OpenWrt Custom Firmware Integration with Purple WiFi

Executive summary

OpenWrt è il firmware d'elezione per i team IT che necessitano di indipendenza dall'hardware senza rinunciare a un controllo di livello enterprise. Distribuito in ambienti alberghieri, retail e del settore pubblico, offre uno stack di rete basato su Linux completamente configurabile. Tuttavia, fin da subito, OpenWrt si presenta come una tela bianca. Senza un livello di identità strutturato, le reti ospiti diventano ingestibili, le reti del personale rimangono insicure e gli ambienti multi-tenant collassano in un'unica rete piatta.

Questa guida fornisce il playbook di integrazione definitivo per connettere OpenWrt al cloud RADIUS e alla piattaforma Captive Portal di Purple. Copriamo quattro diversi scenari di implementazione: il reindirizzamento al Captive Portal per gli ospiti tramite CoovaChilli, la configurazione del walled garden con iptables, il WiFi sicuro per il personale tramite hostapd con IEEE 802.1X, e la segmentazione multi-tenant utilizzando Private Pre-Shared Keys (PPSK) con assegnazione dinamica delle VLAN. Al termine, disporrai dei parametri di configurazione esatti, delle modalità di errore più comuni e dei framework decisionali necessari per implementare una rete orientata all'identità, conforme al GDPR e pronta per la produzione su qualsiasi hardware compatibile con OpenWrt.

Purple opera in oltre 80.000 sedi attive e ha elaborato 440 milioni di accessi nel 2024 (dati interni Purple, 2024). L'architettura qui descritta è la stessa implementata su larga scala in catene alberghiere, proprietà retail e snodi di trasporto.

Technical deep-dive

L'architettura Captive Portal di CoovaChilli

Quando si distribuisce il Guest WiFi su OpenWrt, CoovaChilli rappresenta l'access controller standard del settore. Funziona come un daemon Captive Portal che intercetta il traffico dei client non autenticati, assegna gli indirizzi IP tramite il suo server DHCP interno sull'interfaccia virtuale tun0 e applica le policy di walled garden utilizzando regole iptables gestite direttamente.

Il flusso di autenticazione funziona come segue. Un dispositivo ospite si associa all'SSID aperto. CoovaChilli assegna al dispositivo un indirizzo IP dal suo pool interno (tipicamente 10.1.0.0/24). Quando il dispositivo invia la sua prima richiesta HTTP, CoovaChilli la intercetta e genera un reindirizzamento HTTP 302 verso l'URL della splash page di Purple. Durante questa fase di pre-autenticazione, il dispositivo è isolato: può raggiungere solo i domini esplicitamente elencati nel walled garden.

Una volta che l'ospite si autentica sul portale Purple, il server RADIUS cloud di Purple invia un messaggio di Access-Accept a CoovaChilli sulla porta UDP 1812. CoovaChilli aggiorna quindi le sue regole iptables per consentire l'accesso a Internet a quello specifico indirizzo MAC e inizia a trasmettere i dati di accounting (durata della sessione, byte trasferiti) al server di accounting RADIUS di Purple sulla porta UDP 1813. L'accounting non è opzionale: è il meccanismo attraverso il quale Purple popola la tua dashboard di WiFi Analytics con i dati della sessione.

Walled garden: iptables e whitelist dei domini

Il walled garden è l'elemento di configurazione più critico dal punto di vista operativo in qualsiasi implementazione di un Captive Portal. CoovaChilli gestisce il walled garden attraverso due meccanismi: il parametro uamallowed per i singoli indirizzi IP e il parametro uamdomains per l'inserimento in whitelist basato su dominio con ispezione DNS.

Per un'integrazione con Purple, le voci minime richieste per il walled garden sono:

Nota sulla gestione di Apple CNA: Se includi captive.apple.com nel walled garden, i dispositivi iOS rileveranno la connettività Internet prima dell'autenticazione e sopprimeranno la finestra popup del Captive Network Assistant. La maggior parte delle installazioni nel settore hospitality esclude deliberatamente questo dominio per attivare la richiesta automatica del portale. La scelta corretta dipende dal design dell'esperienza dei tuoi ospiti.

