Captive Portal for Ruckus

Resumo Executivo

A implantação de uma rede sem fio para convidados de alto desempenho em ambientes corporativos exige um equilíbrio delicado entre uma experiência de usuário fluida e uma segurança técnica robusta. Para organizações que utilizam arquiteturas CommScope Ruckus — que vão desde estádios de alta densidade e centros de convenções até grandes redes de varejo e grupos hoteleiros —, o Captive Portal serve como a principal porta de entrada para a integração de usuários, aplicação de conformidade e captura de dados primários (first-party data).

Este guia oferece um roteiro autoritativo e passo a passo para integrar Captive Portals externos com controladores Ruckus SmartZone e Ruckus Unleashed. Ao aproveitar os protocolos de roaming padrão do setor Wireless Internet Service Provider roaming (WISPr), os engenheiros de rede podem implementar redirecionamento confiável, autenticação segura Remote Authentication Dial-In User Service (RADIUS) e configurações detalhadas de Walled Garden.

Quando combinada com a plataforma de Guest WiFi da Purple e WiFi Analytics , essa integração permite que os operadores de locais capturem dados demográficos críticos dos visitantes, cumpram as regulamentações internacionais de dados (como GDPR e PCI DSS) e liberem uma poderosa automação de marketing. Seja implantando arquiteturas centralizadas do Virtual SmartZone (vSZ) em hubs de Hospitalidade e Transporte , ou redes Unleashed distribuídas baseadas em AP em ambientes de Varejo , esta referência técnica garante uma implantação resiliente e de alta capacidade de processamento.

Detalhamento Técnico

Para implantar uma rede de convidados altamente escalável, os engenheiros devem compreender os padrões de comunicação subjacentes que regem o fluxo do Captive Portal. As arquiteturas Ruckus utilizam o padrão WISPr 2.0 para negociar o redirecionamento e a autenticação do cliente. O WISPr define como um ponto de acesso (AP) sem fio ou controlador intercepta o tráfego HTTP/HTTPS não autenticado e redireciona o navegador do cliente para um servidor web de portal externo.

O Fluxo de Autenticação WISPr

O processo de redirecionamento do Captive Portal externo segue uma sequência estrita de transações de rede. Compreender esse fluxo é essencial para a resolução de problemas e para a configuração de políticas de firewall upstream:

1. Associação: O cliente convidado se associa ao SSID de convidado aberto e não criptografado. O AP atribui um endereço IP ao cliente via DHCP.
2. Sonda HTTP: O sistema operacional do cliente dispara uma sonda HTTP (por exemplo, a sonda do Captive Network Assistant da Apple para captive.apple.com ou a verificação de conectividade do Android para connectivitycheck.gstatic.com) para verificar o acesso à internet.
3. Redirecionamento HTTP 302: O AP Ruckus ou controladora SmartZone intercepta essa requisição HTTP não autenticada. Ele responde com um Redirecionamento HTTP 302, encaminhando o navegador do cliente para a URL do portal externo (por exemplo, a página de login da Purple). Esta URL de redirecionamento é anexada com parâmetros de consulta críticos, incluindo o endereço MAC do cliente (client_mac), endereço IP (client_ip), endereço MAC do AP (ap_mac) e o IP da Northbound Interface da controladora (nbiIP).
4. Renderização do Portal: O navegador do cliente carrega a página do portal externo. O tráfego não autenticado para o domínio do portal e seus ativos associados é permitido pela política de Walled Garden da controladora.
5. Autenticação do Usuário: O usuário conclui os requisitos de login (por exemplo, login social, registro por SMS, envio de formulário) no portal.
6. RADIUS Access-Request: A plataforma do portal externo, agindo como um cliente RADIUS, envia um Access-Request para o Servidor de Autenticação RADIUS configurado (como a infraestrutura de Cloud RADIUS da Purple).
7. RADIUS Access-Accept: O servidor RADIUS valida as credenciais e retorna um pacote Access-Accept contendo parâmetros de sessão (por exemplo, tempo limite de sessão, limites de largura de banda) para a controladora Ruckus.
8. NBI Callback: O portal externo faz uma chamada de API para a Northbound Interface (NBI) da controladora Ruckus usando credenciais WISPr, instruindo a controladora a autorizar o endereço MAC do cliente.
9. Acesso à Internet: A controladora altera o estado do cliente para "Autenticado", permitindo o acesso total à internet sujeito às políticas de sessão configuradas.

