Captive Portal for Ruckus

Sintesi Esecutiva

La distribuzione di una rete wireless per ospiti ad alte prestazioni in ambienti aziendali richiede un delicato equilibrio tra un'esperienza utente fluida e una sicurezza tecnica robusta. Per le organizzazioni che utilizzano architetture CommScope Ruckus, che spaziano da stadi e centri congressi ad alta densità a vasti complessi commerciali e gruppi alberghieri, il Captive Portal funge da gateway principale per l'onboarding degli utenti, l'applicazione della conformità e l'acquisizione di dati di prima parte.

Questa guida fornisce un manuale operativo autorevole e dettagliato per l'integrazione di Captive Portal esterni con i controller Ruckus SmartZone e Ruckus Unleashed. Sfruttando i protocolli di roaming standard del settore Wireless Internet Service Provider roaming (WISPr), gli ingegneri di rete possono implementare un reindirizzamento affidabile, un'autenticazione sicura Remote Authentication Dial-In User Service (RADIUS) e configurazioni granulari di Walled Garden.

Se abbinata alla piattaforma Guest WiFi di Purple e a WiFi Analytics , questa integrazione consente ai gestori delle strutture di acquisire dati demografici fondamentali sui visitatori, rispettare le normative internazionali sui dati (come GDPR e PCI DSS) e sbloccare potenti funzionalità di marketing automation. Sia che si distribuiscano architetture Virtual SmartZone (vSZ) centralizzate nei settori Hospitality e Transport , sia che si utilizzino reti Unleashed distribuite basate su AP in ambienti Retail , questo riferimento tecnico garantisce una distribuzione resiliente e ad alta capacità.

Approfondimento Tecnico

Per distribuire una rete ospiti altamente scalabile, i progettisti devono comprendere gli standard di comunicazione sottostanti che regolano il flusso del Captive Portal. Le architetture Ruckus utilizzano lo standard WISPr 2.0 per gestire il reindirizzamento e l'autenticazione dei client. Il protocollo WISPr definisce il modo in cui un access point (AP) wireless o un controller intercetta il traffico HTTP/HTTPS non autenticato e reindirizza il browser del client a un server web del portale esterno.

Il Flusso di Autenticazione WISPr

Il processo di reindirizzamento del Captive Portal esterno segue una sequenza rigorosa di transazioni di rete. La comprensione di questo flusso è essenziale per la risoluzione dei problemi e la configurazione delle policy dei firewall a monte:

1. Associazione: Il client ospite si associa all'SSID Guest aperto e non crittografato. L'AP assegna un indirizzo IP al client tramite DHCP.
2. Sonda HTTP: Il sistema operativo del client avvia una sonda HTTP (ad esempio, la sonda Captive Network Assistant di Apple verso captive.apple.com o il controllo di connettività di Android verso connectivitycheck.gstatic.com) per verificare l'accesso a Internet.
3. Reindirizzamento HTTP 302: L'AP Ruckus o il controller SmartZone intercetta questa richiesta HTTP non autenticata. Risponde con un reindirizzamento HTTP 302, inoltrando il browser del client all'URL del portale esterno (ad es. la pagina di login di Purple). A questo URL di reindirizzamento vengono aggiunti parametri di query fondamentali, tra cui l'indirizzo MAC del client (client_mac), l'indirizzo IP del client (client_ip), l'indirizzo MAC dell'AP (ap_mac) e l'IP della Northbound Interface del controller (nbiIP).
4. Rendering del Portale: Il browser del client carica la pagina del portale esterno. Il traffico non autenticato verso il dominio del portale e le relative risorse associate è consentito dalla policy Walled Garden del controller.
5. Autenticazione Utente: L'utente completa i requisiti di accesso (ad es. social login, registrazione tramite SMS, invio di un modulo) sul portale.
6. RADIUS Access-Request: La piattaforma del portale esterno, agendo come client RADIUS, invia una richiesta di accesso (Access-Request) al server di autenticazione RADIUS configurato (come l'infrastruttura Cloud RADIUS di Purple).
7. RADIUS Access-Accept: Il server RADIUS convalida le credenziali e restituisce un pacchetto Access-Accept contenente i parametri di sessione (ad es. timeout della sessione, limiti di banda) al controller Ruckus.
8. Callback NBI: Il portale esterno effettua una chiamata API alla Northbound Interface (NBI) del controller Ruckus utilizzando le credenziali WISPr, istruendo il controller ad autorizzare l'indirizzo MAC del client.
9. Accesso a Internet: Il controller passa lo stato del client a "Autenticato", consentendo il pieno accesso a Internet nel rispetto delle policy di sessione configurate.

