Saltar para o conteúdo principal
Português

Integração da Alta Labs com o Purple WiFi: Instalação e Configuração do Captive Portal

Este guia de referência técnica abrange a integração de ponta a ponta dos pontos de acesso Alta Labs AP6 e AP6 Pro com o Captive Portal alojado na nuvem da Purple. Detalha a configuração de redirecionamento externo, autenticação RADIUS, requisitos de walled garden e segmentação multi-tenant utilizando as Private Pre-Shared Keys do AltaPass. Os operadores de espaços e as equipas de TI terão acesso a um manual de implementação replicável para ambientes de hotelaria, retalho e escritórios inteligentes.

📖 8 min de leitura📝 1,844 palavras🔧 2 exemplos práticos❓ 3 perguntas de prática📚 9 definições principais

Ouça este guia

Ver transcrição do podcast
PODCAST SCRIPT: Alta Labs Integration with Purple WiFi: Setup and Captive Portal Configuration Purple WiFi Intelligence Platform - Technical Briefing Series Duration: Approximately 10 minutes Voice: UK English, senior consultant tone - confident, conversational, authoritative --- [INTRO - 1 MINUTE] Welcome to the Purple Technical Briefing Series. I'm your host, and today we are breaking down the integration between Alta Labs access points and the Purple WiFi intelligence platform. If you are an IT manager, network architect, or venue operations director looking to deploy a robust, scalable guest WiFi solution, this briefing is for you. We are going to cover the specific setup for the Alta Labs AP6 and AP6 Pro, how to configure the external captive portal redirection, and the critical walled garden settings required to make social logins actually work in the real world. We will also dive into AltaPass - Alta Labs' implementation of Private Pre-Shared Keys, or PPSK - and how you can use it to segment multi-tenant environments without destroying your RF performance with SSID bloat. Let's get into it. --- [TECHNICAL DEEP-DIVE - 5 MINUTES] The integration between Alta Labs and Purple relies on two fundamental networking concepts: HTTP redirection for the captive portal, and RADIUS for authentication and accounting. When a guest walks into your venue - say, a retail store or a hotel lobby - and connects to your open or WPA3-OWE guest network, the Alta Labs AP acts as the gatekeeper. It intercepts the client's initial HTTP requests and redirects them to your branded Purple splash page. To configure this in the Alta Labs Cloud Management platform, you navigate to your WiFi settings, select your guest SSID, and under the Advanced Settings, set the network type to Guest. This is crucial because it automatically applies client isolation, preventing devices from communicating laterally across the network. Next, under the Hotspot section, you select External and drop in the Purple redirect URL provided in your venue settings, along with your Authorisation Secret. But here is where most deployments hit a snag: the walled garden. The walled garden is the list of domains and IP addresses that a device is allowed to access before it has authenticated. If you want guests to log in using Google, Facebook, or Apple, their devices need to reach those OAuth servers while they are still in the pre-authenticated state. You must explicitly whitelist the Purple infrastructure domains - like region1.purpleportal.net and cloudfront.net. Then, you need to add the OS captive portal probes: captive.apple.com for iOS, and connectivitycheck.gstatic.com for Android. If you block these, the phone doesn't know it's behind a captive portal, and the splash page never pops up. Finally, you add the social login domains. For Google, that's accounts.google.com, oauth2.googleapis.com, and gstatic.com. For Facebook, it's facebook.com, graph.facebook.com, and the fbcdn.net domains. A static IP whitelist will not work here because these providers use dynamic content delivery networks. You must use domain names and ensure your controller performs dynamic DNS resolution. Once the user completes the login on the Purple splash page, Purple's RADIUS server sends an Access-Accept message back to the Alta Labs AP. The AP then removes the walled garden restriction and grants the device full internet access. It's a clean, secure flow that captures first-party data while maintaining network integrity. Now, let's talk about multi-tenant segmentation. In environments like smart offices, student accommodation, or multi-dwelling units, you often need to provide secure, isolated networks for different groups. Historically, IT teams would broadcast a separate SSID for every tenant. That is a terrible practice. It causes massive management overhead and destroys your wireless performance due to beacon frame overhead. Alta Labs solves this with AltaPass, their version of Private Pre-Shared Keys. With AltaPass, you broadcast one single SSID - let's call it BuildingWiFi. But, you generate unique passwords for different users or devices. When Tenant A enters their specific password, the AP dynamically assigns them to VLAN 101 with a 100 Megabit bandwidth limit. When the management team enters their password on the same SSID, they are dropped onto VLAN 200 with unlimited bandwidth. You can even create a password for IoT devices, like smart thermostats, that assigns them to an isolated VLAN and bypasses the captive portal entirely. One SSID. Unlimited passwords. Complete isolation. This is Identity-Based Networking at the edge, and it is a genuinely elegant solution to a problem that has plagued multi-tenant deployments for years. Let me give you a concrete example of how this works in practice. Consider a 72-unit apartment complex - a real-world deployment type that Alta Labs has been used for extensively. Instead of broadcasting 72 separate SSIDs, the network administrator creates a single SSID and generates a unique