Arista Cognitive Wi-Fi Integration with Purple WiFi

Sintesi per l'executive

L'implementazione di un Captive Portal Arista per l'accesso degli ospiti non è una semplice attività di connettività. Si tratta di un'intersezione critica tra sicurezza di rete, conformità normativa e strategia dei dati. Per i responsabili IT che gestiscono sedi distribuite, l'integrazione di Arista CloudVision Cognitive Unified Edge (CV-CUE) con Purple trasforma il traffico guest non gestito in una risorsa sicura, segmentata e misurabile.

Questo riferimento fornisce un modello definitivo per la configurazione di Arista Cognitive Wi-Fi con Purple. Descriviamo nel dettaglio gli esatti meccanismi richiesti per implementare splash page ospitate da terze parti, creare elenchi di controllo degli accessi Walled Garden precisi e implementare l'autenticazione RADIUS. Copriamo anche l'isolamento avanzato del WiFi multi-tenant utilizzando le Private Pre-Shared Keys (PPSK) di Arista e lo steering dinamico delle VLAN, l'architettura che elimina la proliferazione degli SSID negli spazi di coworking, nei centri commerciali e negli edifici residenziali.

Purple opera in oltre 80.000 sedi attive e ha elaborato 440 milioni di accessi nel 2024 (dati interni Purple). La piattaforma è certificata ISO 27001, conforme a GDPR e CCPA, e possiede le certificazioni Cyber Essentials e B Corp. Questa guida rispecchia configurazioni testate in produzione e convalidate in contesti hospitality, retail e settore pubblico.

Approfondimento tecnico

L'architettura di onboarding del Captive Portal Arista

Il flusso di onboarding degli ospiti determina il modo in care i dispositivi interagiscono con l'access point (AP) Arista prima e dopo l'autenticazione. Quando un dispositivo si associa all'SSID guest aperto, l'AP Arista lo assegna a una VLAN di pre-autenticazione. In questo stato, l'AP limita il traffico DNS e HTTP a un elenco di consentiti definito. Il sistema operativo del dispositivo rileva il Captive Portal e tenta di raggiungere un endpoint noto: iOS invia una richiesta HTTP a captive.apple.com, Android a connectivitycheck.gstatic.com e Windows a www.msftconnecttest.com. L'AP Arista intercetta questa richiesta ed esegue un reindirizzamento HTTP 302 all'URL della splash page di Purple.

{{asset:captive_portal_flow.png}}

Per garantire che questo flusso venga eseguito senza errori, il controller Arista CV-CUE deve essere configurato per puntare a Purple come portale ospitato da terze parti. Ciò richiede la definizione dei server RADIUS di Purple (Porta di autenticazione 1812, Porta di accounting 1813) all'interno dei profili di rete di CV-CUE. Una volta che l'ospite invia le proprie credenziali o accetta i termini sul portale Purple, Purple funge da server RADIUS e invia un messaggio di Access-Accept all'AP Arista. Questo messaggio include gli attributi RADIUS Change of Authorization (CoA) definiti nella RFC 3576, che indicano all'AP di far passare l'indirizzo MAC del client dallo stato limitato di pre-autenticazione all'accesso completo a Internet sulla VLAN post-autenticazione.

Progettazione delle ACL per il Walled Garden in CV-CUE

Il Walled Garden è una whitelist di domini e indirizzi IP che i dispositivi non autenticati devono poter raggiungere per caricare la splash page e completare l'autenticazione. In Arista CV-CUE, questo si configura sotto le impostazioni del Captive Portal come "Siti web a cui gli utenti possono accedere prima del login".

Il Walled Garden è una lista di autorizzazione esplicita. È necessario includere i domini principali di Purple per poter mostrare il portale. Se si offre il social login, è necessario inserire nella whitelist anche i domini dell'Identity Provider (IdP). La mancata manutenzione di questo elenco impedisce agli ospiti di caricare la schermata di login del fornitore di autenticazione, provocando l'abbandono immediato.

