Integrazione degli Access Point Allied Telesis con Purple WiFi

Sei un consulente di rete senior che parla con il direttore IT di un cliente in un briefing privato. Parla in inglese britannico con un tono sicuro, autorevole e colloquiale. Ritmo misurato, dizione chiara. Niente parole riempitive. Occasionali pause naturali per dare enfasi: Benvenuti a questo briefing tecnico sull'integrazione degli access point Allied Telesis serie TQ con Purple WiFi. Vi guiderò attraverso l'intero scenario di implementazione, dal reindirizzamento del Captive Portal per gli ospiti fino all'isolamento PPSK multi-tenant. Al termine, avrete una roadmap di implementazione chiara. [pausa media] Iniziamo con il contesto. Allied Telesis produce la serie TQ, compresi gli access point Wi-Fi 6 TQ5403 e TQ6702 GEN2. Si tratta di AP di livello enterprise che eseguono il firmware AlliedWare Plus e sono ampiamente distribuiti nei settori dell'ospitalità, del retail e nel settore pubblico. Purple è una piattaforma cloud overlay indipendente dall'hardware che opera in 80.000 sedi e gestisce 440 milioni di accessi nel 2024. L'integrazione tra queste due piattaforme è pulita, basata su standard e pronta per la produzione. [pausa media] Ora, la prima cosa che la maggior parte dei team IT deve configurare è il reindirizzamento del Captive Portal per gli ospiti. L'AP Allied Telesis supporta tre modalità di Captive Portal: click-through, autenticazione RADIUS e reindirizzamento a pagina esterna. Per l'integrazione con Purple, utilizzerete la modalità External Page Redirect. Ecco come funziona in pratica. Accedete alla GUI del dispositivo dell'AP, navigate su Wireless, selezionate il VAP pertinente, andate su Advanced Settings, quindi sulla scheda Security. Impostate Captive Portal su External Page Redirect. Nel campo External Page URL, inserite l'URL della splash page di Purple fornito nella dashboard di Purple. Questo è l'URL a cui gli ospiti arriveranno al primo collegamento. [pausa breve] Ora, l'AP intercetta il primo pacchetto HTTP o HTTPS da ciascun nuovo client e reindirizza il traffico alla splash page di Purple. L'ospite si autentica tramite Purple e il server RADIUS di Purple invia un Access-Accept all'AP. L'AP concede quindi l'accesso alla rete. [pausa media] Per la configurazione RADIUS, Purple fornisce un indirizzo IP del server RADIUS, un shared secret e la porta di autenticazione, che è UDP 1812. L'accounting viene eseguito su UDP 1813. Questi parametri vanno configurati sotto Network Services, quindi RADIUS nella GUI dell'AP. L'identificatore NAS deve essere impostato sull'IP di gestione dell'AP o su un hostname descrittivo. Il RADIUS as a Service di Purple gestisce il backend di autenticazione, quindi non è necessario eseguire una propria infrastruttura RADIUS. [pausa breve] Un aspetto fondamentale da configurare correttamente è il Walled Garden. Prima che un ospite si autentichi, l'AP blocca tutto il traffico ad eccezione delle destinazioni inserite nella whitelist. È necessario aggiungere i domini della piattaforma Purple al walled garden affinché la splash page si carichi correttamente. Come minimo, inserisci nella whitelist il dominio della splash page di Purple, tutti gli endpoint CDN utilizzati da Purple per gli asset e tutti i provider di social login abilitati, come Google o Facebook. Questa operazione si configura nello stesso pannello VAP Advanced Settings alla voce Walled Garden. [medium pause] Passiamo ora al Staff WiFi utilizzando il protocollo 802.1X. Qui è dove configuri WPA Enterprise su un VAP separato. Nell'interfaccia grafica dell'AP, seleziona WPA Enterprise dal menu a discesa Security, quindi indirizza il RADIUS Authentication Group al tuo server RADIUS esterno, che in questo caso è il servizio SecurePass di Purple