Integrazione dei router DrayTek Vigor e degli access point con Purple WiFi

Executive summary

I router DrayTek Vigor e gli access point VigorAP sono distribuiti in decine di migliaia di siti di PMI, retail e ospitalità nel Regno Unito e in Europa. Se integrato con l'overlay cloud di Purple, questo hardware diventa la base di una rete basata sull'identità (Identity-Based Network): acquisisce dati di prima parte, protegge le risorse interne e segmenta il traffico multi-tenant, il tutto da un'unica piattaforma.

Questa guida copre quattro scenari di implementazione: Guest WiFi con splash page personalizzata e autenticazione RADIUS, Staff WiFi sicuro tramite lo standard IEEE 802.1X Enterprise, configurazione del Walled Garden per consentire il traffico di pre-autenticazione e WiFi Multi-Tenant utilizzando la funzionalità WPA2-PPSK di DrayTek con assegnazione dinamica della VLAN. Purple opera in oltre 80.000 sedi attive con un uptime del 99,999% e possiede le certificazioni ISO 27001, GDPR e Cyber Essentials; pertanto, i requisiti di sicurezza e conformità che la vostra struttura deve affrontare sono già integrati nella piattaforma.

I modelli DrayTek supportati includono le serie Vigor 2862, 2865, 2866, 2926, 2927, 2952, 2962, 3220 e 3910. Tutti gli access point VigorAP gestiti tramite Central AP Management (APM) sono compatibili con questa integrazione.

Technical deep-dive

How the integration works

L'integrazione tra DrayTek e Purple si basa su due meccanismi che lavorano in sinergia: il reindirizzamento esterno del Captive Portal e l'autenticazione RADIUS (Remote Authentication Dial-In User Service). Purple funge da identity provider e motore di policy centralizzato. Il router DrayTek Vigor funge da Network Access Server (NAS), applicando le decisioni di accesso restituite dai server RADIUS di Purple.

Quando un ospite si connette all'SSID WiFi, il router DrayTek pone il dispositivo in uno stato di pre-autenticazione. Intercetta il traffico HTTP del dispositivo e lo reindirizza alla splash page ospitata sul cloud di Purple tramite la funzionalità Hotspot Web Portal in DrayOS. L'utente completa il flusso di accesso sulla piattaforma di Purple, utilizzando l'accesso social, l'e-mail, l'SMS o un identity provider gestito come Microsoft Entra ID, Okta o Google Workspace. Il server RADIUS di Purple restituisce quindi un messaggio di Access-Accept al router DrayTek, che concede l'accesso a Internet e avvia la contabilità RADIUS sulla porta 1813.

Guest WiFi and the DrayTek captive portal

L'Hotspot Web Portal di DrayTek è il meccanismo principale per l'autenticazione degli ospiti. In DrayOS, si configura un profilo Hotspot che definisce il metodo del portale, il server di autenticazione, i limiti di sessione e la pagina di destinazione. L'impostazione del metodo del portale su External Server indica a DrayOS di reindirizzare i client non autenticati a un URL esterno (in questo caso, l'URL di accesso di Purple) anziché mostrare una pagina ospitata localmente.

La configurazione RADIUS all'interno del profilo Hotspot punta all'IP del server RADIUS di Purple sulla porta 1812 per l'autenticazione e sulla porta 1813 per l'accounting. Il segreto condiviso deve corrispondere esattamente a quello visualizzato nella dashboard della sede di Purple. Una mancata corrispondenza in questo punto è la causa più comune di errori di autenticazione.

La gestione della sessione è controllata dall'impostazione Expired Time After Activation. Per la maggior parte delle installazioni ricettive e retail, sei ore rappresentano un valore predefinito pratico. È possibile allineare questo valore con il timeout di sessione di Purple per garantire un comportamento coerente su entrambi i sistemi.

Walled Garden configuration

Prima che un ospite si autentichi, il suo dispositivo non ha accesso a Internet. Tuttavia, il dispositivo deve essere in grado di raggiungere i server di Purple per caricare la splash page. Il Walled Garden, configurato tramite la scheda Dest Domain nel profilo DrayTek Hotspot, definisce quali domini sono accessibili prima dell'autenticazione.

È necessario aggiungere i domini di autenticazione di Purple a questo elenco, uno per indice. Se si utilizzano provider di social login (come Google o Facebook) o un identity provider gestito come Microsoft Entra ID, anche i loro domini devono essere inclusi. La mancata configurazione corretta del Walled Garden è il motivo più comune per cui un Captive Portal DrayTek non riesce a mostrare la splash page. La documentazione di supporto di Purple fornisce l'elenco aggiornato dei domini richiesti per ciascun metodo di accesso.

