Integrazione di Cisco WLC e Catalyst con Purple WiFi: guida passo-passo all'accesso guest

Questa guida descrive in dettaglio l'integrazione passo-passo di Cisco WLC e Catalyst 9800 Wireless con Purple, coprendo il reindirizzamento al Captive Portal per Guest WiFi tramite Central Web Authentication, il WiFi aziendale sicuro per il personale tramite 802.1X EAP-TLS e la segmentazione multi-tenant tramite Cisco Identity Pre-Shared Keys (iPSK) con assegnazione dinamica della VLAN. È scritta per architetti di rete aziendali e direttori della sicurezza IT che distribuiscono l'infrastruttura Cisco nei settori hospitality, retail e grandi spazi pubblici.

📖 9 minuti di lettura📝 2,116 parole🔧 2 esempi pratici❓ 3 domande di esercitazione📚 9 definizioni chiave

Ascolta questa guida

Visualizza trascrizione del podcast

Welcome to the Purple Technical Briefing. I'm your host, and today we're covering a definitive deployment scenario for enterprise network architects: integrating Cisco Wireless LAN Controllers and Catalyst 9800 hardware with the Purple WiFi platform. If you manage IT for a hotel chain, a retail network, or a large public venue, you know that relying on basic Pre-Shared Keys is an unacceptable security risk. Today, we'll outline the step-by-step architecture to segment your network, secure your staff, and turn your guest WiFi into a data-driven asset.

Let's establish the context. An enterprise wireless environment must handle three distinct profiles: Guests, Staff, and Headless or Tenant devices. You cannot treat them the same, and you cannot broadcast twenty different SSIDs to accommodate them. The solution is a unified hardware footprint leveraging different authentication mechanisms on a single Cisco Catalyst 9800 Wireless LAN Controller.

Now let's dive into the technical architecture. The first tier is Guest WiFi. The goal here is low-friction access combined with data capture. We achieve this using an open SSID and Central Web Authentication, or CWA. When a guest connects, the Cisco WLC applies a pre-authentication Access Control List. This is your walled garden. It blocks general internet access but permits traffic to Purple's domains and essential services. When the guest tries to browse, the WLC intercepts the HTTP request and redirects them to the Purple captive portal splash page. Once they authenticate, perhaps via a registration form, a social login, or a one-time code, Purple acts as the RADIUS server. It sends a Change of Authorization message, known as a CoA, to the WLC. This moves the client to an isolated guest VLAN and grants internet access. The entire flow is automated, and every login is recorded in Purple's analytics platform.

The second tier is Staff WiFi. For corporate devices, we mandate 802.1X authentication. Specifically, EAP-TLS, which stands for Extensible Authentication Protocol Transport Layer Security. This method uses digital certificates installed on corporate devices via your Mobile Device Management platform, whether that's Microsoft Intune, Jamf, or another solution. The WLC acts as the authenticator, passing EAP messages to the RADIUS server. Because we use certificates, there are no passwords to steal. If a device is lost or an employee leaves, you revoke the certificate. Access is terminated instantly, without changing a global password or disrupting anyone else. EAP-TLS is the gold standard for enterprise security.

The third tier is Multi-Tenant or IoT WiFi. Think of retail mall tenants, coworking space members, or smart building sensors that do not support 802.1X. For this, we deploy Cisco Identity PSK, or iPSK. Everyone connects to the same SSID, but the RADIUS server assigns a unique password and a unique VLAN to each tenant based on their MAC address. When a tenant's device connects, the WLC sends a MAC authentication request to the RADIUS server. The server returns the specific PSK for that tenant as a Cisco AV-Pair attribute, along with three standard IETF RADIUS attributes to dynamically assign the client to the correct VLAN. Those attributes are: Tunnel-Type, set to VLAN; Tunnel-Medium-Type, set to 802; and Tunnel-Private-Group-ID, set to the target VLAN ID. The WLC processes these attributes and places the device on the correct isolated network segment. iPSK delivers enterprise segmentation with consumer simplicity.

Now let's discuss implementation recommendations and the pitfalls we see most frequently in production deployments.

The most common point of failure in guest deployments is the walled garden ACL. If guests connect but the splash page does not appear, check your DNS configuration first. If your pre-authentication ACL blocks UDP port 53, the client cannot resolve domain names. The operating system will not trigger the captive portal mini-browser, and the guest will see a No Internet error. Always explicitly permit DNS traffic in your walled garden ACL. This is the single most common support issue we encounter.