o il tuo server RADIUS basato su Microsoft Entra ID o Okta. I dispositivi del personale si autenticano utilizzando EAP-PEAP con MSCHAPv2, oppure EAP-TLS con certificati per ambienti a sicurezza più elevata. L'AP funge da autenticatore 802.1X, inoltrando le credenziali al server RADIUS e applicando la risposta. [short pause] Per l'assegnazione dinamica della VLAN sulla rete del personale, abilita Dynamic VLAN nelle impostazioni di Advanced Security del VAP. Quando il server RADIUS restituisce un Access-Accept, include tre attributi standard: Tunnel-Type impostato su VLAN, Tunnel-Medium-Type impostato su IEEE 802 e Tunnel-Private-Group-Id impostato sull'ID della VLAN. L'AP legge questi attributi e inserisce automaticamente il dispositivo autenticato nella VLAN corretta. Questo è il meccanismo definito nella specifica RFC 3580 e funziona in modo coerente su tutto l'hardware Allied Telesis. [medium pause] Parliamo ora della funzionalità più interessante per le installazioni multi-tenant: Allied Telesis PPSK, o Private Pre-Shared Key. Questa funzione viene talvolta chiamata iPSK su altre piattaforme. Il concetto è semplice. Si ha un unico SSID, ma ogni tenant o gruppo di utenti riceve una passphrase univoca. Quando un dispositivo si connette, l'AP invia quella passphrase al server RADIUS come campo password in un RADIUS Access-Request. Il server RADIUS associa la passphrase a un record utente e restituisce un Access-Accept con un attributo Tunnel-Private-Group-Id che specifica la VLAN per quel tenant. [short pause] In questo modo, in un edificio a uso misto, il Tenant A nell'unità commerciale si connette con la propria passphrase e finisce sulla VLAN 100. Il ristorante al piano terra utilizza una passphrase diversa e finisce sulla VLAN 300. Il guest WiFi dell'edificio utilizza una terza passphrase e finisce sulla VLAN 400 dove è attivo il Captive Portal di Purple. Tutto questo funziona su un unico SSID. Nessuna proliferazione di SSID. Pulito, scalabile e facile da gestire. [medium pause] Lato Purple, configuri i record utente PPSK nel dashboard Purple o tramite l'interfaccia RADIUS as a Service. Ogni tenant riceve una passphrase univoca mappata su un ID VLAN. Il server RADIUS di Purple gestisce l'associazione e restituisce il corretto Tunnel-Private-Group-Id. Quando hai bisogno di revocare l'accesso di un tenant, elimini o disabiliti il suo record PPSK in Purple. L'AP applica la modifica al successivo tentativo di autenticazione. [medium pause] Permettimi di presentarti due scenari reali in cui questo aspetto è fondamentale. Primo scenario: un hotel per conferenze da 250 camere. L'hotel gestisce tre reti: guest WiFi con Captive Portal Purple e login social, staff WiFi su 802.1X collegato ad Active Directory tramite Microsoft Entra ID e una rete per i delegati delle conferenze durante gli eventi. Gli AP Allied Telesis TQ6702 GEN2 gestiscono tutte e tre su VAP distinti con VLAN separate. Purple gestisce il Captive Portal per gli ospiti, raccoglie dati di prima parte per il CRM dell'hotel e fornisce analisi sui periodi di picco di utilizzo. Il team IT dell'hotel gestisce la rete del personale tramite SecurePass di Purple senza dover mantenere un server RADIUS separato in loco. [short pause] Secondo scenario: un parco commerciale con 12 tenant indipendenti. Il proprietario desidera offrire il WiFi come servizio a ciascun tenant senza consentire l'accesso al traffico reciproco. Distribuisce AP Allied Telesis in tutto il sito con un unico SSID. Ogni tenant riceve un PPSK univoco. Il server RADIUS di Purple mappa ciascun PPSK su una VLAN dedicata. Il proprietario può attivare un nuovo tenant in meno di dieci minuti creando un nuovo record PPSK in Purple e consegnando la passphrase al tenant. Non è richiesta alcuna