Confronto dell'Architettura Core

A seconda delle dimensioni della sede, le organizzazioni distribuiscono le architetture CommScope Ruckus SmartZone (su scala aziendale, basata su controller) o Ruckus Unleashed (distribuita, senza controller). Sebbene entrambe supportino Captive Portal esterni basati su WISPr, i percorsi di configurazione e le funzionalità sottostanti differiscono in modo significativo:

Guida all'implementazione

Questa guida all'implementazione passo dopo passo accompagna gli ingegneri di rete nella configurazione di un Captive Portal esterno sui controller Ruckus SmartZone e Ruckus Unleashed.

Parte A: Configurazione di Ruckus SmartZone

Passaggio 1: Configurare i server RADIUS AAA

Per autenticare gli utenti guest rispetto a un database esterno, è necessario prima definire i server di autenticazione e accounting RADIUS.

1. Passare a Services & Profiles > Authentication e selezionare la scheda Proxy (SZ Authenticator).
2. Selezionare la Zone di destinazione e fare clic su Create.
3. Configurare i seguenti parametri:
   • Name: Purple_RADIUS_Auth
   • Service Protocol: RADIUS
   • Primary Server IP: Inserire l'indirizzo IP fornito nella console di amministrazione Purple.
   • Port: 1812
   • Shared Secret: Inserire il proprio segreto condiviso RADIUS Purple.
   • Backup RADIUS: Enabled (Configurare l'IP secondario, la porta 1812 e lo stesso segreto condiviso per l'alta affidabilità).
4. Fare clic su OK per salvare.
5. Passare a Services & Profiles > Accounting e fare clic su Create sotto la scheda Proxy (SZ Authenticator).
6. Configurare i seguenti parametri:
   • Name: Purple_RADIUS_Acct
   • Service Protocol: RADIUS Accounting
   • Primary Server IP: Inserire l'indirizzo IP fornito nella console di amministrazione Purple.
   • Port: 1813
   • Shared Secret: Inserire il proprio segreto condiviso RADIUS Purple.
   • Backup RADIUS: Enabled (Configurare l'IP secondario, la porta 1813 e lo stesso segreto condiviso).
7. Fare clic su OK per salvare.

Passaggio 2: Configurare il profilo del portale Hotspot WISPr

Il profilo Hotspot WISPr definisce il comportamento di reindirizzamento e le regole di Walled Garden.

1. Passare a Services & Profiles > Hotspots & Portals > Hotspot (WISPr).
2. Selezionare la Zone di destinazione e fare clic su Create.
3. Nella sezione General Options, configurare:
   • Portal Name: Purple_WISPr_Portal
   • WISPr Smart Client Support: None
   • Login URL: Selezionare External e inserire l'URL di reindirizzamento principale fornito da Purple (es. https://login.purple.ai/start).
   • Redirect MAC Format: AA:BB:CC:DD:EE:FF (Questo formato è fondamentale per l'analisi del database di Purple).
4. Nella sezione Start Page, configurare:
   • Selezionare Redirect to the following URL e inserire: https://login.purple.ai/success.php
5. Nella sezione Session Options, configurare:
   • Session Timeout: 1440 minuti (24 ore, o in base alla propria policy aziendale).
   • Grace Period: 60 minuti (consente agli utenti di riconnettersi entro 1 ora senza doversi autenticare nuovamente).
6. Fare clic su OK per salvare il profilo.

