Configuración del Captive Portal de FortiGate con un servidor de portal externo

En FortiGate, un Captive Portal externo necesita cuatro cosas: configurar el SSID o el modo de seguridad de la interfaz como Captive Portal con una URL de portal externo, apuntar la autenticación y el accounting a un servidor RADIUS, eximir de la autenticación al portal y a los dominios de inicio de sesión con redes sociales, e instalar un certificado de confianza para que el post-back de HTTPS no genere advertencias en el navegador.

¿Qué hace realmente un Captive Portal externo de FortiGate?

Un Captive Portal es la página web que un visitante debe completar antes de que la red permita la salida de su tráfico. En una configuración externa, FortiGate aplica el portal y un servidor independiente aloja la página. Con Purple, ese servidor es nuestra plataforma de Guest WiFi.

El inicio de sesión consta de cinco etapas:

1. El invitado se conecta a un SSID (el nombre de la red) abierto transmitido por un FortiAP, o a una red detrás de una interfaz de FortiGate. El dispositivo recibe una dirección IP.
2. El dispositivo realiza su primera solicitud web. FortiGate la intercepta y redirige el navegador a la URL del portal externo. Agrega parámetros que identifican la sesión, la dirección MAC del cliente y la propia dirección de inicio de sesión del FortiGate.
3. El invitado completa la página de bienvenida de Purple: un formulario, un inicio de sesión con redes sociales o la aceptación de términos.
4. El portal envía las credenciales de regreso al agente de escucha de autenticación de FortiGate. Por defecto, este escucha en TCP 1000 para HTTP y TCP 1003 para HTTPS.
5. FortiGate envía un RADIUS Access-Request a Purple. Al recibir un Access-Accept, marca el dispositivo como autenticado y aplica la política de firewall para invitados. Luego, los mensajes de accounting reportan el inicio de la sesión, el uso intermedio y la finalización.

RADIUS (Remote Authentication Dial-In User Service) es el protocolo que utiliza FortiGate para preguntar "¿puede conectarse este dispositivo?". Está definido en el RFC 2865, y el accounting se define en el RFC 2866.

La división del trabajo es la clave. FortiGate mantiene la aplicación de políticas: política de firewall, NAT y estado de la sesión. Purple maneja la identidad, el consentimiento y los datos de los invitados. Puede cambiar la página de bienvenida en todas las sedes desde Purple sin tocar FortiOS.

¿Portal integrado o portal externo?

FortiOS incluye su propio Captive Portal. Funciona correctamente y, para una sola sede con una página de aviso legal, puede ser suficiente. La tabla muestra en qué aspectos se diferencian ambos enfoques.

	Portal integrado de FortiGate	Portal externo con Purple
Dónde reside la página	HTML de mensaje de reemplazo en cada FortiGate	Alojado por Purple, un solo diseño para cada sede
Opciones de inicio de sesión	Tipos de portal de autenticación, aviso legal y recopilación de correos	Formularios, inicio de sesión con redes sociales y aceptación de términos
Cómo se otorga el acceso	Grupos de usuarios de firewall locales o remotos	RADIUS hacia Purple en UDP 1812
Gestión del consentimiento	Solo captura de correo electrónico; el registro de autorizaciones depende de usted	Autorizaciones de elección consciente registradas por invitado
Cambiar la página en 40 sedes	Editar cada FortiGate o aplicar mediante FortiManager	Un solo cambio en Purple
Informes	Registros de FortiGate y FortiAnalyzer	Dashboards de WiFi Analytics por sucursal
Entornos multiproveedor	Solo hardware Fortinet	El mismo portal en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet
Ideal para	Un sitio, acceso solo con deslinde de responsabilidad	Entornos multisitio que buscan recolectar datos propios

¿Qué necesita antes de iniciar la configuración del Captive Portal en FortiGate?

Reúna esto antes de abrir la GUI de FortiGate. La mayoría de las implementaciones fallidas se deben a que falta algún elemento de esta lista.

