Aruba Central and Purple WiFi: Cloud-Managed Integration

Aruba Central e Purple WiFi: integrazione gestita in cloud. Un briefing per i responsabili IT. Benvenuti. Se gestite il WiFi per gli ospiti in più sedi e utilizzate Aruba Central, questo episodio vi riguarda direttamente. Vi guiderò passo dopo passo nell'integrazione tra Purple e Aruba Central: l'architettura, i passaggi di configurazione, i modelli di implementazione multi-sito e le insidie che spesso mettono in difficoltà i team di lavoro. Questo è un briefing pratico, non una presentazione commerciale. Entriamo nel vivo. Sezione uno: Contesto e perché questo è importante. Aruba Central è la piattaforma di rete gestita in cloud di HPE. È il piano di controllo per decine di migliaia di Aruba Instant Access Point distribuiti in hotel, catene retail, stadi, centri congressi ed edifici della pubblica amministrazione. Se siete passati dai controller Aruba on-premises (i Mobility Controller o Mobility Conductor) a Central, avete già sperimentato il passaggio da una configurazione incentrata sulla CLI e specifica per ogni sito a una gestione delle policy basata su gruppi e distribuita via cloud. Questo cambiamento modifica radicalmente il modo in cui si integra una piattaforma di guest WiFi come Purple. Su un controller Aruba on-prem tradizionale, configurereste il reindirizzamento al Captive Portal e l'autenticazione RADIUS direttamente sul controller stesso. Il controller era il punto di applicazione delle policy e si trovava nel vostro data center o nella sala server. Con Aruba Central, l'applicazione delle policy avviene ancora a livello di Access Point, ma la configurazione viene inviata dal cloud. Ciò significa che i punti di contatto dell'integrazione sono diversi. Lavorerete con modelli di gruppo, profili SSID e oggetti profilo di Captive Portal esterni che risiedono nella gerarchia di configurazione di Central, non su un dispositivo in un rack. Purple si posiziona al di sopra di tutto questo come piattaforma di guest WiFi intelligence ospitata in cloud. Fornisce il Captive Portal (la splash page visualizzata dagli ospiti), gestisce la logica di autenticazione, acquisisce dati di prima parte con il consenso e invia i dati analitici ai vostri team di marketing e operation. La domanda è: come collegare queste due piattaforme cloud in modo pulito, su scala e potenzialmente su centinaia di siti? Sezione due: L'architettura tecnica. Permettetemi di descrivere il flusso di dati quando un ospite si connette. Il dispositivo di un ospite si associa al vostro SSID per gli ospiti (chiamiamolo Hotel-Guest) trasmesso da un Aruba Instant AP. L'AP è stato configurato, tramite Aruba Central, con un profilo Captive Portal esterno. Questo profilo contiene due informazioni fondamentali: l'URL di reindirizzamento, che punta al server del Captive Portal di Purple, e i dettagli del server RADIUS, che puntano all'endpoint RADIUS-as-a-Service di Purple. Quando l'ospite apre un browser, l'AP intercetta la richiesta HTTP e la reindirizza alla splash page di Purple. L'ospite si autentica — tramite social login, e-mail, SMS o un modulo personalizzato, a seconda della configurazione di Purple. Il backend di Purple invia quindi un messaggio RADIUS Access-Accept all'AP, che concede all'ospite l'accesso a Internet e lo sposta dal ruolo di pre-autenticazione a quello di ospite autenticato. I pacchetti di accounting RADIUS fluiscono durante tutta la sessione, offrendo a Purple visibilità sulla durata della sessione e sull'utilizzo dei dati. Ora, la differenza fondamentale rispetto ad Aruba on-premise: in Aruba Central, configuri il profilo del Captive Portal esterno una sola volta, a livello di gruppo, e questo si propaga a ogni AP in quel gruppo. Non intervieni sui singoli AP. Questo è incredibilmente potente per le distribuzioni multi-sito, ma richiede