password for each unit. Each password maps to a dedicated VLAN and subnet. Residents on the basic tier get 100 Megabits. Residents who have paid for the premium tier get 300 Megabits. The building management team gets unrestricted access. The building automation system - door locks, HVAC, lifts - gets its own isolated VLAN with deep packet inspection enabled. All from one SSID. The RF environment is cleaner, performance is higher, and management is dramatically simpler. Now, let's move on to the 802.1X configuration for secure staff WiFi. For your staff network, you should not be using a pre-shared key at all. You should be using WPA2 or WPA3 Enterprise with 802.1X authentication. In the Alta Labs platform, you configure this by selecting your staff SSID, setting the security mode to WPA2-Enterprise or WPA3-Enterprise, and pointing the AP to your RADIUS server. If you are integrating with Purple's SecurePass product, Purple acts as the RADIUS intermediary, connecting to your identity provider - whether that is Microsoft Entra ID, Okta, or Google Workspace - and returning the appropriate VLAN assignment in the Access-Accept message. The Alta Labs AP reads the Tunnel-Private-Group-Id attribute from the RADIUS response and places the device on the correct VLAN automatically. One important note on dynamic VLAN assignment with Alta Labs: when configuring RADIUS-assigned VLANs, set the default VLAN on the SSID to VLAN 1 or leave it untagged. There is a known behaviour where if the default VLAN is set to a specific value, the AP may override the RADIUS-assigned VLAN with the configured default. Setting the default to VLAN 1 ensures the RADIUS assignment takes precedence. --- [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS - 2 MINUTES] When you are rolling this out, there are a few key recommendations I want to highlight. First, always test your captive portal flow with a fresh device. Do not use your own phone if you have already connected to the network during testing. Your device remembers the MAC address authorisation or has cached DNS entries, which will mask walled garden failures. Grab a tablet that has never seen the network, connect it, and verify that the OS captive portal assistant launches automatically. Second, watch out for over-whitelisting. I see engineers get frustrated with social login errors and just whitelist entire wildcard domains or massive IP blocks. This creates a security vulnerability where savvy users can bypass your captive portal entirely. Stick to the specific domains required for the OAuth flow. Third, when deploying AltaPass PPSK with dynamic VLANs, ensure your entire switching infrastructure is configured correctly. The switch ports connecting to your Alta Labs APs must be configured as trunks, allowing all the tagged VLANs to pass through to the gateway. If the AP tags the traffic for VLAN 101, but the switch port is set to access mode on VLAN 1, the traffic drops, and the client gets no IP address. Fourth, implement a quarterly review of your walled garden configuration. OAuth providers and content delivery networks change their domain structures. Apple updated its Sign In domains twice in 2023. A walled garden that was correct at deployment will drift out of alignment without active maintenance. --- [RAPID-FIRE Q&A - 1 MINUTE] Let's run through a couple of quick questions we hear from the field. Question one: Can I use WPA3 with the Purple captive portal on Alta Labs hardware? Yes. You should use WPA3-OWE, which stands for Opportunistic Wireless Encryption. This encrypts the data over the air, protecting guest privacy, while still functioning as an open network that triggers the captive portal redirect. It is the right choice for any new guest WiFi deployment in 2026. Question two: What ports do I need to open on my firewall for the RADIUS traffic? Purple's RADIUS servers communicate over UDP port 1812 for authentication and UDP port 1813 for accounting. Ensure your edge firewall allows outbound traffic on these ports from the Alta Labs APs to the Purple infrastructure. Question three: Can I use AltaPass PPSK alongside the Purple captive portal on the same SSID? Yes, and this is actually a very useful configuration. You can create an AltaPass password that bypasses the captive portal for known devices - like your point-of-sale terminals or digital signage - while standard connections to the same SSID still go through the Purple splash page. This gives you a single, clean SSID that handles both authenticated devices and guest users. --- [SUMMARY AND NEXT STEPS - 1 MINUTE] To wrap up: Integrating Alta Labs with Purple WiFi gives you a secure, scalable platform for capturing first-party data and delivering a branded guest experience. Remember the three pillars of a successful deployment. First, configure the external hotspot redirect and RADIUS settings accurately in the Alta Labs Cloud Management platform. Second, meticulously define your walled garden domains to ensure OS probes and social logins function correctly. And third, leverage AltaPass PPSK to implement Identity-Based Networking, segmenting your traffic without polluting your airspace with unnecessary SSIDs. Purple operates across 80,000 live venues and has processed 440 million logins in 2024. The platform is ISO 27001 certified, GDPR compliant, and built to scale from a single boutique hotel to a national retail estate. When you pair that with the performance and flexibility of Alta Labs hardware, you have a compelling enterprise WiFi stack. If you follow this playbook, you will deliver a seamless, compliant WiFi experience that your marketing team and your security team will both be happy with. Thank you for listening to the Purple Technical Briefing Series. Until next time, keep your networks secure and your data actionable.