• Un FortiGate en una versión compatible de FortiOS. Ya sea que FortiGate gestione sus FortiAPs como controlador inalámbrico o que una de sus interfaces dé servicio a la red de invitados. El modo interfaz cubre puntos de acceso de terceros y puertos cableados para invitados.
• Un segmento de red para invitados. Coloque a los invitados en su propia VLAN (LAN virtual, un dominio de difusión independiente de Capa 2) o en una interfaz de SSID dedicada. Nunca comparta una subred con el personal o con dispositivos de pago; PCI-DSS requiere que los sistemas de tarjetahabientes estén segmentados de las redes no confiables.
• Sus valores de cuenta de Purple. Necesita la URL del portal externo, las direcciones del servidor RADIUS y el secreto compartido. Estos se obtienen del artículo de soporte de FortiGate de Purple y de su panel de control de Purple. Son específicos para su cuenta, por lo que nunca debe copiarlos de una publicación en un foro.
• Alcance de salida. El FortiGate debe tener acceso a los servidores RADIUS de Purple a través del puerto UDP 1812 para autenticación y UDP 1813 para contabilidad.
• Un certificado público confiable. Debe cubrir un nombre de host que resuelva hacia la dirección de la interfaz de invitados del FortiGate. La sección sobre certificados a continuación explica la razón.
• Un inventario de lista de excepciones. Decida qué métodos de inicio de sesión ofrecerá, ya que cada uno agrega dominios a su jardín amurallado.
• Una cobertura confiable. Un portal no puede corregir una señal débil. Si los invitados se quejan de interrupciones, realice un estudio primero; nuestra guía de estudios de sitio para WiFi explica el método.

¿Qué cambia entre las versiones de FortiOS?

Fortinet cambia de lugar y renombra las configuraciones del Captive Portal entre las versiones principales de FortiOS. En algunas versiones, opciones como la lista de excepciones o el certificado de autenticación son más fáciles de configurar, o solo están disponibles, desde la CLI. Los SSIDs en modo puente y en modo túnel también pueden comportarse de manera diferente, según el firmware.

Tres hábitos le protegerán:

• Consulte la Guía de Administración para su versión exacta de FortiOS en la Biblioteca de Documentación de Fortinet, no la más reciente.
• Revise las notas de la versión para identificar cambios en el Captive Portal y RADIUS antes de cada actualización.
• Vuelva a ejecutar su matriz de pruebas completa después de cada actualización de firmware, antes de que los invitados encuentren el problema por usted.

¿Cómo configurar un Captive Portal en FortiGate con un servidor de portal externo?

La siguiente secuencia funciona tanto para SSIDs de FortiAP como para interfaces de FortiGate. El artículo de soporte de FortiGate de Purple contiene los valores exactos y capturas de pantalla para cada paso. Utilícelo junto con este resumen.

Paso 1: agregar Purple como servidor RADIUS

Cree un objeto de servidor RADIUS en FortiGate. Ingrese las direcciones de servidor de Purple y la clave compartida de su cuenta. Habilite el accounting para que FortiGate envíe registros de inicio, interinos y de finalización de sesión a Purple.

Si FortiGate tiene más de un enlace WAN, defina explícitamente la dirección de origen RADIUS. Las solicitudes RADIUS siempre deben salir desde la dirección que Purple espera; de lo contrario, una conmutación por error interrumpe los inicios de sesión de forma silenciosa. Utilice la prueba de conectividad integrada en el objeto RADIUS antes de continuar.

Paso 2: crear un grupo de usuarios de firewall

Cree un grupo de usuarios de tipo firewall y agregue el servidor RADIUS de Purple como servidor remoto. El Captive Portal autenticará a los invitados contra este grupo. Mantenga un grupo por fuente de autenticación para que la resolución de problemas siga siendo clara.