Voci minime del Walled Garden richieste per Purple:

• region1.purpleportal.net
• venuewifi.com
• cloudfront.net
• openweathermap.org
• stripe.com (se è abilitato l'accesso a pagamento)

Voci aggiuntive per il social login:

• Facebook: facebook.com, fbcdn.net, akamaihd.net, connect.facebook.net
• Google Workspace: accounts.google.com, googleapis.com
• Twitter/X: twitter.com, twimg.com
• LinkedIn: linkedin.com, licdn.net

Configurazione di Arista PPSK per l'isolamento multi-tenant

Per ambienti come spazi di coworking, edifici residenziali o centri commerciali, lo standard 802.1X è spesso troppo complesso per i dispositivi non gestiti, mentre le reti aperte mancano della sicurezza necessaria. Le Arista Private Pre-Shared Keys (PPSK) risolvono questo problema consentendo l'uso di più passphrase univoche su un singolo SSID, ciascuna associata a una policy di rete distinta.

Quando integrato con Purple RADIUS, Arista PPSK consente l'instradamento dinamico della VLAN. Un residente o un inquilino commerciale si connette all'SSID unificato utilizzando la propria PPSK specifica. L'AP Arista autentica la chiave con il server RADIUS di Purple. Purple restituisce lo standard Access-Accept, ma aggiunge tre attributi RADIUS che gestiscono l'assegnazione della VLAN:

L'AP Arista assegna dinamicamente il dispositivo a quella VLAN. Ciò fornisce un rigido isolamento di Livello 2 tra i tenant senza trasmettere decine di SSID separati, ottimizzando l'utilizzo RF e mantenendo al contempo confini di sicurezza assoluti.

Secure Staff WiFi con IEEE 802.1X

Per le reti del personale, le password condivise rappresentano un rischio per la sicurezza. Lo standard IEEE 802.1X (definito in IEEE Std 802.1X-2020) fornisce un controllo dell'accesso alla rete basato su porta utilizzando credenziali per singolo utente. In CV-CUE, configuri un SSID aziendale con sicurezza WPA2-Enterprise o WPA3-Enterprise. L'AP funge da autenticatore, inoltrando le credenziali al server RADIUS tramite EAP (Extensible Authentication Protocol). Purple supporta EAP-PEAP per l'autenticazione tramite nome utente/password ed EAP-TLS per l'autenticazione basata su certificati.

Per le distribuzioni EAP-TLS, l'integrazione avviene con Microsoft Entra ID, Okta o Google Workspace come autorità di certificazione. Quando il dispositivo di un membro del personale presenta un certificato client valido, il server RADIUS lo convalida rispetto alla directory e restituisce un Access-Accept. Questo elimina completamente il furto di credenziali come vettore di attacco.

Integrazione Arista Cloud WIPS

Il sistema WIPS (Wireless Intrusion Prevention System) di Arista opera continuamente in background, eseguendo la scansione alla ricerca di access point non autorizzati (rogue AP), AP configurati in modo errato e client non autorizzati. In CV-CUE, naviga su Configure > WIPS > Automatic Intrusion Prevention per configurare il livello di prevenzione. Arista offre quattro livelli: Degrade, Interrupt, Disrupt e Block. Per le distribuzioni aziendali, si consiglia di iniziare con Disrupt, che interrompe le comunicazioni non autorizzate senza bloccarle completamente, riducendo il rischio di falsi positivi durante la distribuzione iniziale.

Abilita SSID VLAN Monitoring sotto Configure > Device > Access Point > Security tab per garantire che gli AP monitorino attivamente le VLAN assegnate alla ricerca di attività non autorizzate. I modelli della serie Arista AP-3xx supportano il monitoraggio simultaneo di un massimo di 42 VLAN (documentazione Arista WIPS, 2025).