header_image.png

Resumo executivo

Os pontos de acesso Alta Labs AP6 e AP6 Pro integram-se com o Captive Portal na nuvem da Purple utilizando autenticação RADIUS padrão e redirecionamento HTTP. O AP intercetará o tráfego de convidados não autenticado, redireciona-o para a sua splash page da Purple e concede acesso assim que o servidor RADIUS da Purple devolver um Access-Accept. Para ambientes multi-tenant, a tecnologia AltaPass da Alta Labs atribui a cada dispositivo ligado uma VLAN e uma política de largura de banda exclusivas com base na palavra-passe utilizada - sem necessidade de SSIDs adicionais. Este guia fornece os passos de configuração exatos, as listas de domínios de walled garden e os parâmetros RADIUS para implementar a integração do zero. A Purple opera em mais de 80 000 espaços ativos e processou 440 milhões de inícios de sessão em 2024 (dados internos da Purple). O hardware da Alta Labs é ideal para MSPs e instaladores de escritórios inteligentes que necessitam de segmentação de nível empresarial a um preço competitivo.

Arquitetura técnica

A integração assenta em três camadas: a plataforma de gestão na nuvem da Alta Labs, o hardware AP6 ou AP6 Pro na periferia (edge) e a infraestrutura na nuvem da Purple que lida com a autenticação e a análise de dados.

Quando um convidado se liga ao SSID aberto ou WPA3-OWE, o AP coloca o dispositivo num estado restrito de pré-autenticação. Todo o tráfego HTTP de saída é intercetado e redirecionado para o URL da splash page da Purple. O dispositivo apenas consegue aceder aos domínios explicitamente listados no walled garden até que a autenticação seja concluída. Assim que o convidado submete as suas credenciais na splash page da Purple, o servidor RADIUS da Purple envia um Access-Accept para o AP, que remove a restrição e concede acesso total à internet. A Purple regista os dados da sessão - tipo de dispositivo, tempo de permanência, método de início de sessão - e disponibiliza-os no painel de controlo de WiFi Analytics .

architecture_overview.png

Para redes de funcionários e internas (back-of-house), o mesmo hardware de AP lida com a autenticação WPA2/WPA3-Enterprise (IEEE 802.1X). O AP atua como o cliente RADIUS, encaminhando os pedidos de autenticação para a infraestrutura SecurePass da Purple, que por sua vez valida as credenciais no Microsoft Entra ID, Okta ou Google Workspace. A resposta Access-Accept do RADIUS contém o atributo Tunnel-Private-Group-Id, que o AP utiliza para colocar o dispositivo na VLAN correta de forma dinâmica.

Guia de implementação

Passo 1: Adicionar o espaço e o hardware na Purple

Antes de aceder ao controlador da Alta Labs, registe a implementação na Purple.