Paso 3: establecer el modo de seguridad en Captive Portal

Para FortiAP, edite el SSID de invitados. Para puntos de acceso cableados o de terceros, edite la interfaz de invitados. Luego:

• Establezca el modo de seguridad en Captive Portal.
• Elija el tipo de portal de autenticación y seleccione la opción de portal externo.
• Pegue la URL del portal externo de Purple.
• Seleccione el grupo de usuarios del Paso 2.
• Elija la redirección después del inicio de sesión: la URL original del invitado o una página que especifique.

En FortiAP, asigne el SSID al perfil de FortiAP utilizado por sus puntos de acceso. La documentación de Fortinet utiliza el modo túnel como referencia para los SSID de Captive Portal. Si realiza un puente localmente, confirme que su firmware admita Captive Portal en ese modo.

Paso 4: crear la lista de exenciones

Cree objetos de dirección de firewall para cada destino al que los invitados deban acceder antes de la autenticación. Adjúntelos al SSID o interfaz como la lista de exenciones de seguridad. La siguiente sección enumera lo que pertenece allí y lo que debe quedar fuera.

Paso 5: redactar la política de firewall para invitados

Cree una política desde el SSID o interfaz de invitados hacia la WAN, con NAT habilitado. Aplique los perfiles de filtro web y control de aplicaciones que requiera su política de uso aceptable. Asegúrese de que los invitados puedan resolver DNS antes de autenticarse, o la redirección nunca se activará.

Paso 6: instalar el certificado y usar HTTPS para el post-back

Importe su certificado de confianza pública y configure FortiGate para que lo use en la autenticación. Apunte el post-back del portal al listener HTTPS, utilizando el nombre de host de ese certificado. Esto elimina la advertencia que los invitados verían de otro modo al momento de enviar el formulario.

Paso 7: alinear los tiempos de espera

El tiempo de espera de autenticación de FortiGate decide cuánto tiempo permanece un dispositivo autenticado en la lista. La configuración de sesión de Purple decide lo que ve un invitado que regresa. Si su firmware respeta el atributo Session-Timeout de RADIUS (RFC 2865), permita que Purple configure la duración de la sesión desde un solo lugar.

¿Qué debe incluir la lista de exenciones de FortiGate?

La lista de exenciones es el walled garden de FortiGate: destinos a los que un dispositivo puede acceder antes de autenticarse. Si es demasiado corta, el portal falla. Si es demasiado larga, los invitados navegan sin iniciar sesión nunca.

Categoría	Entradas de ejemplo	Por qué	¿Exento?
Portal y recursos de Purple	Nombres de host listados en el artículo de soporte de FortiGate de Purple	Carga la página de inicio, imágenes y scripts	Sí
Proveedores de inicio de sesión social	Dominios de inicio de sesión para Facebook, Google, Apple y Microsoft, como objetos FQDN con comodín	El inicio de sesión de OAuth debe completarse antes de la autenticación	Sí, solo para los proveedores que habilite
Sus propias páginas de información	Sitio de información para pacientes de un hospital, página del día del partido de un estadio	Los visitantes acceden a información esencial sin iniciar sesión	Opcional
Detección de red cautiva del SO	captive.apple.com, connectivitycheck.gstatic.com, www.msftconnecttest.com	La prueba debe fallar para que el dispositivo abra la hoja de inicio de sesión	No, nunca
Navegación general	Sitios de noticias, búsqueda y streaming	Anula el portal	No

Dos reglas evitan la mayoría de las fallas de jardín vallado.

Utilice objetos FQDN, no direcciones IP. Los proveedores de inicio de sesión social ofrecen páginas de inicio de sesión desde redes de entrega de contenido cuyas direcciones cambian constantemente. Una lista de IP estáticas queda desactualizada en cuestión de semanas.

