Captive Portal for Ruckus

Resumo Executivo

A implementação de uma rede sem fios para convidados de alto desempenho em espaços empresariais exige um equilíbrio delicado entre uma experiência de utilizador fluida e uma segurança técnica robusta. Para organizações que utilizam arquiteturas CommScope Ruckus — que vão desde estádios de alta densidade e centros de convenções a grandes propriedades de retalho e grupos hoteleiros — o Captive Portal serve como a principal porta de entrada para a integração de utilizadores, aplicação de conformidade e captura de dados primários (first-party data).

Este guia oferece um manual passo a passo autoritário para integrar Captive Portals externos com controladores Ruckus SmartZone e Ruckus Unleashed. Ao tirar partido dos protocolos de roaming WISPr (Wireless Internet Service Provider) padrão da indústria, os engenheiros de rede podem implementar redirecionamentos fiáveis, autenticação RADIUS (Remote Authentication Dial-In User Service) segura e configurações granulares de Walled Garden.

Quando combinada com a plataforma Guest WiFi da Purple e WiFi Analytics , esta integração permite que os operadores dos espaços capturem dados demográficos críticos dos visitantes, cumpram os regulamentos internacionais de dados (como o GDPR e PCI DSS) e desbloqueiem uma poderosa automatização de marketing. Quer se trate de implementar arquiteturas Virtual SmartZone (vSZ) centralizadas em hubs de Hotelaria e Transportes , ou redes Unleashed distribuídas baseadas em AP em ambientes de Retalho , esta referência técnica garante uma implementação resiliente e de alto débito.

Análise Técnica Detalhada

Para implementar uma rede de convidados altamente escalável, os engenheiros devem compreender os padrões de comunicação subjacentes que regem o fluxo do Captive Portal. As arquiteturas Ruckus utilizam o padrão WISPr 2.0 para negociar o redirecionamento e a autenticação do cliente. O WISPr define como um ponto de acesso (AP) sem fios ou controlador intercepta o tráfego HTTP/HTTPS não autenticado e redireciona o navegador do cliente para um servidor web de portal externo.

O Fluxo de Autenticação WISPr

O processo de redirecionamento do Captive Portal externo segue uma sequência rigorosa de transações de rede. Compreender este fluxo é essencial para a resolução de problemas e para a configuração de políticas de firewall a montante:

1. Associação: O cliente convidado associa-se ao SSID de convidados aberto e não encriptado. O AP atribui um endereço IP ao cliente via DHCP.
2. Sonda HTTP: O sistema operativo do cliente envia uma sonda HTTP (por exemplo, a sonda Captive Network Assistant da Apple para captive.apple.com ou a verificação de conectividade do Android para connectivitycheck.gstatic.com) para verificar o acesso à internet.
3. Redirecionamento HTTP 302: O AP Ruckus ou o controlador SmartZone intercepta este pedido HTTP não autenticado. Responde com um Redirecionamento HTTP 302, reencaminhando o navegador do cliente para o URL do portal externo (por exemplo, a página de login da Purple). A este URL de redirecionamento são anexados parâmetros de consulta críticos, incluindo o endereço MAC do cliente (client_mac), o endereço IP (client_ip), o endereço MAC do AP (ap_mac) e o IP da Northbound Interface do controlador (nbiIP).
4. Renderização do Portal: O navegador do cliente carrega a página do portal externo. O tráfego não autenticado para o domínio do portal e respetivos recursos associados é permitido pela política de Walled Garden do controlador.
5. Autenticação do Utilizador: O utilizador conclui os requisitos de login (por exemplo, login social, registo por SMS, submissão de formulário) no portal.
6. RADIUS Access-Request: A plataforma do portal externo, agindo como um cliente RADIUS, envia um Access-Request para o Servidor de Autenticação RADIUS configurado (como a infraestrutura Cloud RADIUS da Purple).
7. RADIUS Access-Accept: O servidor RADIUS valida as credenciais e devolve um pacote Access-Accept contendo os parâmetros da sessão (por exemplo, tempo limite da sessão, limites de largura de banda) para o controlador Ruckus.
8. NBI Callback: O portal externo faz uma chamada de API para a Northbound Interface (NBI) do controlador Ruckus utilizando credenciais WISPr, instruindo o controlador a autorizar o endereço MAC do cliente.
9. Acesso à Internet: O controlador altera o estado do cliente para "Autenticado", permitindo o acesso total à internet sujeito às políticas de sessão configuradas.

