Guida all'integrazione di Fortinet FortiAP e Purple WiFi

Executive Summary

Per i team IT aziendali che gestiscono infrastrutture Fortinet, l'integrazione di Captive Portal esterni per l'accesso degli ospiti, mantenendo al contempo rigidi profili di sicurezza, rappresenta un requisito comune. L'integrazione tra gli access point Fortinet FortiAP, i dispositivi FortiGate Unified Threat Management (UTM) e la piattaforma Purple WiFi consente alle organizzazioni di disaccoppiare l'autenticazione degli ospiti dalla sicurezza della rete centrale. Questa guida fornisce ad architetti tecnici e IT manager il modello definitivo per implementare Purple come Captive Portal esterno all'interno di un ambiente Fortinet. Delegando la gestione dell'identità degli ospiti al cloud RADIUS di Purple, i team di rete possono sfruttare le solide policy di sicurezza Layer 7 di Fortinet per l'ispezione del traffico, acquisendo contemporaneamente dati demografici di prima parte per generare valore aziendale. Sia che venga implementata in una rete retail distribuita o in uno stadio ad alta densità, questa architettura garantisce la conformità con PCI DSS e GDPR, offrendo al contempo un'esperienza Guest WiFi fluida.

Technical Deep-Dive

L'integrazione architetturale tra Fortinet e Purple si basa su protocolli RADIUS standard e meccanismi di reindirizzamento HTTP. Quando un dispositivo ospite si associa all'SSID aperto designato trasmesso da un FortiAP, il FortiGate intercetta la richiesta HTTP/HTTPS iniziale. Invece di servire un Captive Portal locale, il FortiGate è configurato per reindirizzare il client alla splash page ospitata nel cloud di Purple.

Durante questa fase di pre-autenticazione, il FortiGate applica un walled garden — una whitelist rigorosa di indirizzi IP e domini che consente al dispositivo client di caricare le risorse del Captive Portal, eseguire login social e accedere ai servizi essenziali (come il DNS) senza concedere l'accesso completo a Internet. Una volta che l'utente si autentica sul portale Purple, la piattaforma Purple comunica con il FortiGate tramite messaggi RADIUS Access-Accept. Il FortiGate fa quindi passare lo stato della sessione del client da non autenticato ad autenticato, applicando le policy firewall post-autenticazione appropriate.

RADIUS Coexistence: Purple and FortiAuthenticator

Una sfida architetturale frequente negli ambienti Fortinet è la gestione dell'accesso guest insieme all'autenticazione del personale quando un FortiAuthenticator (FAC) è già distribuito per l'identità aziendale. L'approccio consigliato è la segregazione assoluta degli SSID. I dispositivi del personale si connettono a un SSID sicuro utilizzando lo standard IEEE 802.1X — tipicamente PEAP o EAP-TLS — autenticandosi direttamente tramite il FortiAuthenticator. Al contrario, i dispositivi guest si connettono a un SSID aperto configurato per il reindirizzamento a un Captive Portal esterno, autenticandosi tramite l'infrastruttura cloud RADIUS di Purple.

Questa separazione garantisce che i dati di identità dei guest — fondamentali per la WiFi Analytics — siano gestiti interamente all'interno della piattaforma Purple, mentre le credenziali Active Directory aziendali rimangono elaborate in modo sicuro dal FortiAuthenticator on-premise. Il FortiGate gestisce il routing e l'applicazione delle policy per entrambi i flussi di traffico in modo indipendente, garantendo zero crossover tra la VLAN guest e la VLAN aziendale. Questa architettura soddisfa inoltre i requisiti PCI DSS per la segmentazione della rete, poiché il traffico guest è isolato fisicamente e logicamente da qualsiasi infrastruttura di elaborazione dei pagamenti.

Guida all'implementazione

La distribuzione dell'integrazione FortiAP Purple richiede una configurazione coordinata sia sul portale Purple che sull'infrastruttura Fortinet. I passaggi seguenti delineano il percorso critico per una distribuzione di successo utilizzando la gestione AP di FortiCloud.

