Integrazione di NETGEAR Insight e Access Point Enterprise con Purple WiFi

Benvenuto al Briefing Tecnico di Purple. Oggi affronteremo un argomento che emerge costantemente nei nostri colloqui con i responsabili IT e gli architetti di rete nei settori dell'ospitalità, del retail e degli spazi multi-tenant: come integrare NETGEAR Insight e gli access point della serie WAX con Purple WiFi. Se gestisci un hotel, un parco commerciale, un centro congressi o un complesso a destinazione d'uso mista, questo briefing è direttamente rilevante per la tua prossima decisione di implementazione. Inquadriamo la situazione. La serie WAX di NETGEAR - comprendente i modelli WAX610, WAX620 e WAX630 - offre access point WiFi 6 gestiti tramite la piattaforma cloud Insight. Supportano fino a otto SSID separati per radio, la crittografia WPA3 e fino a sei gigabit di throughput sul modello WAX630. Sono alimentati tramite PoE, montabili a soffitto e gestiti da un'unica interfaccia centralizzata attraverso l'Insight Cloud Portal. Per un installatore IT o un amministratore di rete di PMI, si tratta di una piattaforma estremamente capace a un prezzo nettamente inferiore rispetto alla fascia di Cisco Meraki o HPE Aruba. Purple è un overlay cloud indipendente dall'hardware. Ci posizioniamo al di sopra della tua infrastruttura esistente per aggiungere il livello di guest experience, il livello di acquisizione dati e il livello di analytics. Nel 2024 abbiamo elaborato 440 milioni di accessi in 80.000 sedi attive. L'integrazione con NETGEAR Insight è pulita, ben documentata e copre quattro casi d'uso distinti che analizzeremo oggi. Entriamo ora nel dettaglio tecnico. I quattro casi d'uso sono: Guest WiFi con Captive Portal Purple, WiFi aziendale sicuro per il personale tramite 802.1X, segmentazione multi-tenant tramite la funzionalità PPSK di NETGEAR e assegnazione dinamica della VLAN via RADIUS per reti basate sull'identità (Identity-Based Networks). Caso d'uso uno: Guest WiFi con Captive Portal Purple. Questo è il punto di partenza più comune. Si crea un SSID Guest dedicato in NETGEAR Insight e lo si configura come rete aperta. La configurazione chiave si trova nella sezione Captive Portal delle impostazioni dell'SSID. Seleziona "External Captive Portal" e incolla l'URL della Splash Page fornito da Purple. Successivamente, configura il tipo di autenticazione. Per la maggior parte delle implementazioni di Purple, selezionerai l'autenticazione RADIUS. Purple ti fornisce l'IP di un server RADIUS primario, la porta 1812 per l'autenticazione, la porta 1813 per l'accounting e un segreto condiviso (shared secret). Incolla questi dati nella configurazione dell'External Captive Portal di NETGEAR Insight. Imposta anche un NAS Identifier: si tratta di una stringa che identifica questo specifico access point o posizione all'interno del server RADIUS. Utilizza un nome significativo, come il nome della tua sede e il codice della posizione. Il walled garden è l'elemento che mette più in difficoltà la maggior parte degli installatori. Prima che un ospite si autentichi, il suo dispositivo deve essere in grado di raggiungere la splash page di Purple, i server di autenticazione e tutti i provider di social login abilitati. NETGEAR Insight dispone di una sezione Walled Garden dedicata nella configurazione del Captive Portal esterno in cui aggiungere questi URL. La documentazione di supporto di Purple fornisce l'elenco esatto dei domini da inserire nella whitelist. Se si commette un errore in questa fase, gli ospiti visualizzeranno una pagina vuota invece del portale personalizzato con il tuo brand. Una volta configurato, il flusso funziona in questo modo: un ospite si connette all'SSID Hotel Guest. L'access point intercetta la prima richiesta HTTP e lo reindirizza alla splash page di Purple. L'ospite visualizza il portale personalizzato, accetta i termini e, facoltativamente, fornisce il proprio indirizzo email o accede tramite social media. Il server RADIUS di Purple restituisce un messaggio di Access-Accept all'access point e all'ospite viene concesso l'accesso a internet. Purple acquisisce i dati di consenso, registra la sessione e tali dati confluiscono nella dashboard di analisi di Purple. Secondo caso d'uso: WiFi aziendale sicuro per il personale tramite 802.1X. In questo scenario si abbandona completamente l'uso di password condivise. Per le reti del personale, una chiave precondivisa rappresenta un rischio per la sicurezza: quando un dipendente si dimette, è necessario cambiare la password per tutti. Lo standard 802.1X, definito nella norma IEEE 802.1X, assegna a ogni utente una credenziale individuale. Quando un dipendente lascia l'azienda, è sufficiente disattivare il suo account nella directory per revocare istantaneamente il suo accesso. In NETGEAR Insight, si