Comparação da Arquitetura Principal

Dependendo da dimensão do local, as organizações implementam as arquiteturas CommScope Ruckus SmartZone (escala empresarial, baseada em controlador) ou Ruckus Unleashed (distribuída, sem controlador). Embora ambas suportem Captive Portals externos baseados em WISPr, os seus caminhos de configuração subjacentes e capacidades diferem significativamente:

Guia de Implementação

Este guia de implementação passo a passo orienta os engenheiros de rede na configuração de um Captive Portal externo nos controladores Ruckus SmartZone e Ruckus Unleashed.

Parte A: Configuração do Ruckus SmartZone

Passo 1: Configurar Servidores RADIUS AAA

Para autenticar utilizadores convidados numa base de dados externa, deve primeiro definir os servidores de Autenticação e Accounting RADIUS.

1. Navegue até Services & Profiles > Authentication e selecione o separador Proxy (SZ Authenticator).
2. Selecione a sua Zone alvo e clique em Create.
3. Configure os seguintes parâmetros:
   • Name: Purple_RADIUS_Auth
   • Service Protocol: RADIUS
   • Primary Server IP: Introduza o endereço IP fornecido na sua consola de administração Purple.
   • Port: 1812
   • Shared Secret: Introduza o seu Purple RADIUS Shared Secret.
   • Backup RADIUS: Enabled (Configure o IP secundário, Porta 1812 e o mesmo shared secret para alta disponibilidade).
4. Clique em OK para guardar.
5. Navegue até Services & Profiles > Accounting e clique em Create sob o separador Proxy (SZ Authenticator).
6. Configure os seguintes parâmetros:
   • Name: Purple_RADIUS_Acct
   • Service Protocol: RADIUS Accounting
   • Primary Server IP: Introduza o endereço IP fornecido na sua consola de administração Purple.
   • Port: 1813
   • Shared Secret: Introduza o seu Purple RADIUS Shared Secret.
   • Backup RADIUS: Enabled (Configure o IP secundário, Porta 1813 e o mesmo shared secret).
7. Clique em OK para guardar.

Passo 2: Configurar o Perfil de Portal Hotspot WISPr

O perfil Hotspot WISPr define o comportamento de redirecionamento e as regras de Walled Garden.

1. Navegue até Services & Profiles > Hotspots & Portals > Hotspot (WISPr).
2. Selecione a sua Zone alvo e clique em Create.
3. Na secção General Options, configure:
   • Portal Name: Purple_WISPr_Portal
   • WISPr Smart Client Support: None
   • Login URL: Selecione External e introduza o URL de redirecionamento principal fornecido pela Purple (ex: https://login.purple.ai/start).
   • Redirect MAC Format: AA:BB:CC:DD:EE:FF (Este formato é crítico para a análise da base de dados da Purple).
4. Na secção Start Page, configure:
   • Selecione Redirect to the following URL e introduza: https://login.purple.ai/success.php
5. Na secção Session Options, configure:
   • Session Timeout: 1440 minutos (24 horas, ou de acordo com a política da sua empresa).
   • Período de Tolerância: 60 minutos (permite que os utilizadores se voltem a ligar no prazo de 1 hora sem necessidade de nova autenticação).
6. Clique em OK para guardar o perfil.

Passo 3: Definir Exceções do Walled Garden

O Walled Garden permite que clientes não autenticados resolvam DNS e descarreguem recursos de domínios específicos necessários para carregar a splash page e efetuar a autenticação.