Passaggio 1: Configurazione di rete e RADIUS

Inizia definendo la rete all'interno della Dashboard di FortiCloud. Vai su Configure > My RADIUS Server e definisci sia il server di autenticazione (Porta 1812) che il server di accounting (Porta 1813) utilizzando le credenziali fornite nel portale Purple. Entrambi i server devono essere configurati — l'accounting non è opzionale. Purple si affida ai dati di accounting RADIUS per popolare la dashboard di WiFi Analytics con le metriche sulla durata della sessione, il consumo di banda e la frequenza dei visitatori. Imposta l'intervallo provvisorio di accounting (accounting interim interval) a 120 secondi per una visibilità in tempo reale.

Passaggio 2: Definizione di SSID e Captive Portal

Crea un nuovo SSID dedicato all'accesso guest. Imposta il metodo di autenticazione su Open e abilita la funzionalità Captive Portal, selezionando l'opzione del portale esterno o personalizzato. È necessario inserire l'URL di accesso (Access URL) e l'URL di reindirizzamento (Redirect URL) univoci forniti nella schermata di configurazione del portale Purple.

La configurazione del Walled Garden è il passaggio più delicato dell'intera distribuzione. È necessario inserire l'elenco completo dei domini richiesti da Purple per garantire che i provider di login social (Facebook, Google, X) e le risorse essenziali del portale vengano caricati correttamente prima dell'autenticazione. La mancata configurazione accurata del walled garden comporterà un flusso di autenticazione interrotto, poiché il dispositivo client non sarà in grado di raggiungere le risorse esterne necessarie. Assicurati inoltre che il traffico DNS (porta UDP 53) sia esplicitamente consentito nella policy di pre-autenticazione.

Step 3: IP Assignment — NAT vs Bridge Mode

Quando si definisce l'SSID, è necessario scegliere tra la modalità NAT e la modalità Bridge per l'assegnazione degli IP.

In modalità NAT, il FortiGate fornisce indirizzi DHCP ai dispositivi guest da una sottorete interna dedicata, traducendo tali indirizzi quando il traffico esce dal firewall. Questa opzione è adatta per implementazioni più semplici o ambienti di filiali Retail più piccoli in cui il FortiGate gestisce l'intera sottorete guest.

In modalità Bridge, il FortiAP convoglia il traffico guest direttamente su una VLAN specifica, consentendo a un server DHCP esterno di assegnare gli indirizzi IP. La modalità Bridge è fortemente raccomandata per ambienti ad alta densità come strutture Hospitality o hub di Transport , poiché offre una maggiore flessibilità per la gestione degli indirizzi IP, previene i colli di bottiglia DHCP sul FortiGate e consente alla piattaforma Purple di vedere l'indirizzo IP reale del client per analisi e risoluzione dei problemi più dettagliate.

Step 4: Post-Authentication Firewall Policy

Una volta completata l'autenticazione, il FortiGate deve applicare una policy di firewall post-autenticazione dedicata alla VLAN guest. Questa policy deve fare riferimento ai profili FortiGuard Web Filtering e Application Control per applicare restrizioni sui contenuti e bloccare il traffico peer-to-peer. Applicare un profilo Traffic Shaper per imporre limiti di larghezza di banda, impedendo a un singolo ospite di saturare l'uplink della struttura. Assicurarsi che la policy blocchi esplicitamente tutte le destinazioni dello spazio IP privato RFC 1918 per impedire agli ospiti di sondare le risorse di rete interne.

Best Practices

Durante la progettazione di questa integrazione, attenersi alle seguenti raccomandazioni standard del settore per garantire stabilità, sicurezza e conformità.

La segregazione della VLAN è obbligatoria: Non distribuire mai il WiFi guest sulla stessa VLAN delle risorse aziendali o dei sistemi point-of-sale. È necessario applicare un tagging VLAN rigoroso a livello di porta dello switch per mantenere la conformità PCI DSS. Il FortiGate deve applicare policy di firewall restrittive alla VLAN guest, bloccando tutte le destinazioni dello spazio IP privato RFC 1918 per impedire movimenti laterali.

Ottimizzare i timer di sessione: Configurare in modo appropriato il tempo di lease DHCP e gli intervalli provvisori di accounting RADIUS. Un tempo di lease DHCP di 3600 secondi combinato con un intervallo provvisorio di accounting di 120 secondi offre un equilibrio ottimale tra la conservazione degli indirizzi IP e una reportistica analitica accurata in tempo reale all'interno della dashboard Purple.

