Integración de routers DrayTek Vigor y puntos de acceso con Purple WiFi

Bienvenidos al informe de integración de Purple. Hoy analizaremos los routers DrayTek Vigor y los puntos de acceso VigorAP, y específicamente cómo integrarlos con Purple WiFi. Este informe está dirigido a gerentes de TI y arquitectos de redes que implementan redes de invitados, personal y multiinquilino en establecimientos de PyMEs y del mercado medio. Comencemos con el contexto. El hardware de DrayTek es increíblemente popular en el comercio minorista, la hospitalidad y las unidades multihabitacionales porque ofrece sólidas capacidades de enrutamiento, VPN e inalámbricas a un precio competitivo. Al emparejar un router DrayTek Vigor con Purple, transforma una conexión a Internet estándar en una red basada en la identidad (Identity-Based Network). Purple cuenta con más de 80,000 establecimientos activos y procesa 440 millones de inicios de sesión al año. Nosotros aportamos el Captive Portal, las analíticas y la capa de seguridad. DrayTek proporciona la infraestructura perimetral confiable. Entremos de lleno en los detalles técnicos. ¿Cómo hacemos que esto funcione realmente? El núcleo de la integración se basa en la autenticación RADIUS y la redirección externa del Captive Portal. Primero, la configuración de WiFi de invitados. Configurará el router DrayTek Vigor como una puerta de enlace de Hotspot Web Portal. En la interfaz de DrayOS, en Applications y RADIUS, agregará la IP del servidor RADIUS de Purple y el secreto compartido. Luego, en Hotspot Web Portal, establecerá el Portal Method en External Server y pegará su URL de acceso específica de Purple. El router DrayTek intercepta el tráfico de invitados, lo redirige a la capa en la nube de Purple para su autenticación y luego utiliza RADIUS para otorgar el acceso. Un paso crítico aquí es el Walled Garden. Los invitados deben poder llegar a los servidores de Purple antes de autenticarse. Debe configurar la pestaña Destination Domain en el perfil de Hotspot de DrayTek para permitir el tráfico hacia los dominios de autenticación de Purple. Si omite esto, la página de inicio simplemente no se cargará. Este es uno de los errores más comunes durante la implementación inicial. Ahora, ¿qué pasa con el WiFi de personal? Para un acceso seguro del personal, no se utiliza un Captive Portal. Se utiliza la autenticación 802.1X, que es el estándar IEEE para el control de acceso a la red basado en puertos. En la configuración de seguridad de la LAN inalámbrica de DrayTek, seleccionará WPA2 barra diagonal 802.1X y la apuntará al servidor RADIUS de Purple. Los dispositivos del personal se autentican sin problemas utilizando PEAP y MS-CHAPv2. Esto elimina por completo las contraseñas compartidas y le permite revocar el acceso de forma instantánea cuando un empleado se va. No es necesario cambiar la contraseña en todo el establecimiento. Hablemos de los entornos multiinquilino. Piense en alojamientos para estudiantes, espacios de coworking o concesiones minoristas. Necesita segmentación de red. DrayTek maneja esto con VLAN y Multiple PSK, también conocido como PPSK o Private Pre-Shared Key. Configurará las VLAN en el router DrayTek. Por ejemplo, la VLAN 10 para invitados, la VLAN 20 para el personal y la VLAN 30 para los inquilinos. Utilizando la función WPA2-PPSK de DrayTek en los VigorAP, cada inquilino obtiene una frase de contraseña única. Cuando se conectan, el punto de acceso vincula esa frase de contraseña a su dirección MAC y los ubica en su VLAN aislada. Esto significa que un inquilino de una cafetería en la planta baja de un hotel no puede ver la red interna del hotel, a pesar de que comparten el mismo punto de acceso físico. La asignación dinámica de VLAN lleva esto más allá. El servidor RADIUS de Purple puede devolver atributos RADIUS específicos cuando un usuario se autentica. Estos son los atributos Tunnel-Type, Tunnel-Medium-Type y Tunnel-Private-Group-ID. El router DrayTek lee