Haga que el FortiGate y el invitado coincidan en el DNS. FortiGate resuelve los objetos de dirección FQDN por sí mismo. Los objetos FQDN con comodín se rellenan a partir de las respuestas de DNS que pasan a través del FortiGate. Si DHCP entrega a los invitados un resolvedor público, el invitado y el FortiGate pueden recibir diferentes direcciones de CDN, y la entrada exenta no coincidirá. Entregue el FortiGate, o el resolvedor que utiliza, como el servidor DNS de los invitados.

Para sitios de Healthcare, eximir una página de información para pacientes permite a los visitantes encontrar los horarios de las salas sin iniciar sesión. Mantenga dichas entradas en una lista corta y con nombre, y revísela trimestralmente.

¿Por qué el Captive Portal de FortiGate muestra un error de certificado?

Dos momentos diferentes producen advertencias de certificado. Tienen diferentes causas y diferentes soluciones.

Advertencia 1: el invitado abre un sitio HTTPS antes de iniciar sesión

La mayor parte de la navegación es HTTPS. Para redirigirla, FortiGate debe responder a la negociación TLS por sí mismo, presentando su propio certificado para un sitio que no le pertenece. El navegador detecta una discrepancia de nombre y emite una advertencia. Ningún certificado puede solucionar esto, porque ningún certificado es válido para todos los sitios web.

Los sitios en la lista de precarga HSTS (HTTP Strict Transport Security, que indica a los navegadores que rechacen conexiones no seguras) no se pueden omitir de ninguna manera. Los sitios bancarios y de correo electrónico suelen pertenecer a este grupo.

La solución es confiar en la detección de red cautiva del sistema operativo. iOS, Android, Windows y macOS realizan una prueba a una URL HTTP sin cifrar al unirse a una red. FortiGate redirige esa prueba y el dispositivo abre la hoja de inicio de sesión antes de que el invitado abra un navegador. Es por eso que los dominios de detección nunca deben estar en la lista de exenciones.

Advertencia 2: el invitado envía el formulario del portal

Después de que el invitado completa la página de Purple, el navegador envía los datos al oyente de autenticación del FortiGate. Si ese oyente utiliza el certificado de fábrica, el navegador emite una advertencia porque el certificado está autofirmado.

Si el portal realiza la publicación en el cliente de escucha HTTP en su lugar, Chrome advierte que el formulario no es seguro. La página es HTTPS, pero el formulario se envía a través de HTTP.

La solución es el Paso 6: un certificado de confianza pública en un nombre de host que resuelva hacia la interfaz de invitados de FortiGate, con el post-back sobre HTTPS. Renuévelo antes de que expire. Un certificado de autenticación expirado interrumpe todos los inicios de sesión a la vez, en cada SSID de ese FortiGate.

¿Cómo verificar que el portal de invitados de FortiGate funciona?

Pruebe en dispositivos reales, no solo en una computadora portátil. Cree una matriz de iOS, Android, Windows y macOS, y ejecute cada comprobación en cada plataforma.

1. Únase al SSID. La hoja de inicio de sesión debería abrirse automáticamente en cuestión de segundos. Si no es así, consulte la lista de exenciones para los dominios de detección.
2. Complete cada método de inicio de sesión. Pruebe el formulario, cada proveedor social que haya habilitado y la aceptación de los términos.
3. Esté atento a las advertencias. No debería aparecer ninguna advertencia de certificado en ningún punto del flujo.
4. Confirme la autenticación en el FortiGate. El monitor de usuarios autenticados del firewall debería listar el dispositivo en el grupo de invitados.
5. Confirme RADIUS desde la CLI. diagnose test authserver radius prueba el objeto del servidor directamente. diagnose debug application fnbamd -1, con el depurador habilitado, muestra cada Access-Request y su respuesta en tiempo real.
6. Confirme la contabilidad en Purple. La sesión debería aparecer con un registro de inicio, luego actualizaciones intermedias y finalmente una detención cuando el invitado se retira.
7. Pruebe la visita de regreso. Vuelva a conectarse después del tiempo de espera y verifique que el invitado vea la página que usted planeó.

