que tu firewall perimetral permita el tráfico entrante del puerto TCP 9080 (o 9443) desde el rango de IP públicas de Purple hacia la IP de administración de SmartZone.
• Causa raíz B: Falla de autenticación RADIUS. El controlador está rechazando el Access-Accept de RADIUS o no lo ha recibido.
  • Resolución: Ve a Servicios y perfiles > Autenticación en el SmartZone, selecciona tu servidor RADIUS y haz clic en Probar AAA. Ingresa credenciales de prueba para verificar la conectividad. Si la prueba falla, verifica la IP de RADIUS, el puerto 1812 y el Secreto compartido. Asegúrate de que los puertos UDP 1812 y 1813 estén permitidos de salida en tu firewall perimetral.

Problema 3: Los dispositivos Apple iOS no muestran el navegador mini del Captive Network Assistant (CNA) automáticamente.

• Causa raíz: Omisión de CNA de Apple habilitada o Walled Garden demasiado permisivo. Si el dominio de prueba de Apple está permitido en el walled garden, iOS asume que tiene acceso directo a internet y suprime el CNA.
  • Resolución: Asegúrate de que captive.apple.com NO esté completamente omitido en tu walled garden si deseas forzar la aparición del CNA. Por el contrario, si tu política es omitir el CNA y obligar a los usuarios a abrir un navegador estándar, asegúrate de que Omitir CNA esté ACTIVADO en la configuración de la WLAN.

Requisitos de puertos de red y protocolos

Para garantizar una comunicación fluida entre el controlador Ruckus, los dispositivos cliente y el portal externo, verifica que los siguientes puertos estén permitidos en los firewalls de tu red:

ROI e impacto empresarial

While network engineers focus on packet flows and port configurations, IT directors and CTOs must justify the investment in enterprise guest WiFi. Integrating Ruckus high-density hardware with Purple's WiFi Analytics platform transforms a cost-centre network into a high-value business asset, delivering measurable return on investment (ROI).

1. First-Party Data Capture at Scale

In industries like Retail and Hospitality , understanding customer demographics is a primary driver of business growth. A standard open SSID captures zero visitor data. By implementing Purple's captive portal, venues achieve average login completion rates of 25% to 40%. This allows operators to legally capture verified email addresses, phone numbers, and social profiles.

2. Hyper-Localized Marketing and Engagement

By pairing Ruckus's precise location services with Purple's marketing engine, venues can trigger automated, real-time campaigns based on physical presence. For example, a retail brand can trigger a targeted SMS coupon to a guest who has been browsing a specific department for more than 15 minutes, or a hotel can send a welcome email with a link to book spa services immediately after the guest connects to the lobby WiFi.

3. Operational Efficiency and Venue Insights

Integrating captive portals with location analytics delivers powerful operational intelligence. Venue directors can monitor:

• Footfall and Dwell Time: Measure the exact number of visitors, how long they stay, and their pathing through the physical space.
• Loyalty and Return Rates: Identify new vs. returning visitors to evaluate the impact of marketing campaigns and operational changes.
• Staff Optimization: Align staffing levels with real-time visitor density maps, reducing overhead during off-peak hours and improving customer service during peak times.

Business Impact Matrix

The table below outlines typical business outcomes across core verticals following the deployment of a Ruckus and Purple integrated guest WiFi network:

By aligning technical excellence in wireless engineering with strategic business goals, the Ruckus and Purple integration delivers a secure, compliant, and highly profitable enterprise network infrastructure.

References

• [1] CommScope Ruckus SmartZone Access Services Guide
• [2] Ruckus SmartZone RADIUS Authentication Deployment Guide
• [3] Ruckus Unleashed Hotspot WISPr Configuration Guide
• [4] Cisco Wireless APs: 2026 Guide to Products & Deployment
• [5] 10 Best Network Access Control (NAC) Solutions for 2026
• [6] WiFi in Schools: The 2026 Administrator & IT Guide
• [7] How to Implement 802.1X Authentication with Cloud RADIUS