1. Edite o seu perfil Purple_WISPr_Portal recém-criado.
2. Desça e clique no sinal + para expandir a secção Walled Garden.
3. Adicione os seguintes domínios obrigatórios. Note que o Ruckus SmartZone requer o formato wildcard *.domain.com:
   • *.purple.ai (Portal principal e domínio de redirecionamento)
   • *.cloudfront.net (CDN para carregar folhas de estilo e recursos JavaScript)
   • *.apple.com e captive.apple.com (Para gerir o comportamento do Apple Captive Network Assistant)
   • *.googleapis.com e *.gstatic.com (Para a API Google e entrega de recursos)
4. Adicione quaisquer domínios de redes sociais se ativar o início de sessão social (ex. *.facebook.com, *.facebook.net para início de sessão do Facebook).
5. Clique em OK para guardar.

Passo 4: Configurar a Wireless LAN (WLAN) de Convidados

Agora, associe os servidores RADIUS e o perfil de Hotspot a um novo SSID.

1. Navegue até Wireless LANs e selecione a sua Zona de destino.
2. Clique em Criar para criar uma nova WLAN.
3. Configure as Opções Gerais:
   • Nome: Guest_WiFi
   • SSID: !Free_Venue_WiFi
4. Configure as Opções de Segurança:
   • Tipo de Autenticação: Hotspot (WISPr)
   • Método: Aberto
   • Opções de Encriptação: Nenhuma
5. Expanda a secção Portal Hotspot:
   • Portal Hotspot (WISPr): Selecione Purple_WISPr_Portal.
   • Serviço de Autenticação: Selecione Purple_RADIUS_Auth.
   • Serviço de Accounting: Selecione Purple_RADIUS_Acct.
   • Enviar Atualização Provisória: Defina para 5 minutos (essencial para a monitorização de sessões em tempo real).
6. Expanda as Opções RADIUS:
   • NAS ID: Defina como Definido pelo utilizador e introduza o ID do local atribuído pela Purple.
   • Called Station ID: Selecione AP MAC.
   • Single Session ID: ATIVADO (Evita a duplicação de sessões entre APs).
7. Clique em OK para implementar a WLAN.

Passo 5: Ativar a Interface WISPr Northbound (NBI)

A NBI permite que a Purple comunique de volta com o SmartZone para autorizar clientes.

1. Navegue até Administração > Serviços Externos > Interface WISPr Northbound.
2. Selecione a caixa para Ativar suporte à Interface Northbound.
3. Defina um Nome de Utilizador e Palavra-passe (ex. purple_nbi / SecureNbiPassword123!).
4. Introduza estas credenciais na Consola de Administração da Purple em Integrações > Ruckus SmartZone.

Passo 6: Desativar a Encriptação de MAC/IP (PASSO CRÍTICO DE CLI)

Por predefinição, o SmartZone encripta os endereços MAC no URL de redirecionamento. Deve desativar esta opção para que a Purple possa ler os MACs dos clientes.

1. Abra uma sessão SSH para o IP de gestão do seu controlador SmartZone.
2. Inicie sessão com as suas credenciais de administrador.
3. Execute os seguintes comandos:

   ruckus> enable
   ruckus# config
   ruckus(config)# no encrypt-mac-ip
   ruckus(config)# end
   ruckus# write memory
   

Parte B: Configuração do Ruckus Unleashed

Para locais de menor dimensão que utilizem uma arquitetura Unleashed sem controlador, configure o Captive Portal através da interface web do AP principal.