The second pitfall is in staff deployments. If you choose to deploy PEAP-MSCHAPv2 instead of EAP-TLS, because you do not yet have an MDM solution to distribute certificates, you must configure your client devices to explicitly validate the RADIUS server certificate. This means specifying the exact Certificate Authority to trust and the expected server name in the WiFi profile. If you leave this to the end user to configure manually, an attacker can spin up a rogue access point, present a fraudulent certificate, and capture corporate credentials. This is not a theoretical attack. It is a well-documented real-world threat. Enforce certificate validation via Group Policy for Windows devices and via MDM profiles for macOS and mobile devices.

The third pitfall is in iPSK deployments. If a client connects but receives the wrong VLAN, or fails to connect entirely, the most likely cause is that the target VLAN ID specified in the Tunnel-Private-Group-ID attribute does not exist on the WLC. The VLAN must be created and active on the controller before the RADIUS server can steer clients into it. Use the debug radius command on the WLC to verify that the attributes are being received correctly from the RADIUS server.

Now let's do a rapid-fire question and answer session on the questions we hear most often.

Question one: Can I use MAC Authentication Bypass instead of iPSK for IoT devices?

You can, but you should not. MAC addresses are broadcast in plaintext and are trivial to spoof. MAC Authentication Bypass provides device identification, not security. iPSK provides actual cryptographic security for headless devices. If the device supports any form of PSK, use iPSK.

Question two: Does Purple support Cisco Catalyst 9800 IOS-XE controllers?

Yes. Purple fully supports modern Catalyst 9800 IOS-XE controllers as well as legacy AireOS WLCs. The RADIUS and Change of Authorization integration is fully validated for both platforms.

Question three: How do I handle RADIUS server redundancy?

Always configure both a primary and secondary RADIUS server in your WLC AAA method lists. The WLC will automatically fail over to the secondary server if the primary does not respond within the configured timeout. Purple provides two RADIUS server IP addresses for exactly this purpose. Never deploy a single RADIUS server in a production environment.

Question four: What RADIUS port numbers does Purple use?

Purple uses UDP port 1812 for authentication and UDP port 1813 for accounting. These are the IANA-registered standard ports for RADIUS, as defined in RFC 2865 and RFC 2866.

To summarise the key takeaways from today's briefing. Audit your current wireless architecture. If you are using shared passwords for staff, plan a migration to 802.1X. If you are broadcasting multiple SSIDs for different tenants, consolidate them using Cisco iPSK. If your guest WiFi is simply an open network with no data capture, integrate it with Purple to collect first-party data, drive marketing return on investment, and ensure compliance with GDPR and PCI DSS requirements.

By combining Cisco's enterprise-grade infrastructure with Purple's cloud overlay, you deliver secure, segmented, and intelligent connectivity across your venue. Purple operates across more than 80,000 live venues and recorded 440 million logins in 2024. The platform is hardware-agnostic, ISO 27001 certified, and built for enterprise scale.

Your next step is clear. Review the full step-by-step configuration guide on the Purple website, obtain your RADIUS server credentials from the Purple portal, and begin the integration with your Cisco WLC today. For detailed configuration guides and hardware-specific documentation, visit the Purple support portal at support dot purple dot ai.

Thank you for listening to this Purple Technical Briefing. Until next time, stay secure.

Punti chiave

✓Replace insecure shared Pre-Shared Keys with a three-tier architecture: Guest WiFi via captive portal, Staff WiFi via 802.1X EAP-TLS, and Tenant/IoT WiFi via Cisco iPSK.
✓Integrate Cisco WLC with Purple using Central Web Authentication (CWA) and RADIUS CoA to automate guest onboarding and capture first-party data at scale.
✓Configure precise pre-authentication ACLs (walled garden) on the WLC, always permitting DNS (UDP 53) or the captive portal redirect will fail.
✓Deploy EAP-TLS for Staff WiFi to eliminate passwords entirely and rely on MDM-distributed digital certificates for the strongest available security posture.
✓Use Cisco iPSK with dynamic VLAN assignment (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) to segment multi-tenant and IoT environments over a single SSID.
✓Always enforce RADIUS server certificate validation on client devices when using PEAP-MSCHAPv2 to prevent rogue access point credential theft.
✓Purple operates across 80,000+ venues, is ISO 27001 and GDPR certified, and provides redundant RADIUS infrastructure - configure both primary and secondary servers on the WLC.

