Cisco Meraki 与访客 WiFi：使用 Purple 设置 Captive Portal

Cisco Meraki 与 Purple WiFi 集成 - 资深顾问简报 运行时间：约 10 分钟 引言与背景（约 1 分钟） 欢迎。如果您负责 Cisco Meraki 部署，并且正在努力决定 Purple WiFi 是否是适合在其之上运行的理想访客智能层，那么此简报非常适合您。我将带您详细了解该集成的具体工作原理、您需要配置的内容、常见的陷阱以及您应该切合实际期望获得的投资回报。 让我来为您介绍一下背景。Cisco Meraki 是目前企业级酒店、零售和公共部门领域应用最广泛的云管理无线基础设施，其优势非常明显。它可靠、可扩展，且其云端仪表板确实非常出色。但问题在于 - Meraki 原生的访客 WiFi 功能偏重于实用性，而非战略性。您可以让访客联网，但您无法捕获有价值的第一方数据，无法以此构建营销漏斗，更无法向董事会展示投资回报率。而这恰恰是 Purple 所填补的空白。 技术深潜（约 5 分钟） 让我们谈谈架构。Purple 与 Meraki 的集成运行在两个不同的技术层面上，在您进行任何配置之前，理解这两者至关重要。 第一层是 Meraki Dashboard API - 这是配置层。Purple 使用 Meraki 的 REST API 通过单次批量操作将您的整个接入点设备导入到 Purple Portal 中。您使用从 Meraki 仪表板的 Organization 部分下的 API and Webhooks 中生成的 Meraki API 密钥进行身份验证。一旦 Purple 获得了该密钥，它就可以直接从您的 Meraki 云中提取每个接入点、每个网络和每个 SSID 配置。例如，对于一个酒店集团旗下分布在各处的 300 个接入点的设备群，这可以将一个需要多天手动配置的过程缩短到不到一小时内完成。这是一笔不菲的运营成本节省。 第二层是身份验证和 Captive Portal 层 - 这才是访客体验真正所在的地方。Purple 作为一个外部展示页面提供商，使用 Meraki 的 Captive Portal API。当访客连接到您的访客 SSID 时，Meraki 会拦截他们的 HTTP 流量并将其重定向到 Purple 托管的展示页面 - 即您的品牌化 Captive Portal。访客通过您配置的任何方式进行身份验证：社交登录、电子邮件表单、短信验证或组合方式。然后，Purple 通过 RADIUS（远程用户拨号认证服务，在端口 1812 上进行身份验证，在端口 1813 上进行计费）回传给 Meraki。一旦 RADIUS 确认了身份验证，Meraki 就会授予访客完整的网络访问权限。 现在，让我带您逐步了解具体的 Meraki 仪表板配置，因为这里的细节至关重要。 在 Meraki 仪表板中，导航至“Wireless”（无线），然后选择“Access Control”（访问控制）。从下拉菜单中选择您的访客 SSID。将安全设置设为 Open（开放） - 是的，开放，因为身份验证是由 RADIUS 和 Captive Portal 层处理的，而不是在 802.11 关联级别。将 Splash Page（展示页面）类型设置为“Sign-on with my RADIUS server”（使用我的 RADIUS 服务器登录）。这是一个关键的选择 - 它指示 Meraki 使用外部 RADIUS 服务器进行身份验证，而不是使用其自身内置的选项。 在“Advanced Splash Settings”（高级展示页面设置）下，将 Captive Portal 强度设置为“Block all access until sign-on is complete”（在登录完成前阻止所有访问）。启用 Walled Garden（围墙花园） - 这是访客在通过身份验证之前可以访问的域名列表，其中必须包含 Purple 的平台域名，以便展示页面本身能够加载。Purple 在其支持文档中提供了这些域名的维护白名单。 对于 RADIUS 服务器配置，您需要添加两台服务器 - Purple 提供了主、备端点以实现冗余。身份验证端口为 1812，您将使用 Purple Portal 中提供的 RADIUS 密钥。在端口 1813 上为 RADIUS 计费添加相应的条目。将计费临时时间间隔（Accounting interim interval）设置为四分钟 - 这对于精确的会话跟踪和分析非常重要。将服务器超时设置为 5 秒，重试次数为 3 次。 在“Advanced RADIUS Settings”（高级 RADIUS 设置）下，配置 Called-Station-ID 和 NAS-ID 以使用 AP 的 MAC 地址。这对于 Purple 的定位分析至关重要 - 如果没有它，Purple 就无法准确地将控制会话归因于特定的接入点，从而无法生成有意义的楼层级分析。 然后导航至“Wireless”（无线），“Splash Page”（展示页面）。输入由您的 Purple Portal 提供的自定义展示 URL - 这是您的品牌 Captive Portal 的 URL。配置身份验证后的重定向 URL - 通常是您场所的网站或特定的落地页。 现在，还有第二个值得详细讨论的组件：PurpleConnex，这是 Purple 的 SecurePass 解决方案。