Fortinet FortiAP 与 Purple WiFi 集成指南

执行摘要

对于运行 Fortinet 基础设施的企业 IT 团队而言，集成外部 captive portal 以实现访客访问，同时保持严格的安全态势是一项常见需求。Fortinet FortiAP 接入点、FortiGate 统一威胁管理 (UTM) 设备与 Purple WiFi 平台之间的集成，使得组织能够将访客身份验证与核心网络安全解耦。本指南为技术架构师和 IT 经理提供了在 Fortinet 环境中将 Purple 部署为外部 captive portal 的权威蓝图。通过将访客身份管理卸载到 Purple 的云 RADIUS，网络团队可以利用 Fortinet 强大的第 7 层安全策略进行流量检查，同时获取第一方人口统计数据，以驱动业务价值。无论是在分布式零售园区还是高密度体育场部署，此架构都能确保符合 PCI DSS 和 GDPR，同时提供无缝的 访客 WiFi 体验。

技术深度剖析

Fortinet 与 Purple 之间的架构集成依赖于标准 RADIUS 协议和 HTTP 重定向机制。当访客设备连接到 FortiAP 广播的指定开放 SSID 时，FortiGate 会拦截初始 HTTP/HTTPS 请求。FortiGate 并非提供本地 captive portal，而是配置为重定向客户端至 Purple 的云端托管初始页面。

在此预认证阶段，FortiGate 会强制执行 walled garden——一个严格的 IP 地址和域名允许列表，允许客户端设备加载 captive portal 资源、执行社交媒体登录并访问基本服务（如 DNS），而无需授予完整的互联网访问权限。一旦用户在 Purple 门户上完成身份验证，Purple 平台便会通过 RADIUS Access-Accept 消息向 FortiGate 通信。随后，FortiGate 将客户端的会话状态从未认证转换为已认证，并应用适当的后认证防火墙策略。

RADIUS 共存：Purple 与 FortiAuthenticator

在 Fortinet 环境中，当已部署 FortiAuthenticator (FAC) 用于企业身份验证时，同时管理访客访问和员工身份验证是一个常见的架构挑战。推荐的方法是彻底的 SSID 隔离。员工设备连接到安全的 SSID，使用 IEEE 802.1X——通常是 PEAP 或 EAP-TLS——直接通过 FortiAuthenticator 进行身份验证。相反，访客设备连接到配置为外部 captive portal 重定向的开放 SSID，通过 Purple 的云 RADIUS 基础设施进行身份验证。

这种分离确保访客身份数据——对 WiFi 分析 至关重要——完全在 Purple 平台内管理，而企业 Active Directory 凭证则安全地由本地 FortiAuthenticator 处理。FortiGate 独立处理两个流量流的路由和策略执行，确保访客 VLAN 和企业 VLAN 之间完全无交叉。由于访客流量在物理和逻辑上与任何支付处理基础设施隔离，该架构也满足 PCI DSS 对网络分段的要求。

实施指南

部署 FortiAP 与 Purple 的集成需要在 Purple 门户和 Fortinet 基础设施之间进行协调配置。以下步骤概述了使用 FortiCloud AP 管理成功部署的关键路径。

步骤 1：网络和 RADIUS 配置

首先在 FortiCloud 仪表板中定义网络。导航到“配置”>“我的 RADIUS 服务器”，并使用 Purple 门户中提供的凭据定义身份验证服务器（端口 1812）和计费服务器（端口 1813）。两台服务器都必须配置——计费不是可选的。Purple 依赖 RADIUS 计费数据来填充 WiFi 分析 仪表板，提供会话时长、带宽消耗和访客频率指标。将计费临时间隔设置为 120 秒，以实现实时可视性。

步骤 2：SSID 和 Captive Portal 定义

创建一个专用于访客访问的新 SSID。将身份验证方法设置为开放，并启用 Captive Portal 功能，选择外部或自定义门户选项。您必须输入 Purple 门户配置屏幕提供的唯一访问 URL 和重定向 URL。

Walled garden 配置是整个部署中最关键的步骤。您必须输入 Purple 提供的完整所需域名列表，以确保社交媒体登录提供商（Facebook、Google、X）和必要的门户资源在认证前正确加载。未能准确配置 walled garden 将导致身份验证流程中断，因为客户端设备将无法访问所需的外部资源。同时确保在预认证策略中明确允许 DNS 流量（UDP 端口 53）。

步骤 3：IP 分配 — NAT 模式与 Bridge 模式

在定义 SSID 时，您必须在 NAT 模式和 Bridge 模式之间进行选择以进行 IP 分配。

在 NAT 模式下，FortiGate 从专用的内部子网为访客设备提供 DHCP 地址，并在流量离开防火墙时转换这些地址。这适用于较简单的部署或较小的 零售业 分支机构环境，其中 FortiGate 管理整个访客子网。