Executive summary

Le reti wireless aziendali devono servire contemporaneamente diversi gruppi di utenti: i guest che necessitano di un accesso a Internet senza attriti, il personale che richiede un accesso sicuro alle risorse aziendali e i dispositivi headless o dei tenant che necessitano di isolamento reciproco. Affidarsi a una singola Pre-Shared Key condivisa per uno qualsiasi di questi gruppi rappresenta un rischio per la sicurezza. Una singola credenziale compromessa espone l'intero segmento e la revoca dell'accesso richiede la modifica di una password globale, con conseguente interruzione del servizio per ogni dispositivo sulla rete.

Questa guida descrive in dettaglio l'integrazione dei controller Wireless LAN (WLC) Cisco e dell'hardware della serie Catalyst 9800 con l'overlay cloud di Purple. Forniamo la configurazione passo-passo per tre distinti livelli di autenticazione: una rete Guest WiFi aperta con reindirizzamento al Captive Portal gestito da Purple, una rete WiFi sicura per il personale che utilizza l'autenticazione tramite certificato 802.1X EAP-TLS e un ambiente WiFi multi-tenant che utilizza Cisco Identity Pre-Shared Keys (iPSK) con assegnazione dinamica della VLAN. Implementando questa architettura, isolerete le risorse aziendali dal traffico dei visitatori, automatizzerete il controllo degli accessi basato sull'identità e acquisirete dati di prima parte tramite la piattaforma WiFi Analytics di Purple. Purple opera in oltre 80.000 sedi attive e ha registrato 440 millioni di accessi nel 2024 (dati interni Purple), confermandosi come un overlay cloud collaudato per l'infrastruttura Cisco su larga scala.

Approfondimento tecnico: l'architettura a tre livelli

Una moderna implementazione wireless aziendale su hardware Cisco deve soddisfare diversi profili utente con requisiti di sicurezza e accesso differenti. L'integrazione tra Cisco WLC e Purple consente a un'infrastruttura hardware unificata di servire questi profili attraverso distinti meccanismi di autenticazione, tutti gestiti da un singolo controller Catalyst 9800.

Livello 1: Guest WiFi - Central Web Authentication (CWA)

Per i visitatori negli ambienti Hospitality e Retail , l'obiettivo è un onboarding senza attriti combinato con un'acquisizione dei dati conforme alle normative. Questo si ottiene utilizzando un SSID aperto abbinato alla Central Web Authentication (CWA). Quando un guest si connette, il Cisco WLC applica una Access Control List (ACL) di pre-autenticazione (il walled garden). Questa ACL blocca il traffico internet generale consentendo al contempo il traffico verso i domini del Captive Portal di Purple, il DNS e gli endpoint di login social.

Quando il guest tenta di navigare, il WLC intercetta la richiesta HTTP e reindirizza l'utente alla splash page di Purple. Il guest si autentica tramite il metodo scelto (social login, registrazione via e-mail o codice voucher). Purple funge quindi da server RADIUS, inviando un messaggio RADIUS Change of Authorization (CoA) al WLC. Il CoA indica al WLC di spostare il client dallo stato di pre-autenticazione a uno stato di post-autenticazione su una VLAN guest isolata, concedendo l'accesso a Internet. Ogni accesso viene registrato nella piattaforma di analytics di Purple, acquisendo dati di prima parte in conformità con il GDPR e il CCPA.

Livello 2: WiFi del personale - 802.1X EAP-TLS

I dispositivi aziendali richiedono il massimo livello di sicurezza. Lo standard IEEE 802.1X definisce il Network Access Control basato su porta (PNAC) e, se combinato con EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), offre un'autenticazione basata su certificati che elimina completamente le password. I certificati digitali vengono distribuiti ai dispositivi aziendali tramite Mobile Device Management (MDM): Microsoft Intune, Jamf o equivalenti. Il Cisco WLC funge da autenticatore, passando i messaggi EAP tra il supplicant (dispositivo) e il server RADIUS. Il server RADIUS convalida il certificato e restituisce un messaggio di Access-Accept con attributi opzionali di assegnazione della VLAN.