  1. Inicie sessão no portal de gestão da Purple e navegue até Management > Locations.
  2. Selecione Venues and Groups > Add venue e conclua o assistente de configuração do espaço.
  3. No seu espaço, selecione Hardware > Add hardware > Add new hardware.
  4. Defina o tipo de hardware para WiFi AP e selecione o tipo de AP adequado.
  5. Introduza o endereço MAC de cada unidade Alta Labs AP6 ou AP6 Pro.
  6. Clique em View Manual Online para obter os endereços IP do servidor RADIUS, as portas e o segredo partilhado (shared secret) para este espaço. Registe estes valores - irá precisar deles no Passo 3.

Passo 2: Configurar o SSID de convidados na Alta Labs

Inicie sessão na plataforma Alta Labs Cloud Management em manage.alta.inc.

  1. Navegue até Settings > WiFi e selecione o SSID destinado ao acesso de convidados.
  2. Em Advanced Settings, defina o tipo de rede para Guest. Isto força o isolamento de clientes automaticamente.
  3. Desloque-se até à secção Hotspot e selecione External.
  4. No campo Redirect URL, cole o URL da splash page da Purple fornecido nas definições de hardware do seu espaço (ex.: https://region1.purpleportal.net/access/).
  5. Introduza o Authorisation Secret (segredo partilhado RADIUS) das definições de espaço da Purple.
  6. Clique em Save.

Passo 3: Configurar a autenticação RADIUS

Com o redirecionamento externo configurado, configure as definições de RADIUS para que o AP possa comunicar com a infraestrutura de autenticação da Purple.

Parâmetro Valor
IP do servidor de autenticação primário Fornecido pelas definições de espaço da Purple
Porta de autenticação UDP 1812
IP do servidor de accounting primário Fornecido pelas definições de espaço da Purple
Porta de accounting UDP 1813
Segredo partilhado Fornecido pelas definições de espaço da Purple

Para implementações de alta disponibilidade, configure o servidor RADIUS secundário utilizando o endereço IP de cópia de segurança (backup) fornecido pela Purple.

Passo 4: Definir o walled garden

O walled garden permite domínios específicos antes de a autenticação ser concluída. A falta de entradas irá interromper o fluxo do Captive Portal ou impedir o carregamento de inícios de sessão sociais. Introduza os seguintes domínios no campo Additional Authorised Hosts / IPs na configuração do Hotspot da Alta Labs.

Infraestrutura da Purple (obrigatório)

Domínio Finalidade
region1.purpleportal.net Alojamento da splash page
venuewifi.com Infraestrutura de redirecionamento da Purple
cloudfront.net CDN para recursos do portal

Sondas de Captive Portal do SO (obrigatório)

Domínio SO
captive.apple.com iOS / macOS
connectivitycheck.gstatic.com Android
msftconnecttest.com Windows

Início de sessão social (adicionar por fornecedor ativado)

Fornecedor Domínios
Google accounts.google.com, oauth2.googleapis.com, apis.google.com, gstatic.com
Facebook facebook.com, graph.facebook.com, connect.facebook.net, *.fbcdn.net
Apple appleid.apple.com, idmsa.apple.com, *.apple.com

captive_portal_flow.png

AltaPass PPSK e segmentação multi-tenant

O AltaPass é a implementação com patente pendente da Alta Labs de Private Pre-Shared Keys (PPSK). Permite que um único SSID suporte múltiplas palavras-passe exclusivas, com cada palavra-passe a mapear para uma VLAN, limite de largura de banda, agendamento e regra de desvio de hotspot distintos. Isto elimina a necessidade de transmitir SSIDs separados para cada inquilino, grupo de colaboradores ou categoria de dispositivo.

