Extreme Networks and Purple WiFi: Integrazione ExtremeCloud IQ

Extreme Networks and Purple WiFi: ExtremeCloud IQ Integration - A Consultant Briefing [INTRODUZIONE - circa 1 minuto] Benvenuti. Se gestite un ambiente Extreme Networks e vi è stato chiesto di offrire un'esperienza WiFi per gli ospiti che sia realmente utile - in grado di catturare dati, guidare il marketing e garantire la conformità - allora questo briefing è esattamente ciò di cui avete bisogno. Vi guiderò attraverso l'integrazione tra ExtremeCloud IQ e Purple WiFi: l'architettura, il flusso RADIUS, la segmentazione delle VLAN e i passaggi pratici per rendere attiva questa soluzione nel vostro ambiente. Che si tratti di gestire un gruppo alberghiero, un portafoglio retail, uno stadio o un campus del settore pubblico, i principi rimangono gli stessi. Entriamo nel dettaglio. [APPROFONDIMENTO TECNICO - circa 5 minuti] Iniziamo con una rapida panoramica delle due piattaforme. ExtremeCloud IQ è la piattaforma di gestione di rete basata sul cloud di Extreme Networks. Offre visibilità e configurazione centralizzate per l'intero parco AP - che si tratti di pochi AP in un'unica sede o di migliaia di dispositivi distribuiti su un territorio nazionale. La piattaforma supporta l'intero portfolio di AP Extreme: la serie 302 per installazioni attente ai costi, le serie 410 e 460 per ambienti ad alta densità e la serie 630 per distribuzioni Wi-Fi 6E dove sono richiesti massimi livelli di throughput ed efficienza dello spettro. Purple WiFi è una piattaforma aziendale di intelligence per il WiFi degli ospiti. Gestisce il Captive Portal - la pagina di benvenuto personalizzata con il vostro brand che gli ospiti visualizzano al momento della connessione - e funge anche da server di autenticazione RADIUS, motore di acquisizione dati e piattaforma di marketing automation. La combinazione di ExtremeCloud IQ e Purple offre uno stack WiFi per gli ospiti di livello enterprise, tecnicamente robusto e commercialmente prezioso. Ora parliamo dell'architettura di integrazione. Il meccanismo principale è un reindirizzamento al Captive Portal combinato con l'autenticazione RADIUS. Ecco come funziona il flusso nella pratica. Il dispositivo di un ospite si associa al vostro SSID per gli ospiti. Tale SSID è configurato in ExtremeCloud IQ come rete aperta o WPA3-SAE - senza chiave precondivisa per gli ospiti. L'AP o il controller ExtremeCloud IQ intercetta la prima richiesta HTTP del dispositivo e la reindirizza all'URL del Captive Portal di Purple. Questo reindirizzamento viene configurato in ExtremeCloud IQ all'interno delle impostazioni del Captive Portal dell'SSID, puntando l'URL di reindirizzamento all'endpoint del portale della vostra sede Purple. L'ospite interagisce quindi con il portale Purple. Può autenticarsi tramite social login, e-mail, verifica SMS o un modulo personalizzato - Purple supporta tutte queste opzioni. Una volta completato il flusso di autenticazione, il backend di Purple invia un messaggio RADIUS Access-Accept a ExtremeCloud IQ. L'AP sposta quindi il dispositivo dallo stato di pre-autenticazione all'accesso completo alla rete. La configurazione RADIUS in ExtremeCloud IQ è semplice. È sufficiente navigare nella Network Policy per il proprio SSID guest, andare alle impostazioni AAA e aggiungere i dettagli del server RADIUS di Purple: l'indirizzo IP o l'hostname del server, la chiave segreta condivisa (shared secret) e la porta di autenticazione - che è la porta standard UDP 1812. È inoltre necessario configurare la porta di accounting sulla porta UDP 1813 in modo che Purple riceva i dati di sessione per scopi di analisi e conformità. Ora, l'assegnazione della VLAN. È qui che l'integrazione diventa davvero potente per la segmentazione della rete. Purple può restituire un attributo RADIUS - nello specifico l'attributo Tunnel-Private-Group-ID - nella risposta Access-Accept. ExtremeCloud IQ legge questo attributo e assegna il dispositivo guest autenticato alla VLAN