Poiché l'autenticazione si basa sui certificati anziché sulle password, non ci sono credenziali da sottrarre. Se un dispositivo viene smarrito o un dipendente lascia l'azienda, è sufficiente revocare il certificato. L'accesso si interrompe istantaneamente senza interrompere il servizio per gli altri utenti. Per una trattazione completa degli standard di sicurezza aziendali, inclusi WPA3 e Zero Trust, consultate la nostra guida sulla Sicurezza WiFi aziendale: una guida completa per il 2026 .

Livello 3: WiFi Multi-Tenant - Cisco iPSK e assegnazione dinamica della VLAN

In ambienti come alloggi per studenti, spazi di coworking o centri commerciali, è necessario disporre di reti private e segmentate per i diversi tenant senza trasmettere decine di SSID. Cisco Identity PSK (iPSK) risolve questo problema. Tutti i tenant si connettono a un singolo SSID. Il WLC invia una richiesta di autenticazione MAC al server RADIUS per ogni dispositivo che si connette. Il server RADIUS restituisce la PSK specifica per quel tenant come attributo cisco-av-pair, insieme agli attributi RADIUS IETF standard per assegnare dinamicamente il client alla VLAN corretta.

I tre attributi RADIUS IETF che guidano l'assegnazione dinamica della VLAN sono:

Attributo RADIUS	ID	Valore
Tunnel-Type	64	VLAN
Tunnel-Medium-Type	65	802
Tunnel-Private-Group-ID	81	ID VLAN di destinazione (es. 31)

L'attributo Tunnel-Private-Group-ID è codificato come stringa, come definito nella RFC 2868. L'ID della VLAN deve esistere sul WLC affinché l'assegnazione vada a buon fine.

Guida all'implementazione: configurazione di Cisco Catalyst 9800 WLC

I passaggi seguenti descrivono in dettaglio la configurazione di un Cisco Catalyst 9800 WLC con IOS-XE per l'integrazione con Purple per il reindirizzamento del Guest WiFi. Per le implementazioni WLC AireOS legacy, le impostazioni equivalenti sono disponibili nel portale di supporto di Purple.

Step 1: Configurare l'autenticazione e l'accounting RADIUS

È necessario indirizzare il WLC verso i server RADIUS di Purple per gestire l'autenticazione degli ospiti e l'accounting delle sessioni.

Passare a Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add.
Inserire l'indirizzo IP del server RADIUS Purple primario, impostare auth-port su 1812, acct-port su 1813 e inserire la shared secret dal portale Purple.
Abilitare Support for CoA - questo è obbligatorio per il reindirizzamento del Captive Portal.
Ripetere l'operazione per il server RADIUS Purple secondario.
Passare a RADIUS > Server Groups > + Add e creare un gruppo contenente entrambi i server.
Passare a AAA Method List > Authorization > + Add, impostare Type su network e indirizzarlo al gruppo di server RADIUS.
Passare a AAA Method List > Accounting > + Add, impostare Type su identity e indirizzarlo allo stesso gruppo.

I comandi CLI equivalenti su IOS-XE sono:

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Step 2: Definire l'ACL di pre-autenticazione (walled garden)

L'ACL di pre-autenticazione consente il traffico verso la splash page di Purple e i servizi essenziali prima che l'utente si autentichi. Questo è il walled garden.

Passare a Configuration > Security > ACL > + Add.
Creare un'ACL estesa IPv4 denominata Purple_Guest_Walled_Garden.
Aggiungere regole per negare il traffico verso l'IP di gestione del WLC e gli IP dei server RADIUS.
Aggiungere regole per consentire il DNS (porta UDP 53) verso i propri server DNS.
Aggiungere regole per consentire il traffico verso gli intervalli IP e i domini del walled garden di Purple (ottenere l'elenco aggiornato dal portale di supporto Purple per il proprio tipo di hardware specifico).
Aggiungere una regola finale permit ip any any - il WLC reindirizzerà il traffico consentito alla CPU per l'elaborazione del portale.

Step 3: Configurare la WLAN guest

Passare a Configuration > Tags & Profiles > WLANs > + Add.
Creare una WLAN denominata Guest-WiFi con l'SSID scelto.
Sotto Security > Layer 2, impostare la sicurezza su None (Open).
Sotto Security > Layer 3, abilitare Web Policy e impostare Web Auth type su External.
Inserire l'URL di accesso Purple nel campo di reindirizzamento.
Applicare l'ACL Purple_Guest_Walled_Garden.
Sotto Security > AAA Servers, assegnare i server RADIUS Purple sia a Authentication che a Accounting.