Secure Staff WiFi using 802.1X

Per il personale interno, il Captive Portal è lo strumento sbagliato. Le password WPA2 condivise rappresentano un rischio per la sicurezza: quando un dipendente lascia l'azienda, è necessario aggiornare la password su ogni dispositivo. L'autenticazione IEEE 802.1X Enterprise elimina completamente questo problema.

In DrayOS, andate su Wireless LAN > Security e selezionate WPA2/802.1X per l'SSID del personale. Fate clic sul collegamento RADIUS Server e inserite l'IP del server, la porta e il segreto condiviso di Purple. I dispositivi dello staff si autenticano utilizzando PEAP (Protected Extensible Authentication Protocol) con MS-CHAPv2 come metodo interno. Questa è la configurazione richiesta per i dispositivi Windows, macOS, iOS e Android che si connettono a una rete wireless aziendale.

Purple revoca l'accesso a livello di identità. Quando un dipendente lascia l'azienda, disabilitate il suo account nel vostro identity provider (Microsoft Entra ID, Okta o Google Workspace). Il server RADIUS di Purple smette immediatamente di accettare le richieste di autenticazione da quell'account. Non è richiesta alcuna modifica della password in tutta la struttura.

Per ulteriori informazioni sull'architettura di sicurezza wireless aziendale, consultate la nostra guida Sicurezza WiFi aziendale: una guida completa per il 2026 .

Multi-Tenant network segmentation with DrayTek Multiple PSKs

Gli ambienti multi-tenant (come hotel con ristoranti o spazi commerciali in affitto, spazi di coworking, alloggi per studenti e complessi residenziali in affitto) richiedono un rigoroso isolamento di rete tra i tenant. Un acquirente in un'area in concessione non deve essere in grado di raggiungere la rete interna dell'hotel e due tenant commerciali non devono poter vedere il traffico reciproco.

DrayTek risolve questo problemarisolve questo problema con due funzionalità complementari: tagging VLAN e WPA2-PPSK (Private Pre-Shared Key).

La configurazione VLAN sul router Vigor assegna ciascun tenant a una rete logica separata. Passare a LAN > VLAN, abilitare la configurazione VLAN e assegnare un ID VLAN univoco a ciascun segmento di tenant. Tutte le porte LAN che si collegano ai VigorAP devono essere membri di tutte le VLAN pertinenti, operando di fatto come porte trunk 802.1Q. La Tabella di instradamento Inter-LAN in LAN > Configurazione generale controlla se il traffico può passare tra le VLAN; per l'isolamento dei tenant, questa opzione deve essere disabilitata.

WPA2-PPSK sul VigorAP assegna una passphrase univoca a ciascun tenant. L'access point associa questa passphrase all'indirizzo MAC del dispositivo. Quando un dispositivo si connette, l'AP identifica la passphrase utilizzata e tagga il traffico con l'ID VLAN corrispondente. Ciò consente a un singolo SSID di servire contemporaneamente più reti di tenant isolate, riducendo il sovraccarico wireless e semplificando l'esperienza dell'utente finale.

Assegnazione dinamica della VLAN tramite RADIUS

Per le distribuzioni in cui l'assegnazione della VLAN deve essere guidata dall'identità dell'utente anziché da una passphrase statica, il server RADIUS di Purple supporta il routing dinamico della VLAN (VLAN steering). Quando un utente si autentica, Purple restituisce tre attributi RADIUS nel messaggio Access-Accept:

Il router DrayTek legge questi attributi e assegna il client autenticato alla VLAN specificata, indipendentemente dall'SSID a cui si è connesso. Questo è l'Identity-Based Networking: il segmento di rete è determinato da chi è l'utente, non dalla password che ha digitato.

Guida all'implementazione

Elenco di controllo pre-distribuzione

Prima di iniziare, confermare quanto segue:

Passaggio 1: Configurare RADIUS sul router DrayTek

Passare a Applications > RADIUS/TACACS+ nell'interfaccia web di DrayOS. Nella scheda External RADIUS, abilitare il profilo e inserire l'indirizzo IP del server RADIUS di Purple, la porta (1812) e il segreto condiviso. Fare clic su OK per salvare. Il router richiede un riavvio per applicare questa modifica: non saltare questo passaggio.