WiFi aziendale sicuro: hostapd e IEEE 802.1X

Le reti guest richiedono un onboarding senza attriti. Le reti del personale richiedono una sicurezza assoluta. Per gli utenti interni, OpenWrt utilizza hostapd per facilitare l'autenticazione IEEE 802.1X. In questa architettura, l'access point OpenWrt funge da Authenticator, inoltrando i messaggi Extensible Authentication Protocol (EAP) tra il dispositivo client (Supplicant) e il server RADIUS di Purple.

Per i dispositivi aziendali, EAP-TLS è lo standard obbligatorio. Si basa sull'autenticazione reciproca dei certificati (sia il server che il dispositivo client presentano certificati digitali) eliminando completamente le password e i rischi associati di furto di credenziali o phishing. Per gli ambienti non ancora pronti per un'infrastruttura a chiave pubblica (PKI) completa, PEAP-MSCHAPv2 fornisce una ragionevole opzione intermedia, utilizzando un tunnel crittografato per proteggere le credenziali di nome utente e password.

Quando un membro dello staff si autentica correttamente, il server RADIUS restituisce gli attributi di autorizzazione. L'attributo chiave per la segmentazione della rete è Tunnel-Private-Group-ID, che indica a OpenWrt di assegnare dinamicamente l'utente alla VLAN corretta. Questo è il meccanismo alla base delle reti basate sull'identità (Identity-Based Networks): l'identità dell'utente, e non la sua posizione fisica, determina il suo accesso alla rete.

Segmentazione multi-tenant: configurazione PPSK di OpenWrt

Negli ambienti multi-tenant - spazi di coworking, proprietà build-to-rent (BTR), centri commerciali con più fornitori o stadi con aree sponsor separate - la trasmissione di più SSID è costosa a livello operativo e inefficiente in termini di radiofrequenza. Ogni SSID aggiuntivo comporta un sovraccarico di frame di gestione, riducendo il tempo di trasmissione disponibile per il traffico dati.

Le chiavi precondivise private (PPSK, Private Pre-Shared Keys), a volte chiamate PSK dinamiche, risolvono questo problema. Viene trasmesso un unico SSID. Quando un dispositivo tenta di connettersi, hostapd invia l'indirizzo MAC del dispositivo al server RADIUS tramite una richiesta Access-Request standard. Il server RADIUS convalida l'indirizzo MAC rispetto al proprio database e restituisce un Access-Accept contenente due attributi critici: l'attributo Tunnel-Password (la passphrase univoca per quel dispositivo) e l'attributo Tunnel-Private-Group-ID (l'assegnazione della VLAN). Il dispositivo si connette utilizzando la sua passphrase univoca e viene inserito direttamente nella VLAN assegnata.

Ciò significa che il gestore di un negozio e il partecipante a un evento possono connettersi allo stesso identico SSID ma essere indirizzati a reti completamente separate e isolate in base alla loro identità univoca.

Guida all'implementazione

Passaggio 1: Recuperare le credenziali RADIUS di Purple

Prima di modificare la configurazione di OpenWrt, recuperare i seguenti elementi dalla console di amministrazione del portale Purple:

• Indirizzo IP del server RADIUS primario
• Indirizzo IP del server RADIUS secondario (per failover)
• Segreto condiviso RADIUS (Shared Secret)
• URL della Splash Page del Captive Portal
• URL di reindirizzamento post-autenticazione

Passaggio 2: Installare e configurare CoovaChilli per il WiFi ospiti

Installare il pacchetto coova-chilli tramite opkg:

opkg update && opkg install coova-chilli

Il file di configurazione principale è /etc/chilli/defaults. Definire i parametri di rete principali:

# Network interfaces
HS_WANIF=eth0           # Interfaccia internet a monte
HS_LANIF=wlan0          # L'interfaccia WiFi ospiti (o una sotto-interfaccia VLAN)

# Guest subnet
HS_NETWORK=10.10.20.0
HS_NETMASK=255.255.255.0
HS_UAMLISTEN=10.10.20.1 # IP di CoovaChilli sulla rete ospiti
HS_UAMPORT=3990

