Integrazione dei router DrayTek Vigor e degli access point con Purple WiFi

Benvenuti al briefing sull'integrazione di Purple. Oggi parleremo dei router DrayTek Vigor e degli access point VigorAP, e in particolare di come integrarli con Purple WiFi. Questo briefing è rivolto a responsabili IT e architetti di rete che implementano reti per ospiti, personale e multi-tenant in ambienti PMI e del mercato medio. Iniziamo con il contesto. L'hardware DrayTek è incredibilmente diffuso nel retail, nell'ospitalità e nei complessi residenziali perché offre solide funzionalità di routing, VPN e wireless a un prezzo competitivo. Quando si associa un router DrayTek Vigor a Purple, si trasforma una normale connessione Internet in una rete basata sull'identità (Identity-Based Network). Purple è presente in oltre 80.000 sedi attive e gestisce 440 milioni di accessi all'anno. Noi forniamo il Captive Portal, le analisi e il livello di sicurezza. DrayTek fornisce l'infrastruttura edge affidabile. Entriamo nei dettagli tecnici. Come facciamo a farlo funzionare concretamente? Il cuore dell'integrazione si basa sull'autenticazione RADIUS e sul reindirizzamento esterno del Captive Portal. In primo luogo, la configurazione del Guest WiFi. Configurerete il router DrayTek Vigor come gateway per l'Hotspot Web Portal. Nell'interfaccia DrayOS, alla voce Applications e RADIUS, aggiungete l'IP del server RADIUS di Purple e il segreto condiviso. Successivamente, in Hotspot Web Portal, impostate il Portal Method su External Server e incollate l'URL di accesso specifico di Purple. Il router DrayTek intercetta il traffico degli ospiti, lo reindirizza all'overlay cloud di Purple per l'autenticazione e quindi utilizza il RADIUS per concedere l'accesso. Un passaggio fondamentale in questo caso è il Walled Garden. Gli ospiti devono poter raggiungere i server di Purple prima di essere autenticati. È necessario configurare la scheda Destination Domain nel profilo DrayTek Hotspot per consentire il traffico verso i domini di autenticazione di Purple. Se saltate questo passaggio, la splash page semplicemente non si caricherà. Questo è uno degli errori più comuni durante l'implementazione iniziale. Ora, che dire dello Staff WiFi? Per un accesso sicuro del personale, non si usa un Captive Portal. Si utilizza l'autenticazione 802.1X, che è lo standard IEEE per il controllo dell'accesso alla rete basato su porta. Nelle impostazioni di sicurezza della Wireless LAN di DrayTek, selezionate WPA2 slash 802.1X e indirizzatelo al server RADIUS di Purple. I dispositivi dello staff si autenticano in modo trasparente utilizzando PEAP e MS-CHAPv2. Questo elimina del tutto le password condivise e consente di revocare l'accesso istantaneamente quando un dipendente lascia l'azienda. Non è necessario cambiare la password in tutta la struttura. Parliamo di ambienti Multi-Tenant. Pensate a studentati, spazi di coworking o concessioni retail. Avete bisogno di segmentazione della rete. DrayTek gestisce questo aspetto con le VLAN e il Multiple PSK, noto anche come PPSK o Private Pre-Shared Key. Configurate le VLAN sul router DrayTek. Ad esempio, VLAN 10 per gli ospiti, VLAN 20 per lo staff e VLAN 30 per i tenant. Utilizzando la funzionalità WPA2-PPSK di DrayTek sui VigorAP, ogni tenant riceve una passphrase univoca. Quando si connettono, l'access point associa quella passphrase al loro indirizzo MAC e li inserisce nella loro VLAN isolata. Ciò significa che un tenant di una caffetteria al piano terra di un hotel non può vedere la rete interna dell'hotel, anche se condividono lo stesso access point fisico. L'assegnazione dinamica della VLAN spinge questo concetto oltre. Il server RADIUS di Purple può restituire attributi RADIUS specifici quando un utente si autentica. Si tratta degli attributi Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID. Il router DrayTek legge questi valori e assegna dinamicamente il client