Sfrutta le funzionalità UTM di Fortinet post-autenticazione: il vantaggio principale di questa integrazione è la possibilità di applicare le funzionalità di sicurezza avanzate di Fortinet al traffico degli ospiti dopo l'autenticazione. Configura la policy del firewall post-autenticazione per utilizzare FortiGuard Web Filtering e Application Control. Ciò riduce il rischio che gli ospiti utilizzino la larghezza di banda della struttura per attività dannose, torrenting o accesso a contenuti inappropriati, proteggendo così la reputazione dell'IP pubblico della struttura e il contratto di servizio internet.

Usa certificati pubblici: assicurati che il FortiGate presenti un certificato SSL/TLS valido e pubblicamente attendibile sull'interfaccia di reindirizzamento. I certificati autofirmati attivano avvisi di sicurezza sui moderni dispositivi iOS e Android, aumentando significativamente i tassi di abbandono del portale da parte degli ospiti.

Risoluzione dei problemi e mitigazione dei rischi

Anche con una configurazione meticolosa, le distribuzioni possono incontrare ostacoli. La comprensione delle modalità di errore più comuni accelera notevolmente la risoluzione.

Il Captive Portal non si carica: se un ospite si connette ma la splash page non viene visualizzata, la causa più comune è un walled garden incompleto. Verifica che tutti i domini richiesti per Purple e gli eventuali provider di social login configurati siano esplicitamente consentiti nella policy di pre-autenticazione. Assicurati che la risoluzione DNS funzioni correttamente per i client non autenticati; se il client non riesce a risolvere l'URL del portale Purple, il reindirizzamento fallirà completamente.

Timeout RADIUS: se il portale si carica ma l'autenticazione fallisce costantemente, esamina il percorso di comunicazione RADIUS. Verifica che l'indirizzo IP esterno del FortiGate sia registrato correttamente all'interno della configurazione del router del portale Purple. Assicurati che i shared secret corrispondano esattamente (un singolo carattere non corrispondente causerà errori di autenticazione invisibili) e che nessun firewall intermedio blocchi le porte UDP 1812 e 1813 tra l'infrastruttura Fortinet e i server RADIUS cloud di Purple.

Errori di certificato: i moderni sistemi operativi mobili sono estremamente sensibili alle anomalie dei certificati SSL/TLS durante l'intercettazione del captive portal. Assicurati che il FortiGate presenti un certificato valido e pubblicamente attendibile per l'interfaccia di reindirizzamento, anziché un certificato predefinito autofirmato. Ciò evita allarmanti avvisi di sicurezza che scoraggiano gli ospiti dal completare il flusso di autenticazione.

Lacune nella rendicontazione delle sessioni: se la dashboard analitica di Purple mostra dati di sessione incompleti o metriche sulla larghezza di banda mancanti, verifica che il server di accounting RADIUS (porta 1813) sia configurato correttamente e che l'intervallo provvisorio di accounting sia impostato. I dati di accounting vengono inviati separatamente dall'autenticazione e richiedono una propria definizione di server.

ROI e impatto aziendale

L'integrazione di Fortinet e Purple trasforma un centro di costo standard — il guest WiFi — in un asset aziendale misurabile. Utilizzando il Captive Portal di Purple, le location acquisiscono dati demografici verificati e informazioni di contatto, consentendo campagne di marketing mirate, la crescita dei programmi di fidelizzazione e il re-engagement post-visita. Per le strutture che operano nei settori del Retail o dell' Hospitality , questi dati di prima parte sono sempre più preziosi, poiché la deprecazione dei cookie di terze parti limita i canali di marketing digitale tradizionali.

Per i team IT, delegare l'autenticazione degli ospiti al cloud RADIUS di Purple riduce significativamente il sovraccarico amministrativo associato alla gestione dei database utenti locali, alla stampa di voucher cartacei o alla manutenzione dell'infrastruttura RADIUS on-premise. La combinazione del provisioning fluido di Purple e della robusta ispezione del traffico di Fortinet garantisce che la struttura offra un'esperienza internet sicura e ad alte prestazioni, generando al contempo business intelligence fruibile attraverso i WiFi Analytics . Questa architettura è altamente scalabile e supporta qualsiasi scenario, dal singolo boutique hotel a un campus aziendale distribuito, offrendo un ROI costante sia attraverso l'abilitazione del marketing sia tramite l'efficienza operativa.