Passo 1: Definir Servidores AAA

1. Navegue até Admin & Services > Services > AAA Servers.
2. Clique em Create New para adicionar o Servidor de Autenticação RADIUS:
   • Name: Purple_Auth
   • Type: RADIUS
   • IP Address: Introduza o IP RADIUS da Purple.
   • Port: 1812
   • Shared Secret: Introduza o Segredo Partilhado RADIUS da Purple.
3. Clique em OK.
4. Clique em Create New para adicionar o Servidor de Accounting RADIUS:
   • Name: Purple_Acct
   • Type: RADIUS Accounting
   • IP Address: Introduza o IP RADIUS da Purple.
   • Port: 1813
   • Shared Secret: Introduza o Segredo Partilhado RADIUS da Purple.
5. Clique em OK.

Passo 2: Configurar o Serviço de Hotspot

1. Navegue até Admin & Services > Services > Hotspot Services.
2. Clique em Create New.
3. No separador General:
   • Name: Purple_Hotspot
   • Login URL: Introduza o seu URL de redirecionamento Purple.
   • Start Page: Selecione Redirect to the following URL e introduza https://login.purple.ai/success.php.
4. No separador Authentication:
   • Authentication Server: Selecione Purple_Auth.
   • Accounting Server: Selecione Purple_Acct.
   • Interim Update: Defina para 5 minutos.
5. No separador Walled Garden:
   • Adicione entradas ao nível do domínio (ex. purple.ai, cloudfront.net, gstatic.com). Note que o Unleashed não requer o prefixo de wildcard asterisco; a correspondência padrão ao nível do domínio é aplicada automaticamente.
6. Clique em OK para guardar.

Passo 3: Atribuir o Serviço de Hotspot à WLAN

1. Navegue até Wi-Fi Networks e clique em Create.
2. Defina o Name e o SSID para o nome da sua rede de convidados.
3. Defina o Usage Type para Hotspot Service.
4. Selecione Purple_Hotspot a partir da lista de serviços.
5. Clique em OK para publicar o SSID em todos os APs Unleashed.

Boas Práticas

Para garantir o máximo desempenho, segurança e conformidade regulamentar, os arquitetos de rede devem implementar as seguintes boas práticas padrão do setor:

1. Segmentação Granular de VLAN de Convidados

Nunca mapeie o tráfego de convidados para a VLAN nativa ou de gestão. Isole sempre os clientes convidados numa VLAN dedicada e não encaminhável (ex. VLAN 100). Implemente Listas de Controlo de Acesso (ACLs) estritas no switch ou firewall a montante para impedir que o tráfego de convidados aceda a sub-redes corporativas, sistemas de ponto de venda (POS) e infraestrutura IoT. Esta segmentação é um requisito fundamental para a conformidade PCI DSS.

2. Otimização de RF de Alta Densidade

Em ambientes de alta densidade, como estádios, centros de conferências e grandes centros comerciais, a sintonização de RF é crítica. Desative as taxas de dados legadas mais baixas (por exemplo, desative as taxas 802.11b abaixo de 12 Mbps) para forçar os clientes a utilizarem taxas mais rápidas, reduzindo a contenção de tempo de antena. Ative o Band Steering para direcionar os dispositivos cliente de banda dupla para o espetro de 5 GHz e 6 GHz, preservando a banda altamente congestionada de 2.4 GHz para dispositivos legados.

3. Gestão Dinâmica de Walled Garden

Mantenha o seu Walled Garden o mais reduzido possível. Walled gardens excessivamente permissivos (como a adição de grandes sub-redes IP como 172.217.0.0/16) podem permitir que utilizadores não autenticados contornem o Captive Portal e acedam a serviços externos (como o Google Search ou o YouTube) sem iniciar sessão. Audite regularmente os domínios do seu walled garden, especialmente após ativar novos fornecedores de login social.

4. Gestão de Sessão Segura

Defina tempos de expiração de sessão razoáveis (por exemplo, 1440 minutos / 24 horas) e períodos de tolerância (por exemplo, 60 minutos). Um período de tolerância bem configurado evita a "fadiga do portal", permitindo que os utilizadores que perdem temporariamente a cobertura WiFi (por exemplo, ao sair do lobby de um hotel) se voltem a ligar de forma simples e sem serem forçados a autenticarem-se novamente.

