Captive Portal 架构：安全性、重定向与最佳实践

请用英国英语发言，语气要自信、权威且具有口语感 - 就像一位资深网络顾问在喝咖啡时向客户做简报。节奏沉稳，吐字清晰，不急不躁。偶尔自然停顿以示强调。专业而不呆板： 欢迎来到 Purple 技术简报。我是您的主持人。今天我们将深入探讨 captive portal 架构 - 特别是安全模型、重定向机制，以及决定部署是合规、工程设计良好，还是会在凌晨三点给您带来麻烦的设计决策。 [中等停顿] 让我们设想一下场景。您在连锁酒店、零售物业或体育场运营着访客 WiFi。每天有数以千计的设备连接。其中一些设备携带恶意软件。一些用户会尝试访问不该访问的内容。而您的法律团队希望书面确认，在您存储哪怕一个字节的个人数据之前，您已经获得了有效的同意。[中等停顿] 这就是 captive portal 架构旨在解决的问题。让我们来拆解它实际上是如何工作的。 [中等停顿] 第一部分。重定向链。 当访客设备连接到您的 WiFi SSID 时，它会从专用访客 VLAN（我们称之为 VLAN 20）上的 DHCP 地址池获取一个 IP 地址。您的企业设备在 VLAN 10 上。这两个 VLAN 绝不能相互路由。从 PCI-DSS 的角度来看，坦率地说，从基本安全角度来看，这是不可妥协的。 现在，设备已连接，但尚未进行身份验证。控制器将其置于我们所说的预身份验证状态。该设备只能访问一个很小的白名单域名 - 即 walled garden（围墙花园）。其他所有访问都会被拦截。 巧妙的地方在这里。当设备尝试加载网页时 - 或者当操作系统执行其 captive portal 检测检查时（iOS 会通过访问 captive.apple.com 自动执行此操作） - 网关上的 DNS 解析器会返回 captive portal 服务器的 IP 地址，而不是真实的 county 目的地。浏览器遵循该重定向并降落在您的 splash page（欢迎页面）上。 [中等停顿] 这是第 3 层和第 7 层协同工作。VLAN 处理网络隔离。DNS 拦截处理重定向。而 captive portal 处理身份和同意层。三个不同的机制，全部按顺序工作。 [中等停顿] 第二部分。身份验证和 RADIUS。 一旦访客与 splash page（欢迎页面）进行交互 - 无论是接受条款和条件、输入电子邮件地址、通过社交登录进行身份验证，还是验证短信验证码 - 该平台就需要通知网络控制器为该特定设备打开防火墙。 这就是 RADIUS 发挥作用的地方。RADIUS 代表远程用户拨号认证系统。它是 RFC 2865 中定义的一种协议，也是在策略服务器和网络接入设备之间传递身份验证决策的行业标准。 Purple 作为一个云端托管的 RADIUS 服务器运行。当访客完成 Captive Portal 流程时，Purple 会向本地 WiFi 控制器（无论是 Cisco Meraki、HPE Aruba 控制器、Ruckus SmartZone 还是 Juniper Mist 接入点）发送一个 RADIUS Access-Accept 消息。控制器接收该消息并将访客设备从预认证状态转换为已授权状态，从而打开防火墙规则并授予互联网访问权限。 [medium pause] 关于 RADIUS，您需要了解一个重要的扩展：授权变更（即 CoA）。CoA 允许 RADIUS 服务器向控制器发送会话中消息，以撤销或修改已处于活动状态的会话。Purple 使用 CoA 来执行会话超时、断开因违反策略而被标记的设备，并支持 GDPR 下的即时擦除工作流 - 当用户请求删除其数据时，Purple 可以立即撤销其活动会话。 [medium pause] 第三部分。围墙花园（Walled Garden）。 围墙花园是一个 IP 地址和域名白名单，未经验证的设备在完成 Captive Portal 流程之前可以访问这些地址和域名。如果配置错误，您的展示页面将无法加载。如果出现严重错误，您将造成安全漏洞。 您的围墙花园至少需要包括 Captive Portal URL 本身、托管该 Portal 资源的任何 CDN 端点，以及您正在使用的任何社交登录提供商（Google、Facebook、Microsoft）的身份验证端点。如果您使用的是短信验证，则需要将短信网关的 API 端点加入白名单。 让大多数部署方案踩坑的是动态 IP 地址。云服务并不总是拥有静态 IP。如果您将 IP 而不是域名加入白名单，并且该 IP 发生了变化，您的 Portal 就会失效。在控制器支持的情况下，请使用基于域名的白名单，并在每次更改后进行测试。 [medium pause] 第四部分。安全设计。 让我们更详细地讨论一下安全架构，因为这是大多数部署出现漏洞的地方。 第一：客户端隔离。请启用它。这是接入点上的一项设置，用于阻止访客设备在无线介质上直接相互通信。如果不启用，您的访客网络上被入侵的设备就可以探测并攻击其他访客设备。这是一个只需勾选一个复选框即可解决的方案，能够消除一整类对等网络（Peer-to-Peer）攻击。 第二：DHCP 租约时间。在人员流动性强的场所 - 如交通枢纽、体育场、繁忙的零售店 - 您需要较短的租约时间。30 到 60 分钟。如果您将默认值保持在 24 小时，且在比赛日有 1 万台设备连接，那么在半场结束前您的 IP 地址池就会耗尽。