configura un SSID aziendale separato per lo staff con sicurezza WPA2 Enterprise. Questo indica all'access point di utilizzare l'autenticazione 802.1X anziché una chiave precondivisa. Successivamente, si configurano le impostazioni del server RADIUS a livello di sede di rete. Accedere alle impostazioni della sede di rete, selezionare RADIUS, abilitare l'autenticazione dell'accesso 802.1X e inserire l'IP del server RADIUS, la porta e il segreto condiviso. L'intervallo di riautenticazione predefinito è di 3.600 secondi (un'ora), un punto di partenza ragionevole per la maggior parte delle strutture. Il metodo EAP più comune nelle implementazioni PMI è PEAP-MSCHAPv2, che utilizza un certificato lato server per creare un tunnel crittografato all'interno del quale l'utente si autentica con il proprio nome utente e password di Active Directory. Il metodo EAP-TLS è più sicuro, poiché utilizza certificati su entrambi i lati, ma richiede un'infrastruttura PKI e un MDM per distribuire i certificati sui dispositivi. Un punto fondamentale: applicare la convalida del certificato su ogni dispositivo client. Configurare i dispositivi Windows tramite Group Policy Objects e i dispositivi mobili tramite profili MDM per convalidare il certificato del server RADIUS. Se si salta questo passaggio, i dispositivi risultano vulnerabili ad attacchi di tipo rogue access point, in cui un utente malintenzionato presenta un certificato falso e acquisisce le credenziali.Caso d'uso tre: NETGEAR PPSK per ambienti multi-tenant. Private Pre-Shared Key risolve un problema specifico in parchi commerciali, complessi a uso misto e spazi di co-working. Vi sono più tenant che condividono la stessa infrastruttura WiFi fisica. Non si desidera configurare SSID separati per ciascun tenant, poiché ciò creerebbe congestione delle radiofrequenze e complessità di gestione. Tuttavia, non è nemmeno possibile fornire a tutti la stessa password, perché in tal caso il Tenant A potrebbe vedere il traffico del Tenant B. PPSK risolve il problema in modo elegante. Si crea un unico SSID e si creano più chiavi pre-condivise in NETGEAR Insight alla voce Wireless, Impostazioni, Avanzate, Impostazioni Multi PSK. Ogni chiave è associata a una VLAN specifica. Il Tenant A riceve una password univoca di 16 caratteri che mappa sulla VLAN 30. Il Tenant B riceve una password diversa che mappa sulla VLAN 40. Il team di gestione della struttura riceve una terza password che mappa sulla VLAN 20, che ha accesso ai sistemi di gestione. Quando i dispositivi del Tenant A si connettono utilizzando la loro password, l'access point li inserisce automaticamente nella VLAN 30. Non possono vedere alcun traffico sulla VLAN 40 o sulla VLAN 20. Dal punto di vista del tenant, hanno semplicemente una password WiFi. Dal vostro punto di vista di amministratori di rete, ottenete un isolamento completo del traffico tra i tenant senza alcun hardware aggiuntivo. Vi sono due limitazioni importanti da conoscere. In primo luogo, il PPSK in NETGEAR Insight richiede la crittografia WPA2 Personal o WPA2 Personal Mixed. Non funziona sulla banda a 6 GHz. In secondo luogo, il PPSK non può essere combinato con un Captive Portal sullo stesso SSID. Se si ha la necessità di utilizzare entrambi, occorrono due SSID separati, il che non rappresenta un problema, poiché gli access point della serie WAX ne supportano fino a otto. Caso d'uso quattro: assegnazione dinamica della VLAN tramite RADIUS. Questa è la configurazione più sofisticata ed è quella che sta alla base della funzionalità Identity-Based Networks di Purple. Invece di assegnare staticamente una VLAN a una password o a un SSID, si lascia che sia il server RADIUS a decidere quale VLAN assegnare in base a chi si sta autenticando. Il meccanismo utilizza tre attributi RADIUS standard: Tunnel-Type, che deve essere impostato sul valore 13 per la VLAN; Tunnel-Medium-Type, che deve essere impostato sul valore 6 per IEEE 802; e Tunnel-Private-Group-ID, che contiene l'ID della VLAN come stringa. Quando un utente si autentica con successo, il server RADIUS restituisce questi tre attributi nel messaggio Access-Accept. L'access point li legge e inserisce il client nella VLAN specificata. All'atto pratico, questo significa che si può avere un unico SSID WPA2 Enterprise dove un direttore d'albergo si autentica e accede alla VLAN 20 con accesso ai sistemi di gestione della struttura, un addetto alla reception si autentica e accede alla VLAN 21 con accesso solo al sistema di check-in, e un fornitore esterno si autentica e accede alla VLAN 50 con accesso solo a Internet. Tutto dallo stesso SSID, tutto applicato automaticamente dal server RADIUS in base all'appartenenza ai gruppi di Active Directory. Ora passiamo ai consigli di implementazione e alle insidie comuni. La prima insidia è