在 Bridge 模式下，FortiAP 将访客流量直接桥接到特定的 VLAN，允许外部 DHCP 服务器分配 IP 地址。强烈建议在高密度环境中使用 Bridge 模式，例如 酒店业 场所或 交通 枢纽，因为它为 IP 地址管理提供了更大的灵活性，防止 FortiGate 上的 DHCP 瓶颈，并允许 Purple 平台查看真实的客户端 IP 地址，以实现更精细的分析和故障排除。

步骤 4：后认证防火墙策略

身份验证完成后，FortiGate 必须向访客 VLAN 应用专用的后认证防火墙策略。该策略应引用 FortiGuard 网页过滤和应用程序控制配置文件，以实施内容限制并阻止点对点流量。应用流量整形配置文件以强制带宽限制，防止任何单个访客占用场地的上行链路。确保策略明确阻止所有 RFC 1918 私有 IP 空间目的地，以防止访客探测内部网络资源。

最佳实践

在设计此集成时，请遵循以下行业标准建议，以确保稳定性、安全性和合规性。

VLAN 隔离是强制性的：绝对不要将访客 WiFi 部署在与企业资产或销售点系统相同的 VLAN 上。必须在交换机端口级别强制执行严格的 VLAN 标记，以维持 PCI DSS 合规性。FortiGate 应对访客 VLAN 应用严格的防火墙策略，阻止所有 RFC 1918 私有 IP 空间目的地，以防止横向移动。

优化会话计时器：适当配置 DHCP 租约时间和 RADIUS 计费临时间隔。3600 秒的 DHCP 租约时间与 120 秒的计费临时间隔相结合，可在 IP 地址节省和 Purple 仪表板内准确的实时分析报告之间提供最佳平衡。

利用后认证的 Fortinet UTM 功能：此集成的主要优势在于能够在身份验证后将 Fortinet 的高级安全功能应用于访客流量。配置后认证防火墙策略以使用 FortiGuard 网页过滤和应用程序控制。这可以降低访客利用场地带宽进行恶意活动、使用种子下载或访问不当内容的风险，从而保护场地的公共 IP 声誉和互联网服务协议。

使用公共证书：确保 FortiGate 在重定向接口上提供有效、受公共信任的 SSL/TLS 证书。自签名证书会在现代 iOS 和 Android 设备上触发安全警告，显著增加门户处的访客放弃率。

故障排除与风险缓解

即使配置精细，部署也可能遇到问题。了解常见的故障模式可以显著加快解决速度。

Captive Portal 无法加载：如果访客连接但初始页面未出现，最常见的原因是 walled garden 不完整。请验证预认证策略中明确允许了 Purple 及任何已配置的社交媒体登录提供商的所有必需域名。确保未认证客户端的 DNS 解析功能正常；如果客户端无法解析 Purple 门户 URL，重定向将完全失败。

RADIUS 超时：如果门户加载但身份验证持续失败，请调查 RADIUS 通信路径。验证 FortiGate 的外部 IP 地址已在 Purple 门户的路由器配置中正确注册。确保共享密钥完全匹配——一个字符不匹配都会导致静默身份验证失败——并且没有中间防火墙阻止 Fortinet 基础设施与 Purple 云 RADIUS 服务器之间的 UDP 端口 1812 和 1813。

证书错误：现代移动操作系统对 captive portal 拦截期间的 SSL/TLS 证书异常非常敏感。确保 FortiGate 为重定向接口提供有效、受公共信任的证书，而非自签名的默认证书。这可防止令人担忧的安全警告，避免阻止访客完成身份验证流程。

会话计费缺失：如果 Purple 分析仪表板显示不完整的会话数据或缺少带宽指标，请验证 RADIUS 计费服务器（端口 1813）是否正确配置，并且已设置计费临时间隔。计费数据与身份验证分开发送，需要自己的服务器定义。

投资回报率与业务影响

Fortinet 与 Purple 的集成将标准的成本中心——访客 WiFi——转变为可衡量的业务资产。通过利用 Purple 的 captive portal，场所可以捕获经过验证的人口统计数据和联系信息，从而实现有针对性的营销活动、忠诚度计划增长和访问后重新参与。对于在 零售业 或 酒店业 领域运营的场所而言，随着第三方 cookie 弃用限制传统数字营销渠道，这些第一方数据变得越来越有价值。

对于 IT 运营而言，将访客身份验证卸载到 Purple 的云 RADIUS，可以显著减少与管理本地用户数据库、打印实体凭证或维护本地 RADIUS 基础设施相关的管理开销。Purple 的无缝接入与 Fortinet 强大的流量检查相结合，确保场所提供高性能、安全的互联网体验，同时通过 WiFi 分析 生成可操作的商业智能。此架构具有高度可扩展性，支持从一家精品酒店到分布式企业园区的一切，通过营销赋能和运营效率实现持续的投资回报率。