# Integrazione Purple RADIUS
HS_RADIUS=
HS_RADIUS2=
HS_RADSECRET=
HS_NASID=venue-openwrt-01

# Splash page di Purple
HS_UAMSERVER=

# Walled garden - whitelist basata su dominio
HS_UAMDOMAINS=".purple.ai,.googleapis.com,.gstatic.com,.facebook.com,.fbcdn.net"

Abilita e avvia il servizio:

/etc/init.d/chilli enable
/etc/init.d/chilli start

Passo 3: Configurare l'interfaccia wireless OpenWrt per l'SSID guest

In /etc/config/wireless, definisci l'SSID guest come una rete aperta associata all'interfaccia che verrà gestita da CoovaChilli:

config wifi-iface 'guest_wifi'
    option device 'radio0'
    option network 'guest'
    option mode 'ap'
    option ssid 'Venue_Guest'
    option encryption 'none'
    option isolate '1'

L'isolamento dei client (isolate '1') impedisce ai dispositivi guest di comunicare tra loro: un controllo di sicurezza obbligatorio per qualsiasi rete condivisa.

Passo 4: Configurare hostapd per il Wi-Fi del personale 802.1X

Per l'SSID del personale, configura WPA2-Enterprise in /etc/config/wireless:

config wifi-iface 'staff_wifi'
    option device 'radio0'
    option network 'staff_vlan10'
    option mode 'ap'
    option ssid 'Venue_Staff'
    option encryption 'wpa2'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option vlan_bridge 'br-vlan'
    option vlan_naming '0'

L'impostazione dynamic_vlan '2' indica a hostapd di applicare l'assegnazione VLAN restituita dal server RADIUS e di rifiutare l'autenticazione se non viene restituita alcuna VLAN.

Requisito del pacchetto: Il pacchetto standard wpad-mini non supporta WPA2-Enterprise. È necessario installare wpad o wpad-openssl:

opkg remove wpad-mini && opkg install wpad-openssl

Passo 5: Configurare PPSK per la segmentazione multi-tenant

PPSK richiede che hostapd esegua l'autenticazione dell'indirizzo MAC tramite il server RADIUS, il quale restituisce la passphrase specifica per ciascun dispositivo. In /etc/config/wireless:

config wifi-iface 'ppsk_ssid'
    option device 'radio0'
    option mode 'ap'
    option ssid 'Venue_Connect'
    option encryption 'psk2'
    option key 'default_fallback_key'
    option macfilter 'radius'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option wpa_psk_radius '2'

Il parametro wpa_psk_radius '2' indica a hostapd di richiedere l'attributo Tunnel-Password dalla risposta RADIUS. Se il server RADIUS non restituisce una passphrase, l'autenticazione viene rifiutata.

Sul lato Purple RADIUS, la sezione authorize della configurazione di FreeRADIUS (o equivalente) mappa gli indirizzi MAC alle passphrase e agli ID VLAN:

# Esempio di voce di autorizzazione RADIUS per PPSK
AA:BB:CC:DD:EE:FF   Auth-Type := Accept
    Tunnel-Password = "GuestPass2024",
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-ID = "20"

Passo 6: Configurare l'assegnazione dinamica delle VLAN

Affinché l'assegnazione dinamica della VLAN funzioni, lo switch OpenWrt deve essere configurato per trasportare le VLAN rilevanti come traffico taggato sulla porta trunk che si collega allo switch core. In /etc/config/network:

config interface 'vlan10'
    option ifname 'eth0.10'
    option proto 'dhcp'

config interface 'vlan20'
    option ifname 'eth0.20'
    option proto 'dhcp'

config interface 'vlan30'
    option ifname 'eth0.30'
    option proto 'dhcp'

Assicurati che la porta dello switch core sia configurata come trunk, consentendo il passaggio delle VLAN 10, 20 e 30 come taggate.

Best practice

Segregazione assoluta della rete. Non effettuare mai il bridge delle interfacce guest con le reti interne. Il traffico guest deve essere isolato su una VLAN dedicata e instradato direttamente verso il firewall internet. Questo è un requisito non negoziabile per la conformità GDPR e PCI DSS 4.0, che impone che le reti WiFi guest siano completamente isolate da qualsiasi segmento di rete che gestisce dati dei titolari di carta.