Step 4: Configurare il Policy Profile

Passare a Configuration > Tags & Profiles > Policy > + Add.
Sotto Access Policies, assegnare la VLAN 20 (o la VLAN guest designata).
Sotto Advanced, abilitare Allow AAA Override e NAC State.
Assegnare l'elenco dei metodi di accounting Purple.

L'equivalente CLI:

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

Step 5: Configurare iPSK per distribuzioni multi-tenant o IoT

Per iPSK, la configurazione della WLAN differisce da quella guest. La WLAN utilizza WPA2-PSK con il filtraggio MAC abilitato, e il Policy Profile ha AAA Override attivo per accettare la PSK e la VLAN per client dal server RADIUS.

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

Il server RADIUS (configurato in Purple o nella propria piattaforma RADIUS) restituisce i seguenti attributi per gruppo di tenant:

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID =

Best practice

L'adesione agli standard stabiliti garantisce stabilità, sicurezza e conformità normativa in tutta la distribuzione.

Imporre una convalida rigorosa dei certificati. Quando si distribuisce l'802.1X, configurare i dispositivi client tramite MDM per considerare esplicitamente attendibile l'autorità di certificazione del server RADIUS e specificare il nome del server previsto. La mancata applicazione di questa misura lascia i client vulnerabili ad attacchi di rogue access point, in cui un utente malintenzionato presenta un certificato fraudolento per acquisire le credenziali. Questo è un requisito vincolante, non una raccomandazione.

Isolare il traffico guest a livello di rete. Il WiFi guest deve terminare su una VLAN dedicata, protetta da firewall rispetto a tutte le risorse aziendali. Lo standard PCI DSS 4.0 richiede che gli ambienti dei dati dei titolari di carta siano isolati dalle reti pubbliche. Un ospite sulla VLAN 20 non deve avere alcun instradamento verso la rete aziendale sulla VLAN 10.

Utilizzare iPSK per i dispositivi IoT, non il MAC Authentication Bypass. Gli indirizzi MAC vengono trasmessi in chiaro e sono facili da contraffare. L'iPSK fornisce sicurezza crittografica per i dispositivi headless. Per indicazioni su come i display e i dispositivi IoT interagiscono con i protocolli wireless, consultare Cos'è il display wireless: protocolli e best practice 2026 .

Definire condizioni d'uso chiare. Il Captive Portal deve presentare un accordo sulle condizioni d'uso prima di concedere l'accesso. Questo è un requisito del GDPR per la raccolta dei dati e una necessità legale per le policy di utilizzo della rete. Per le reti del personale interno, consultare Termini e condizioni del WiFi per il personale: aspetti legali e di conformità .

Configurare la ridondanza RADIUS. Configurare sempre un server RADIUS primario e uno secondario. Purple fornisce due indirizzi IP del server a questo scopo. Il guasto di un singolo server RADIUS impedirà tutti gli accessi degli ospiti.

Risoluzione dei problemi e mitigazione dei rischi

Anche con una configurazione attenta, l'integrazionequando si verificano problemi. Affronta i casi di errore più comuni in modo sistematico prima di procedere con l'escalation.

Problema: gli ospiti si connettono ma la splash page non viene visualizzata.

Questo è il problema più comune. L'ACL di pre-autenticazione sta bloccando il DNS. Senza DNS, il client non può risolvere la richiesta HTTP iniziale e il sistema operativo non avvierà il mini-browser del Captive Portal. Verifica che la porta UDP 53 sia consentita verso i tuoi server DNS nell'ACL del walled garden. Sul WLC, esegui show wireless client summary per confermare che il client si trovi in uno stato Webauth Pending anziché Run.

Problema: i client iPSK non riescono a connettersi o finiscono sulla VLAN errata.

La VLAN specificata in Tunnel-Private-Group-ID non esiste sul WLC, oppure gli attributi cisco-av-pair sono formattati in modo errato. Esegui debug radius all sul WLC per ispezionare la risposta RADIUS non elaborata. Verifica che l'ID VLAN sia creato in Configuration > Layer 2 > VLAN > VLAN List.

Problema: i client del personale 802.1X non riescono ad autenticarsi in modo intermittente.

