部署 Cisco Meraki 无线接入点（AP）为网络管理员提供了可跨多区域场所扩展的云管理硬件。然而，硬件部署仅仅是成功的一半。为了提供安全、高性能的 WiFi，企业必须将 Meraki 接入点与合理的网络架构、 802.1X RADIUS 身份验证以及智能访客管理工具相结合。
Cisco Meraki 接入点部署的关键前提条件
在 Meraki 仪表板中创建 SSID 或更改射频设置之前，请先确立您的网络前提条件。在未验证许可证、固件和网络拓扑结构的情况下匆忙进行物理安装，会导致后续出现身份验证失败和连接瓶颈。
检查许可证和固件兼容性
每个 Meraki 接入点都需要一个有效的企业许可证才能与 Meraki Cloud Dashboard 进行通信。如果没有有效的许可证，AP 将无法更新配置并停止广播无线信号。像 Meraki MR44、MR56 或 MR78 这样的接入点必须运行最新的固件才能支持 WPA3、802.11ax (WiFi 6) 和 Passpoint (Hotspot 2.0) 等现代协议。
固件更新可修补安全漏洞并扩展信道支持。对于英国和欧洲的部署，更新的固件可提供对 UNII-3 信道的访问，从而在拥挤的场所环境中开辟额外的 5 GHz 频谱。
规划网络拓扑结构和防火墙规则
在共享硬件上运行访客和员工网络时，网络隔离至关重要。请在您的交换机架构上使用 VLAN 标记，将访客流量与企业数据库和销售点（POS）系统隔离。这可以防止未经身份验证的访客设备访问内部 IP 地址。
接下来，配置您的上行防火墙以允许 RADIUS 身份验证和云管理流量。对于 Purple 集成，请确保您的防火墙允许发往 Purple RADIUS 服务器端点的端口 1812（身份验证）和 1813（记账）的出站 UDP 流量，以及用于 API 同步的 HTTPS 通信。
配置 Meraki SSID 以实现安全的访客和员工访问
结构合理的 Meraki 部署会使用针对特定用户画像定制的独立 SSID。请勿在所有用户之间共享单个预共享密钥 (PSK)，而应为公司员工、访客和 IoT 终端创建不同的 SSID。
创建无密码企业员工网络
为员工管理静态 WiFi 密码会在员工离职时带来安全风险。请使用 WPA2/ WPA3-Enterprise 和 802.1X RADIUS 身份验证配置您的员工网络。通过 Purple Cloud RADIUS 将 Meraki 与 Microsoft Entra ID 或 Okta 等身份提供商进行集成。
- 在 Meraki 控制面板中，导航至 Wireless > Configure > SSIDs 并选择一个可用的 SSID 插槽。
- 设置 SSID Name（例如，
Corporate_Staff_Secure）。 - 在 Association Requirement 下，选择支持 RADIUS 服务器身份验证的
WPA2-Enterprise或WPA3-Enterprise。 - 输入您的 Purple 门户中提供的主 RADIUS 服务器和备 RADIUS 服务器的 IP 地址及共享密钥。
- 将 Splash Page 设置为
None，以便员工使用数字证书或单点登录（SSO）凭据自动连接。
通过 802.1X 证书身份验证，当在您的中央身份目录中禁用某个帐户时，员工的网络访问权限会自动撤销，从而消除了共享密码的安全漏洞。
构建富有吸引力的访客 WiFi 网络
对于访客、客户和临时承包商，请使用开放的 SSID 并配以自定义的 Captive Portal Splash Page。这可以在收集基于同意的第一方分析数据以进行营销和场所优化的同时，提供即时互联网访问。
- SSID Name：清晰且易于识别（例如，
Venue_Guest_WiFi）。 - Security：选择
Open (no encryption)以消除连接障碍。 - Splash Page：选择
Click-through或Sign-on with...，并将围墙花园（ Walled Garden ）指向 Purple 云端身份验证服务器。
当访客连接时，Meraki 会将其浏览器重定向到 Purple Splash Page，用户可在该页面通过社交登录、网页表单或短信验证进行身份验证。如需了解更多信息，请参阅我们详尽的 captive portal guide 。
Meraki SSID 配置对比
| 配置设置 | 搭载 Purple 的访客 SSID | 员工企业级 SSID | Passpoint / OpenRoaming SSID |
|---|---|---|---|
| 安全协议 | 开放（Captive Portal） | WPA2/WPA3-Enterprise | WPA2/WPA3-Enterprise (802.11u) |
| 认证引擎 | Purple 强制门户页面（社交媒体/表单） | 802.1X RADIUS (Entra ID, Okta) | Passpoint 证书握手 |
| 用户体验 | 网页登录与同意书收集 | 自动单点登录认证 | 零点击后台连接 |
| 主要目标 | 访客互动与数据收集 | 零信任员工网络安全 | 全球漫游与即时接入 |
使用 Passpoint 和 OpenRoaming 激活下一代连接
虽然 Captive Portal 能够吸引新访客，但 Passpoint (Hotspot 2.0) 和 WBA OpenRoaming 将访客连接体验提升到了全新高度。Passpoint 允许移动设备使用加密的 SIM 配置文件或数字证书自动发现、验证并连接到 Meraki WiFi，而无需显示 Web 欢迎页面。
通过在 Meraki Dashboard 中启用 802.11u Hotspot 2.0 设置，并将您的网络链接到 Purple OpenRoaming 配置文件，回访访客和蜂窝网络漫游用户即可在全球参与合作的场馆中获得即时、安全的 WiFi 访问。请参阅我们的 企业 WiFi 安全指南 以获取详细的架构建议。
关于 Meraki 接入点设置的常见问题
针对 Cisco Meraki 无线接入点配置和 Purple 集成的常见技术疑问，提供清晰的解答。
如何将 Purple Captive Portal 连接到 Cisco Meraki 接入点？
您可以通过在 Meraki 仪表板中的无线 > 访问控制下添加 Purple RADIUS 服务器 IP 地址和密钥，并在 Walled Garden 设置下指定自定义 Purple Splash Page URL，从而将 Purple 连接到 Cisco Meraki AP。
Cisco Meraki 是否支持用于员工 WiFi 的 802.1X RADIUS 身份验证？
是的。Cisco Meraki MR 接入点完全支持使用 WPA2-Enterprise 和 WPA3-Enterprise 的 802.1X RADIUS 身份验证。这使企业能够通过数字证书或与 Microsoft Entra ID、Okta 的单点登录（SSO）集成来对员工设备进行身份验证。
Meraki 点击直通与 RADIUS Splash Page 有什么区别？
一键式欢迎页面在授予互联网访问权限之前，会将用户重定向到托管在 Web 服务器上的 Web 表单或条款协议。而 RADIUS 欢迎页面则要求无线接入点在授权网络流量之前，直接针对 RADIUS 服务器（如 Purple Cloud RADIUS）验证用户凭据。
我是否可以在现有的 Meraki MR 硬件上部署 Passpoint OpenRoaming？
是的。所有运行当前固件的现代 Cisco Meraki MR 接入点均支持 Passpoint (Hotspot 2.0)。在 Meraki 仪表板中启用 802.11u 设置后，设备可以使用加密的 Passpoint 配置文件自动连接，而无需进行 Splash Page 页面交互。
准备好升级您的 Cisco Meraki WiFi 网络了吗？
利用 Cloud RADIUS、Passpoint 自动连接以及智能访客分析，将您的 Meraki 无线部署转化为具备身份感知与创收能力的 WiFi 网络。