estos valores y asigna dinámicamente al cliente autenticado a la VLAN correcta. Esto es la red basada en la identidad en la práctica: la red se adapta a la identidad del usuario, no al revés. Pasemos a las recomendaciones de implementación y los errores comunes. Recomendación uno: Utilice siempre un backhaul cableado para sus VigorAP. Los sistemas de distribución inalámbrica, o repetidores universales, no pueden transmitir las etiquetas VLAN 802.1Q requeridas para una segmentación de red adecuada. Si desea una red de invitados aislada de su LAN interna, necesita que esas etiquetas VLAN estén intactas, y eso significa un cable Ethernet físico desde cada punto de acceso de regreso al router DrayTek o a un switch administrado. Recomendación dos: Habilite AP-Assisted Mobility en los VigorAP. Esta función desasocia de manera inteligente a los clientes con baja intensidad de señal, obligándolos a realizar roaming a un punto de acceso más cercano. Resuelve el problema de los clientes persistentes (sticky clients) que afecta a muchas implementaciones de PyMEs. En un entorno minorista, un comprador que camina desde el frente de la tienda hacia la parte trasera debe realizar la transición entre puntos de acceso sin problemas. Sin AP-Assisted Mobility, su dispositivo podría aferrarse al punto de acceso frontal incluso cuando la señal sea débil. Recomendación tres: Planifique su esquema de numeración de VLAN antes de comenzar. Cambiar los ID de VLAN después de la implementación requiere volver a configurar el router, todos los puntos de acceso y, potencialmente, cualquier switch administrado en la ruta. Documente su esquema claramente. ¿El mayor error común? Olvidar reiniciar el router DrayTek después de aplicar las configuraciones de RADIUS y Hotspot. DrayOS requiere un reinicio para aplicar estos cambios específicos. Si omite esto, pasará horas solucionando problemas de una configuración que en realidad es correcta pero que simplemente aún no está activa. Esto está documentado en la guía de soporte oficial de Purple para el hardware de DrayTek. Hagamos una sesión de preguntas y respuestas rápidas. Pregunta: ¿Puedo utilizar el servidor RADIUS interno del router Vigor? Respuesta: Puede hacerlo para la autenticación 802.1X local, pero para la integración con Purple, debe utilizar los servidores RADIUS externos de Purple. Esto es lo que permite la gestión centralizada de políticas y las analíticas que proporciona Purple. Pregunta: ¿Admite DrayTek el direccionamiento dinámico de VLAN a través de RADIUS? Respuesta: Sí. El servidor RADIUS de Purple devuelve los atributos Tunnel-Type y Tunnel-Private-Group-ID al autenticarse. El router DrayTek lee estos atributos y asigna dinámicamente al cliente a la VLAN correcta. Pregunta: ¿Qué sucede si el dispositivo iOS de un usuario utiliza una dirección MAC privada con PPSK? Respuesta: Fallará la autenticación. El perfil PPSK se vincula a una dirección MAC específica. Debe indicar a los usuarios que deshabiliten la Dirección WiFi privada para su red específica en la configuración de su iOS para garantizar una conectividad estable. Pregunta: ¿Qué modelos de DrayTek son compatibles con Purple? Respuesta: Los modelos compatibles actualmente incluyen las series 2862, 3220, 2926, 2952, 2765, 2865, 2866, 2927, 2962 y 3910. Consulte la documentación de soporte de Purple para obtener la lista más reciente. Para resumir. DrayTek y Purple juntos le brindan un control de red de nivel empresarial a precios de PyMEs. Utiliza el Hotspot Web Portal para invitados, 802.1X para el personal y PPSK con VLAN para los inquilinos. Planifique sus VLAN con cuidado, configure sus Walled Gardens y reinicie siempre después de aplicar la configuración de RADIUS. Utilice un backhaul cableado para sus puntos de acceso, habilite AP-Assisted Mobility y planifique la aleatorización de MAC en dispositivos iOS. Gracias por escuchar este informe técnico. Configure su hardware y nos vemos en la plataforma de Purple.