Questo è in genere dovuto a un timeout del server RADIUS o a un problema di attendibilità del certificato sul client. Controlla i log del server RADIUS per verificare la presenza di messaggi Access-Reject. Sui client Windows, verifica che il profilo WiFi sia configurato per convalidare il certificato del server e che specifichi la CA attendibile corretta.

Problema: il CoA da Purple non viene elaborato dal WLC.

Il segreto condiviso CoA deve corrispondere al segreto condiviso RADIUS configurato sul WLC. Su IOS-XE 17.4 e versioni successive, la chiave CoA è configurata separatamente dal segreto condiviso. Verifica che entrambi corrispondano ai valori nel portale Purple.

ROI e impatto aziendale

La transizione da reti PSK di base a un'architettura strutturata e basata sull'identità con Purple offre risultati aziendali misurabili nei settori verticali Hospitality , Retail , Healthcare e Transport .

In primo luogo, l'architettura elimina i costi operativi di gestione delle password condivise. Quando il personale se ne va, si revoca il loro certificato. Non è necessario modificare una password globale e aggiornare ogni dispositivo dell'infrastruttura. In secondo luogo, l'integrazione con il Captive Portal di Purple trasforma un centro di costo IT in un generatore di ricavi. La piattaforma di Purple acquisisce dati di prima parte conformi a ogni accesso, consentendo campagne di marketing automatizzate e analisi dei visitatori. Con 29 miliardi di punti dati raccolti attraverso la rete Purple (dati interni Purple), la piattaforma fornisce informazioni utili sul comportamento dei visitatori, sul tempo di permanenza e sui tassi di ritorno.

Per i gestori di sedi che conducono sondaggi per comprendere la soddisfazione dei visitatori, la piattaforma Purple si integra direttamente con i flussi di lavoro di ricerca. Consulta Progettazione di un sondaggio: una guida pratica per le sedi per indicazioni su come strutturare sondaggi efficaci per le sedi, erogati tramite il Captive Portal.

Integrando l'hardware di livello enterprise di Cisco con l'overlay cloud di Purple, si ottiene una rete sicura e scalabile che contribuisce attivamente agli obiettivi commerciali della sede. Purple è certificata ISO 27001, conforme a GDPR e CCPA, certificata Cyber Essentials e certificata B Corp, soddisfacendo i requisiti di conformità dei team di procurement aziendali.

Definizioni chiave

RADIUS

Remote Authentication Dial-In User Service. A networking protocol that provides centralised Authentication, Authorization, and Accounting (AAA) management for network access. Defined in RFC 2865 and RFC 2866.

IT teams configure the Cisco WLC to forward client credentials to the RADIUS server, which checks them against a directory and returns an Access-Accept or Access-Reject response along with policy attributes.

Captive portal

A web page that a user of a public-access network must view and interact with before internet access is granted. Implemented via HTTP redirection by the network access device.

Used in Guest WiFi deployments to capture visitor data, present terms of use, or display branded content before allowing internet access. Purple provides the hosted captive portal infrastructure.

iPSK (Identity Pre-Shared Key)

A Cisco feature that allows unique Pre-Shared Keys to be assigned to different users or device groups on the same SSID, with the PSK delivered per-client by a RADIUS server.

Essential for IoT devices or multi-tenant environments where 802.1X is not feasible but network segmentation is required. Eliminates the need to broadcast multiple SSIDs.

IEEE 802.1X

An IEEE standard for port-based Network Access Control (PNAC). It provides an authentication mechanism that blocks all data traffic from a device until the RADIUS server has confirmed authorisation.

The foundation of enterprise Staff WiFi, ensuring only authorised corporate devices with valid credentials or certificates can access internal resources.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. A certificate-based authentication method that requires digital certificates on both the RADIUS server and the client device, eliminating passwords entirely.

The most secure method for authenticating corporate devices. Certificates are deployed via MDM. Access is revoked by invalidating the certificate, not by changing a shared password.

Walled garden

A limited network environment that controls the user's access to web content before they have fully authenticated. Implemented as a pre-authentication ACL on the WLC.

Configured on the Cisco WLC to allow access to the Purple splash page, DNS, and social login providers before the guest is granted full internet access.

Dynamic VLAN assignment

The process of automatically placing a connected device on a specific Virtual LAN based on RADIUS authorization attributes returned at authentication time.

Ensures that staff, guests, and IoT devices are placed on isolated network segments automatically upon connection, without manual configuration per device.

