Aruba ClearPass 和 Purple WiFi：集成与部署指南

执行摘要

对于大量投资于 HPE Aruba 基础设施的企业环境，管理复杂的网络访问策略，同时提供无缝、数据丰富的访客 WiFi 体验，是一个重大的架构挑战。虽然 ClearPass Policy Manager 在企业设备的网络访问控制 (NAC) 和 IEEE 802.1X 身份验证方面表现出色，但场所运营商越来越需要 Purple WiFi 提供的高级 captive portal、分析和营销功能。

本指南详细介绍了使用 RADIUS 代理模型将 Aruba ClearPass 与 Purple WiFi 集成的架构和部署策略。通过将 ClearPass 配置为将访客身份验证请求代理到 Purple 的 RADIUS-as-a-Service，组织可以维护集中式安全策略，执行基于动态角色的 VLAN 分配，同时利用 Purple 强大的访客洞察平台。对于大规模部署在 零售 、 酒店业 、 医疗保健 和 交通 枢纽，这种集成至关重要，在这些地方，合规性、安全性和客户参与必须毫无妥协地共存。最终，部署结果是 ClearPass 做出决策，Purple 进行交互，Aruba 执行策略。

技术深入探讨

架构概述

该集成依赖于标准的 RADIUS 代理架构，基于 RFC 2865 (RADIUS) 和 RFC 5176 (动态授权扩展)。Aruba Mobility Controller 或 Instant AP 集群配置为将所有 SSID 的 ClearPass 作为主 RADIUS 服务器。ClearPass 本地处理针对 Active Directory 或内部证书颁发机构的企业 802.1X 身份验证，但配置了 RADIUS 服务路由策略，将访客身份验证请求转发到 Purple 的云 RADIUS 服务器。

这种架构保留了对 ClearPass 作为中央策略决策点的投资，同时将访客体验层完全委托给 Purple。每个身份验证事件（企业或访客）都记录在 ClearPass 的 Access Tracker 中，提供统一的审计跟踪，满足 PCI DSS v4.0 和 GDPR 第 30 条（处理活动记录）的合规性要求。

认证流程：逐步分解

理解确切的事件顺序对于初始部署和后续故障排除至关重要。访客设备的流程如下。

captive portal 检测机制的行为——特别是 Apple 的 Captive Network Assistant (CNA)、Android 的连接检查以及 Microsoft NCSI——直接影响门户是否能正确加载。有关这些操作系统级别行为的详细细分，请参阅 Apple CNA、Android 连接检查、Microsoft NCSI：captive portal 检测的实际工作原理 。

动态 VLAN 分配和 ClearPass 角色映射

网络分段是 PCI DSS 合规性和健全安全架构的强制性要求。ClearPass 通过其角色映射和 Enforcement Profile 框架实现动态 VLAN 分配。

当 ClearPass 处理身份验证请求时，它会评估上下文属性——用户身份、设备类型（通过 DHCP 指纹识别或 HTTP User-Agent 分析）、时间和连接位置——并分配角色。然后将此角色映射到 Enforcement Profile，该配置文件向 Aruba 控制器返回特定的 RADIUS 属性，最关键的是 Aruba-User-Role Vendor-Specific Attribute (VSA，Vendor ID 14823，Attribute 1)。

Aruba 控制器将每个 User-Role 映射到 VLAN 和一组状态防火墙策略。以下是大型场所的典型分段模型。

ClearPass 中的 RADIUS 代理配置

ClearPass Policy Manager 中的 RADIUS 代理配置需要三个组件：RADIUS 代理目标（定义 Purple 的 RADIUS 服务器端点）、服务路由策略（定义要代理哪些请求）以及 Enforcement Profile（定义在返回路径上附加的 VSA）。

代理目标在 Administration > External Servers > RADIUS Servers 下配置。添加 Purple 的 RADIUS IP 地址（可从 Purple 门户的 Hardware > RADIUS Settings 获取）、共享密钥以及身份验证端口 (UDP 1812) 和计费端口 (UDP 1813)。

服务在 Configuration > Services 下配置。创建一个类型设置为 RADIUS 代理的新服务。在服务规则下，添加匹配 Called-Station-ID（SSID 名称）或 NAS-Identifier 的条件以识别访客流量。在 Authentication 下，选择上面创建的 RADIUS 代理目标。

