Aruba Central e Purple WiFi: integrazione gestita in cloud

Aruba Central e Purple WiFi: integrazione gestita in cloud. Un briefing per i leader IT. Benvenuti. Se gestite il WiFi per gli ospiti in più sedi e utilizzate Aruba Central, questo episodio vi riguarda direttamente. Vi spiegherò esattamente come Purple si integra con Aruba Central: l'architettura, i passaggi di configurazione, i modelli di implementazione multi-sito e le insidie che mettono in difficoltà i team. Questo è un briefing pratico, non una presentazione commerciale. Entriamo nel dettaglio. Sezione uno: Contesto e perché questo è importante. Aruba Central è la piattaforma di rete gestita in cloud di HPE. È il piano di controllo per decine di migliaia di Aruba Instant Access Point distribuiti in hotel, catene di vendita al dettaglio, stadi, centri congressi e uffici della pubblica amministrazione. Se siete passati dai controller Aruba on-premises - i Mobility Controllers o Mobility Conductors - a Central, avete già sperimentato il passaggio da una configurazione incentrata sulla CLI e specifica per sito a una gestione delle policy basata su gruppi e distribuita via cloud. Questo cambiamento modifica radicalmente il modo in cui si integra una piattaforma WiFi per ospiti come Purple. Su un tradizionale controller Aruba on-prem, configurereste il reindirizzamento del Captive Portal e l'autenticazione RADIUS direttamente sul controller stesso. Il controller era il punto di applicazione delle policy e risiedeva nel vostro data center o nella sala server. Con Aruba Central, l'applicazione delle policy avviene ancora sull'Access Point, ma la configurazione viene inviata dal cloud. Ciò significa che i punti di contatto per l'integrazione sono diversi. Lavorerete con modelli di gruppo, profili SSID e oggetti profilo del Captive Portal esterno che risiedono nella gerarchia di configurazione di Central, non su un dispositivo in un rack. Purple si posiziona al di sopra di tutto questo come piattaforma intelligente di WiFi per ospiti ospitata in cloud. Fornisce il Captive Portal - la pagina di benvenuto visualizzata dagli ospiti - gestisce la logica di autenticazione, acquisisce dati di prima parte con il consenso e invia i dati analitici ai vostri team di marketing e operations. La domanda è: come collegare queste due piattaforme cloud in modo pulito, su scala, potenzialmente su centinaia di siti? Sezione due: L'architettura tecnica. Vi descrivo il flusso di dati quando un ospite si connette. Un dispositivo ospite si associa al vostro SSID per gli ospiti - chiamiamolo Hotel-Guest - che viene trasmesso da un Aruba Instant AP. L'AP è stato configurato, tramite Aruba Central, con un profilo Captive Portal esterno. Questo profilo contiene due informazioni cruciali: l'URL di reindirizzamento, che punta al server del Captive Portal di Purple, e i dettagli del server RADIUS, che puntano all'endpoint RADIUS-as-a-Service di Purple. Quando l'ospite apre un browser, l'AP intercetta la richiesta HTTP e la reindirizza alla splash page di Purple. L'ospite si autentica - tramite social login, email, SMS o un modulo personalizzato, a seconda della configurazione di Purple. Il backend di Purple invia quindi un messaggio RADIUS Access-Accept all'AP, che garantisce all'ospite l'accesso a internet e lo sposta dal ruolo di pre-autenticazione a quello di ospite autenticato. I pacchetti di accounting RADIUS fluiscono durante tutta la sessione, offrendo a Purple visibilità sulla durata della sessione e sull'utilizzo dei dati. Ora, la differenza chiave rispetto ad Aruba on-prem: in Aruba Central, configuri il profilo dell'External Captive Portal una sola volta, a livello di gruppo, e questo si propaga a ogni AP in quel gruppo. Non intervieni sui singoli AP. Questo è incredibilmente potente per le distribuzioni multi-sito, ma richiede di definire correttamente