Comparação da Arquitetura Core

Dependendo da escala do local, as organizações implantam as arquiteturas CommScope Ruckus SmartZone (escala empresarial, baseada em controladora) ou Ruckus Unleashed (distribuída, sem controladora). Embora ambas suportem Captive Portals externos baseados em WISPr, seus caminhos de configuração subjacentes e recursos diferem significativamente:

Guia de Implementação

Este guia de implementação passo a passo orienta os engenheiros de rede na configuração de um Captive Portal externo nos controladores Ruckus SmartZone e Ruckus Unleashed.

Parte A: Configuração do Ruckus SmartZone

Passo 1: Configurar Servidores RADIUS AAA

Para autenticar usuários convidados em um banco de dados externo, você deve primeiro definir os servidores de Autenticação e Tarifação (Accounting) RADIUS.

1. Navegue até Services & Profiles > Authentication e selecione a aba Proxy (SZ Authenticator).
2. Selecione a sua Zone de destino e clique em Create.
3. Configure os seguintes parâmetros:
   • Name: Purple_RADIUS_Auth
   • Service Protocol: RADIUS
   • Primary Server IP: Insira o endereço IP fornecido no seu Console de Administração Purple.
   • Port: 1812
   • Shared Secret: Insira o seu Purple RADIUS Shared Secret.
   • Backup RADIUS: Enabled (Configure o IP secundário, Porta 1812 e o mesmo shared secret para alta disponibilidade).
4. Clique em OK para salvar.
5. Navegue até Services & Profiles > Accounting e clique em Create sob a aba Proxy (SZ Authenticator).
6. Configure os seguintes parâmetros:
   • Name: Purple_RADIUS_Acct
   • Service Protocol: RADIUS Accounting
   • Primary Server IP: Insira o endereço IP fornecido no seu Console de Administração Purple.
   • Port: 1813
   • Shared Secret: Insira o seu Purple RADIUS Shared Secret.
   • Backup RADIUS: Enabled (Configure o IP secundário, Porta 1813 e o mesmo shared secret).
7. Clique em OK para salvar.

Passo 2: Configurar o Perfil de Portal Hotspot WISPr

O perfil Hotspot WISPr define o comportamento de redirecionamento e as regras de Walled Garden.

1. Navegue até Services & Profiles > Hotspots & Portals > Hotspot (WISPr).
2. Selecione a sua Zone de destino e clique em Create.
3. Na seção General Options, configure:
   • Portal Name: Purple_WISPr_Portal
   • WISPr Smart Client Support: None
   • Login URL: Selecione External e insira a URL de redirecionamento primária fornecida pela Purple (ex: https://login.purple.ai/start).
   • Redirect MAC Format: AA:BB:CC:DD:EE:FF (Este formato é crítico para a análise do banco de dados da Purple).
4. Na seção Start Page, configure:
   • Selecione Redirect to the following URL e insira: https://login.purple.ai/success.php
5. Na seção Session Options, configure:
   • Session Timeout: 1440 minutos (24 horas, ou de acordo com a política da sua empresa).
   • Grace Period: 60 minutos (permite que os usuários se reconectem dentro de 1 hora sem precisar se autenticar novamente).
6. Clique em OK para salvar o perfil.

Passo 3: Definir Exceções do Walled Garden

O Walled Garden permite que clientes não autenticados resolvam DNS e baixem recursos de domínios específicos necessários para carregar a splash page e autenticar.

1. Edite o perfil Purple_WISPr_Portal recém-criado.
2. Role para baixo e clique no sinal + para expandir a seção Walled Garden.
3. Adicione os seguintes domínios obrigatórios. Observe que o Ruckus SmartZone requer o formato curinga *.domain.com:
   • *.purple.ai (Portal principal e domínio de redirecionamento)
   • *.cloudfront.net (CDN para carregar folhas de estilo e recursos JavaScript)
   • *.apple.com e captive.apple.com (Para gerenciar o comportamento do Apple Captive Network Assistant)
   • *.googleapis.com e *.gstatic.com (Para API do Google e entrega de recursos)
4. Adicione quaisquer domínios de redes sociais se você ativar o login social (ex: *.facebook.com, *.facebook.net para login do Facebook).
5. Clique em OK para salvar.

Passo 4: Configurar a LAN Sem Fio de Visitantes (WLAN)

Agora, vincule os servidores RADIUS e o perfil de Hotspot a um novo SSID.