autenticato alla VLAN corretta. Questa è la rete basata sull'identità in pratica: la rete si adatta all'identità dell'utente, non il contrario. Passiamo alle raccomandazioni di implementazione e alle insidie. Raccomandazione uno: utilizzate sempre un backhaul cablato per i vostri VigorAP. I sistemi di distribuzione wireless, o ripetitori universali, non possono trasmettere i tag VLAN 802.1Q richiesti per una corretta segmentazione della rete. Se desiderate una rete ospiti isolata dalla LAN interna, avete bisogno che i tag VLAN rimangano intatti, e questo significa un cavo Ethernet fisico da ciascun access point al router DrayTek o a uno switch gestito. Raccomandazione due: abilitate l'AP-Assisted Mobility sui VigorAP. Questa funzione disassocia in modo intelligente i client con un segnale debole, costringendoli a eseguire il roaming verso un access point più vicino. Risolve il problema dello sticky client che affligge molte installazioni di PMI. In un ambiente retail, un acquirente che cammina dalla parte anteriore a quella posteriore del negozio dovrebbe passare da un access point all'altro senza interruzioni. Senza l'AP-Assisted Mobility, il suo dispositivo potrebbe rimanere agganciato all'access point anteriore anche quando il segnale è debole. Raccomandazione tre: pianificate lo schema di numerazione delle VLAN prima di iniziare. La modifica degli ID VLAN dopo l'implementazione richiede la riconfigurazione del router, di tutti gli access point e potenzialmente di tutti gli switch gestiti lungo il percorso. Documentate chiaramente il vostro schema. L'insidia più grande? Dimenticare di riavviare il router DrayTek dopo aver applicato le configurazioni RADIUS e Hotspot. DrayOS richiede un riavvio per applicare queste modifiche specifiche. Se saltate questo passaggio, passerete ore a risolvere i problemi di una configurazione che in realtà è corretta ma semplicemente non è ancora attiva. Questo è documentato nella guida di supporto ufficiale di Purple per l'hardware DrayTek. Facciamo una sessione di domande e risposte rapide. Domanda: posso utilizzare il server RADIUS interno del router Vigor? Risposta: potete farlo per l'autenticazione 802.1X locale, ma per l'integrazione con Purple dovete utilizzare i server RADIUS esterni di Purple. Questo è ciò che consente la gestione centralizzata delle policy e le analisi fornite da Purple. Domanda: DrayTek supporta l'instradamento dinamico delle VLAN tramite RADIUS? Risposta: sì. Il server RADIUS di Purple restituisce gli attributi Tunnel-Type e Tunnel-Private-Group-ID al momento dell'autenticazione. Il router DrayTek li legge e assegna dinamicamente il client alla VLAN corretta. Domanda: cosa succede se il dispositivo iOS di un utente utilizza un indirizzo MAC privato con il PPSK? Risposta: l'autenticazione fallirà. Il profilo PPSK si associa a uno specifico indirizzo MAC. È necessario istruire gli utenti a disabilitare l'opzione Indirizzo WiFi privato per la vostra rete specifica nelle impostazioni di iOS per garantire una connettività stabile. Domanda: quali modelli DrayTek sono supportati con Purple? Risposta: i modelli attualmente supportati includono le serie 2862, 3220, 2926, 2952, 2765, 2865, 2866, 2927, 2962 e 3910. Consultate la documentazione di supporto di Purple per l'elenco più aggiornato. Per riassumere. DrayTek e Purple insieme offrono un controllo di rete di livello enterprise a prezzi adatti alle PMI. Utilizzate l'Hotspot Web Portal per gli ospiti, l'802.1X per lo staff e il PPSK con le VLAN per i tenant. Mappate attentamente le VLAN, configurate i walled garden e riavviate sempre dopo aver applicato le impostazioni RADIUS. Utilizzate il backhaul cablato per i vostri access point, abilitate l'AP-Assisted Mobility e pianificate la casualizzazione del MAC sui dispositivi iOS. Grazie per aver ascoltato questo briefing tecnico. Configurate il vostro hardware e ci vediamo sulla piattaforma Purple.