新设备将无法连接，您的运营团队也会收到投诉。请保持较短的租约时间。 第三：加密。您的 Captive Portal 必须通过带有有效 TLS 证书的 HTTPS 进行服务。如果是通过 HTTP 进行服务，现代浏览器会将其标记为不安全，用户会产生不信任感，并且您正在传输明文凭据。至少使用 TLS 1.2；首选 TLS 1.3。WiFi 传输层应使用 WPA2-AES 或 WPA3 - 绝不使用 WEP，绝不使用 TKIP。 第四：VLAN 隔离。您的访客 VLAN 必须与任何接触付款卡数据的网络段完全隔离。PCI-DSS 4.0 版本对此有明确规定。如果您的访客网络可以路由到包含销售点系统的子网，那么您的整个 POS 网络都将纳入 PCI 审计范围。这是一项重大的合规负担。从第一天起就正确进行隔离。 [中顿] 第五部分。GDPR 和数据合规性。 每个收集个人数据的 Captive Portal - 在 GDPR 规定下，电子邮件地址、电话号码和社交媒体登录都算作个人数据 - 都必须满足特定的要求。 您需要有合法的处理依据。对于访客 WiFi，这通常是同意。同意必须是自由给出的、具体的、知情的且明确的。预先勾选的框不算数。将 WiFi 同意与营销同意捆绑在一起也不算数。Purple 的有意识选择加入模型将网络访问同意与营销同意分开，因此访客可以在不被强迫接受营销电子邮件的情况下上网。 您需要记录收集哪些数据、收集的原因、存储的位置以及保留的时间。Purple 已通过 ISO 27001 认证、符合 GDPR 合规、符合 CCPA 合规，并已通过 Cyber Essentials 认证。该平台将数据存储在符合合规要求且具有书面保留政策的数据中心中。 您还需要一个“被遗忘权”（删除权）工作流程。如果访客请求删除其数据，您必须能够在三十天内执行。Purple 平台原生支持此功能，我之前提到的 RADIUS CoA 机制意味着您可以同时撤销活动会话。 [中顿] 现在，让我们转向实施建议和我们最常遇到的陷阱。 [中顿] 陷阱一：配置错误的围墙花园（Walled Gardens）。展示页面已加载，但社交登录按钮不起作用。或者页面已加载，但徽标没有出现，因为 CDN 域名未列入白名单。在上线前，请在没有缓存 DNS 的全新设备上测试您的围墙花园。 陷阱二：共享 PSK。一些场所仍在使用写在黑板上的单个 WiFi 密码。这不是 Captive Portal - 这是一个任何人都可以拍照并分享的共享密钥。它无法为您提供身份数据、同意记录，也无法撤销单个访问权限。请用托管的 Captive Portal 取代它。 陷阱三：DHCP 地址池大小不足。我虽已讲过这一点，但仍值得重申。根据并发连接峰值而非平均连接数来规划您的 DHCP 地址池大小。在一个拥有四万名球迷的体育场内，您可能会有两万台设备尝试同时连接。请做好相应规划。 陷阱四：未设置会话超时。如果没有会话超时设置，一台在六个月前连接且再未返回的设备仍会在您的控制器中保持已授权的会话状态。这是一个浪费资源并产生审计干扰的陈旧记录。请务必设置会话超时。30分钟的非活动时间是一个合理的默认值。 [medium pause] 快速问答环节。 问题：Captive Portal是否适用于所有设备？ 回答：现代操作系统 - iOS、Android、Windows、macOS - 都内置了Captive Portal检测功能。它们会检测到重定向并自动呈现门户。较旧的设备可能需要用户手动打开浏览器。Purple 的平台可以同时处理这两种流程。 问题：我们能否将Captive Portal与 802.1X 结合使用？ 回答：可以。许多企业部署对员工设备使用 802.1X - 通过证书或凭据进行自动身份验证 - 而在独立的 SSID 上为访客设备使用Captive Portal。Purple 可与同时支持这两种流程的 RADIUS 基础设施集成。 问题：OpenRoaming 怎么样？ 回答：OpenRoaming 是一种标准，允许设备使用基于证书的身份验证自动连接到 WiFi，从而完全绕过Captive Portal。在 Connect 许可下，Purple 可作为免费的 OpenRoaming 身份提供商。这是实现无缝访客连接的未来趋势，但Captive Portal目前仍然是数据采集和同意管理的主流标准。 [medium pause] 总结一下。 一个架构良好的Captive Portal部署依赖于五大支柱。VLAN 隔离以保护您的企业网络。DNS 拦截和 HTTPS 重定向以呈现展示页面。RADIUS 身份验证以在获得同意后打开防火墙。正确配置的围墙花园（walled garden）以确保门户可靠加载。以及符合 GDPR 的数据处理，以保护您的访客和您的组织。 Purple 的平台在 80,000 个活跃场馆中处理了所有这五个层面的工作，在 2024 年处理了 4.4 亿次登录，并实现了 99.999% 的在线率。它与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 进行原生集成 - 因此，无论您运行的是何种硬件，都可以在不进行彻底更换的情况下进行部署。 如果您想深入了解其中的任何主题 - SSID 设计、RADIUS 配置或 GDPR 合规工作流 - 请访问 purple.ai 获取完整的技术指南库。 感谢收听。