Configurar o AltaPass no painel da Alta Labs

  1. Selecione o seu SSID e navegue até à secção de gestão de palavras-passe.
  2. Clique no botão de tipo de rede Purple à esquerda de cada introdução de palavra-passe.
  3. Atribua um ID de VLAN à palavra-passe. Os clientes que se ligarem com esta palavra-passe serão colocados na sub-rede VLAN especificada.
  4. Defina os limites de largura de banda (upload e download) por palavra-passe, conforme necessário.
  5. Ative ou desative o desvio de hotspot por palavra-passe. Os dispositivos IoT e terminais POS normalmente desviam o Captive Portal.
  6. Aplique restrições de agendamento, se necessário (por exemplo, restringir o acesso à internet para determinados dispositivos fora do horário de expediente).

altapass_ppsk_segmentation.png

Para um edifício residencial de 72 frações, isto significa um SSID e mais de 72 palavras-passe exclusivas - uma por fração, uma para a gestão, uma para o sistema de automação do edifício. Cada palavra-passe mapeia para uma VLAN e sub-rede isoladas. Os residentes no plano standard recebem 100 Mbps. Os residentes premium recebem 300 Mbps. A equipa de gestão do edifício não tem restrições. Os dispositivos IoT são isolados numa VLAN dedicada com inspeção profunda de pacotes (DPI) ativada. Este é o modelo de implementação que reduz a contagem de SSIDs de 72 para um.

Atribuição dinâmica de VLAN via RADIUS

Para redes de colaboradores 802.1X, a atribuição de VLAN funciona através de atributos RADIUS em vez de PPSK. A resposta RADIUS Access-Accept deve incluir:

Atributo Valor
Tunnel-Type 13 (VLAN)
Tunnel-Medium-Type 6 (IEEE-802)
Tunnel-Private-Group-Id ID da VLAN de destino (ex., "20")

Importante: defina a VLAN predefinida no SSID para VLAN 1 (ou deixe-a sem etiqueta/untagged) ao utilizar VLANs atribuídas por RADIUS. Se a VLAN predefinida estiver definida para um valor específico, o AP pode substituir a atribuição de RADIUS pela predefinição configurada. Este é um comportamento conhecido no firmware atual da Alta Labs.

Boas práticas

As seguintes recomendações aplicam-se a qualquer implementação da Alta Labs com a Purple, independentemente do tipo de espaço.

Utilize a resolução dinâmica de DNS para entradas de walled garden. Os fornecedores de OAuth e CDNs rodam os endereços IP frequentemente. Uma lista de permissões de IP estático irá degradar-se com o tempo. Configure o controlador da Alta Labs para resolver domínios de walled garden dinamicamente e defina um TTL de DNS não inferior a 30 segundos para evitar uma carga excessiva de consultas.

Defina o âmbito do walled garden com precisão. Adicione à lista de permissões apenas os domínios necessários para o fluxo de autenticação. A inclusão excessiva em listas de permissões - particularmente a adição de entradas wildcard para domínios grandes - cria um vetor de desvio que compromete o objetivo do Captive Portal.

Teste com dispositivos não autenticados antes do lançamento. Utilize um dispositivo que nunca se tenha ligado à rede. Os dispositivos previamente autenticados podem ter autorizações MAC ou entradas de DNS em cache que mascaram falhas de walled garden. Teste todos os métodos de início de sessão que pretende disponibilizar.

Reveja os domínios de walled garden trimestralmente. A Apple, a Google e a Meta atualizam as suas estruturas de domínios OAuth periodicamente. Integre uma revisão trimestral no seu calendário operacional para detetar desvios antes que afetem os utilizadores.

Segmente os dispositivos IoT desde o início. Utilize o AltaPass para atribuir dispositivos IoT a uma VLAN dedicada com o desvio de hotspot ativado. Misturar o tráfego de IoT com o tráfego de convidados ou de colaboradores cria riscos desnecessários e complica a resposta a incidentes.

Para uma visão mais ampla da arquitetura de segurança de WiFi empresarial, consulte o nosso guia sobre Enterprise WiFi Security: A Complete Guide for 2026 .

Resolução de problemas e mitigação de riscos

A splash page não aparece no iOS. A causa mais comum é a falta de uma entrada captive.apple.com no walled garden. O iOS utiliza este domínio para detetar captive portals. Se a verificação for bloqueada, o Captive Network Assistant nunca é iniciado e o utilizador vê um erro genérico de conectividade.

O início de sessão social apresenta um ecrã em branco ou erro de CORS. Verifique o walled garden para identificar subdomínios de CDN ou API em falta. O *.fbcdn.net do Facebook e o gstatic.com da Google são as entradas omitidas com maior frequência. Utilize as ferramentas de programador do navegador numa sessão não autenticada para identificar quais os pedidos de domínio que estão a falhar.

