Cisco Meraki e guest WiFi: configurazione del captive portal con Purple

Integrazione di Cisco Meraki con Purple WiFi - Un Briefing per Senior Consultant Tempo di lettura: circa 10 minuti INTRODUZIONE E CONTESTO (circa 1 minuto) Benvenuti. Se siete responsabili di una distribuzione Cisco Meraki e state cercando di decidere se Purple WiFi sia il giusto livello di guest intelligence da integrarvi, questo briefing è pensato per voi. Vi guiderò esattamente attraverso il funzionamento dell'integrazione, cosa è necessario configurare, quali sono le insidie più comuni e quale tipo di ritorno possiate realisticamente aspettarvi. Permettetemi di inquadrare lo scenario. Cisco Meraki è, con un margine significativo, l'infrastruttura wireless gestita in cloud più ampiamente distribuita nel settore enterprise dell'hospitality, del retail e del settore pubblico. È affidabile, scalabile e la sua dashboard cloud è davvero eccellente. Ma il punto è questo: le funzionalità native di guest WiFi di Meraki sono funzionali, non strategiche. Potete connettere un ospite online, ma non potete acquisire dati di prima parte significativi, non potete costruirci sopra un funnel di marketing e certamente non potete dimostrare il ROI al vostro consiglio di amministrazione. Questo è precisamente il vuoto che Purple colma. APPROFONDIMENTO TECNICO (circa 5 minuti) Parliamo di architettura. L'integrazione tra Purple e Meraki opera su due livelli tecnici distinti, e comprenderli entrambi è essenziale prima di toccare una singola impostazione di configurazione. Il primo livello è la Meraki Dashboard API - questo è il livello di provisioning. Purple utilizza l'API REST di Meraki per importare l'intero parco di access point nel Purple Portal in un'unica operazione batch. Vi autenticate con la vostra chiave API di Meraki, che generate dalla sezione Organizzazione della dashboard Meraki sotto API e Webhook. Una volta che Purple dispone di quella chiave, può estrarre ogni access point, ogni rete, ogni configurazione SSID direttamente dal vostro cloud Meraki. Per un parco di, ad esempio, trecento access point in un gruppo alberghiero, questo riduce quello che sarebbe un esercizio di configurazione manuale di più giorni a qualcosa che si può completare in meno di un'ora. Non si tratta di un risparmio operativo banale. Il secondo livello è il livello di autenticazione e Captive Portal - qui è dove vive effettivamente l'esperienza dell'ospite. Purple opera come provider esterno di splash page, utilizzando la Captive Portal API di Meraki. Quando un ospite si connette al vostro SSID guest, Meraki intercetta il suo traffico HTTP e lo reindirizza alla splash page ospitata da Purple - il vostro Captive Portal personalizzato con il vostro brand. L'ospite si autentica attraverso qualsiasi metodo abbiate configurato: login social, modulo email, verifica SMS o una combinazione di questi. Purple comunica poi di ritorno a Meraki via RADIUS - Remote Authentication Dial-In User Service - operando sulla porta 1812 per l'autenticazione e sulla porta 1813 per l'accounting. Una volta che il server RADIUS conferma l'autenticazione, Meraki concede all'ospite l'accesso completo alla rete. Ora, lasciate che vi guidi attraverso la configurazione specifica della dashboard Meraki, perché i dettagli qui sono fondamentali. Nella dashboard Meraki, naviga su Wireless, quindi su Access Control. Seleziona il tuo SSID ospiti dal menu a discesa. Imposta la sicurezza su Open — sì, aperta, perché l'autenticazione è gestita dal livello RADIUS e captive portal, non a livello di associazione 802.11. Imposta il tipo di splash page su Sign-on con il mio server RADIUS. Questa è la selezione fondamentale — indica a Meraki di utilizzare un server RADIUS esterno per l'autenticazione anziché le proprie opzioni integrate. Sotto Advanced Splash Settings, imposta la forza del captive portal su Block all access until sign-on is complete. Abilita il walled garden — questo è l'elenco dei domini che gli ospiti possono raggiungere prima di essersi autenticati, che deve includere i domini della piattaforma Purple affinché la stessa splash page possa caricarsi. Purple fornisce una whitelist aggiornata di questi domini nella propria documentazione di supporto. Per la configurazione del server RADIUS, dovrai aggiungere due server — Purple fornisce endpoint primari e secondari per la ridondanza. La porta di autenticazione è 1812 e utilizzerai il segreto RADIUS fornito nel tuo Purple Portal. Aggiungi le voci corrispondenti per l'accounting RADIUS sulla porta 1813. Imposta l'intervallo provvisorio di accounting a quattro minuti — questo è importante per un tracciamento accurato delle sessioni e per l'analitica. Imposta il timeout del server a cinque secondi con un numero di tentativi pari a tre. Sotto Advanced RADIUS Settings, configura Called-Station-ID e NAS-ID per utilizzare l'indirizzo MAC dell'AP. Questo è fondamentale per l'analisi della posizione di Purple — senza di esso, Purple non può attribuire con precisione le sessioni a punti di accesso specifici e quindi non può generare analisi significative a livello di piano. Quindi naviga su Wireless, Splash Page. Inserisci l'URL personalizzato della splash page fornito dal tuo Purple Portal — questo è l'URL del tuo captive portal personalizzato. Configura l'URL di reindirizzamento post-autenticazione — in genere il sito web della tua struttura o una landing page specifica. Ora, c'è un secondo componente che vale la pena discutere in dettaglio: PurpleConnex, che è la soluzione SecurePass di Purple. Questo crea un secondo SSID — in genere chiamato PurpleConnex — configurato come rete WPA2 Enterprise che utilizza i server RADIUS RadSec di Purple. RadSec è RADIUS su TLS, che fornisce un trasporto crittografato per il traffico di autenticazione. Questo SSID, combinato con la configurazione Hotspot 2.0 — nota anche come Passpoint, lo standard IEEE 802.11u — consente agli ospiti che ritornano di riconnettersi automaticamente senza visualizzare nuovamente il captive portal. Il loro dispositivo riconosce il profilo Passpoint e si connette in modo fluido. Questo è particolarmente prezioso negli ambienti in cui si desidera eliminare l'attrito delle autenticazioni ripetute, come un hotel in cui un ospite soggiorna per tre notti o un membro di un programma fedeltà retail che visita il negozio settimanalmente. La configurazione Hotspot 2.0 in Meraki richiede di impostare il nome dell'operatore su PURPLE due punti GB, configurare l'elenco dei domini su securewifi.purple.ai e aggiungere i Roaming Consortium OI specificati da Purple. Il NAI Realm è configurato con il metodo di autenticazione EAP-TTLS e PAP. Tutto questo è documentato nel portale di supporto di Purple ed è semplicissimo una volta compreso il ruolo di ciascun campo. RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI (circa 2 minuti) Permettetemi di illustrare i tre scenari di errore più comuni che riscontro nelle implementazioni Meraki e Purple e come evitarli. Primo: errata configurazione del walled garden. Se l'elenco del walled garden è incompleto, gli ospiti visualizzeranno una splash page non funzionante - il CSS non verrà caricato, le immagini non verranno visualizzate e l'autenticazione fallirà in modo silenzioso. Purple mantiene un elenco consentito aggiornato dei domini richiesti. Considerate questo elenco come un documento dinamico e rivedetelo ogni volta che Purple rilascia un aggiornamento della piattaforma. Raccomando di testare l'esperienza del Captive Portal da un dispositivo ospite su un segmento di rete separato prima del rilascio definitivo. Secondo: impostazioni del timeout RADIUS. Il timeout RADIUS predefinito di Meraki è spesso impostato su un valore troppo basso per i server RADIUS ospitati nel cloud. Cinque secondi con tre tentativi costituiscono la configurazione corretta. Se lo lasciate al valore predefinito di due