Change of Authorization (CoA)

A RADIUS extension (RFC 5176) that allows the RADIUS server to dynamically modify the session authorization attributes of an already-connected client.

Required for captive portals. Once the guest authenticates on the Purple splash page, Purple sends a CoA message to the WLC to transition the client from the pre-authentication walled garden state to full internet access.

Central Web Authentication (CWA)

A Cisco authentication method where the RADIUS server (rather than the WLC) hosts or redirects to the web authentication portal, enabling cloud-hosted captive portal solutions.

Used to integrate the Cisco WLC with Purple's cloud-hosted captive portal, allowing Purple to manage the guest authentication experience and data capture.

Esempi pratici

A large shopping centre needs to provide secure, private WiFi to 50 retail tenants using a single Cisco Catalyst 9800 WLC and a single broadcast SSID. Each tenant must be isolated from every other tenant's devices. How do they achieve this without broadcasting 50 separate SSIDs?

The IT team deploys Cisco iPSK. They configure a single SSID named 'Mall-Tenant-WiFi' with WPA2-PSK and MAC filtering enabled. In the RADIUS server, they create 50 endpoint identity groups, one per tenant. Each group is assigned a unique PSK via the cisco-av-pair psk= attribute and a unique VLAN ID via the IETF Tunnel-Private-Group-ID attribute. When a retail tenant's point-of-sale device connects using their specific password, the WLC sends a MAC authentication request to the RADIUS server. The server matches the MAC address to the tenant's group and returns the PSK and VLAN assignment. The WLC processes the attributes, validates the PSK, and places the device on the tenant's isolated VLAN. The peer-blocking allow-private-group setting ensures devices sharing the same PSK can communicate with each other, while devices on different PSKs are blocked from cross-tenant communication.

Commento dell'esaminatore: This approach scales efficiently. Broadcasting 50 separate SSIDs would cause severe co-channel interference in a dense environment and degrade performance for every user. Each additional SSID consumes airtime with management frames. iPSK delivers the security and segmentation of 50 separate networks with the RF efficiency of one. The trade-off is that the RADIUS server becomes a critical dependency - ensure it is highly available.

A 300-room Premier Inn property is migrating from local WLC guest accounts to Purple's cloud captive portal. After the configuration is applied, guests report they connect to the WiFi SSID, receive an IP address, but their devices show 'No Internet' and the splash page never appears. What is the diagnostic process?

Step 1: Verify the client state on the WLC using show wireless client detail <mac-address>. The client should be in 'Webauth Pending' state. If it shows 'Run', the pre-authentication ACL is not applied correctly. Step 2: Check the pre-authentication ACL. The most common cause of this symptom is that the ACL blocks DNS (UDP port 53). Without DNS, the client cannot resolve any domain, and the OS captive portal detection mechanism fails silently. Add an explicit permit rule for UDP port 53 to the venue's DNS server IPs. Step 3: Verify the Purple walled garden domains are permitted in the ACL. The client must be able to reach the Purple splash page URL before authentication. Step 4: Confirm the WLC virtual IP address has been changed from the default 1.1.1.1 to a non-routable address such as 192.0.2.1, as the default address can conflict with legitimate internet traffic.

Commento dell'esaminatore: The 'No Internet' symptom with no redirect is almost always a DNS or walled garden ACL issue. Modern operating systems (iOS, Android, Windows, macOS) use captive portal detection by making HTTP requests to known URLs. If DNS fails, these requests cannot be made, and the OS never triggers the captive portal browser. Always permit DNS in the pre-authentication ACL - this is the single most common deployment error we see.

Domande di esercitazione

Q1. You are deploying Staff WiFi across 40 retail branches using Cisco Catalyst 9800 WLCs. You want to use 802.1X, but the company does not yet have an MDM solution to distribute certificates to employee smartphones. What is the most secure viable approach, and what risk mitigation must you implement?

Suggerimento: Consider the balance between credential security and deployment feasibility when certificates are not yet an option. Focus on the specific risk that arises from the alternative method.

Visualizza risposta modello

Deploy PEAP-MSCHAPv2 as an interim measure. While not as secure as EAP-TLS, it provides encrypted password authentication within a TLS tunnel. The critical risk mitigation is enforcing server certificate validation on every client device. For Windows laptops, deploy a Group Policy Object that specifies the exact trusted Certificate Authority and the expected RADIUS server name in the WiFi profile. For iOS and Android devices, distribute a WiFi configuration profile via email or a lightweight MDM-free tool that enforces certificate validation. Without this, an attacker can deploy a rogue access point with a fraudulent certificate and capture credentials. Plan the migration to EAP-TLS as soon as MDM is available.