Passaggio 3: Definire le eccezioni della Walled Garden

La Walled Garden consente ai client non autenticati di risolvere il DNS e scaricare risorse da domini specifici necessari per caricare la splash page e autenticarsi.

1. Modificare il profilo Purple_WISPr_Portal appena creato.
2. Scorrere verso il basso e fare clic sul segno + per espandere la sezione Walled Garden.
3. Aggiungere i seguenti domini obbligatori. Si noti che Ruckus SmartZone richiede il formato wildcard *.domain.com:
   • *.purple.ai (Portale principale e dominio di reindirizzamento)
   • *.cloudfront.net (CDN per il caricamento di fogli di stile e risorse JavaScript)
   • *.apple.com e captive.apple.com (Per gestire il comportamento di Apple Captive Network Assistant)
   • *.googleapis.com e *.gstatic.com (Per le API di Google e la distribuzione delle risorse)
4. Aggiungere eventuali domini di social media se si abilita il social login (ad es. *.facebook.com, *.facebook.net per il login con Facebook).
5. Fare clic su OK per salvare.

Passaggio 4: Configurare la LAN wireless guest (WLAN)

Ora, associare i server RADIUS e il profilo Hotspot a un nuovo SSID.

1. Passare a Wireless LANs e selezionare la Zone di destinazione.
2. Fare clic su Create per creare una nuova WLAN.
3. Configurare le General Options:
   • Name: Guest_WiFi
   • SSID: !Free_Venue_WiFi
4. Configurare le Security Options:
   • Authentication Type: Hotspot (WISPr)
   • Method: Open
   • Encryption Options: None
5. Espandere la sezione Hotspot Portal:
   • Hotspot (WISPr) Portal: Selezionare Purple_WISPr_Portal.
   • Authentication Service: Selezionare Purple_RADIUS_Auth.
   • Accounting Service: Selezionare Purple_RADIUS_Acct.
   • Send Interim Update: Impostare su 5 minuti (fondamentale per il monitoraggio delle sessioni in tempo reale).
6. Espandere le RADIUS Options:
   • NAS ID: Impostare su User-defined e inserire l'ID della sede assegnato da Purple.
   • Called Station ID: Selezionare AP MAC.
   • Single Session ID: ON (Previene la duplicazione delle sessioni tra gli AP).
7. Fare clic su OK per distribuire la WLAN.

Passaggio 5: Abilitare l'interfaccia WISPr Northbound (NBI)

L'NBI consente a Purple di comunicare con lo SmartZone per autorizzare i client.

1. Passare a Administration > External Services > WISPr Northbound Interface.
2. Selezionare la casella Enable Northbound Interface support.
3. Definire un Username e una Password (ad es. purple_nbi / SecureNbiPassword123!).
4. Inserire queste credenziali nella Console di amministrazione di Purple in Integrations > Ruckus SmartZone.

Passaggio 6: Disabilitare la crittografia MAC/IP (PASSAGGIO CLI CRITICO)

Per impostazione predefinita, SmartZone crittografa gli indirizzi MAC nell'URL di reindirizzamento. È necessario disabilitare questa funzione affinché Purple possa leggere i MAC dei client.

1. Aprire una sessione SSH sull'IP di gestione del controller SmartZone.
2. Accedere con le proprie credenziali di amministratore.
3. Eseguire i seguenti comandi:

   ruckus> enable
   ruckus# config
   ruckus(config)# no encrypt-mac-ip
   ruckus(config)# end
   ruckus# write memory
   

Parte B: Configurazione di Ruckus Unleashed

Per le sedi più piccole che utilizzano un'architettura Unleashed senza controller, configurare il Captive Portal tramite l'interfaccia web dell'AP master.