至关重要的是，确保 RADIUS 计费也被代理到 Purple。Purple 使用计费数据（Acct-Start、Acct-Interim-Update、Acct-Stop）在 WiFi Analytics 平台中填充会话持续时间、数据消耗和实时存在数据。忽略计费是一个常见的部署错误，会导致分析仪表板不完整。

实施指南

阶段 1：Aruba 控制器配置

步骤 1 — 将 ClearPass 定义为 RADIUS 服务器。 导航到 Configuration > Security > Authentication Servers。添加 ClearPass 的主 IP 地址和辅助 IP 地址。设置共享密钥、身份验证端口 (1812) 和计费端口 (1813)。将超时配置为 10 秒，重试配置为 3 次，以考虑到 Purple 云基础设施的代理跳跃。

步骤 2 — 配置访客 SSID。 为访客访问创建一个新的 SSID 配置文件。将安全模式设置为 Open 或 WPA3-SAE（建议用于 GDPR 合规性）。在 AAA 配置文件下，将初始角色设置为仅具有 walled garden 访问权限的预定义登录角色。

步骤 3 — 配置 captive portal 配置文件。 创建一个 captive portal 配置文件，指向 Purple 的启动页面 URL。此 URL 从 Purple 门户的 Locations > [Your Venue] > Splash Page URL 下获取。启用身份验证后重定向到原始 URL 的选项。

步骤 4 — 配置 walled garden。 这是操作上最敏感的步骤。walled garden 必须包含 Purple 的门户域名、CDN 端点以及所有社交登录提供商域名。至少包括：

• *.purple.ai 和 *.purple-portal.com
• *.facebook.com、*.fbcdn.net（用于 Facebook 登录）
• *.google.com、*.googleapis.com（用于 Google 登录）
• Apple 的 CNA 检查端点：captive.apple.com
• Microsoft NCSI：www.msftconnecttest.com

步骤 5 — 定义后认证角色。 创建 ClearPass 将分配的后认证角色（例如，guest-authenticated）。每个角色映射到一个 VLAN 和仅允许互联网访问的防火墙策略。

阶段 2：ClearPass Policy Manager 配置

步骤 1 — 将 Aruba 控制器添加为网络设备。 在 Configuration > Network > Devices 下，添加每个 Aruba 控制器的管理 IP、共享密钥和供应商（Aruba Networks）。

步骤 2 — 将 Purple 添加为 RADIUS 代理目标。 在 Administration > External Servers > RADIUS Servers 下，使用 Purple 门户中提供的共享密钥添加 Purple 的 RADIUS 端点。

步骤 3 — 创建访客身份验证服务。 在 Configuration > Services 下，创建一个新服务。将服务类型设置为 RADIUS 代理。配置服务规则以匹配访客 SSID（例如，Called-Station-SSID EQUALS GuestWiFi）。在 Authentication 下，选择 Purple RADIUS 代理目标。

步骤 4 — 创建 Enforcement Profile。 在 Configuration > Enforcement > Profiles 下，创建一个 RADIUS enforcement profile。添加属性 Aruba-User-Role，值为 guest-authenticated。这指示 Aruba 控制器将用户移至后认证访客角色。

步骤 5 — 配置计费代理。 确保服务还配置为将 RADIUS 计费代理到 Purple 的计费服务器 (UDP 1813)。

阶段 3：Purple 平台配置

步骤 1 — 注册硬件。 在 Purple 门户中，导航到 Locations > Hardware。添加 Aruba 控制器的公共 IP 地址或 NAS-Identifier。这允许 Purple 将身份验证请求与正确的场所关联起来。

步骤 2 — 配置启动页面。 使用 Purple 的门户构建器设计 captive portal 体验。根据 GDPR 配置身份验证方法、条款和条件以及营销选择加入字段。

步骤 3 — 检索 RADIUS 凭据。 在 Locations > [Venue] > RADIUS Settings 下，检索 RADIUS 服务器 IP 地址、共享密钥和端口。在 ClearPass 代理目标配置中使用这些值。

最佳实践

walled garden 维护。 将 walled garden 视为动态配置。社交登录提供商会定期更新其 CDN 域和 IP 范围。建立季度审查流程，并订阅主要提供商的变更通知。