Q2. A stadium IT director needs to segment media broadcasters, ticketing terminals, and HVAC IoT sensors onto separate isolated networks. The IoT sensors do not support 802.1X. All three groups must use WiFi. How should the WLC be configured?

Suggerimento: Look for a solution that provides unique credentials and VLAN assignment per device group without requiring enterprise supplicants on headless devices.

Visualizza risposta modello

Implement Cisco iPSK with a single SSID for venue operations. Create three endpoint identity groups in the RADIUS server: Broadcasters, Ticketing, and HVAC. Assign each group a unique PSK via cisco-av-pair and a unique VLAN ID via Tunnel-Private-Group-ID. Configure the WLC WLAN with WPA2-PSK, MAC filtering enabled, and AAA Override active. Broadcasters receive PSK-A and VLAN 31, ticketing receives PSK-B and VLAN 32, and HVAC sensors receive PSK-C and VLAN 33. Set peer-blocking to allow-private-group so devices within the same group can communicate (e.g., ticketing terminals to their server), while cross-group communication is blocked. This avoids MAC Authentication Bypass, which would be trivially spoofed.

Q3. During a Guest WiFi deployment at a conference centre, clients connect to the SSID and receive an IP address, but the captive portal redirect never occurs. The walled garden ACL permits traffic to all Purple IP ranges. What is the most likely missing configuration element, and how do you verify it?

Suggerimento: Think about the protocols required before an HTTP request can be made by the client device.

Visualizza risposta modello

The most likely cause is that the pre-authentication ACL blocks DNS traffic (UDP port 53). Before a client device can make the HTTP request that the WLC intercepts to trigger the redirect, it must resolve the domain name via DNS. Modern OS captive portal detection mechanisms (Apple's captive.apple.com, Microsoft's www.msftconnecttest.com , Google's connectivitycheck.gstatic.com) all require DNS resolution. To verify: run 'show wireless client detail ' on the WLC and confirm the client is in 'Webauth Pending' state. Then review the ACL hit counters to see if DNS traffic is being denied. Fix by adding an explicit permit rule for UDP port 53 to the venue's DNS server IPs in the walled garden ACL.

Continua a leggere questa serie

Guida all'integrazione di MikroTik RouterOS Captive Portal e Purple WiFi

Questa guida tecnica fornisce istruzioni dettagliate per l'integrazione di MikroTik RouterOS con la piattaforma Purple WiFi. Copre la configurazione del Captive Portal per il WiFi ospiti, l'autenticazione 802.1X per il WiFi dipendenti e il WiFi multi-tenant utilizzando PSK privati per la segmentazione dinamica delle VLAN.

Integrazione di Alta Labs con Purple WiFi: installazione e configurazione del Captive Portal

Questa guida di riferimento tecnico copre l'integrazione end-to-end degli access point Alta Labs AP6 e AP6 Pro con il captive portal ospitato in cloud di Purple. Dettaglia la configurazione del reindirizzamento esterno, l'autenticazione RADIUS, i requisiti di walled garden e la segmentazione multi-tenant tramite AltaPass Private Pre-Shared Keys. I gestori delle sedi e i team IT disporranno di un playbook di implementazione replicabile per ambienti hospitality, retail e smart office.

Integrazione di Zyxel Nebula Cloud e USG con Purple WiFi

Questa guida di riferimento tecnico copre l'integrazione end-to-end di Zyxel Nebula Cloud e dei firewall USG Flex con la piattaforma Purple WiFi. Fornisce istruzioni di configurazione passo-passo per il reindirizzamento del Captive Portal per gli ospiti, l'autenticazione RADIUS, la configurazione del Walled Garden, il WiFi protetto per il personale tramite 802.1X e la segmentazione della rete multi-tenant utilizzando le chiavi pre-condivise private (PPSK) di Zyxel con assegnazione dinamica della VLAN. I responsabili IT, gli MSP e gli architetti di rete che distribuiscono il WiFi in ambienti ricettivi, retail e multi-tenant troveranno indicazioni pratiche basate sugli standard di settore, inclusi PCI DSS, IEEE 802.1X e GDPR.