di definire correttamente la struttura del gruppo prima di iniziare. Aruba Central organizza i dispositivi in Gruppi e, all'interno dei gruppi, è possibile avere Siti. Un Gruppo è l'unità di configurazione — SSID, profili radio e policy di sicurezza risiedono tutti a livello di gruppo. I Siti sono l'unità di localizzazione e monitoraggio. Per una catena alberghiera, una struttura sensata è un gruppo per tipo di proprietà — ad esempio, Hotel Full-Service e Proprietà Budget — con ogni hotel fisico come sito separato all'interno del gruppo appropriato. La configurazione di Purple si mappa quindi sui gruppi: un profilo di Captive Portal esterno per gruppo, che punta allo stesso endpoint RADIUS di Purple, ma potenzialmente con temi di splash page diversi per sito utilizzando la personalizzazione a livello di sede di Purple. Il walled garden è un elemento di configurazione critico che i team spesso sbagliano. Prima che un ospite si autentichi, l'AP consente solo il traffico DNS e DHCP, oltre a tutti i domini esplicitamente inseriti in whitelist. Affinché Purple funzioni, è necessario inserire in whitelist il dominio del Captive Portal di Purple, tutti i domini CDN utilizzati da Purple per le risorse e tutti i domini dei provider di social login se si utilizza l'autenticazione social — Facebook, Google, Apple. Se si dimentica un dominio, la splash page si caricherà parzialmente o l'autenticazione fallirà in modo silenzioso. La documentazione di supporto di Purple fornisce l'elenco aggiornato del walled garden, ed è consigliabile trattare tale elenco come un documento vivo da rivedere ogni volta che Purple aggiorna la propria piattaforma. Sezione tre: superficie API di Aruba Central per l'automazione. Se si sta effettuando la distribuzione in più di circa venti siti, la configurazione manuale tramite l'interfaccia utente di Central diventa un collo di bottiglia. Aruba Central espone una REST API completa — la Central API — che consente di automatizzare la creazione di SSID, l'assegnazione del profilo del Captive Portal e la configurazione del walled garden. L'API è autenticata tramite OAuth 2.0 e sarà necessario generare le credenziali API dal portale Central. Gli endpoint API chiave per un'integrazione Purple sono: l'endpoint di configurazione WLAN, che consente di creare e aggiornare i profili SSID; l'endpoint del profilo del Captive Portal esterno, in cui si definiscono l'URL di reindirizzamento Purple e i dettagli del server RADIUS; e gli endpoint di gestione dei siti e dei gruppi, che consentono di assegnare i dispositivi a siti e gruppi in modo programmatico. Se stai effettuando l'onboarding di una nuova sede, puoi scrivere uno script che crei il sito in Central, assegni gli AP al sito, applichi il modello di gruppo corretto e configuri il profilo del Captive Portal specifico per Purple, il tutto senza toccare l'interfaccia utente. Purple espone anche la propria API, che consente di creare record di sedi, configurare i temi delle splash page e recuperare i dati analitici. Un'integrazione matura utilizzerà entrambe le API insieme: l'API di Central per gestire il livello di rete, l'API di Purple per gestire il livello dell'esperienza degli ospiti. Questo è il modello utilizzato dalle grandi catene di vendita al dettaglio e dai gruppi alberghieri quando effettuano l'onboarding di decine di nuovi siti a trimestre. Sezione quattro: Configurazione passo-passo. Permettimi di guidarti attraverso la sequenza di configurazione per un singolo sito, che potrai poi automatizzare su scala. In primo luogo, in Aruba Central, naviga verso il tuo gruppo di destinazione e apri la configurazione WLAN. Crea un nuovo SSID — ad esempio, Venue-Guest — e imposta il livello di sicurezza su Visitors. Questa è la terminologia di Aruba per una rete aperta o autenticata tramite Captive Portal. In secondo