Guida all'implementazione

Fase 1: Segmentazione della rete e configurazione RADIUS

1. Accedi ad Arista CV-CUE e naviga su Configure > Network Profiles > RADIUS.
2. Fai clic su Add RADIUS Server.
3. Inserisci i dettagli del server RADIUS Purple primario: indirizzo IP, porta di autenticazione (1812), porta di accounting (1813) e il Shared Secret presente nella pagina di configurazione dell'hardware del portale Purple.
4. Ripeti l'operazione per il server RADIUS Purple secondario per garantire l'alta affidabilità.
5. Verifica sul tuo firewall che le porte UDP 1812 e 1813 siano aperte tra gli AP Arista e i server RADIUS Purple.

Fase 2: SSID Guest e configurazione del Captive Portal

1. Naviga su Configure > WiFi > SSID e fai clic su Add New SSID.
2. Definisci il nome dell'SSID (ad es., Guest_WiFi) e imposta il tipo di SSID su Guest.
3. Sotto la scheda Security, imposta il livello di sicurezza su Open.
4. Sotto la scheda Network, configura la VLAN di pre-autenticazione (ad es., VLAN 10) con un ambito DHCP dedicato.
5. Sotto la scheda Captive Portal, abilita la casella di controllo Captive Portal.
6. Seleziona Third-Party Hosted dal menu a discesa Cloud Hosted.
7. Seleziona With RADIUS Authentication e seleziona il profilo RADIUS Purple.
8. Inserisci l'URL della Splash Page di Purple (es. https://region1.purpleportal.net/access/) e l'URL di reindirizzamento (es. https://region1.purpleportal.net/access/?res=success).
9. Imposta il formato del Called Station ID su %m (formato dell'indirizzo MAC richiesto da Purple).
10. Imposta l'Accounting Interval su 2 minuti.
11. Deseleziona la casella di controllo HTTPS Redirection.

Fase 3: Distribuzione del Walled Garden

1. All'interno della scheda Captive Portal, individua la sezione Websites that users can access before login.
2. Aggiungi tutti i domini Purple richiesti e i domini dell'Identity Provider come elencati sopra.
3. Salva la configurazione dell'SSID e applicala ai gruppi AP Arista di destinazione.

Fase 4: Configurazione multi-tenant PPSK

1. Nel portale Purple, naviga fino alla configurazione dell'hardware della sede e recupera le impostazioni RADIUS PPSK.
2. In CV-CUE, crea un nuovo SSID con sicurezza WPA2-Personal e abilita la modalità PPSK.
3. Configura l'SSID per l'autenticazione tramite il profilo RADIUS Purple.
4. Nel portale Purple, crea una passphrase PPSK per ciascun tenant e mappala al corrispondente ID VLAN.
5. Verifica che le porte dello switch che si collegano agli AP Arista siano configurate in modalità trunk per le VLAN dei tenant richieste.

Fase 5: WiFi aziendale sicuro (802.1X)

1. Crea un nuovo SSID aziendale in CV-CUE.
2. Sotto la scheda Security, seleziona WPA2-Enterprise o WPA3-Enterprise.
3. Seleziona il profilo RADIUS che punta al tuo identity provider aziendale (Microsoft Entra ID, Okta o Google Workspace).
4. Configura il tipo di EAP: PEAP per nome utente/password, EAP-TLS per l'autenticazione basata su certificato.
5. Assegna l'SSID del personale a una VLAN dedicata (es. VLAN 20) isolata dalla VLAN Guest.

Best practice

Automatizza gli aggiornamenti del Walled Garden. Gli identity provider cambiano frequentemente i loro domini CDN. Pianifica una revisione trimestrale della configurazione del Walled Garden in Arista CV-CUE rispetto agli elenchi di domini aggiornati di Purple. Una singola voce CDN mancante interromperà l'accesso tramite social network per tutti gli ospiti.

Ottimizza i timer di sessione in base al tipo di sede. Configura i timeout di inattività in Arista CV-CUE per adattarli al profilo di traffico della tua sede. Gli ambienti di vendita al dettaglio beneficiano di un timeout di inattività di 10 minuti per recuperare gli indirizzi IP dai dispositivi che hanno lasciato il negozio. Le installazioni alberghiere dovrebbero utilizzare timeout più lunghi (4-8 ore) per evitare di attivare nuovamente il portale durante il soggiorno di un ospite.