1. Navegue até Wireless LANs e selecione sua Zone de destino.
2. Clique em Create para criar uma nova WLAN.
3. Configure as General Options:
   • Name: Guest_WiFi
   • SSID: !Free_Venue_WiFi
4. Configure as Security Options:
   • Authentication Type: Hotspot (WISPr)
   • Method: Open
   • Encryption Options: None
5. Expanda a seção Hotspot Portal:
   • Hotspot (WISPr) Portal: Selecione Purple_WISPr_Portal.
   • Authentication Service: Selecione Purple_RADIUS_Auth.
   • Accounting Service: Selecione Purple_RADIUS_Acct.
   • Send Interim Update: Defina para 5 minutos (essencial para o rastreamento de sessão em tempo real).
6. Expanda as RADIUS Options:
   • NAS ID: Defina como User-defined e insira o ID do local atribuído pela Purple.
   • Called Station ID: Selecione AP MAC.
   • Single Session ID: ON (Evita a duplicação de sessões entre APs).
7. Clique em OK para implantar a WLAN.

Passo 5: Ativar a Interface WISPr Northbound (NBI)

A NBI permite que a Purple se comunique de volta com o SmartZone para autorizar clientes.

1. Navegue até Administration > External Services > WISPr Northbound Interface.
2. Marque a caixa para Enable Northbound Interface support.
3. Defina um Username e Password (ex: purple_nbi / SecureNbiPassword123!).
4. Insira essas credenciais no Console de Administração da Purple em Integrations > Ruckus SmartZone.

Passo 6: Desativar Criptografia de MAC/IP (PASSO CRÍTICO DE CLI)

Por padrão, o SmartZone criptografa os endereços MAC na URL de redirecionamento. Você deve desativar isso para que a Purple possa ler os MACs dos clientes.

1. Abra uma sessão SSH para o IP de gerenciamento do seu controlador SmartZone.
2. Faça login com suas credenciais de administrador.
3. Execute os seguintes comandos:

   ruckus> enable
   ruckus# config
   ruckus(config)# no encrypt-mac-ip
   ruckus(config)# end
   ruckus# write memory
   

Parte B: Configuração do Ruckus Unleashed

Para locais menores que utilizam uma arquitetura Unleashed sem controladora, configure o Captive Portal por meio da interface web do AP mestre.

Passo 1: Definir Servidores AAA

1. Navegue até Admin & Services > Services > AAA Servers.
2. Clique em Create New para adicionar o Servidor de Autenticação RADIUS:
   • Name: Purple_Auth
   • Type: RADIUS
   • IP Address: Insira o IP do RADIUS da Purple.
   • Port: 1812
   • Shared Secret: Insira o seu Segredo Compartilhado do RADIUS da Purple.
3. Clique em OK.
4. Clique em Create New para adicionar o Servidor de Tarifação (Accounting) RADIUS:
   • Name: Purple_Acct
   • Type: RADIUS Accounting
   • IP Address: Insira o IP do RADIUS da Purple.
   • Port: 1813
   • Shared Secret: Insira o seu Segredo Compartilhado do RADIUS da Purple.
5. Clique em OK.

Passo 2: Configurar o Serviço de Hotspot

1. Navegue até Admin & Services > Services > Hotspot Services.
2. Clique em Create New.
3. Na aba General:
   • Name: Purple_Hotspot
   • Login URL: Insira a sua URL de redirecionamento da Purple.
   • Start Page: Selecione Redirect to the following URL e insira https://login.purple.ai/success.php.
4. Na aba Authentication:
   • Authentication Server: Selecione Purple_Auth.
   • Accounting Server: Selecione Purple_Acct.
   • Interim Update: Defina para 5 minutos.
5. Na aba Walled Garden:
   • Adicione as entradas de nível de domínio (ex: purple.ai, cloudfront.net, gstatic.com). Observe que o Unleashed não exige o prefixo curinga de asterisco; a correspondência padrão de nível de domínio é aplicada automaticamente.
6. Clique em OK para salvar.

Passo 3: Atribuir o Serviço de Hotspot ao WLAN

1. Navegue até Wi-Fi Networks e clique em Create.
2. Defina Name e SSID com o nome da sua rede de convidados.
3. Defina Usage Type como Hotspot Service.
4. Selecione Purple_Hotspot na lista de serviços.
5. Clique em OK para publicar o SSID em todos os APs Unleashed.