luogo, nella scheda Sicurezza, imposta il tipo di Splash Page su External Captive Portal. Crea un nuovo profilo External Captive Portal. Assegnagli un nome descrittivo — Purple-Guest-Portal è un'ottima scelta. Imposta il tipo di autenticazione su RADIUS Authentication. Inserisci l'hostname del server del Captive Portal di Purple nel campo IP o Hostname. Inserisci l'URL di reindirizzamento. Abilita HTTPS. Imposta il comportamento in caso di errore del Captive Portal su Deny Internet, che rappresenta l'impostazione predefinita più sicura. In terzo luogo, configura il server RADIUS. In Central, vai alle impostazioni del server di autenticazione e aggiungi il server RADIUS-as-a-Service di Purple. Avrai bisogno dell'IP o dell'hostname del server, del shared secret — che generi nella piattaforma Purple — e della porta di autenticazione, che è la standard 1812, con accounting sulla 1813. Aggiungi questo server come Server Primario per il tuo SSID ospiti. In quarto luogo, configura il walled garden. Nelle regole di accesso dell'SSID, aggiungi il dominio del Captive Portal di Purple e tutti i domini di login social alla allowlist. Testa questo passaggio con attenzione: un dominio mancante è la causa più comune di errore nel caricamento della splash page. In quinto luogo, salva e applica la configurazione. Central invierà la configurazione a tutti gli AP del gruppo. Verifica su un dispositivo di test che il reindirizzamento si attivi correttamente e che l'autenticazione venga completata. Sezione cinque: Modelli di implementazione multi-sito. Per una distribuzione su cinquanta o più siti, è necessario un approccio disciplinato. Il modello che raccomando è: pilota, modello, automazione, convalida. Esegui un progetto pilota su un singolo sito. Ottieni la configurazione esatta: walled garden completo, RADIUS funzionante, splash page caricata correttamente, accounting attivo. Documenta ogni valore dei parametri. Successivamente, crea un modello di gruppo in Central basato su quella configurazione. Il modello diventerà la tua fonte di verità. Per il rollout, utilizza le API di Central per inviare il modello ai nuovi gruppi man mano che integri i siti. Se la tua implementazione di Purple utilizza temi di splash page diversi per marchio o area geografica, parametrizza il profilo del Captive Portal: l'URL di reindirizzamento può includere parametri di query che Purple utilizza per mostrare il tema corretto. Ciò significa che puoi avere un singolo endpoint RADIUS ma molteplici esperienze di splash page, tutte gestite centralmente. Valuta ogni sito dopo l'integrazione. Uno script di convalida semplice che associa un dispositivo di test, verifica il reindirizzamento, autentica e verifica l'accesso a Internet rileverà eventuali discrepanze di configurazione prima che gli ospiti se ne accorgano. La dashboard di analisi di Purple ti mostrerà anche se le sessioni vengono registrate: se un sito smette di inviare dati nei report di Purple, questo è il segnale che qualcosa si è interrotto a livello di rete. Sezione sei: Errori comuni di implementazione. Il walled garden è il punto di errore numero uno. Esegui i test con un dispositivo che non ha sessioni portale o DNS memorizzate nella cache. Utilizza un profilo browser pulito o la modalità in incognito. Il secondo errore comune è la mancata corrispondenza del segreto condiviso RADIUS. Il segreto configurato in Central deve corrispondere esattamente al segreto nella piattaforma di Purple. Una differenza di un singolo carattere causerà errori di autenticazione invisibili: l'AP non riceverà alcuna risposta dal server RADIUS e rifiuterà l'ospite oppure, se hai impostato la modalità di errore del Captive Portal su Consenti Internet, concederà l'accesso senza autenticazione, il che rappresenta un rischio di conformità. Il terzo errore comune è la configurazione