la struttura del gruppo prima di iniziare. Aruba Central organizza i dispositivi in Gruppi e, all'interno dei gruppi, è possibile avere Siti. Un Gruppo è l'unità di configurazione - SSID, profili radio, policy di sicurezza risiedono tutti a livello di gruppo. I Siti sono l'unità di localizzazione e monitoraggio. Per una catena alberghiera, una struttura sensata è un gruppo per tipo di struttura - ad esempio, Hotel con Servizio Completo e Strutture Budget - con ogni hotel fisico come sito separato all'interno del gruppo appropriato. La configurazione di Purple si mappa quindi sui gruppi: un profilo di External Captive Portal per gruppo, che punta allo stesso endpoint RADIUS di Purple, ma potenzialmente con diversi temi di splash page per sito utilizzando la personalizzazione a livello di sede di Purple. Il walled garden è un elemento di configurazione critico che i team spesso sbagliano. Prima che un ospite si autentichi, l'AP consente solo il traffico DNS e DHCP, oltre a qualsiasi dominio esplicitamente inserito in whitelist. Affinché Purple funzioni, è necessario inserire in whitelist il dominio del Captive Portal di Purple, tutti i domini CDN utilizzati da Purple per le risorse e tutti i domini dei provider di social login se si utilizza l'autenticazione social - Facebook, Google, Apple. Se si salta un dominio, la splash page si caricherà parzialmente o l'autenticazione fallirà silenziosamente. La documentazione di supporto di Purple fornisce l'elenco aggiornato del walled garden, ed è consigliabile considerare tale elenco come un documento vivo da rivedere ogni volta che Purple aggiorna la propria piattaforma. Sezione tre: superficie API di Aruba Central per l'automazione. Se si effettua la distribuzione su più di circa venti siti, la configurazione manuale tramite l'interfaccia utente di Central diventa un collo di bottiglia. Aruba Central espone una REST API completa - la Central API - che consente di automatizzare la creazione di SSID, l'assegnazione dei profili di Captive Portal e la configurazione del walled garden. L'API è autenticata tramite OAuth 2.0 e sarà necessario generare le credenziali API dal portale Central. Gli endpoint API chiave per un'integrazione Purple sono: l'endpoint di configurazione WLAN, che consente di creare e aggiornare i profili SSID; l'endpoint del profilo del captive portal esterno, che è il luogo in cui si definiscono l'URL di reindirizzamento Purple e i dettagli del server RADIUS; e gli endpoint di gestione dei siti e dei gruppi, che consentono di assegnare i dispositivi a siti e gruppi a livello di programmazione. Se si sta configurando una nuova sede, è possibile scrivere uno script che crei il sito in Central, assegni gli AP al sito, applichi il modello di gruppo corretto e configuri il profilo del captive portal specifico per Purple - il tutto senza toccare l'interfaccia utente. Purple espone anche le proprie API, che consentono di creare record di sedi, configurare i temi della splash page e recuperare i dati di analytics. Un'integrazione matura utilizzerà entrambe le API insieme: l'API di Central per gestire il livello di rete, l'API di Purple per gestire il livello della guest experience. Questo è il modello utilizzato dalle grandi catene di vendita al dettaglio e dai gruppi alberghieri quando inseriscono decine di nuovi siti ogni trimestre. Sezione quattro: Configurazione passo dopo passo. Permettetemi di illustrarvi la sequenza di configurazione per un singolo sito, che poi potrete automatizzare su scala. In primo luogo, in Aruba Central, navigate fino al gruppo target e aprite la configurazione WLAN. Create un nuovo SSID - ad esempio, Venue-Guest - e impostate il livello di sicurezza su Visitatori. Questa è la terminologia di Aruba per una rete aperta o autenticata tramite captive portal. In secondo luogo, nella scheda Sicurezza, impostate