il walled garden. Ogni implementazione di un Captive Portal esterno fallisce a causa del walled garden almeno una volta. Il sintomo consiste nei visitatori che si connettono all'SSID ma visualizzano un errore del browser anziché la splash page. La soluzione è metodica: apri la documentazione di supporto di Purple, copia ogni dominio presente nell'elenco del walled garden e incollalo nella sezione Walled Garden di NETGEAR Insight. Esegui un test con un dispositivo che non abbia credenziali memorizzate nella cache. La seconda insidia è la raggiungibilità RADIUS. L'access point NETGEAR deve poter raggiungere il tuo server RADIUS. RADIUS utilizza la porta UDP 1812 per l'autenticazione e la porta UDP 1813 per l'accounting. Apri queste porte dall'IP di gestione dell'access point verso l'IP del server RADIUS. Esegui un test con uno strumento di test RADIUS prima di andare online. La terza insidia è il conflitto tra PPSK e Captive Portal. NETGEAR Insight non consente di abilitare PPSK e Captive Portal sullo stesso SSID. Se hai bisogno di entrambi, crea due SSID. Nominali in modo chiaro: uno per gli utenti PPSK e uno per gli ospiti del Captive Portal. La quarta insidia è la convalida del certificato sui client 802.1X. Ogni dispositivo Windows necessita di un Group Policy Object che specifichi l'Autorità di Certificazione attendibile e il nome del server RADIUS previsto. Ogni dispositivo mobile necessita di un profilo MDM con le stesse impostazioni. Senza questo passaggio, un utente potrebbe inconsapevolmente autenticarsi su un access point non autorizzato e cedere le proprie credenziali di Active Directory. Ora passiamo a una sessione di domande e risposte rapide. Prima domanda: posso utilizzare Purple con NETGEAR Insight senza un server RADIUS? Sì, per le implementazioni di Captive Portal per gli ospiti, puoi utilizzare la modalità di autenticazione web di Purple anziché RADIUS. L'access point reindirizza alla splash page tramite HTTP e Purple gestisce l'autenticazione attraverso una sessione web. RADIUS offre un controllo maggiore e dati di accounting migliori, ma non è obbligatorio per le implementazioni base di portali per ospiti. Seconda domanda: quanti tasti PPSK posso creare in NETGEAR Insight? NETGEAR Insight supporta fino a 64 chiavi PPSK per SSID sugli access point della serie WAX. Per la maggior parte delle strutture multi-tenant, questo è più che sufficiente. Se hai più di 64 tenant, dovrai invece passare a una soluzione VLAN dinamica basata su RADIUS. Terza domanda: NETGEAR Insight supporta WPA3 Enterprise per 802.1X? Sì, gli access point della serie WAX supportano WPA3 Enterprise. Per la maggior parte delle implementazioni PMI, WPA2 Enterprise è sufficiente e offre una compatibilità più ampia con i dispositivi client. Vale la pena considerare WPA3 Enterprise per gli ambienti che gestiscono dati sensibili, come il settore sanitario o i servizi finanziari. Quarta domanda: cosa succede se il server RADIUS di Purple non è raggiungibile? NETGEAR Insight supporta un'opzione di failsafe nella configurazione dell'External Captive Portal. Se abiliti il failsafe, agli ospiti viene concesso l'accesso a Internet per un breve periodo anche se i server del Captive Portal non sono raggiungibili. Purple garantisce un uptime del 99.999% in tutta la nostra infrastruttura, ma l'abilitazione del failsafe rappresenta una buona pratica per qualsiasi implementazione in produzione. Per riassumere i punti chiave del briefing di oggi. Gli access point della serie NETGEAR WAX si integrano con Purple tramite il meccanismo di Captive Portal esterno in NETGEAR Insight. È possibile configurare l'URL della splash page, le credenziali del server RADIUS e i domini di walled garden nel portale Cloud Insight. Per le reti del personale, utilizzare WPA2 Enterprise con 802.1X e imporre la convalida del certificato su ogni dispositivo client. Per le sedi multi-tenant, la funzione PPSK di NETGEAR offre l'isolamento VLAN per tenant da un singolo SSID con un massimo di 64 chiavi univoche. Per le distribuzioni più sofisticate, l'assegnazione dinamica delle VLAN tramite gli attributi RADIUS offre una segmentazione di rete basata sull'identità che si adatta a chi si connette, non solo da dove si connette. Se si pianifica una distribuzione NETGEAR con Purple, il passo successivo consiste nel richiedere le credenziali RADIUS di Purple e l'elenco dei domini di walled garden al team di supporto di Purple, e testare il reindirizzamento del captive portal su un SSID di staging prima di passare alla produzione. La configurazione richiede meno di 30 minuti una volta ottenute tali credenziali. Grazie per aver ascoltato il Technical Briefing di Purple. Per la guida scritta completa, inclusi i dettagli di configurazione passo-passo ed esempi pratici, visitare purple.ai.