Precisione del walled garden. Un walled garden incompleto è la causa principale dei malfunzionamenti del Captive Portal. Utilizza gli strumenti per sviluppatori del browser su un dispositivo di test connesso al SSID guest per identificare quali richieste vengono bloccate prima dell'autenticazione. Ogni dominio bloccato rappresenta un potenziale errore del portale.

Intervalli di accounting RADIUS. Configura l'intervallo provvisorio di accounting di CoovaChilli su 120 secondi. Ciò fornisce dati di sessione quasi in tempo reale nella dashboard di analisi di Purple senza generare traffico RADIUS eccessivo.

Server RADIUS secondario. Configura sempre HS_RADIUS2 nella configurazione di CoovaChilli. Se il server RADIUS principale di Purple non è raggiungibile, CoovaChilli non sarà in grado di autenticare le nuove sessioni. Il server secondario garantisce il failover automatico senza richiedere modifiche di configurazione sull'access point.

Selezione dei pacchetti. Il pacchetto wpad-mini incluso in molte build OpenWrt non supporta WPA2-Enterprise o l'assegnazione dinamica della VLAN. Installa sempre wpad-openssl per qualsiasi implementazione che richieda 802.1X o PPSK.

Per ulteriori indicazioni sull'architettura di sicurezza WiFi aziendale, consulta la nostra guida Enterprise WiFi Security: A Complete Guide for 2026 .

Risoluzione dei problemi e mitigazione dei rischi

GDPR compliance note: CoovaChilli non acquisisce né memorizza dati personali. Tutti i meccanismi di acquisizione del consenso, elaborazione dei dati e conformità al GDPR sono gestiti dalla piattaforma Purple a livello di portale. Assicurati che il tuo Captive Portal Purple sia configurato con i termini e le condizioni della tua struttura e con l'informativa sul trattamento dei dati prima della messa in servizio.

Per i modelli di integrazione hardware correlati, consulta le nostre guide su EnGenius Cloud Access Points Integration with Purple WiFi e DrayTek Vigor Routers and Access Points Integration with Purple WiFi .

ROI & business impact

Il passaggio da reti PSK di base a un'architettura OpenWrt gestita da Purple offre un impatto misurabile su tre dimensioni.

Data capture and marketing. Imponendo l'autenticazione tramite Captive Portal, le strutture acquisiscono dati demografici di prima parte conformi (nomi, indirizzi e-mail, profili social) al momento della connessione al WiFi. Questi dati confluiscono direttamente nelle piattaforme di CRM e di email marketing, incentivando le iscrizioni ai programmi fedeltà e consentendo campagne mirate. Purple ha gestito 440 milioni di accessi nel 2024 (dati interni Purple), a dimostrazione della portata dell'acquisizione di dati di prima parte possibile all'edge della rete.

Efficienza operativa. L'implementazione di PPSK riduce il sovraccarico degli SSID, migliorando le prestazioni del WiFi in ambienti densi. Per una catena di vendita al dettaglio con 200 punti vendita, la gestione centralizzata dell'identità tramite il cloud RADIUS di Purple - anziché l'aggiornamento delle configurazioni dei router locali in ogni sito - consente di risparmiare centinaia di ore di ingegneria all'anno. Una singola modifica ai criteri RADIUS si propaga istantaneamente a tutte le 200 sedi.

Sicurezza e conformità. L'assegnazione dinamica della VLAN applica il principio del privilegio minimo all'edge. Il personale è isolato dagli ospiti. I dispositivi IoT sono isolati dal personale. I terminali POS sono isolati da tutto il restante traffico. Questa segmentazione soddisfa i requisiti di isolamento della rete PCI DSS 4.0 e fornisce una topologia di rete chiara e verificabile per i controlli di conformità al GDPR.

Per i modelli di implementazione specifici per settore, consulta le nostre guide per gli ambienti Retail , Hospitality , Healthcare e Transport . Potrebbe essere utile anche la nostra guida su What Is Wireless Display: Protocols & Best Practices 2026 per comprendere le tecnologie wireless complementari nelle implementazioni all'interno delle strutture.