¿Qué puede fallar con un Captive Portal de FortiGate y cómo solucionarlo?

Síntoma	Causa probable	Solución
La hoja de inicio de sesión nunca aparece; el dispositivo dice "conectado"	Dominios de detección en la lista de exención, o una política que permite tráfico antes de la autenticación	Elimine captive.apple.com y entradas similares; verifique que la política de invitados requiera autenticación
La página de bienvenida carga en blanco o sin estilo	Faltan los nombres de host de activos de Purple en la lista de exención	Agregue cada nombre de host mencionado en el artículo de soporte de FortiGate de Purple
Advertencia de certificado al navegar antes de iniciar sesión	FortiGate interceptando un sitio HTTPS	Comportamiento esperado; los invitados deben usar la hoja de inicio de sesión o abrir una página HTTP
Advertencia de certificado al enviar el formulario	Certificado de fábrica en el cliente de escucha de autenticación	Instale un certificado de confianza y realice el post-back sobre HTTPS
El inicio de sesión social se queda cargando o falla	Dominios del proveedor no exentos, o desajuste de DNS entre el invitado y FortiGate	Utilice objetos FQDN con caracteres comodín; configure el FortiGate como el DNS de invitados
El portal acepta los datos, pero no hay internet después	Rechazo o tiempo de espera agotado de RADIUS: secreto compartido incorrecto, dirección de origen incorrecta, UDP 1812 bloqueado	Ejecute la prueba de authserver; lea la salida de depuración de fnbamd
Se pide a los invitados que inicien sesión con demasiada frecuencia	Autenticación corta o tiempo de espera de inactividad breve	Alinee los tiempos de espera de FortiGate con las configuraciones de sesión de Purple
Sesiones faltantes en los reportes	Contabilidad desactivada o UDP 1813 bloqueado	Habilite la contabilidad en el objeto RADIUS; abra UDP 1813
Los inicios de sesión fallan tras una actualización de firmware	Configuración movida o valores predeterminados modificados en la nueva versión	Vuelva a verificar contra las notas de la versión y ejecute nuevamente la matriz de pruebas

¿Cómo funciona esto en recintos reales?

Escenario 1: un hotel de 200 habitaciones que reemplaza a un proveedor anterior de guest WiFi

Situación. Un hotel de 200 habitaciones ejecutaba un FortiGate con 30 FortiAPs y un SSID de invitados en modo túnel. Los huéspedes con iPhones no veían la pantalla de inicio de sesión y abrían Safari en su lugar. Aquellos que lograban acceder a la página se encontraban con una advertencia de certificado al enviarla.

Lo que se hizo. El ingeniero encontró captive.apple.com en la lista de exenciones, dejada por el proveedor anterior, y la eliminó. Instaló un certificado con confianza pública en un nombre de host que resolvía a la interfaz de invitados y cambió el post-back a HTTPS. Agregó los servidores RADIUS de Purple con la contabilidad habilitada.

Resultado. En la matriz de pruebas posterior al cambio, la pantalla de inicio de sesión se abrió automáticamente en las cuatro plataformas. Aparecieron cero advertencias de certificado en el flujo de inicio de sesión. Los registros de sesión con entradas de inicio, intermedio y finalización llegaron a Purple para cada sesión de prueba. Para obtener más información sobre implementaciones en hoteles, consulte Hoteles.

Escenario 2: una cadena minorista de 40 tiendas administrada por un MSP

Situación. Un MSP ejecutaba un FortiGate por tienda para una cadena de Retail de 40 tiendas. Los compradores informaron fallas intermitentes con el inicio de sesión de Google y Apple, pero solo en algunas tiendas.