Melhores Práticas

Para garantir o máximo desempenho, segurança e conformidade regulatória, os arquitetos de rede devem implementar as seguintes melhores práticas padrão do setor:

1. Segmentação Granular de VLAN de Convidados

Nunca mapeie o tráfego de convidados para a VLAN nativa ou de gerenciamento. Sempre isole os clientes convidados em uma VLAN dedicada e não roteável (ex: VLAN 100). Implemente Listas de Controle de Acesso (ACLs) rígidas no switch ou firewall upstream para bloquear o tráfego de convidados de alcançar sub-redes corporativas, sistemas de ponto de venda (PDV) e infraestrutura de IoT. Essa segmentação é um requisito essencial para a conformidade com o PCI DSS.

2. Otimização de RF para Alta Densidade

In high-density environments like stadiums, conference centres, and large retail hubs, RF tuning is critical. Disable lower legacy data rates (e.g., disable 802.11b rates below 12 Mbps) to force clients onto faster rates, reducing airtime contention. Enable Band Steering to direct dual-band client devices to the 5 GHz and 6 GHz spectrum, preserving the highly congested 2.4 GHz band for legacy devices.

3. Dynamic Walled Garden Management

Keep your Walled Garden as lean as possible. Overly permissive walled gardens (such as adding large IP subnets like 172.217.0.0/16) can allow unauthenticated users to bypass the captive portal and access external services (like Google Search or YouTube) without logging in. Regularly audit your walled garden domains, especially after enabling new social login providers.

4. Secure Session Management

Set reasonable session timeouts (e.g., 1440 minutes / 24 hours) and grace periods (e.g., 60 minutes). A well-configured grace period prevents "portal fatigue" by allowing users who temporarily lose WiFi coverage (e.g., stepping outside a hotel lobby) to reconnect seamlessly without being forced to re-authenticate.

5. Regulatory Compliance and Security

Deploying public guest WiFi exposes venues to legal risks. Ensure your captive portal integration complies with local regulations:

• GDPR / CCPA: Ensure the splash page displays clear terms of service and privacy policies, requiring active opt-in consent for marketing communications.
• WPA3-Transition Mode: While guest networks are typically open, consider enabling WPA3-Transition mode with Opportunistic Wireless Encryption (OWE) to encrypt wireless traffic between the client and the AP without requiring a pre-shared key, protecting guests from passive eavesdropping.
• Web Content Filtering: Upstream DNS servers (such as Cisco Umbrella or Cloudflare Families) should be configured to block malicious domains, adult content, and illegal file-sharing traffic on the guest VLAN.

Troubleshooting & Risk Mitigation

When deploying external captive portals on Ruckus hardware, engineers commonly encounter a predictable set of configuration and network path issues. Use this structured troubleshooting framework to resolve deployment bottlenecks.

Common Failure Modes and Resolution Paths

Issue 1: Guest devices are not redirected to the captive portal page.

• Root Cause A: DNS Resolution Failure. Unauthenticated clients must be able to resolve DNS queries before redirection. If the client cannot resolve login.purple.ai, the redirect will fail.
  • Resolution: Verify that the DHCP scope assigned to the guest VLAN provides valid, public DNS servers (e.g., 1.1.1.1 or 8.8.8.8). Ensure the upstream firewall permits UDP port 53 traffic from the guest subnet to the internet pre-authentication.
• Root Cause B: Firewall blocking Port 9080/9443. SmartZone requires specific ports open to load the splash page.
  • Resolução: Certifique-se de que a porta TCP 9080 (HTTP) ou 9443 (HTTPS) esteja permitida em todos os firewalls locais.
• Causa Raiz C: Configuração incorreta do Walled Garden. O próprio URL de redirecionamento pode estar bloqueado.
  • Resolução: Certifique-se de que *.purple.ai esteja explicitamente definido no Hotspot WISPr Walled Garden.

Problema 2: Os visitantes conseguem visualizar e preencher a página de login, mas não conseguem acessar a internet após clicar em "Conectar".

• Causa Raiz A: Falha de Comunicação do NBI. O portal externo não consegue enviar a chamada de API de autorização de volta para o controlador SmartZone.
  • Resolução: Verifique se a Northbound Interface (NBI) do SmartZone está habilitada e se as credenciais inseridas no Console de Administração da Purple coincidem com a configuração do controlador. Certifique-se de que o seu firewall de borda permita o tráfego de entrada na porta TCP 9080 (ou 9443) a partir do intervalo de IPs públicos da Purple para o IP de gerenciamento do SmartZone.
• Causa Raiz B: Falha de Autenticação RADIUS. O controlador está rejeitando o RADIUS Access-Accept ou não o recebeu.
  • Resolução: Navegue até Services & Profiles > Authentication no SmartZone, selecione o seu servidor RADIUS e clique em Test AAA. Insira credenciais de teste para verificar a conectividade. Se o teste falhar, verifique o IP do RADIUS, a porta 1812 e o Shared Secret. Certifique-se de que as portas UDP 1812 e 1813 estejam permitidas para saída no seu firewall de borda.