il tipo di Splash Page su Captive Portal Esterno. Create un nuovo profilo di Captive Portal Esterno. Assegnategli un nome descrittivo - Purple-Guest-Portal va benissimo. Impostate il tipo di autenticazione su Autenticazione RADIUS. Inserite l'hostname del server del captive portal di Purple nel campo IP o Hostname. Inserite l'URL di reindirizzamento. Abilitate HTTPS. Impostate il comportamento in caso di errore del Captive Portal su Nega Internet, che rappresenta l'impostazione predefinita più sicura. In terzo luogo, configurate il server RADIUS. In Central, andate alle impostazioni del server di autenticazione e aggiungete il server RADIUS-as-a-Service di Purple. Avrete bisogno dell'IP o dell'hostname del server, della chiave segreta condivisa - che genererete nella piattaforma di Purple - e della porta di autenticazione, che è lo standard 1812, con accounting sulla porta 1813. Aggiungete questo server come Server Primario per il vostro SSID guest. In quarto luogo, configurate il walled garden. Nelle regole di accesso dell'SSID, aggiungete il dominio del captive portal di Purple e tutti i domini di accesso social alla allowlist. Testate questo aspetto con attenzione - la mancanza di un dominio è la causa più comune di errore della splash page. In quinto luogo, salvate e distribuite la configurazione. Central distribuirà la configurazione a tutti gli AP del gruppo. Verificate su un dispositivo di test che il reindirizzamento si attivi correttamente e che l'autenticazione venga completata. Sezione cinque: Modelli di rollout multi-sito. Per una distribuzione su cinquanta o più siti, è necessario un approccio disciplinato. Il modello che raccomando è: pilota, modello, automazione, convalida. Esegui un pilot su un singolo sito. Ottieni una configurazione perfetta: walled garden completo, RADIUS funzionante, splash page caricata correttamente, accounting attivo. Documenta ogni valore dei parametri. Quindi inserisci tale configurazione in un modello di gruppo di Central. Il modello diventa la tua fonte di verità. Per il rollout, utilizza l'API di Central per distribuire il modello ai nuovi gruppi man mano che integri i siti. Se la tua implementazione di Purple utilizza temi di splash page diversi per marchio o area geografica, parametrizza il profilo del Captive Portal: l'URL di reindirizzamento può includere parametri di query che Purple utilizza per presentare il tema corretto. Ciò significa che puoi avere un singolo endpoint RADIUS ma molteplici esperienze di splash page, tutte gestite centralmente. Valuta ogni sito dopo l'integrazione. Un semplice script di convalida che associa un dispositivo di test, verifica il reindirizzamento, esegue l'autenticazione e verifica l'accesso a Internet rileverà eventuali variazioni di configurazione prima che gli ospiti ne risentano. La dashboard di analisi di Purple ti mostrerà anche se le sessioni vengono registrate: se un sito non invia dati nei report di Purple, questo è il segnale che qualcosa è interrotto a livello di rete. Sezione sei: Errori comuni di implementazione. Il walled garden è la causa di errore numero uno. Esegui i test con un dispositivo che non ha sessioni portale o DNS memorizzate nella cache. Utilizza un profilo browser nuovo o la modalità di navigazione in incognito. Il secondo errore comune è la mancata corrispondenza della chiave condivisa RADIUS. La chiave configurata in Central deve corrispondere esattamente alla chiave nella piattaforma Purple. Una differenza anche di un solo carattere causerà errori di autenticazione silenziosi: l'AP non riceverà alcuna risposta dal server RADIUS e rifiuterà l'ospite o, se hai impostato la modalità di errore del Captive Portal su Consenti Internet, concederà l'accesso senza autenticazione, il che rappresenta un rischio di conformità. Il terzo errore comune è la configurazione errata