secondi, riscontrerete errori di autenticazione intermittenti durante i picchi di carico - esattamente il momento peggiore per un peggioramento dell'esperienza dei vostri ospiti. Terzo: errata configurazione di NAS-ID e Called-Station-ID. Questo è l'errore che più spesso coglie di sorpresa i sistemisti. Se configurate questi campi in modo errato - o li lasciate ai valori predefiniti - il motore di analytics di Purple non sarà in grado di mappare le sessioni sui singoli access point. Otterrete dati aggregati ma nessuna intelligence a livello di singolo piano. Il valore deve essere impostato sull'indirizzo MAC dell'AP, non sul nome del SSID o qualsiasi altra opzione. Sul fronte della conformità: l'acquisizione dei dati di Purple è conforme a GDPR e CCPA per progettazione. Il Captive Portal presenta un meccanismo di consenso che soddisfa i requisiti di entrambe le normative. Se operate in un ambiente soggetto a PCI-DSS - ad esempio, un hotel con un terminale di pagamento sullo stesso segmento di rete - assicuratevi che il vostro SSID ospite sia su una VLAN separata con regole firewall appropriate. La modalità NAT di Meraki per l'assegnazione degli IP client, che è l'impostazione consigliata, fornisce un certo livello di isolamento, ma l'architettura di segmentazione della rete deve essere esaminata in modo indipendente dal vostro team di sicurezza. DOMANDE E RISPOSTE RAPIDE (circa 1 minuto) Domanda: Purple può integrarsi con i dispositivi di sicurezza Meraki MX oltre che con gli AP wireless? Risposta: Sì. Il processo di configurazione è essenzialmente identico - il dispositivo MX supporta la stessa configurazione di splash page e RADIUS degli AP wireless. L'articolo di supporto copre le configurazioni per AP, MX e gateway teleworker Z1. Domanda: Quanto tempo richiede un'implementazione completa per un gruppo alberghiero di 50 strutture? Risposta: Con il provisioning automatizzato tramite l'API di Meraki, l'importazione degli access point è un'unica operazione per organizzazione. La configurazione di SSID e RADIUS può essere standardizzata tramite modelli su tutte le reti. Un'implementazione su 50 siti con un ingegnere di rete competente dovrebbe essere realizzabile in due o tre giorni di lavoro di configurazione, oltre al tempo di test. Domanda: Purple supporta i più recenti access point WiFi 6 e WiFi 6E di Meraki? Risposta: Sì. L'integrazione opera a livello applicativo - reindirizzamento RADIUS e HTTP - quindi è indipendente dalla generazione dell'hardware. Purple funziona con qualsiasi AP Meraki che supporti la splash page e la configurazione RADIUS descritte. SINTESI E PROSSIMI PASSI (circa 1 minuto) Per riassumere: l'integrazione tra Cisco Meraki e Purple WiFi è un'implementazione matura e ben documentata che combina l'eccellente infrastruttura gestita in cloud di Meraki con le funzionalità di guest intelligence e acquisizione dati di Purple. L'integrazione utilizza due meccanismi principali - l'API di Meraki Dashboard per il provisioning automatizzato e l'API di Captive Portal con autenticazione RADIUS per il livello di esperienza dell'ospite. Le tre cose da impostare correttamente sono: la configurazione del walled garden, le impostazioni di timeout e di tentativi RADIUS e la configurazione del NAS-ID per un'analisi accurata della posizione. Il caso aziendale è convincente. McDonald's Belgio, Walmart Canada e Harrods sono tutte implementazioni attive di Purple e Cisco. AGS Airports ha ottenuto un ritorno sull'investimento dell'842 percento. Harrods ha trasformato 600.000 accessi WiFi in un ritorno sull'investimento di 57 volte. Se sei pronto a procedere, il passo successivo consiste nel generare la tua chiave API Meraki, accedere al Portale Purple e utilizzare l'Hardware Import Wizard per importare il tuo parco di access point. Da lì, il team del tuo account Purple potrà guidarti attraverso la configurazione di SSID e RADIUS in un'unica sessione. Grazie per il tuo tempo.