Imponi l'isolamento dei client. Abilita sempre l'isolamento dei client (Client Isolation) sull'SSID Guest all'interno di Arista CV-CUE. Ciò impedisce ai dispositivi degli ospiti di comunicare tra loro, mitigando i rischi di movimento laterale e soddisfacendo i requisiti di segmentazione della rete PCI DSS. Abilita RADIUS Accounting. Assicurati che il RADIUS Accounting sia abilitato con un intervallo di 2 minuti. Questo fornisce a Purple metriche precise sulla durata della sessione e sul trasferimento dei dati, che alimentano la dashboard di WiFi Analytics e consentono un'analisi accurata del tempo di permanenza dei visitatori.

Segmenta per tipo di SSID, non per AP. Applica gli SSID Guest, Staff e Multi-Tenant agli stessi gruppi di AP. Arista CV-CUE gestisce il tagging VLAN per SSID, quindi non sono necessari AP separati per ciascun tipo di utente. Questo semplifica la distribuzione dell'hardware mantenendo una rigorosa separazione logica.

Per una panoramica più ampia sull'architettura di sicurezza del WiFi aziendale, consulta la nostra Enterprise WiFi Security: A Complete Guide for 2026 .

Casi di studio

Caso di studio 1: Catena alberghiera da 350 camere

Una catena di hotel di fascia media con 12 strutture ha distribuito AP Arista Wi-Fi 6E in tutti i siti, gestiti tramite un'unica istanza CV-CUE. Il requisito era quello di fornire un Captive Portal Guest WiFi personalizzato con acquisizione di e-mail per il marketing, isolato dalla rete del sistema di gestione immobiliare (PMS), supportando al contempo lo standard 802.1X per i dispositivi del personale.

Il team ha configurato tre SSID per struttura: un SSID Guest (VLAN 10) orientato a Purple, un SSID Staff (VLAN 20) che utilizza lo standard 802.1X con Microsoft Entra ID e un SSID IoT (VLAN 30) per i dispositivi di gestione dell'edificio. Il Captive Portal di Purple ha acquisito gli indirizzi e-mail e il consenso degli ospiti al momento del check-in. Entro 90 giorni, la catena ha raccolto dati di prima parte verificati dal 68% degli ospiti (dati interni Purple), consentendo campagne di re-engagement mirate. La rete PMS è rimasta completamente isolata, soddisfacendo i requisiti PCI DSS per la segmentazione dell'ambiente dei dati dei titolari di carta.

Caso di studio 2: Spazio di coworking multi-tenant

Un operatore di coworking che gestisce otto sedi aveva la necessità di fornire un servizio WiFi isolato a 35 aziende associate per sito senza trasmettere 35 SSID. Lo spettro di radiofrequenza era già congestionato e la proliferazione di SSID stava riducendo le prestazioni per tutti i membri.

La soluzione è stata un unico SSID per sito che utilizza Arista PPSK con Purple RADIUS. Ciascuna azienda associata ha ricevuto una passphrase PPSK univoca. Purple ha mappato ciascuna passphrase a una VLAN dedicata (da VLAN 100 a VLAN 3500). Quando un membro si connetteva, l'AP Arista lo indirizzava dinamicamente alla propria VLAN in base al parametro Tunnel-Private-Group-ID restituito da Purple RADIUS. Il risultato è stato una riduzione da 35 SSID a uno solo per sito, un miglioramento misurabile dell'efficienza del tempo di trasmissione (airtime efficiency) e un isolamento completo a livello Layer 2 tra le aziende associate. Al termine del contratto di un membro, l'operatore revocava la relativa passphrase nel portale Purple, interrompendo l'accesso nel giro di pochi secondi.

Risoluzione dei problemi e mitigazione dei rischi

Problema: la Splash page non si carica sui dispositivi Apple. iOS utilizza un meccanismo specifico per rilevare i Captive Portal. Se la splash page non si carica automaticamente, verificare che il Walled Garden di Arista includa tutti i domini CDN di Purple. Se il Walled Garden è troppo restrittivo, il dispositivo iOS non può caricare le risorse del portale e interrompe la connessione.