Passaggio 1: Definire i server AAA

1. Passare a Admin & Services > Services > AAA Servers.
2. Fare clic su Create New per aggiungere il server di autenticazione RADIUS:
   • Name: Purple_Auth
   • Type: RADIUS
   • IP Address: Inserire l'IP RADIUS di Purple.
   • Port: 1812
   • Shared Secret: Inserire il segreto condiviso RADIUS di Purple.
3. Fare clic su OK.
4. Fare clic su Create New per aggiungere il server di accounting RADIUS:
   • Name: Purple_Acct
   • Type: RADIUS Accounting
   • IP Address: Inserire l'IP RADIUS di Purple.
   • Port: 1813
   • Shared Secret: Inserire il segreto condiviso RADIUS di Purple.
5. Fare clic su OK.

Passaggio 2: Configurare il servizio Hotspot

1. Passare a Admin & Services > Services > Hotspot Services.
2. Fare clic su Create New.
3. Nella scheda General:
   • Name: Purple_Hotspot
   • Login URL: Inserire l'URL di reindirizzamento di Purple.
   • Start Page: Selezionare Redirect to the following URL e inserire https://login.purple.ai/success.php.
4. Nella scheda Authentication:
   • Authentication Server: Selezionare Purple_Auth.
   • Accounting Server: Selezionare Purple_Acct.
   • Interim Update: Impostare su 5 minuti.
5. Nella scheda Walled Garden:
   • Aggiungere le voci a livello di dominio (ad es. purple.ai, cloudfront.net, gstatic.com). Si noti che Unleashed non richiede il prefisso jolly asterisco; la corrispondenza standard a livello di dominio viene applicata automaticamente.
6. Fare clic su OK per salvare.

Passaggio 3: Assegnare il servizio Hotspot alla WLAN

1. Passare a Wi-Fi Networks e fare clic su Create.
2. Impostare Name e SSID con il nome della rete guest.
3. Impostare Usage Type su Hotspot Service.
4. Selezionare Purple_Hotspot dall'elenco dei servizi.
5. Fare clic su OK per pubblicare l'SSID su tutti gli AP Unleashed.

Best Practice

Per garantire massime prestazioni, sicurezza e conformità normativa, i progettisti di rete dovrebbero implementare le seguenti best practice standard del settore:

1. Segmentazione granulare della VLAN Guest

Non mappare mai il traffico guest sulla VLAN nativa o di gestione. Isolare sempre i client guest su una VLAN dedicata e non instradabile (ad es. VLAN 100). Implementare liste di controllo degli accessi (ACL) rigorose sullo switch o firewall a monte per impedire al traffico guest di raggiungere le sottoreti aziendali, i sistemi POS (point-of-sale) e l'infrastruttura IoT. Questa segmentazione è un requisito fondamentale per la conformità PCI DSS.

2. Ottimizzazione RF ad alta densità

In ambienti ad alta densità come stadi, centri congressi e grandi poli commerciali, l'ottimizzazione RF è fondamentale. Disabilita i data rate legacy inferiori (ad es. disabilita i rate 802.11b inferiori a 12 Mbps) per forzare i client a utilizzare velocità superiori, riducendo la congestione del tempo di trasmissione (airtime). Abilita il Band Steering per indirizzare i dispositivi client dual-band verso lo spettro a 5 GHz e 6 GHz, preservando la banda a 2.4 GHz, altamente congestionata, per i dispositivi legacy.

3. Gestione dinamica del Walled Garden

Mantieni il tuo Walled Garden il più snello possibile. Walled garden eccessivamente permissivi (come l'aggiunta di ampie subnet IP come 172.217.0.0/16) possono consentire agli utenti non autenticati di aggirare il Captive Portal e accedere a servizi esterni (come Google Search o YouTube) senza effettuare l'accesso. Esegui regolarmente un audit dei domini del tuo walled garden, in particolare dopo aver abilitato nuovi provider di social login.

4. Gestione sicura delle sessioni

Imposta timeout di sessione ragionevoli (ad es. 1440 minuti / 24 ore) e periodi di tolleranza (grace period, ad es. 60 minuti). Un grace period ben configurato previene la "fatica da portale" consentendo agli utenti che perdono temporaneamente la copertura WiFi (ad es. uscendo dalla hall di un hotel) di riconnettersi senza problemi senza essere costretti a riautenticarsi.