corrispondente. Ciò significa che è possibile segmentare dinamicamente il traffico guest: i guest standard vanno su una VLAN, i guest VIP o i membri del programma fedeltà su un'altra, i dispositivi del personale su una terza. Tutto questo è guidato dalla logica del profilo utente di Purple, senza richiedere alcun intervento manuale a livello di rete. Dal punto di vista della sicurezza e della conformità, questa architettura si allinea con i principi IEEE 802.1X per il controllo dell'accesso basato su porta, anche se l'autenticazione iniziale è basata su portale anziché su certificato. Lo scambio RADIUS garantisce che i dispositivi non autenticati non raggiungano mai la rete di produzione. Per la conformità PCI-DSS - rilevante se si gestiscono elaborazioni di pagamento sulla stessa rete fisica - questa segmentazione della VLAN rappresenta un controllo critico. Per la conformità GDPR, i meccanismi di acquisizione dati di Purple includono la gestione del consenso integrata nel flusso del portale, offrendo così un record verificabile del consenso di ogni guest al momento dell'autenticazione. Sul lato ExtremeXOS - per coloro che utilizzano switch ExtremeXOS on-premises anziché interamente in cloud - l'approccio di configurazione è simile ma utilizza la CLI di ExtremeXOS o il legacy Extreme Management Centre. Si configura l'SSID sull'AP utilizzando i comandi wireless di ExtremeXOS, si definisce il profilo del server RADIUS e si imposta l'URL di reindirizzamento del Captive Portal. La differenza principale è che in un deployment interamente basato su ExtremeCloud IQ, tutto questo viene gestito centralmente tramite la console cloud, il che riduce significativamente i costi di configurazione per singolo sito. Permettetemi anche di menzionare il quadro di compatibilità degli AP. L'integrazione di Purple funziona su tutta la gamma di AP Extreme gestiti da ExtremeCloud IQ. I modelli 302i e 302e sono le opzioni entry-level per interni ed esterni - perfettamente adatti per hotel e retail. I modelli 410i e 410e sono i cavalli di battaglia per ambienti ad alta densità come centri congressi e stadi. La serie 460 aggiunge funzionalità Wi-Fi 6 e la serie 630 introduce il Wi-Fi 6E con supporto per la banda a 6 GHz. Tutti questi AP supportano il reindirizzamento del Captive Portal e i meccanismi di autenticazione RADIUS su cui si basa l'integrazione con Purple. [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI - circa 2 minuti] Bene, parliamo di cosa può andare storto e di come evitarlo. L'errore più comune riguarda la configurazione errata delle voci del walled garden. Quando un dispositivo ospite si trova nello stato di pre-autenticazione - prima di aver completato il portale Purple - l'AP deve consentire la risoluzione DNS e l'accesso HTTP/HTTPS al dominio del portale Purple. Se si blocca il walled garden in modo troppo rigido, il reindirizzamento non avviene mai e gli ospiti vedono solo un timeout di connessione. Assicuratevi di inserire nella whitelist i domini del portale Purple e tutti gli endpoint CDN utilizzati per le risorse del portale. Il secondo problema comune è la mancata corrispondenza dei shared secret RADIUS. Sembra ovvio, ma in implementazioni di grandi dimensioni con più siti è facile configurare un shared secret in ExtremeCloud IQ in modo diverso rispetto a quello registrato in Purple. Verificate sempre il shared secret da entrambe le parti prima della messa in servizio e utilizzate un secret forte, generato in modo casuale - non qualcosa come "purple123". Terzo: validazione del certificato per il reindirizzamento del Captive Portal. I moderni sistemi operativi mobili - iOS in particolare - sono sempre più severi sulla validità dei certificati HTTPS. Gli endpoint del portale Purple utilizzano certificati TLS validi, ma se si esegue qualsiasi tipo di ispezione SSL o proxy nel percorso di rete, si rischia di interrompere involontariamente il reindirizzamento. Escludete i domini del portale Purple da qualsiasi