Passaggio 2: Creare il profilo Hotspot Web Portal

Passare a Hotspot Web Portal > Profile Setup e selezionare un indice disponibile. Configurare il profilo come segue:

Fare clic su OK per salvare.

Passaggio 3: Configurare il Walled Garden

Fare clic su Save and Next per procedere alla scheda Dest Domain. Aggiungere ciascun dominio Purple richiesto, uno per indice. Fare riferimento alla whitelist dei domini del Walled Garden di Purple nella documentazione di supporto per l'elenco corrente. Fare clic su Save and Next per continuare.

Passaggio 4: Configurare le impostazioni della sessione e della pagina di destinazione

Nella schermata di configurazione finale, impostare:

Fare clic su Finish per salvare. Riavviare il router prima del test.

Passaggio 5: Configurare le VLAN per la segmentazione della rete

Passare a LAN > VLAN e abilitare la configurazione VLAN. Creare una voce VLAN per ciascun segmento di rete. Assegnare tutte le porte LAN che si collegano ai VigorAP come membri di tutte le VLAN pertinenti (configurazione trunk). Passare a LAN > General Setup e utilizzare la Tabella di instradamento Inter-LAN per bloccare l'accesso tra VLAN dove richiesto.

Passaggio 6: Configurare 802.1X per lo Staff WiFi

Passare a Wireless LAN > Security e selezionare l'SSID Staff. Impostare la modalità di sicurezza su WPA2/802.1X. Fare clic sul collegamento RADIUS Server e inserire l'IP del server di Purple, la porta 1812 e il segreto condiviso. Salvare la configurazione.

Passaggio 7: Configurare PPSK per l'isolamento multi-tenant

Su ciascun VigorAP, passare a Wireless LAN > Security Settings e selezionare WPA2PPSK. Fare clic sul pulsante PPSK per aggiungere voci. Per ciascun tenant, creare una voce PPSK con l'indirizzo MAC del dispositivo del tenant e una passphrase univoca. Assicurarsi che la passphrase sia associata alla VLAN corretta nella configurazione del router. Si noti che i profili PPSK per 2.4GHz e 5GHz sono gestiti separatamente sui VigorAP.

Best practice

Le seguenti raccomandazioni riflettono l'esperienza di implementazione di Purple in oltre 80.000 sedi, inclusi gli ambienti hospitality , retail , sanità e trasporti .

Utilizzare il backhaul cablato per tutti i VigorAP. I sistemi di distribuzione wireless (WDS) e le modalità ripetitore universale non possono trasmettere i tag VLAN 802.1Q. Se si necessita di segmentazione della rete (e in qualsiasi sede multi-tenant o a uso misto è così), ogni access point deve connettersi al router o a uno switch gestito tramite Ethernet.

Abilitare la mobilità assistita da AP (AP-Assisted Mobility). I VigorAP DrayTek supportano la pre-autenticazione e il caching PMK per accelerare la riautenticazione 802.1X quando un client esegue il roaming trtra gli access point. Abilita l'AP-Assisted Mobility per dissociare attivamente i client con un segnale debole, costringendoli a connettersi all'AP più vicino. Questo è particolarmente importante negli ambienti retail in cui gli acquirenti si spostano continuamente nello spazio.

Pianifica lo schema VLAN prima del deployment. La modifica degli ID VLAN dopo il deployment richiede la riconfigurazione del router, di tutti gli access point e di tutti gli switch gestiti lungo il percorso. Documenta il tuo schema - VLAN 10 per Guest, VLAN 20 per Staff, VLAN 30+ per i tenant - prima di toccare l'hardware.

Allinea i timeout di sessione tra DrayTek e Purple. Se il profilo Hotspot DrayTek fa scadere una sessione dopo sei ore ma la sessione di Purple è impostata su 24 ore, gli utenti verranno reindirizzati alla splash page a metà sessione. Imposta entrambi sullo stesso valore.

Disabilita la randomizzazione MAC per i deployment PPSK. I dispositivi iOS e macOS utilizzano di default gli indirizzi Wi-Fi privati (MAC randomizzati). Poiché il PPSK di DrayTek associa una passphrase a uno specifico indirizzo MAC, la randomizzazione causerà errori di autenticazione. Istruisci gli utenti a disabilitare questa impostazione per la tua rete o documenta chiaramente il processo nel flusso di onboarding.

Usa il Band Steering sui VigorAP. Abilita il Band Steering per guidare i dispositivi con funzionalità dual-band verso la banda a 5GHz. Questo riduce la congestione sulla banda a 2.4GHz e migliora il throughput per tutti i dispositivi connessi.