5. Conformità normativa e sicurezza

La distribuzione di reti WiFi pubbliche per gli ospiti espone le strutture a rischi legali. Assicurati che l'integrazione del tuo Captive Portal sia conforme alle normative locali:

• GDPR / CCPA: Assicurati che la splash page mostri termini di servizio e informative sulla privacy chiari, richiedendo un consenso esplicito (opt-in) per le comunicazioni di marketing.
• Modalità WPA3-Transition: Sebbene le reti ospiti siano solitamente aperte, valuta la possibilità di abilitare la modalità WPA3-Transition con Opportunistic Wireless Encryption (OWE) per crittografare il traffico wireless tra il client e l'AP senza richiedere una chiave precondivisa, proteggendo gli ospiti dall'intercettazione passiva.
• Filtraggio dei contenuti web: I server DNS a monte (come Cisco Umbrella o Cloudflare Families) devono essere configurati per bloccare domini dannosi, contenuti per adulti e traffico di file-sharing illegale sulla VLAN ospiti.

Risoluzione dei problemi e mitigazione dei rischi

Durante la distribuzione di Captive Portal esterni su hardware Ruckus, i tecnici riscontrano comunemente una serie prevedibile di problemi di configurazione e di percorso di rete. Utilizza questo framework strutturato di risoluzione dei problemi per risolvere i colli di bottiglia della distribuzione.

Modalità di guasto comuni e percorsi di risoluzione

Problema 1: I dispositivi degli ospiti non vengono reindirizzati alla pagina del Captive Portal.

• Causa principale A: Errore di risoluzione DNS. I client non autenticati devono essere in grado di risolvere le query DNS prima del reindirizzamento. Se il client non riesce a risolvere login.purple.ai, il reindirizzamento fallirà.
  • Risoluzione: Verifica che lo scope DHCP assegnato alla VLAN ospiti fornisca server DNS pubblici validi (ad es. 1.1.1.1 o 8.8.8.8). Assicurati che il firewall a monte consenta il traffico sulla porta UDP 53 dalla subnet ospiti verso Internet prima dell'autenticazione.
• Causa principale B: Il firewall blocca la porta 9080/9443. SmartZone richiede l'apertura di porte specifiche per caricare la splash page.
  • Risoluzione: Assicurarsi che la porta TCP 9080 (HTTP) o 9443 (HTTPS) sia consentita attraverso eventuali firewall locali.
• Causa principale C: Errata configurazione del Walled Garden. L'URL di reindirizzamento stesso potrebbe essere bloccato.
  • Risoluzione: Assicurarsi che *.purple.ai sia esplicitamente definito nel Walled Garden WISPr dell'Hotspot.

Problema 2: Gli ospiti possono visualizzare e completare la pagina di login, ma non riescono ad accedere a Internet dopo aver fatto clic su "Connetti".

• Causa principale A: Errore di comunicazione NBI. Il portale esterno non riesce a inviare la chiamata API di autorizzazione al controller SmartZone.
  • Risoluzione: Verificare che la Northbound Interface (NBI) dello SmartZone sia abilitata e che le credenziali inserite nella Purple Admin Console corrispondano alla configurazione del controller. Assicurarsi che il firewall perimetrale consenta il traffico in entrata sulla porta TCP 9080 (o 9443) dall'intervallo IP pubblico di Purple verso l'IP di gestione dello SmartZone.
• Causa principale B: Errore di autenticazione RADIUS. Il controller rifiuta il pacchetto RADIUS Access-Accept o non lo ha ricevuto.
  • Risoluzione: Passare a Services & Profiles > Authentication sullo SmartZone, selezionare il server RADIUS e fare clic su Test AAA. Inserire le credenziali di test per verificare la connettività. Se il test fallisce, verificare l'IP RADIUS, la porta 1812 e la Shared Secret. Assicurarsi che le porte UDP 1812 e 1813 siano consentite in uscita sul firewall perimetrale.

Problema 3: I dispositivi Apple iOS non mostrano automaticamente il mini-browser Captive Network Assistant (CNA).