5. Conformidade Regulamentar e Segurança

A disponibilização de WiFi público para convidados expõe os locais a riscos legais. Certifique-se de que a integração do seu Captive Portal cumpre os regulamentos locais:

• GDPR / CCPA: Garanta que a splash page apresenta termos de serviço e políticas de privacidade claros, exigindo um consentimento ativo (opt-in) para comunicações de marketing.
• Modo de Transição WPA3: Embora as redes de convidados sejam tipicamente abertas, considere ativar o modo de Transição WPA3 com Opportunistic Wireless Encryption (OWE) para encriptar o tráfego sem fios entre o cliente e o AP sem necessitar de uma chave pré-partilhada, protegendo os convidados de escutas passivas.
• Filtragem de Conteúdo Web: Os servidores DNS a montante (como o Cisco Umbrella ou o Cloudflare Families) devem ser configurados para bloquear domínios maliciosos, conteúdo adulto e tráfego de partilha ilegal de ficheiros na VLAN de convidados.

Resolução de Problemas e Mitigação de Riscos

Ao implementar captive portals externos em hardware Ruckus, os engenheiros encontram frequentemente um conjunto previsível de problemas de configuração e de caminho de rede. Utilize esta estrutura de resolução de problemas para resolver estrangulamentos na implementação.

Modos de Falha Comuns e Caminhos de Resolução

Problema 1: Os dispositivos dos convidados não são redirecionados para a página do Captive Portal.

• Causa Raiz A: Falha na Resolução de DNS. Os clientes não autenticados devem ser capazes de resolver consultas de DNS antes do redirecionamento. Se o cliente não conseguir resolver login.purple.ai, o redirecionamento irá falhar.
  • Resolução: Verifique se o âmbito DHCP atribuído à VLAN de convidados fornece servidores DNS públicos válidos (por exemplo, 1.1.1.1 ou 8.8.8.8). Certifique-se de que a firewall a montante permite o tráfego da porta UDP 53 da sub-rede de convidados para a internet antes da autenticação.
• Causa Raiz B: Firewall a bloquear a Porta 9080/9443. O SmartZone requer que portas específicas estejam abertas para carregar a splash page.
  • Resolução: Certifique-se de que a porta TCP 9080 (HTTP) ou 9443 (HTTPS) é permitida através de quaisquer firewalls locais.
• Causa Raiz C: Configuração incorreta do Walled Garden. O próprio URL de redirecionamento pode estar bloqueado.
  • Resolução: Certifique-se de que *.purple.ai está explicitamente definido no Hotspot WISPr Walled Garden.

Problema 2: Os convidados conseguem visualizar e preencher a página de login, mas não conseguem aceder à internet após clicarem em "Ligar".

• Causa Raiz A: Falha de Comunicação NBI. O portal externo não consegue enviar a chamada de API de autorização de volta para o controlador SmartZone.
  • Resolução: Verifique se a Northbound Interface (NBI) do SmartZone está ativada e se as credenciais introduzidas na Consola de Administração da Purple coincidem com a configuração do controlador. Certifique-se de que o seu firewall de borda permite o tráfego de entrada na porta TCP 9080 (ou 9443) a partir do intervalo de IPs públicos da Purple para o IP de gestão do SmartZone.
• Causa Raiz B: Falha de Autenticação RADIUS. O controlador está a rejeitar o RADIUS Access-Accept ou não o recebeu.
  • Resolução: Navegue até Services & Profiles > Authentication no SmartZone, selecione o seu servidor RADIUS e clique em Test AAA. Introduza credenciais de teste para verificar a conectividade. Se o teste falhar, verifique o IP do RADIUS, a porta 1812 e o Segredo Partilhado. Certifique-se de que as portas UDP 1812 e 1813 são permitidas na saída do seu firewall de borda.

Problema 3: Os dispositivos Apple iOS não apresentam o mini-browser Captive Network Assistant (CNA) automaticamente.