Per una panoramica più ampia sull'architettura di sicurezza wireless aziendale, consulta la nostra guida su Enterprise WiFi Security: Guida completa per il 2026 . Se stai effettuando il deployment su più siti con diversi fornitori di hardware, la nostra guida su Integrazione di SonicWall TZ e SonicWave con Purple WiFi copre un modello di integrazione simile.

Risoluzione dei problemi e mitigazione dei rischi

La splash page non si carica. La causa più comune è un Walled Garden incompleto. Verifica che tutti i domini Purple richiesti siano elencati nella scheda Dest Domain. Conferma inoltre che il pool DHCP guest sia attivo e che la risoluzione DNS funzioni per i client pre-autenticati. Esegui un test connettendo un dispositivo e provando a navigare su un URL HTTP noto.

L'autenticazione RADIUS non riesce. Verifica che non ci siano refusi nel shared secret (fa distinzione tra maiuscole e minuscole). Conferma che il router DrayTek abbia una rotta verso Internet e non stia bloccando il traffico UDP in uscita sulle porte 1812 e 1813. Verifica di aver riavviato il router dopo aver applicato la configurazione RADIUS. Controlla la dashboard di Purple per i log di autenticazione per identificare se la richiesta sta raggiungendo i server di Purple.

Client assegnati alla VLAN errata. Verifica la configurazione della porta trunk tra il router DrayTek e i VigorAP. Le porte dello switch devono consentire i tag VLAN specifici. Se utilizzi uno switch non gestito, conferma che trasmetta i frame con tag 802.1Q senza rimuovere i tag. Controlla il profilo PPSK per confermare la corretta mappatura passphrase-to-VLAN.

I client 'sticky' non effettuano il roaming. Se i dispositivi non effettuano il roaming tra i VigorAP come previsto, verifica che l'AP-Assisted Mobility sia abilitato e che la soglia RSSI sia impostata in modo appropriato per la tua struttura. Conferma inoltre che tutti i VigorAP eseguano la stessa versione del firmware, poiché eventuali incongruenze possono influire sul comportamento di roaming.

I dispositivi iOS non superano l'autenticazione PPSK. Conferma che l'utente abbia disabilitato l'indirizzo Wi-Fi privato per la tua rete specifica in Impostazioni > Wi-Fi > [Nome della rete] > Indirizzo Wi-Fi privato. Il profilo PPSK deve contenere l'indirizzo MAC hardware reale del dispositivo.

ROI e impatto sul business

Il deployment dell'hardware DrayTek con Purple offre ritorni misurabili in tre aree: efficienza operativa, acquisizione dati e conformità.

Efficienza operativa. L'autenticazione 802.1X elimina il sovraccarico di gestione delle password WiFi condivise. Quando un membro dello staff se ne va, disabiliti il suo account in Microsoft Entra ID, Okta o Google Workspace. Il server RADIUS di Purple smette immediatamente di accettare le sue credenziali. Non è richiesta alcuna rotazione delle password a livello di sede. Per una catena retail con 50 punti vendita, questo da solo elimina centinaia di ore di sovraccarico IT all'anno.

Acquisizione dati e ROI di marketing. Ogni ospite che si connette tramite il Captive Portal di Purple fornisce un'identità verificata: indirizzo email, numero di telefono o profilo social. Questi dati di prima parte confluiscono direttamente nella piattaforma WiFi Analytics di Purple, dove puoi monitorare il tempo di permanenza, i tassi di visite ripetute e il coinvolgimento nelle campagne. Purple ha raccolto 29 miliardi di punti dati in tutta la sua rete. Le strutture che utilizzano il piano Engage di Purple registrano aumenti misurabili nei tassi di visite ripetute grazie a comunicazioni post-visita mirate.

Conformità. Purple è certificata ISO 27001, conforme a GDPR e CCPA, e certificata Cyber Essentials. Il Captive Portal impone opt-in basati su scelte consapevoli, garantendo che la raccolta dei dati soddisfi i requisiti GDPR. La segmentazione VLAN isola gli ambienti delle carte di pagamento dal traffico degli ospiti, supportando la conformità PCI DSS. Per le strutture sanitarie, l'isolamento della rete di pazienti e visitatori soddisfa le linee guida di NHS e ICO sulla gestione dei dati.

Per una visione dettagliata di come Purple guidi il processo decisionale basato sui dati analitici negli ambienti fisici, consulta la nostra panoramica della piattaforma WiFi Analytics .