• Causa principale: Bypass del CNA Apple abilitato o Walled Garden troppo permissivo. Se il dominio di test di Apple è consentito nel walled garden, iOS presuppone di avere un accesso diretto a Internet e disattiva il CNA.
  • Risoluzione: Assicurarsi che captive.apple.com NON sia completamente bypassato nel walled garden se si desidera forzare la comparsa del CNA. Al contrario, se la policy prevede di bypassare il CNA e forzare gli utenti ad aprire un browser standard, assicurarsi che l'opzione Bypass CNA sia impostata su ON nella configurazione WLAN.

Requisiti di porte di rete e protocolli

Per garantire una comunicazione fluida tra il controller Ruckus, i dispositivi client e il portale esterno, verificare che le seguenti porte siano consentite sui firewall di rete:

ROI e impatto aziendale

Mentre gli ingegneri di rete si concentrano sui flussi di pacchetti e sulle configurazioni delle porte, i direttori IT e i CTO devono giustificare l'investimento nel Wi-Fi guest aziendale. L'integrazione dell'hardware ad alta densità Ruckus con la piattaforma Purple's WiFi Analytics trasforma una rete che rappresenta un centro di costo in un asset aziendale ad alto valore, offrendo un ritorno sull'investimento (ROI) misurabile.

1. Acquisizione di dati di prima parte su scala

In settori come il Retail e l' Hospitality , la comprensione dei dati demografici dei clienti è un fattore chiave per la crescita aziendale. Un SSID aperto standard non acquisisce alcun dato sui visitatori. Implementando il Captive Portal di Purple, le strutture ottengono tassi medi di completamento dell'accesso dal 25% al 40%. Ciò consente agli operatori di acquisire legalmente indirizzi e-mail verificati, numeri di telefono e profili social.

2. Marketing e coinvolgimento iper-localizzati

Abbinando i servizi di localizzazione di precisione di Ruckus al motore di marketing di Purple, le strutture possono attivare campagne automatizzate in tempo reale basate sulla presenza fisica. Ad esempio, un marchio retail può attivare un coupon SMS mirato per un ospite che sta navigando in un reparto specifico da più di 15 minuti, oppure un hotel può inviare un'e-mail di benvenuto con un link per prenotare i servizi della spa subito dopo che l'ospite si è connesso al Wi-Fi della hall.

3. Efficienza operativa e approfondimenti sulla struttura

L'integrazione dei Captive Portal con l'analisi della posizione fornisce una potente intelligenza operativa. I direttori delle strutture possono monitorare:

• Affluenza e tempo di permanenza: misurare il numero esatto di visitatori, la durata della loro permanenza e il loro percorso all'interno dello spazio fisico.
• Fidelizzazione e tassi di ritorno: identificare i visitatori nuovi rispetto a quelli di ritorno per valutare l'impatto delle campagne di marketing e delle modifiche operative.
• Ottimizzazione del personale: allineare i livelli di personale con le mappe di densità dei visitatori in tempo reale, riducendo i costi generali durante le ore non di punta e migliorando il servizio clienti nei periodi di massima affluenza.

Matrice dell'impatto aziendale

La tabella seguente illustra i risultati aziendali tipici nei principali settori verticali a seguito dell'implementazione di una rete Wi-Fi guest integrata Ruckus e Purple:

Allineando l'eccellenza tecnica dell'ingegneria wireless con gli obiettivi aziendali strategici, l'integrazione tra Ruckus e Purple offre un'infrastruttura di rete aziendale sicura, conforme e altamente redditizia.

Riferimenti

• [1] CommScope Ruckus SmartZone Access Services Guide
• [2] Ruckus SmartZone RADIUS Authentication Deployment Guide
• [3] Ruckus Unleashed Hotspot WISPr Configuration Guide
• [4] Cisco Wireless APs: 2026 Guide to Products & Deployment
• [5] 10 Best Network Access Control (NAC) Solutions for 2026
• [6] WiFi in Schools: The 2026 Administrator & IT Guide
• [7] How to Implement 802.1X Authentication with Cloud RADIUS