这将创建第二个 SSID - 通常命名为 PurpleConnex - 配置为使用 Purple 的 RadSec RADIUS 服务器的 WPA2 企业级网络。RadSec 是基于 TLS 的 RADIUS，它为身份验证流量提供加密传输。此 SSID 结合 Hotspot 2.0 配置 - 也称为 Passpoint，即 IEEE 802.11u 标准 - 允许再次光临的访客自动重新连接，而无需再次看到 Captive Portal。他们的设备会识别 Passpoint 配置文件并进行无缝连接。这在您希望消除重复身份验证摩擦的环境中特别有用，例如访客入住三晚的酒店，或每周光顾的零售会员。Meraki 中的 Hotspot 2.0 配置要求您将运营商名称设置为 PURPLE 冒号 GB，将域名列表配置为 securewifi.purple.ai，并添加 Purple 指定的 Roaming Consortium OIs。NAI Realm 配置有 EAP-TTLS 和 PAP 身份验证方法。这些在 Purple 的支持门户中都有详细记录，一旦您了解了每个字段的作用，配置就会非常简单。 实施建议和常见陷阱（约 2 分钟） 让我为您介绍在 Meraki 和 Purple 部署中我最常遇到的三种故障模式，以及如何避免它们。 第一：围墙花园（Walled Garden）配置错误。如果您的围墙花园列表不完整，访客将看到一个损坏的 Splash 页面 - CSS 无法加载，图像无法渲染，并且身份验证会无声无息地失败。Purple 维护着一份最新的所需域名允许列表。请将此列表视为动态文档，并在 Purple 发布平台更新时随时进行审查。我建议在正式上线前，在单独的网络段上使用访客设备测试 Captive Portal 体验。 第二：RADIUS 超时设置。对于云托管的 RADIUS 服务器，默认的 Meraki RADIUS 超时通常设置得太低。5 秒并重试 3 次是正确的配置。如果您将其保留为默认的 2 秒，您将在高峰负载期间遇到间歇性的身份验证失败 - 这恰恰是您的访客体验下降的最糟糕时刻。 第三：NAS-ID 和 Called-Station-ID 配置错误。这是最常让工程师栽跟头的地方。如果这些字段配置错误 - 或保留为默认值 - Purple 的分析引擎将无法将控制台会话映射到特定的接入点。您将获得聚合数据，但无法获得楼层级别的智能数据。该值必须设置为 AP MAC 地址，而不是 SSID 名称或任何其他选项。 在合规性方面：Purple 的数据收集在设计上符合 GDPR 和 CCPA。Captive Portal 提供了一个符合这两项法规要求的同意机制。如果您在 PCI-DSS 范围内的主机环境中运行（例如，在同一网络段上配有支付终端的酒店），请确保您的访客 SSID 处于具有适当防火墙规则的独立 VLAN 上。Meraki 用于客户端 IP 分配的 NAT 模式（这是推荐的设置）提供了一定程度的隔离，但您的网络细分架构仍需要由您的安全团队进行独立审查。 快速问答（约 1 分钟） 问题：Purple 是否可以与 Meraki MX 安全设备以及无线 AP 进行集成？ 回答：是的。配置过程本质上是相同的 - MX 支持与无线 AP 相同的 Splash 页面和 RADIUS 配置。支持文章涵盖了 AP、MX 和 Z1 远程工作者网关配置。 问题：一个拥有 50 个分店的酒店集团进行完整部署需要多长时间？ 答：通过 Meraki API 进行自动配置，导入接入点只需对每个组织执行一次操作。SSID 和 RADIUS 配置可以在不同的网络之间模板化。对于拥有 50 个站点的部署，在网络工程师技术熟练的情况下，大约需要两到三天的配置工作，外加测试时间。 问：Purple 是否支持 Meraki 较新的 WiFi 6 和 WiFi 6E 接入点？ 答：是的。该集成在应用层运行 - 即 RADIUS 和 HTTP 重定向 - 因此与硬件版本无关。Purple 适用于任何支持上述 Splash 页面和 RADIUS 配置的 Meraki 接入点。 总结和后续步骤（大约 1 分钟） 总结一下：Cisco Meraki 与 Purple WiFi 的集成是一种成熟且文档齐全的部署，它将 Meraki 卓越的云端管理基础设施与 Purple 的访客智能及数据捕获能力结合在一起。该集成主要使用两种机制：用于自动配置的 Meraki Dashboard API，以及用于访客体验层的具有 RADIUS 身份验证的 Captive Portal API。 需要做对的三件事是：围墙花园配置、RADIUS 超时和重试设置，以及用于精确位置分析的 NAS-ID 配置。 商业案例非常有说服力。麦当劳比利时、沃尔玛加拿大和哈罗德百货（Harrods）都是正在运行的 Purple 和 Cisco 部署。AGS Airports 实现了 842% 的投资回报率。哈罗德百货将 600,000 次 WiFi 登录转化为了 57 倍的投资回报率。 如果您已准备好继续推进，下一步是生成您的 Meraki API 密钥，登录 Purple 门户网站，并使用硬件导入向导导入您的接入点设备。在此之后，您的 Purple 客户团队可以在单次会议中引导您完成 SSID 和 RADIUS 配置。 感谢您的宝贵时间。