• Causa Raiz: Bypass do Apple CNA Ativado ou Walled Garden demasiado permissivo. Se o domínio de teste da Apple for permitido no walled garden, o iOS assume que tem acesso direto à internet e suprime o CNA.
  • Resolução: Certifique-se de que captive.apple.com NÃO está totalmente contornado no seu walled garden se pretender forçar o aparecimento do CNA. Por outro lado, se a sua política for contornar o CNA e forçar os utilizadores a abrir um browser padrão, certifique-se de que a opção Bypass CNA está ATIVADA na configuração da WLAN.

Requisitos de Portas de Rede e Protocolos

Para garantir uma comunicação contínua entre o controlador Ruckus, os dispositivos dos clientes e o portal externo, verifique se as seguintes portas estão permitidas nos firewalls da sua rede:

ROI e Impacto no Negócio

Enquanto os engenheiros de rede se concentram em fluxos de pacotes e configurações de portas, os diretores de TI e CTOs devem justificar o investimento em WiFi de convidados empresarial. A integração do hardware de alta densidade da Ruckus com a plataforma de WiFi Analytics da Purple transforma uma rede que representa um centro de custos num ativo de negócio de elevado valor, proporcionando um retorno do investimento (ROI) mensurável.

1. Captura de Dados de Primeira Parte à Escala

Em setores como o Retalho e a Hotelaria , compreender a demografia dos clientes é um motor essencial para o crescimento do negócio. Um SSID aberto padrão captura zero dados dos visitantes. Ao implementar o Captive Portal da Purple, os espaços alcançam taxas médias de conclusão de início de sessão de 25% a 40%. Isto permite que os operadores capturem legalmente endereços de email verificados, números de telefone e perfis de redes sociais.

2. Marketing e Envolvimento Hiperlocalizados

Ao associar os serviços de localização precisos da Ruckus ao motor de marketing da Purple, os espaços podem acionar campanhas automatizadas em tempo real com base na presença física. Por exemplo, uma marca de retalho pode acionar um cupão SMS direcionado para um convidado que esteja a navegar numa secção específica há mais de 15 minutos, ou um hotel pode enviar um email de boas-vindas com uma ligação para reservar serviços de spa imediatamente após o convidado se ligar ao WiFi do lobby.

3. Eficiência Operacional e Insights sobre o Espaço

A integração de Captive Portals com análises de localização fornece inteligência operacional poderosa. Os diretores de espaços podem monitorizar:

• Fluxo de Pessoas e Tempo de Permanência: Meça o número exato de visitantes, quanto tempo permanecem e o seu percurso pelo espaço físico.
• Fidelização e Taxas de Retorno: Identifique visitantes novos vs. recorrentes para avaliar o impacto das campanhas de marketing e das alterações operacionais.
• Otimização de Pessoal: Alinhe os níveis de pessoal com mapas de densidade de visitantes em tempo real, reduzindo os custos indiretos durante as horas de menor afluência e melhorando o serviço ao cliente nos períodos de pico.

Matriz de Impacto no Negócio

A tabela abaixo descreve os resultados de negócio típicos em setores verticais fundamentais após a implementação de uma rede de WiFi de convidados integrada da Ruckus e da Purple:

Ao alinhar a excelência técnica em engenharia wireless com os objetivos estratégicos de negócio, a integração da Ruckus e da Purple proporciona uma infraestrutura de rede empresarial segura, em conformidade e altamente rentável.

Referências

• [1] CommScope Ruckus SmartZone Access Services Guide
• [2] Ruckus SmartZone RADIUS Authentication Deployment Guide
• [3] Ruckus Unleashed Hotspot WISPr Configuration Guide
• [4] Cisco Wireless APs: 2026 Guide to Products & Deployment
• [5] 10 Best Network Access Control (NAC) Solutions for 2026
• [6] WiFi in Schools: The 2026 Administrator & IT Guide
• [7] How to Implement 802.1X Authentication with Cloud RADIUS