della VLAN. Il traffico degli ospiti dovrebbe trovarsi su una VLAN dedicata, isolata dalla rete aziendale. In Aruba Central, questo viene configurato nelle impostazioni VLAN del profilo SSID. Se la tua VLAN ospiti non è correttamente configurata in trunk sulla porta dello switch uplink, gli AP si attiveranno ma gli ospiti non riceveranno gli indirizzi DHCP. Il quarto errore comune riguarda l'attendibilità del certificato sul reindirizzamento del Captive Portal. I browser e i sistemi operativi moderni sono sempre più rigorosi riguardo all'applicazione dell'HTTPS. Il server del Captive Portal di Purple utilizza un certificato TLS valido, ma se il tuo walled garden blocca gli endpoint OCSP o CRL utilizzati dal client per convalidare il certificato, visualizzerai errori di certificato sulla splash page. Aggiungi questi endpoint al tuo walled garden. Sezione sette: Domande rapide. Purple funziona con l'architettura AOS-10 di Aruba Central oltre che con AOS-8? Sì. Il meccanismo del Captive Portal esterno è coerente in entrambi i flussi di firmware. Il percorso dell'interfaccia utente differisce leggermente, ma gli oggetti di configurazione sottostanti sono gli stessi.Posso utilizzare il RADIUS-as-a-Service di Purple senza gestire una mia infrastruttura RADIUS? Sì, è proprio questo il punto. Il RADIUS-as-a-Service di Purple è un server RADIUS ospitato nel cloud verso cui indirizzare i tuoi AP Aruba. Non hai bisogno di FreeRADIUS o Cisco ISE on-premises. Questa integrazione supporta il WPA3? Aruba Central supporta il WPA3 sugli AP compatibili ed è possibile abilitare la modalità di transizione WPA3 sul tuo SSID guest. Il meccanismo del captive portal di Purple è indipendente dal livello di crittografia - opera a livello di reindirizzamento HTTP, non a livello di associazione 802.11. I dati raccolti da Purple sono conformi al GDPR? Purple è progettato con la conformità al GDPR come requisito fondamentale. La splash page presenta un meccanismo di consenso e il trattamento dei dati di Purple è disciplinato dal relativo accordo sul trattamento dei dati. Per le sedi dell'UE, assicurati che la configurazione di Purple includa il testo di consenso appropriato e che il DPA sia in vigore prima del lancio. Sezione otto: Riepilogo e prossimi passi. Per riassumere: Aruba Central e Purple si integrano tramite il meccanismo dell'External Captive Portal, con l'autenticazione RADIUS gestita dal servizio cloud RADIUS di Purple. La configurazione risiede a livello di gruppo in Central e si propaga a tutti gli AP del gruppo - che rappresenta la differenza architetturale chiave rispetto ad Aruba on-premises. Per le implementazioni multi-sito, utilizza l'API di Central per automatizzare il provisioning e considera la configurazione del sito pilota come modello per tutto ciò che segue. I tuoi prossimi passi immediati: primo, conferma che la struttura del gruppo Aruba Central mappi la gerarchia delle sedi Purple. Secondo, ottieni l'elenco attuale dei domini walled garden e i dettagli dell'endpoint RADIUS di Purple dal portale di supporto Purple. Terzo, esegui un progetto pilota su un singolo sito e convalida l'intero flusso di autenticazione prima di procedere alla scalabilità. Quarto, crea i tuoi script di automazione utilizzando l'API di Central e l'API di Purple in parallelo. Se stai valutando Purple per la prima volta, le pagine della piattaforma guest WiFi e di analytics su purple dot ai ti offrono un quadro chiaro di ciò che otterrai oltre al captive portal - l'acquisizione di dati di prima parte, la marketing automation, l'analisi delle presenze. Questo è il caso aziendale che consente di finanziare questo progetto. Grazie per l'attenzione. Se hai domande su questa integrazione, il team di soluzioni di Purple può guidarti attraverso un proof-of-concept dimensionato sul tuo specifico ambiente Aruba Central.