criterio di ispezione SSL. Quarto: dati di accounting. Non saltate la configurazione dell'accounting RADIUS. I record di accounting sono ciò che Purple utilizza per creare la session analytics - tempo di permanenza, frequenza delle visite, tipo di dispositivo. Se non si configura l'accounting, si perde una parte significativa del valore di analytics fornito da Purple. È una fase di configurazione di cinque minuti che sblocca molto valore a valle. Infine, testate l'assegnazione della VLAN prima del lancio definitivo. Utilizzate un dispositivo di test e verificate che, dopo l'autenticazione, il dispositivo arrivi sulla VLAN corretta. Verificate questo aspetto con un semplice traceroute o verificando l'intervallo di indirizzi IP che il dispositivo riceve. Gli errori di assegnazione dinamica della VLAN sono silenziosi - il dispositivo ottiene l'accesso alla rete ma sul segmento sbagliato - quindi è necessario verificarlo attivamente. [D&R RAPIDE - circa 1 minuto] Posso usare Purple con ExtremeCloud IQ senza RADIUS - solo con un semplice reindirizzamento? Sì, è possibile configurare un reindirizzamento di base del Captive Portal senza RADIUS, ma si perde l'assegnazione dinamica della VLAN e i dati di accounting della sessione. Per qualsiasi cosa che vada oltre una pagina di benvenuto di base, il RADIUS è fortemente raccomandato. Purple supporta WPA3? Sì. L'autenticazione basata sul portale di Purple è compatibile con WPA3-SAE sull'SSID. Il flusso RADIUS è indipendente dal protocollo di sicurezza wireless. Posso gestire Purple su più siti Extreme da un unico account Purple? Assolutamente sì. L'architettura multi-sede di Purple è progettata esattamente per questo. Ogni sito corrisponde a una sede in Purple e si configurano i dettagli del server RADIUS per ciascuna sede. I criteri di rete di ExtremeCloud IQ possono essere applicati per singolo sito, in modo che la configurazione si adatti in modo lineare.Che dire del roaming tra gli AP all'interno di un sito? ExtremeCloud IQ gestisce il roaming intra-sito in modo trasparente. Una volta che un ospite è stato autenticato tramite Purple, la sessione RADIUS persiste e l'ospite non deve riautenticarsi quando si sposta tra gli AP dello stesso sito. [RIASSUNTO E PROSSIMI PASSI - circa 1 minuto] Per riassumere: l'integrazione tra ExtremeCloud IQ e Purple è un'architettura collaudata che offre WiFi per gli ospiti con acquisizione dei dati, autenticazione RADIUS, segmentazione dinamica delle VLAN e analisi complete - il tutto gestito centralmente tramite la console cloud di ExtremeCloud IQ. I passaggi chiave per attivare il sistema sono: configurare l'SSID ospite in ExtremeCloud IQ con il reindirizzamento del Captive Portal puntato su Purple, aggiungere i dettagli del server RADIUS di Purple nella policy AAA, configurare gli inserimenti nel walled garden, abilitare il RADIUS accounting e verificare l'assegnazione della VLAN dopo l'autenticazione. Se state valutando questa soluzione per un'installazione nel settore alberghiero o retail, il ROI è evidente: la piattaforma di analisi di Purple trasforma il vostro WiFi per gli ospiti da un centro di costo in una risorsa di dati di prima parte. In combinazione con l'infrastruttura di livello enterprise di Extreme, otterrete una soluzione che scala da un singolo locale a un intero patrimonio nazionale senza modifiche architetturali. Come prossimi passi: richiedete i dettagli del server RADIUS di Purple al vostro account manager Purple, aprite la policy di rete ExtremeCloud IQ per il vostro SSID ospite e scorrete la checklist di configurazione. La maggior parte delle installazioni diventa operativa entro un giorno per un singolo sito. Grazie per l'attenzione. Se desiderate approfondire uno di questi argomenti - progettazione del Captive Portal, strategia di segmentazione delle VLAN o configurazione della parte analytics - la documentazione di Purple e il team di supporto sono il punto di riferimento ideale per il vostro prossimo passo.