A atribuição de VLAN falha com o AltaPass. Verifique se a porta do switch a montante que liga ao AP está configurada como uma porta trunk e permite as VLANs etiquetadas (tagged). Uma porta de switch em modo de acesso irá rejeitar tramas etiquetadas silenciosamente, deixando o cliente sem um endereço IP.

O tempo limite de autenticação RADIUS foi esgotado. Confirme se as portas UDP 1812 e 1813 estão abertas para o exterior no firewall de borda. Verifique se o segredo partilhado na configuração da Alta Labs corresponde exatamente ao valor nas definições de espaço da Purple - uma diferença de um único caráter fará com que todos os pedidos de autenticação falhem.

A atribuição dinâmica de VLAN coloca os utilizadores na VLAN errada. Defina a VLAN predefinida no SSID 802.1X para VLAN 1. Se a VLAN predefinida estiver definida para um valor específico, o AP pode substituir a VLAN atribuída por RADIUS. Este é um comportamento ao nível do firmware confirmado no fórum da comunidade da Alta Labs.

ROI e impacto comercial

A implementação de hardware da Alta Labs com o Purple Guest WiFi proporciona retornos mensuráveis em três dimensões: eficiência operacional, captura de dados e postura de segurança.

Do lado operacional, a consolidação de múltiplos SSIDs numa única rede gerida pelo AltaPass reduz os custos de gestão e melhora o desempenho sem fios. Menos SSIDs significam menos sobrecarga de tramas beacon, o que se traduz diretamente num maior rendimento (throughput) para todos os dispositivos ligados.

Do lado dos dados, o Captive Portal da Purple captura dados primários (first-party) verificados em cada início de sessão. Os espaços que utilizam os planos Capture e Engage da Purple reportam um aumento de 40% nas subscrições (opt-ins) da base de dados de marketing em comparação com o WiFi de convidados não gerido (dados internos da Purple). Esses dados falimenta diretamente o WiFi Analytics , dando às equipas de marketing visibilidade sobre os padrões de afluência, tempo de permanência e taxas de visitas repetidas.

Do lado da segurança, a atribuição dinâmica de VLAN isola o tráfego de convidados, funcionários e IoT na periferia. Combinada com a infraestrutura certificada ISO 27001 da Purple e o tratamento de dados em conformidade com o GDPR, esta arquitetura cumpre os requisitos de segmentação de rede PCI DSS para locais que processam pagamentos com cartão.

Especificamente para implementações no setor da hotelaria , a combinação de splash pages personalizadas, integrações de programas de fidelização e controlos de largura de banda por dispositivo cria uma experiência de convidado diferenciada sem adicionar complexidade à equipa de operações de rede.

Para ambientes de retalho , a capacidade de segmentar terminais POS do WiFi de convidados na mesma infraestrutura física — utilizando regras de bypass AltaPass — elimina a necessidade de cablagem ou hardware separados, reduzindo tanto as despesas de capital como as operacionais.

Guias relacionados: Integração do Arista Cognitive Wi-Fi com o Purple WiFi | Configuração de Walled Garden para WiFi de Convidados

Definições Principais

Captive portal

A web page that intercepts unauthenticated network traffic and requires the user to interact - log in, accept terms, or pay - before granting internet access. Purple hosts the splash page in the cloud; the Alta Labs AP handles the redirect.

The primary mechanism for guest data capture in hospitality, retail, and public-sector WiFi deployments.

Walled garden

A defined list of domains and IP addresses that a client device can access before completing captive portal authentication. Everything outside the list is blocked until the user logs in.

Critical for allowing social login APIs, OS detection probes, and portal CDN assets to function before authentication completes.

PPSK (Private Pre-Shared Key)

A security method where multiple unique passwords can be used on a single SSID, with each password assigning the connecting device to a specific VLAN, bandwidth policy, and access schedule.

Alta Labs implements this as AltaPass. Used in MDUs, smart offices, and stadiums to provide isolated access without SSID proliferation.

RADIUS

Remote Authentication Dial-In User Service. A networking protocol that provides centralised authentication, authorisation, and accounting (AAA) management. Purple acts as the RADIUS server; the Alta Labs AP acts as the RADIUS client.

The mechanism that tells the AP a guest has successfully authenticated and should be granted internet access.

Identity-Based Networking

A network architecture where access rights, VLANs, and bandwidth limits are applied based on the authenticated identity of the user or device, rather than the physical port or SSID they connect to.