riconfigurazione dell'AP. [medium pause] Ora, alcuni errori da evitare. Il problema più comune che riscontriamo è la configurazione errata dei walled garden. Se dimentichi di inserire in whitelist un endpoint CDN di Purple, il Captive Portal si caricherà parzialmente o non funzionerà su determinati dispositivi. Effettua un test con un dispositivo nuovo che non ha DNS memorizzati nella cache prima di andare online. In secondo luogo, la mancata corrispondenza del segreto condiviso RADIUS. Il segreto configurato sull'AP deve corrispondere esattamente al segreto nella configurazione del server RADIUS di Purple. Una differenza di un solo carattere causa errori di autenticazione silenziosi. Utilizza un password manager per generare e memorizzare il segreto. Terzo, la VLAN dinamica non si attiva. Sugli AP Allied Telesis, la VLAN dinamica è disabilitata per impostazione predefinita anche quando WPA Enterprise è attivo. È necessario abilitarla esplicitamente nelle impostazioni di Sicurezza Avanzata del VAP. Questo è un passaggio che vediamo saltare regolarmente. Quarto, conflitto tra autenticazione PPSK e MAC. Se hai l'autenticazione MAC abilitata sullo stesso VAP del PPSK, l'ordine di autenticazione è importante. Verifica la documentazione dell'AP per la tua versione del firmware per confermare quale metodo ha la precedenza. [medium pause] Domande a raffica che ricevo dai team IT. Posso utilizzare il server RADIUS di Purple sia per il Captive Portal degli ospiti sia per l'802.1X del personale nella stessa installazione? Sì. Il RADIUS as a Service di Purple supporta entrambi i flussi di autenticazione. Configuri gruppi o criteri RADIUS separati in Purple per ciascun caso d'uso. Gli AP Allied Telesis supportano il WPA3 con Captive Portal? Il modello TQ6702 GEN2 con firmware 5.5.4-2.3 o successivo supporta la cifratura WPA3 CCMP. Tuttavia, il Captive Portal con reindirizzamento esterno viene in genere eseguito su un SSID aperto o WPA2 Personal. Il personale che utilizza l'802.1X può invece utilizzare il WPA3 Enterprise. Cosa succede se il server RADIUS di Purple non è raggiungibile? L'AP rifiuterà i nuovi tentativi di autenticazione. Le sessioni esistenti continueranno fino al loro timeout. Per garantire la ridondanza, è opportuno configurare un server RADIUS secondario nel gruppo RADIUS dell'AP. La piattaforma di Purple mantiene un uptime del 99,999%, ma la difesa in profondità è una buona pratica. [medium pause] Per riassumere. Gli AP della serie TQ di Allied Telesis si integrano con Purple attraverso tre meccanismi principali: reindirizzamento esterno al Captive Portal per il WiFi ospiti, WPA Enterprise con RADIUS per l'802.1X del personale e PPSK con VLAN dinamica per l'isolamento multi-tenant. Gli attributi RADIUS necessari sono Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802 e Tunnel-Private-Group-Id contenente l'ID della VLAN. Purple fornisce l'infrastruttura backend RADIUS as a Service, la piattaforma per la splash page e il livello di analytics. [short pause] I prossimi passi: recupera le credenziali RADIUS di Purple dalla tua dashboard, configura il reindirizzamento alla pagina esterna sul tuo VAP ospiti, aggiungi le voci del walled garden, abilita la VLAN dinamica sul tuo VAP del personale ed esegui un test di autenticazione per ciascun segmento di rete prima di andare online. Se stai distribuendo il PPSK per il multi-tenant, pianifica lo schema di numerazione delle VLAN prima di iniziare, poiché la modifica degli ID VLAN dopo l'attivazione dei tenant richiede coordinamento. [medium pause] Questo è tutto per il briefing. Per il riferimento completo alla configurazione passo-passo, il diagramma dell'architettura Mermaid e la tabella degli attributi RADIUS, consulta la guida scritta. Grazie per il tuo tempo.