RADIUS 冗余。 在 ClearPass 中配置 Purple 的两个 RADIUS 服务器 IP 以实现故障转移。同样，在订阅服务器/发布服务器集群中部署 ClearPass，以消除身份验证路径中的单点故障。

计费完整性。 验证 Purple 是否接收到每个会话的 RADIUS 计费停止记录。孤立会话（有开始无停止）表明存在网络问题，并将扭曲分析数据。

802.1X 的证书管理。 对于使用 EAP-TLS 或 PEAP 的企业 SSID，确保服务器证书在到期前及时更新。过期的证书将同时锁定所有企业设备——这是一个高影响事件。

IoT 设备分析。 利用 ClearPass Device Insight 或内置的分析引擎，通过 OUI 和 DHCP 指纹自动分类 IoT 设备。这可以实现自动 VLAN 分配，无需手动管理 MAC 地址。

GDPR 合规性。 Purple 在访客身份验证期间捕获个人数据（电子邮件、姓名、社交资料）。确保您的 Purple 启动页面包含合规的隐私声明，并且 Purple 门户中的数据保留策略符合您组织的 GDPR 义务。

故障排除与风险缓解

Captive Portal 不显示

症状： 客户端连接到访客 SSID，但没有出现门户；设备显示“已连接，无互联网”。

诊断： 在控制器上行链路上使用数据包捕获，验证门户 URL 的 DNS 查询是否正在解析，以及 HTTP 流量是否被拦截。检查 CNA/NCSI 检查端点是否在 walled garden 中。

解决方案： 将缺少的域名添加到 walled garden。验证 captive portal 配置文件已正确关联到访客 SSID AAA 配置文件。

静默身份验证失败

症状： 用户完成门户表单，但网络访问被拒绝。ClearPass Access Tracker 显示 Access-Reject。

诊断： 打开 Access Tracker 条目，检查身份验证失败原因。常见原因包括 RADIUS 共享密钥不匹配、Purple RADIUS 服务器不可达或服务规则错误匹配了错误的服务。

解决方案： 验证 Aruba 控制器到 ClearPass 以及 ClearPass 到 Purple 两端的共享密钥。使用 radtest 从 ClearPass 服务器测试 Purple RADIUS 的可达性。

VLAN 分配不正确

症状： 访客身份验证成功，但收到的是企业子网 (VLAN 10) 中的 IP 地址。

解决方案： 验证 ClearPass Enforcement Profile 中的 Aruba-User-Role 值与 Aruba 控制器上定义的角色名称完全匹配（包括大小写）。检查 ClearPass Access Tracker 输出属性以确认 VSA 正在被发送。

RADIUS 超时错误

症状： 身份验证间歇性失败，尤其是在负载下。Access Tracker 显示超时错误。

解决方案： 将 Aruba 控制器上的 RADIUS 服务器超时增加到 10 秒。验证 UDP 端口 1812 和 1813 在 ClearPass 和 Purple 云基础设施之间的防火墙上是否开放且不受速率限制。

投资回报率与业务影响

部署此集成架构可在 IT、安全和商业职能部门产生可衡量的回报。从安全性和合规性角度来看，将所有身份验证事件集中在 ClearPass 中提供了统一的审计跟踪，简化了 PCI DSS 和 GDPR 合规性报告。动态 VLAN 分段消除了访客流量穿越企业基础设施的风险，直接减少了攻击面。

从商业角度来看，Purple 的 Guest WiFi 平台将访客网络从成本中心转变为第一方数据资产。每个经过身份验证的访客会话都会生成选择加入的营销数据——电子邮件地址、访问频率、停留时间和设备类型——这些数据直接输入到 CRM 和营销自动化平台中。在现有 Aruba 基础设施旁边部署 Purple 的场所，持续报告在电子邮件列表增长、重复访问率和活动转化方面的可衡量改善。

该集成还避免了更换现有 ClearPass 许可证或 Aruba 硬件的需要，使其成为对现有基础设施投资的低风险、高回报的补充。对于管理多个站点（零售连锁、酒店集团或大学校园）的组织，Purple 的集中管理门户提供了 ClearPass 单独无法提供的跨站点分析。

对于理解物理访客行为与网络安全同样重要的环境（如大型零售楼层或交通枢纽），Purple 的分析自然地与 Indoor Positioning System 数据集成，以提供空间智能以及连接指标。