Purple's term for the combination of RADIUS, PPSK, and VLAN assignment that enables consistent policies across a distributed estate.

Dynamic VLAN assignment

The process of placing a client device onto a specific Virtual Local Area Network based on authentication credentials returned by a RADIUS server, rather than a static SSID-to-VLAN mapping.

Essential for isolating staff, guest, and IoT traffic on shared wireless infrastructure. Requires correct RADIUS attributes: Tunnel-Type, Tunnel-Medium-Type, and Tunnel-Private-Group-Id.

Captive Network Assistant (CNA)

The built-in OS mechanism on iOS, Android, and Windows that detects a captive portal by probing a known URL. If the probe is redirected, the OS launches a pseudo-browser for the user to log in.

If the CNA probe domains are blocked in the walled garden, the user never sees the splash page. This is the most common captive portal failure mode.

WPA3-OWE

Wi-Fi Protected Access 3 - Opportunistic Wireless Encryption. A standard that encrypts data in transit on open networks without requiring a password, protecting guest privacy while still allowing captive portal redirection.

The recommended security mode for guest SSIDs in 2026. Provides encryption without the friction of a pre-shared key.

AltaPass

Alta Labs' patent-pending implementation of multi-password SSID technology. Allows a single SSID to carry unlimited unique passwords, each with its own VLAN, bandwidth limit, schedule, and hotspot bypass setting.

The primary tool for multi-tenant segmentation on Alta Labs hardware. Replaces the need for multiple SSIDs in residential, hospitality, and smart office deployments.

Exemplos Práticos

A 200-room hotel needs to provide tiered WiFi access: a free basic tier (10 Mbps) for standard guests, a premium paid tier (50 Mbps) for loyalty members, and a secure network for housekeeping staff. They want to avoid broadcasting multiple SSIDs to maintain RF performance across 40 Alta Labs AP6 Pro units.

Deploy a single SSID named 'Hotel Guest WiFi' with AltaPass enabled. Create three password profiles in the Alta Labs dashboard: (1) a standard guest password assigned to VLAN 10 with a 10 Mbps download limit and external hotspot redirect to the Purple splash page; (2) a loyalty member password assigned to VLAN 20 with a 50 Mbps limit - Purple can distribute this password post-authentication via its marketing automation; (3) a housekeeping staff password assigned to VLAN 30 with no bandwidth limit, hotspot bypass enabled, and client isolation disabled so staff devices can communicate with back-of-house systems. Configure the switch uplinks as trunks allowing VLANs 10, 20, and 30. The guest and loyalty VLANs route to the internet via NAT. The staff VLAN routes to the property management system subnet.

Comentário do Examinador: This approach uses AltaPass to achieve Identity-Based Networking without SSID proliferation. The key insight is that hotspot bypass is a per-password setting, not a per-SSID setting. This allows the same SSID to serve both captive-portal guests and bypass-enabled staff simultaneously. The loyalty tier distribution via Purple's post-authentication flow is a common pattern in hospitality - the guest logs in on the standard tier, and Purple's marketing engine sends them a premium access code if they match the loyalty criteria.

A retail chain is deploying Purple Guest WiFi across 50 stores using Alta Labs hardware. During testing, the splash page loads correctly on Android devices, but Apple iOS devices show a generic 'No Internet Connection' error and do not display the login screen. The walled garden includes the Purple portal domain and Google OAuth entries.

Add captive.apple.com to the walled garden in the Alta Labs Hotspot configuration. iOS uses this domain as its Captive Network Assistant probe. When the device connects to a new network, iOS sends an HTTP request to captive.apple.com. If it receives the expected response, it assumes the network is open. If it receives a redirect, it launches the pseudo-browser. If the domain is blocked entirely, iOS cannot detect the captive portal and displays a connectivity error. Once the domain is whitelisted, iOS devices will detect the redirect and launch the login screen automatically.

Comentário do Examinador: This is the single most common captive portal failure mode in the field. Android uses connectivitycheck.gstatic.com and Windows uses msftconnecttest.com for the same purpose. All three must be in the walled garden for a cross-platform deployment. The failure is particularly confusing because it presents as a network connectivity error rather than a portal error, leading engineers to investigate DHCP and DNS before checking the walled garden.