Lo que se hizo. El DHCP en las tiendas afectadas asignaba a los compradores un resolvedor DNS público. El FortiGate resolvía los nombres de host CDN de los proveedores en direcciones diferentes, por lo que las entradas exentas no coincidían. El MSP cambió los proveedores a objetos FQDN con caracteres comodín (wildcard) e hizo que el FortiGate fuera el servidor DNS de invitados. Realizaron una prueba piloto del cambio en tres tiendas antes de implementarlo a través de FortiManager.

Resultado. Los tres métodos de inicio de sesión social se completaron en cada prueba piloto, en todas las plataformas. Luego, el MSP aplicó la misma plantilla a las 37 tiendas restantes. Si revende guest WiFi a clientes como este, nuestra guía de software de Captive Portal de marca blanca cubre las verificaciones comerciales.

Escenario 3: una biblioteca municipal con quioscos cableados para invitados

Situación. Una red de biblioteca municipal ofrecía guest WiFi en puntos de acceso de terceros y cuatro quioscos públicos cableados. Ambos se conectaban a través de un FortiGate. El municipio quería una sola página de términos y un solo registro de auditoría.

Lo que se hizo. El ingeniero habilitó el Captive Portal en la interfaz de invitados del FortiGate en lugar de en un SSID. El mismo portal externo de Purple y el grupo RADIUS atendieron a los visitantes inalámbricos y a las sesiones de los quioscos.

Resultado. Tanto las sesiones inalámbricas como las cableadas aparecieron en un solo registro de contabilidad en Purple, junto con un solo registro de aceptación de términos. Eso le dio al municipio una respuesta única cuando se le preguntó quién usó la red y cuándo.

¿Cuánto cuesta y qué obtiene a cambio?

Lo que cuesta

El costo de hardware suele ser nulo. El Captive Portal y el cliente RADIUS forman parte de FortiOS, por lo que configura el FortiGate y los FortiAPs que ya posee. Purple es independiente del hardware: el mismo portal funciona en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Nuestro blog sobre por qué su próxima actualización de WiFi no necesita nuevo hardware explica el panorama general.

El costo de software corresponde al plan de Purple: Connect, Capture o Engage. Cada uno tiene un precio diferente según cómo cuente los sitios, puntos de acceso o invitados. Nuestra guía sobre modelos de precios de Captive Portal compara los modelos por sitio, por punto de acceso y por usuario.

El costo de esfuerzo es el tiempo de ingeniería por sitio. Cree una plantilla una vez, pruébela en un piloto y envíela a toda la infraestructura a través de FortiManager.

Lo que obtiene a cambio

• Datos de primera fuente con consentimiento. Purple registra las autorizaciones de elección consciente por invitado. El manejo de datos cumple con GDPR, y Purple cuenta con las certificaciones ISO 27001, Cyber Essentials y B Corp.
• Un solo portal en toda la infraestructura. Cambie la página de inicio una vez en lugar de hacerlo en cada FortiGate, incluidos los sitios en otro hardware.
• Reportes sobre los que puede actuar. Los datos de contabilidad alimentan WiFi Analytics: visitas, tiempo de permanencia y tasas de retorno por ubicación.
• Una plataforma a escala. Purple opera en más de 80,000 ubicaciones activas y gestionó 440 millones de inicios de sesión en 2024 (datos propios de Purple). Para operadores de hospitalidad, nuestra guía sobre WiFi en restaurantes cubre la cobertura y la seguridad en el Reino Unido.

Preguntas frecuentes

¿Purple funciona con mi hardware FortiGate y FortiAP actual?

Sí, Purple funciona en su infraestructura existente de FortiGate y FortiAP sin necesidad de nuevo hardware. FortiGate aplica el Captive Portal y envía la autenticación y contabilidad RADIUS a Purple, mientras que Purple aloja la página de inicio. El mismo enfoque cubre puntos de acceso de terceros detrás de una interfaz FortiGate. Purple también es compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium y Extreme, por lo que una infraestructura mixta comparte un solo portal.

¿Necesito una licencia de Fortinet adicional para un Captive Portal externo?