Problema 3: Dispositivos Apple iOS não exibem o mini-navegador Captive Network Assistant (CNA) automaticamente.

• Causa Raiz: Bypass do CNA da Apple ativado ou Walled Garden muito permissivo. Se o domínio de teste da Apple for permitido no walled garden, o iOS assume que tem acesso direto à internet e suprime o CNA.
  • Resolução: Certifique-se de que captive.apple.com NÃO esteja totalmente liberado no seu walled garden se você deseja forçar a exibição do CNA. Por outro lado, se a sua política for ignorar o CNA e forçar os usuários a abrir um navegador padrão, certifique-se de que a opção Bypass CNA esteja ATIVADA na configuração da WLAN.

Requisitos de Portas de Rede e Protocolos

Para garantir uma comunicação contínua entre o controlador Ruckus, os dispositivos dos clientes e o portal externo, verifique se as seguintes portas estão permitidas nos firewalls da sua rede:

ROI e Impacto no Negócio

Enquanto os engenheiros de rede se concentram em fluxos de pacotes e configurações de portas, os diretores de TI e CTOs precisam justificar o investimento em WiFi de visitantes corporativos. A integração do hardware de alta densidade da Ruckus com a plataforma de Purple's WiFi Analytics transforma uma rede que antes era centro de custo em um ativo de negócios de alto valor, entregando um retorno sobre o investimento (ROI) mensurável.

1. Captura de Dados Primários (First-Party Data) em Escala

Em setores como Varejo e Hotelaria , entender a demografia dos clientes é o principal motor de crescimento dos negócios. Um SSID aberto padrão captura zero dados dos visitantes. Ao implementar o Captive Portal da Purple, os estabelecimentos alcançam taxas médias de conclusão de login de 25% a 40%. Isso permite que os operadores capturem legalmente endereços de e-mail verificados, números de telefone e perfis de redes sociais.

2. Engajamento e Marketing Hiperlocalizado

Ao associar os serviços de localização precisos da Ruckus com o mecanismo de marketing da Purple, os estabelecimentos podem disparar campanhas automatizadas em tempo real com base na presença física. Por exemplo, uma marca de varejo pode disparar um cupom via SMS direcionado para um visitante que está navegando em um departamento específico por mais de 15 minutos, ou um hotel pode enviar um e-mail de boas-vindas com um link para agendar serviços de spa imediatamente após o hóspede se conectar ao WiFi do lobby.

3. Eficiência Operacional e Insights do Estabelecimento

A integração de Captive Portals com análise de localização entrega uma inteligência operacional poderosa. Os diretores de estabelecimentos podem monitorar:

• Fluxo de Pessoas e Tempo de Permanência: Meça o número exato de visitantes, quanto tempo eles permanecem e seu trajeto pelo espaço físico.
• Fidelidade e Taxas de Retorno: Identifique visitantes novos vs. recorrentes para avaliar o impacto de campanhas de marketing e mudanças operacionais.
• Otimização de Equipe: Alinhe os níveis de pessoal com mapas de densidade de visitantes em tempo real, reduzindo custos operacionais em horários de pouco movimento e melhorando o atendimento ao cliente nos horários de pico.

Matriz de Impacto nos Negócios

A tabela abaixo descreve os resultados de negócios típicos em verticais essenciais após a implantação de uma rede de WiFi de visitantes integrada com Ruckus e Purple:

Ao alinhar a excelência técnica em engenharia sem fio com os objetivos de negócios estratégicos, a integração entre Ruckus e Purple entrega uma infraestrutura de rede corporativa segura, em conformidade e altamente lucrativa.

Referências

• [1] CommScope Ruckus SmartZone Access Services Guide
• [2] Ruckus SmartZone RADIUS Authentication Deployment Guide
• [3] Ruckus Unleashed Hotspot WISPr Configuration Guide
• [4] Cisco Wireless APs: 2026 Guide to Products & Deployment
• [5] 10 Best Network Access Control (NAC) Solutions for 2026
• [6] WiFi in Schools: The 2026 Administrator & IT Guide
• [7] How to Implement 802.1X Authentication with Cloud RADIUS