Perguntas de Prática

Q1. You are deploying Alta Labs AP6 Pro access points in a conference centre. The client requires a captive portal for attendees, but also needs point-of-sale terminals to connect securely to the same access points without seeing the splash page. Both device types should use the same SSID to simplify signage. How do you configure this?

Dica: AltaPass allows per-password hotspot bypass settings on the same SSID.

Ver resposta modelo

Enable AltaPass on the single SSID. Create one password for POS terminals that assigns them to a secure VLAN (e.g., VLAN 50) with hotspot bypass enabled - these devices connect directly to the network without seeing the captive portal. Create a separate password (or use an open connection) for attendees that triggers the external redirect to the Purple splash page on VLAN 10. Both device types connect to the same SSID but receive different network policies based on their password.

Q2. After configuring the Purple captive portal on an Alta Labs network, Android devices successfully display the splash page, but Apple iOS devices show a generic 'No Internet Connection' error and do not open the login screen. The walled garden includes the Purple portal domain and Google OAuth entries. What is the most likely cause and fix?

Dica: iOS uses a specific domain to detect captive portals. If it cannot reach that domain, it assumes the network has no internet access.

Ver resposta modelo

The walled garden is missing captive.apple.com. iOS sends an HTTP probe to this domain when connecting to a new network. If the probe is blocked, iOS cannot detect the captive portal and displays a connectivity error instead of launching the Captive Network Assistant. Add captive.apple.com to the walled garden in the Alta Labs Hotspot configuration. Also add connectivitycheck.gstatic.com for Android and msftconnecttest.com for Windows to ensure cross-platform compatibility.

Q3. A stadium IT director has configured RADIUS-assigned VLANs on an Alta Labs 802.1X staff network. The RADIUS server is sending the correct Tunnel-Private-Group-Id attribute (VLAN 20), but all staff devices are landing on VLAN 5, which is the default VLAN configured on the SSID. What is causing this and how do you resolve it?

Dica: There is a known behaviour in Alta Labs firmware related to the interaction between the SSID default VLAN and RADIUS-assigned VLANs.

Ver resposta modelo

The Alta Labs AP is overriding the RADIUS-assigned VLAN with the SSID default VLAN value. This is a known firmware behaviour: when the default VLAN on the SSID is set to a specific value (VLAN 5 in this case), the AP uses that value instead of the RADIUS-returned VLAN. The fix is to set the default VLAN on the 802.1X SSID to VLAN 1 (or leave it untagged). With the default set to VLAN 1, the AP correctly defers to the RADIUS-assigned VLAN for each authenticated user.

Continue a ler esta série

Integração do Cambium Networks cnPilot e cnMaestro com o Purple WiFi

Este guia de referência detalha a integração dos pontos de acesso Cambium Networks cnPilot e do controlador de nuvem cnMaestro com a plataforma de inteligência Purple WiFi. Abrange a arquitetura, a configuração do Captive Portal, os requisitos de walled garden, o WiFi para funcionários 802.1X e a segmentação dinâmica de VLAN usando Cambium ePSK para ambientes multi-tenant.

Ler o guia →

Integração de Access Points NETGEAR Insight e Enterprise com a Purple WiFi

Este guia fornece aos gestores de TI um roteiro técnico definitivo para integrar os access points enterprise NETGEAR Insight e WAX com a Purple WiFi. Abrange configurações essenciais, incluindo Captive Portals de convidados, redes de funcionários 802.1X e segmentação multi-tenant utilizando PPSK e atribuição dinâmica de VLAN.

Ler o guia →

Aruba ClearPass and Purple WiFi: Guia de Integração e Implementação

Este guia fornece uma referência técnica completa para integrar o HPE Aruba ClearPass Policy Manager com a plataforma Purple WiFi, cobrindo a arquitetura de proxy RADIUS, configuração de captive portal e mapeamento dinâmico de funções VLAN. É projetado para gestores de IT e arquitetos de rede em ambientes com forte presença Aruba que precisam manter o ClearPass para NAC enquanto implementam o Purple para autenticação de convidados e análises. A implementação desta integração preenche uma lacuna crítica de fornecedor, permitindo segurança e conformidade de nível empresarial juntamente com as capacidades de inteligência de visitantes líderes de mercado do Purple.

Ler o guia →