Problema: la randomizzazione dell'indirizzo MAC impedisce il riconoscimento degli ospiti di ritorno. I dispositivi iOS 14+ e Android 10+ randomizzano il proprio indirizzo MAC per ciascun SSID. Ciò impedisce a Purple di riconoscere un ospite di ritorno basandosi esclusivamente sul suo indirizzo MAC. Affidarsi all'identità autenticata (e-mail o login social) per il tracciamento a lungo termine. Per una riconnessione fluida e sicura senza un Captive Portal, migrare alle architetture Passpoint/Hotspot 2.0.

Problema: l'instradamento dinamico della VLAN non riesce con PPSK. Se agli utenti viene assegnata la VLAN predefinita anziché la loro VLAN specifica, verificare la risposta RADIUS utilizzando gli strumenti di risoluzione dei problemi di Arista CV-CUE. Assicurarsi che Purple restituisca i corretti attributi Tunnel-Private-Group-ID, Tunnel-Type e Tunnel-Medium-Type e che la VLAN specificata esista sulla porta dello switch collegata all'AP Arista.

Problema: esaurimento del pool DHCP sulla VLAN Guest. Ridurre il timeout di inattività a 5-10 minuti in ambienti ad alto traffico. Aumentare la dimensione dello scope DHCP se la sede supera regolarmente l'80% di utilizzo del pool. Considerare l'utilizzo di una subnet /22 o superiore per sedi ad alta densità come stadi o centri congressi.

Problema: i dati di accounting RADIUS mostrano sessioni di zero secondi. Verificare che la porta UDP 1813 sia aperta sul firewall tra gli AP Arista e i server RADIUS di Purple. Confermare che l'intervallo di Accounting sia impostato su 2 minuti nelle impostazioni SSID di CV-CUE.

Per indicazioni correlate sulla visualizzazione wireless e sulle migliori pratiche di protocollo in ambienti aziendali, consultare What Is Wireless Display: Protocols and Best Practices 2026 .

ROI e impatto sul business

L'implementazione di Arista Cognitive Wi-Fi con Purple trasforma un centro di costo di rete in una risorsa aziendale misurabile. Imponendo un Captive Portal conforme, si riduce il rischio di sanzioni GDPR, che possono raggiungere il 4% del fatturato annuo globale. Aspetto ancora più importante, il portale Guest WiFi acquisisce dati di prima parte verificati. Purple ha raccolto 29 miliardi di punti dati all'interno della sua rete (dati interni di Purple), a dimostrazione della portata di ciò che un'architettura guest WiFi correttamente implementata può generare.

Per i punti vendita del settore Retail , questi dati alimentano direttamente i sistemi CRM, consentendo campagne di marketing mirate in base alla frequenza delle visite e al tempo di permanenza. Per gli operatori del settore Hospitality , consentono un re-engagement personalizzato con gli ospiti che ritornano. Per gli hub di Transport , forniscono dati precisi sul flusso dei passeggeri per supportare le decisioni operative. Per le strutture di Healthcare , garantiscono che i pazienti e i visitatori ricevano un accesso di rete appropriato, mantenendo i sistemi clinici completamente isolati.

La piattaforma Purple opera con un uptime del 99,999% (dati interni Purple), garantendo che l'accesso degli ospiti non sia mai interrotto da problemi di disponibilità della piattaforma. In combinazione con l'infrastruttura gestita in cloud di Arista, si ottiene un'architettura end-to-end che scala da un singolo locale a oltre 80.000 sedi senza modifiche strutturali.

Per ulteriori informazioni sull'integrazione, consulta la nostra guida sull' Integrazione degli Access Point NETGEAR Insight ed Enterprise con Purple WiFi . Per gli operatori che valutano strumenti di sondaggio da affiancare alle analisi WiFi, consulta Progettazione di un sondaggio: Guida pratica per i locali .