No, el Captive Portal y el cliente RADIUS son funciones estándar de FortiOS, por lo que el FortiGate no requiere una licencia de portal independiente. Necesita una versión compatible de FortiOS y, para la red inalámbrica, FortiAPs administrados por el FortiGate. El plan de Purple, ya sea Connect, Capture o Engage, se licencia por separado. Nuestra guía sobre modelos de precios de Captive Portal explica cómo se comparan los precios por sitio, por punto de acceso y por usuario.

¿Puedo cambiar de mi proveedor de WiFi de invitados actual sin tiempo de inactividad?

Sí, si construye la configuración de Purple en paralelo antes de realizar el cambio. Agregue los servidores RADIUS de Purple y un nuevo grupo de usuarios junto a los existentes, luego cree un SSID o interfaz de prueba usándolos. Ejecute la matriz completa de pruebas de dispositivos en esa red de prueba. Cuando la apruebe, reoriente el SSID de invitados en vivo y elimine las entradas de la lista de exenciones del antiguo proveedor, especialmente los dominios de detección de red cautiva.

¿Los datos de los invitados capturados a través de un portal FortiGate cumplen con el GDPR?

Sí, cuando el portal se ejecuta en Purple, el consentimiento y el manejo de datos cumplen con el GDPR. Purple registra las autorizaciones de elección consciente por invitado, por lo que el consentimiento de marketing es independiente del acceso a la red. Purple cuenta con las certificaciones ISO 27001 y Cyber Essentials. FortiGate pasa los detalles de la sesión, como la dirección MAC del cliente, al portal, pero los registros de los invitados residen en Purple. Usted sigue siendo el controlador de datos y establece sus propios avisos de privacidad y retención.

¿Debo usar el portal integrado de FortiGate o un portal externo?

Utilice el portal integrado para una sola ubicación que solo necesite una página de exención de responsabilidad. Utilice un portal externo cuando administre varias ubicaciones, desee inicio de sesión con redes sociales o datos de primera fuente, o gestione hardware mixto. La página integrada reside en cada FortiGate y debe editarse sitio por sitio. Un portal externo de Purple se modifica en un solo lugar y registra las autorizaciones y la analítica de sesiones para cada establecimiento.

¿Cuánto esfuerzo de ingeniería requiere una implementación de FortiGate?

Una sola ubicación representa un cambio de configuración, no un proyecto de hardware. Usted crea un objeto de servidor RADIUS, un grupo de usuarios, un cambio de SSID o interfaz, una lista de exenciones, una política y un certificado. La mayor parte del esfuerzo se dedica a las pruebas en iOS, Android, Windows y macOS. Para grandes redes de instalaciones, cree la configuración una vez como una plantilla de FortiManager, realice una prueba piloto en unos pocos sitios y luego despliéguela en todas partes.

¿Puede un MSP ejecutar Purple en múltiples FortiGates de clientes?

Sí, los MSP ejecutan Purple en múltiples FortiGates de clientes desde una sola estructura de cuenta. Cada sitio de cliente utiliza el mismo patrón de configuración, por lo que puede crear plantillas en FortiManager y desplegar por lotes. El diseño independiente del hardware de Purple significa que los clientes en Cisco Meraki, HPE Aruba o Ruckus utilizan el mismo portal. Consulte los términos comerciales en nuestra guía de software Captive Portal de marca blanca antes de firmar.

¿El portal externo funciona en redes de invitados cableadas?

Sí, FortiGate puede aplicar un Captive Portal tanto en una interfaz como en un SSID de FortiAP. Habilite el Captive Portal en la interfaz que da servicio a la VLAN de invitados cableada, seleccione el portal externo y apúntelo al mismo grupo RADIUS de Purple. De este modo, los kioscos, los puertos de salas de reuniones y los puntos de acceso de terceros comparten una misma página de bienvenida, un registro de aceptación de términos y un registro de contabilidad con sus invitados de la red WiFi inalámbrica.