如何为访客 WiFi 配置 锐捷 (Ruijie) Captive Portal

请使用自信、权威且口语化的英式英语进行演讲——就像一位资深 IT 顾问在向客户做简报。节奏沉稳，吐字清晰，专业而不生硬。对关键技术术语进行偶尔的自然强调： 如何为访客 WiFi 配置 Ruijie Captive Portal。Purple 技术简报。 [中等停顿] 引言与背景。 [短暂停顿] 欢迎。在接下来的十分钟里，我们将涵盖您需要了解的关于为访客 WiFi 配置 Ruijie Captive Portal 的一切——从决定您的部署是成功还是失败的架构决策，到大多数指南完全跳过的具体配置步骤。 如果您是酒店、零售连锁、体育场或会议中心的 IT 经理、网络架构师或场馆运营总监，并且您现场部署了 Ruijie 硬件或正在对其进行评估，那么本简报就是为您准备的。 Ruijie Networks 是全球增长最快的企业级无线厂商之一。根据 IDC 的数据，Ruijie 在中国企业级 WLAN 市场中占有 23.34% 的份额，位居第一，并且其业务版图正在欧洲、中东和亚太地区迅速扩张。他们的 RG-WS 系列无线控制器、Reyee EG 系列网关以及云管理的 RG-RAP 接入点目前已部署在全球数千个场馆中。 但问题在于。在 Ruijie 硬件上正确配置访客 WiFi——特别是 Captive Portal 部分——需要预先理解几个架构决策。如果这些决策出错，您最终得到的 Portal 可能会在 iOS 上崩溃，导致访客无法进行身份验证，并且网络要么过于开放，要么过于封闭。 让我们来解决这个问题。 [中等停顿] 技术深度解析。 [短暂停顿] 首先是架构。Ruijie 为访客 WiFi Captive Portal 提供了三种不同的部署模式，选择哪一种取决于您的规模和管理需求。 模式一是原生的 Ruijie Cloud 或 JaCS 托管 Portal。JaCS 是 Ruijie 专注于酒店业的管理系统。这是内置的选项。您登录 Ruijie Cloud，导航至 Device Config（设备配置），然后选择 Basic（基本），创建或编辑您的访客 SSID，启用 Authentication（认证）开关，并选择 Captive Portal 作为模式。JaCS 支持酒店和其他场景，并为您提供了一个拖拽式的 Portal 生成器，登录选项包括一键接入、凭证码和基于账户的登录。对于较小规模的部署——单家酒店、精品零售店或希望在没有外部依赖的情况下快速建立品牌宣传页的会议中心，这是正确的选择。 模式二是基于 WISPr 和 RADIUS 的外部 Captive Portal。WISPr（无线互联网服务提供商漫游）是处理 Ruijie 网关与外部门户平台之间重定向和认证握手的协议。这是企业级的解决方案。当您需要将 Ruijie 与第三方访客 WiFi 智能平台集成时，就需要采用这种方式。在这里，您需要导航至 Ruijie 界面中的“认证与计费”，选择 Captive Portal，将“策略模式”设置为“外部”，并将“门户服务器 URL”指向您的外部平台。然后，使用平台提供的凭据配置 RADIUS 服务器组。该模式可扩展至数百个站点，为您提供集中式分析，并允许您运行符合 GDPR 的数据采集工作流。 模式三是独立 AP 模式。运行 ReyeeOS 1.219 或更高版本的 Ruijie Reyee 接入点可以在没有网关的情况下运行本地 Captive Portal，这对于临时部署或没有 EG 路由器的中小型站点非常有用。但与基于网关的部署相比，其功能较为有限，因此请将其视为备用方案，而非首选架构。 [medium pause] 现在，我们来讨论大多数指南都会完全忽略的关键部分：VLAN 隔离。当您在 Ruijie 上创建访客 SSID 时，有两种转发选项：NAT 模式和 VLAN 模式。 NAT 模式较为简单。网关会从专用地址池（默认通常为 192.168.23.0/24）为访客设备分配地址，并且所有访客流量都会通过 NAT 转发到互联网。这适用于概念验证，但在第 3 层对访客流量的可见性和控制力有限。 VLAN 模式是任何生产环境部署的正确选择。您将访客 SSID 分配给专用 VLAN（例如 VLAN 100），并在网关上使用 ACL 阻止访客流量访问您的企业 VLAN。其配置模式为：创建扩展访问控制列表，拒绝从访客子网到企业子网的 IP 流量，允许其他所有流量，并将该访问控制列表应用在访客 BVI 接口的入方向。这与您在 Cisco Meraki、HPE Aruba 或 Ruckus 上应用的原理相同，只是 Ruijie 有其自己的 CLI 语法。 安全标准在此至关重要。Ruijie 在访客 SSID 上支持 WPA3-Personal 以及 WPA2/WPA3 混合模式。对于希望实现无摩擦接入的访客网络，您通常会运行带有 Captive Portal 认证的开放式 SSID，而不是使用预共享密钥。Captive Portal 将成为您的认证层。如果您需要更强的安全性（例如在医疗或金融服务环境中），您可以在其上叠加 IEEE 802.1X，通过 RADIUS 服务器使用 EAP-TLS 或 PEAP 进行基于证书或基于凭据的认证。Ruijie 的 RG-WS 系列控制器支持完整的 802.1X 及动态 VLAN 分配，这意味着您可以根据 RADIUS 属性将不同的 VLAN 推送给不同的用户组。 [medium pause] 围墙花园（即白名单）是另一个容易让人出错的地方。在访客通过 Captive Portal 进行身份验证之前，其设备处于受限状态。它只能访问您明确列入白名单的域名。您至少需要允许您的门户平台域名和 IP 地址、您正在使用的任何社交登录提供商，以及 Apple 的 Captive Portal 检测端点——captive.apple.com。如果遗漏了最后一个，iOS 设备上的门户体验就会出现异常。您可以在 Ruijie Cloud 的“Auth and Account”（认证与账户）下的“Allowlist”（白名单）中配置白名单。请逐个添加每个域名和 IP 地址。 [medium pause] 实施建议与常见陷阱。 [short pause] 让我为您提供决定您的 Ruijie 访客 WiFi 部署成功与否的四个关键决策。 决策一：原生门户还是外部平台。如果您运营的站点超过五个，或者您需要收集第一方数据用于营销，请使用外部平台。例如，Purple 作为一个与硬件无关的云端覆盖系统，运行在超过 80,000 个活跃场所中。您只需将 Ruijie 网关指向 Purple 的门户 URL，配置 RADIUS 凭据，即可获得集中式分析、符合 GDPR 的数据收集以及 CRM 集成——而无需再次操作 Ruijie 硬件。仅在 2024 年，Purple 就处理了 4.4 亿次登录，并持有 ISO 27001 认证，因此合规性问题已得到妥善解决。 决策二：NAT 还是 VLAN。在生产部署中，请始终使用 VLAN 模式。NAT 模式适用于概念验证，但 VLAN 模式可以为您提供真正的第 3 层隔离、更轻松的防火墙策略管理，以及按 VLAN 应用 QoS 策略的能力。 决策三：带宽管理。Ruijie 的 EG 网关内置了 QoS 控制功能。在访客 SSID 上设置单用户下载和上传限制——对于标准访客网络，通常为每秒 2 到 5 兆比特的下载速度。这可以防止单个访客因播放 4K 视频而降低其他所有人的体验。如果您使用的是外部平台，请在 Ruijie 端禁用 Client Escape，以确保该平台的带宽控制能够正确生效。 决策四：会话超时与重新认证。设置合理的会话超时时间——酒店行业为 8 到 24 小时，零售或活动则更短。Ruijie 允许您按门户策略配置此项。将其与登录后重定向 URL 结合使用，以便访客在连接后跳转到您场所的网站或宣传页面。 [medium pause] 我见过的最常见陷阱是团队在部署 Captive Portal 时，没有同时在 iOS 和 Android 上进行测试。Apple 和 Google 的 Captive Portal 检测机制表现各不相同。在上线前务必对两者都进行测试。第二大常见陷阱是忘记将门户配置同步到 JaCS 中的 EG 产品——在创建或编辑门户后，您必须点击一个明确的“Synchronise”（同步）按钮，否则网关将无法获取更改。 [medium pause] 快速问答。 [short pause] 让我来解答一下我最常被问到的问题。 锐捷 AP 在没有网关的情况下可以运行 Captive Portal 吗？可以，在 ReyeeOS 1.219 或更高版本上支持，但与基于网关的部署相比，其功能会受到限制。 锐捷是否支持访客网络的 802.1X？支持，RG-WS 系列控制器支持完整的 802.1X，并通过 RADIUS 进行动态 VLAN 分配。 我可以将锐捷与 Purple 进行集成吗？可以。配置外部 Captive Portal 模式，将 portal URL 指向 Purple 的端点，使用 Purple 的凭据设置 RADIUS 服务器组，并将 Purple 的域名添加到白名单中。Purple 独立于硬件的架构会处理其余的工作。 WPA3 可以与 Captive Portal 配合使用吗？可以。您为 Captive Portal 流程运行一个开放的 SSID。WPA3 适用于已认证的 SSID。对于访客网络，portal 本身就是认证层。 锐捷使用哪些 RADIUS 端口？端口 1812 用于认证，端口 1813 用于计费 - 这些是根据 RFC 2865 和 RFC 2866 由 IANA 分配的标准端口。 [medium pause] 总结与后续步骤。 [short pause] 总结一下。锐捷网络为您提供了一个功能强大且灵活的平台，用于部署访客 WiFi 和 Captive Portal。这三种部署模式——原生云 portal、基于外部 RADIUS 的 portal 以及独立 AP——涵盖了从单店精品酒店到多店连锁零售的所有场景。 关键决策包括：在任何生产部署中，VLAN 隔离都要优于 NAT。对于任何多站点或数据采集用例，采用外部平台。配置正确的围墙花园（walled garden）以避免 iOS 认证失败。并且在上线前务必在 iOS 和 Android 上进行测试。 您的后续步骤：审计您当前的锐捷固件版本，以确认 ReyeeOS 的兼容性。决定您需要原生还是外部的 portal 管理。如果您运营的站点超过五个或需要数据分析，请联系 Purple，了解如何将他们的平台与您的锐捷基础设施进行集成。Purple 在超过 80,000 个场所中运行，每年处理数亿次登录，并已通过 ISO 27001、GDPR 和 Cyber Essentials 认证。 您可以在 purple.ai 找到 Purple 的集成文档并申请演示。 感谢您的收听。我们下期简报再见。