errata della VLAN. Il traffico degli ospiti dovrebbe trovarsi su una VLAN dedicata, isolata dalla rete aziendale. In Aruba Central, questo si configura nelle impostazioni VLAN del profilo SSID. Se la VLAN degli ospiti non è correttamente configurata in trunk sulla porta dello switch di uplink, gli AP si attiveranno ma gli ospiti non riceveranno gli indirizzi DHCP. Il quarto errore comune riguarda l'affidabilità del certificato sul reindirizzamento del Captive Portal. I browser e i sistemi operativi moderni sono sempre più rigidi riguardo all'applicazione dell'HTTPS. Il server del Captive Portal di Purple utilizza un certificato TLS valido, ma se il tuo walled garden blocca gli endpoint OCSP o CRL che il client utilizza per convalidare il certificato, vedrai errori di certificato sulla splash page. Aggiungi questi endpoint al tuo walled garden. Sezione sette: Domande rapide. Purple funziona sia con l'architettura AOS-10 di Aruba Central che con AOS-8? Sì. Il meccanismo del Captive Portal esterno è coerente in entrambi i flussi di firmware. Il percorso dell'interfaccia utente differisce leggermente, ma gli oggetti di configurazione sottostanti sono gli stessi. Posso utilizzare il RADIUS-as-a-Service di Purple senza gestire una mia infrastruttura RADIUS? Sì, è proprio questo il punto. Il RADIUS-as-a-Service di Purple è un server RADIUS ospitato nel cloud verso cui indirizzare i tuoi AP Aruba. Non hai bisogno di FreeRADIUS o Cisco ISE on-premises. Questa integrazione supporta il WPA3? Aruba Central supporta il WPA3 sugli AP compatibili, ed è possibile abilitare la modalità di transizione WPA3 sul tuo SSID ospiti. Il meccanismo di Captive Portal di Purple è indipendente dal livello di crittografia: opera a livello di reindirizzamento HTTP, non a livello di associazione 802.11. I dati raccolti da Purple sono conformi al GDPR? Purple è progettato con la conformità al GDPR come requisito fondamentale. La splash page presenta un meccanismo di consenso e il trattamento dei dati di Purple è regolato dal tuo accordo sul trattamento dei dati (DPA) con loro. Per le sedi nell'UE, assicurati che la tua configurazione di Purple includa il testo di consenso appropriato e che il tuo DPA sia attivo prima del go-live. Sezione otto: Riepilogo e prossimi passi. Per riassumere: Aruba Central e Purple si integrano tramite il meccanismo di External Captive Portal, con l'autenticazione RADIUS gestita dal servizio cloud RADIUS di Purple. La configurazione risiede a livello di gruppo in Central e si propaga a tutti gli AP del gruppo, che è la principale differenza architetturale rispetto ad Aruba on-premises. Per i roll-out multi-sito, utilizza l'API di Central per automatizzare il provisioning e considera la configurazione del sito pilota come modello per tutto ciò che segue. I tuoi prossimi passi immediati: in primo luogo, conferma che la struttura del gruppo Aruba Central mappi la gerarchia delle sedi Purple. In secondo luogo, ottieni l'elenco aggiornato dei domini walled garden di Purple e i dettagli degli endpoint RADIUS dal portale di supporto di Purple. In terzo luogo, esegui un pilota su un singolo sito e convalida l'intero flusso di autenticazione prima di scalare. In quarto luogo, crea i tuoi script di automazione utilizzando l'API di Central e l'API di Purple in parallelo. Se stai valutando Purple per la prima volta, le pagine della piattaforma di guest WiFi e analytics su purple.ai ti offrono un quadro chiaro di ciò che otterrai oltre al Captive Portal: l'acquisizione di dati di prima parte, la marketing automation, la footfall analytics. Questo è il business case che permette di finanziare questo progetto. Grazie per l'attenzione. Se hai domande su questa integrazione, il team di soluzioni di Purple può guidarti attraverso un proof-of-concept mirato per il tuo specifico ambiente Aruba Central.