Grandstream GWN 与 访客 WiFi：配合 Purple 设置 Captive Portal

欢迎收看 Purple 技术简报系列。我是您的主持人，今天我们将介绍一种在酒店、零售和多租户物业中越来越普遍的部署模式：将 Grandstream GWN 接入点与 Purple 的访客 WiFi 平台进行集成。 如果您是 MSP、企业内部 IT 团队或网络架构师，被要求在现有的 Grandstream GWN 部署上增加一个带有分析功能的品牌 Captive Portal，那么本期内容非常适合您。我们将涵盖全栈配置：访客展示页面重定向、Walled Garden 配置、使用 802.1X 的安全员工 WiFi，以及使用 Grandstream 的 PPSK 功能实现的多租户隔离。让我们开始吧。 --- 首先，来了解一些背景信息。Grandstream 的 GWN 系列是一个非常扎实的中端市场接入点系列。您可以使用适用于室内部署的 GWN7600 和 GWN7630，适用于 WiFi 6 环境的 GWN7660 和 GWN7664，以及作为高密度空间吸顶式安装选项的 GWN7610。它们既可以通过 GWN Manager（您安装在 Linux 或 Windows 服务器上的本地控制器）进行管理，也可以通过 GWN dot Cloud（Grandstream 的云端托管管理平台，现已更名为 GDMS Networking）进行管理。 对于 MSP 来说，好消息是这两个管理平台都原生支持 Captive Portal 配置。您可以完全在 GWN Manager 或 GWN dot Cloud 中构建门户策略、自定义展示页面并将其与 SSID 关联。但对于需要符合 GDPR 合规性的数据采集、营销自动化和实时分析的企业级部署，您需要将该原生门户替换为外部平台。这就是 Purple 的用武之地。 Purple 作为一个云端覆盖层运行。它位于您的硬件之上，提供 Captive Portal、RADIUS 认证层、分析引擎和营销工具。Purple 支持 8 万个活跃场所，仅在 2024 年就处理了 4.4 亿次登录，因此该平台在大规模应用中得到了充分验证。与 Grandstream GWN 的集成遵循与 Purple 在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi 中使用的相同的基于标准的方案。 --- 让我们深入了解技术架构。Grandstream GWN 配合 Purple 的访客 WiFi 流程如下： 访客连接到您的访客 SSID。他们的设备向任何网站发送 HTTP 请求。GWN 接入点拦截该请求并向 Purple 门户 URL 发送 HTTP 302 重定向。访客访问由 Purple 托管的您的品牌展示页面。他们通过电子邮件、社交媒体登录、短信验证或自定义表单进行身份验证。Purple 平台验证该身份验证，按照 GDPR 记录同意书和数据，然后将 RADIUS Access-Accept 发送回 GWN 接入点。AP 授予互联网访问权限。从连接到访问互联网，整个流程大约需要三到五秒。现在，Grandstream 端的核心配置组件包括：Captive Portal 策略、微调页面设置、Walled Garden 以及 SSID 关联。让我为您逐一讲解。 --- 第一步：在 GWN Manager 或 GWN.Cloud 中配置 Captive Portal 策略。 导航至 Captive Portal，然后选择 Policy List，并创建一个新策略。为其指定一个具有描述性的名称，例如 "Purple-Guest-Portal"。将 Authentication Type 设置为 RADIUS Server。接着您会看到 RADIUS Server Address、RADIUS Server Port 和 RADIUS Server Secret 字段。输入 Purple 的 RADIUS 服务器 IP 地址以及用于认证的端口 1812。您的共享密钥可从 Purple 门户管理控制台中的场所硬件配置区域获取。将 RADIUS Authentication Method 设置为 PAP，这是 Purple 的 Captive Portal 流程所使用的加密方式。 在 Landing Page 下，将其设置为 Redirect to External Page，并输入您的 Purple 门户重定向 URL。这是访客首次连接时将被引导至的 URL。同样，此信息也来自您的 Purple 管理控制台。 将 Expiration 时间设置为与您场所的会话策略相匹配。对于酒店，通常为 24 小时。对于会议场所，您可以将其设置为活动的持续时间。对于零售环境，通常为两到四个小时。 启用 Failsafe Mode（故障保护模式）。这非常重要。如果 GWN 接入点无法连接到 Purple 的 RADIUS 服务器，故障保护模式仍会授予互联网访问权限，而不是阻止所有访客。对于大多数酒店和零售部署，短暂的 RADIUS 中断不应导致所有访客失去连接。 --- 第二步：配置 Walled Garden。 Walled Garden 是访客在通过门户进行身份验证之前可以访问的域名和 IP 地址列表。如果此项配置错误，访客将看到空白页面或损坏的门户，并会将其归咎于 WiFi。 在 GWN Manager 中，Walled Garden 是在 Captive Portal 策略下的 Pre-Authentication Rules 中进行配置的。将以下域名添加为允许规则：Purple 门户域名（即 portal.purple.ai）；Purple 的微调页面从中加载资源的任何 CDN 域名，包括使用通配符条目的 cloudfront.net；Apple 的 Captive Portal 检测端点（captive.apple.com）；以及 Google 的连接性检查端点（connectivitycheck.gstatic.com）。 Purple 的支持门户在 support.purple.ai 上提供了一个动态的 Walled Garden 生成器。从硬件列表中选择 Grandstream，选择您的身份验证方法，它就会生成您所需的精确域名列表。请使用该列表，切勿尝试手动从头开始构建。您需要做出的一个决定是：是否将 captive dot apple dot com 纳入围墙花园？如果您将其纳入，iOS 设备将不会自动显示 Captive Network Assistant 微型浏览器。访客需要手动打开浏览器才能进入门户。如果您将其排除在外，iOS 设备在连接时会自动启动该微型浏览器。对于大多数酒店业部署，您希望显示该微型浏览器，因此请将 captive dot apple dot com 排除在围墙花园之外。 - - - 第三步：配置 SSID。 在 GWN Manager 中，导航至 SSID 并编辑您的访客 SSID。启用 Captive Portal 并选择您刚刚创建的策略。将 SSID 设置为带有简单开放密码的 WPA2-Personal，或者如果您的场所更喜欢这种方式，也可以将其配置为开放 SSID。此流程中的安全性来自门户身份验证，而不是 WiFi 密码。 启用客户端隔离（Client Isolation）。这可以防止访客在网络上看到彼此的设备。这是一项基本的安全要求，也是如果您的场所在同一基础设施上处理刷卡支付时的 PCI-DSS 考量因素。 将该 SSID 分配给您的访客 VLAN。VLAN 10 是访客流量的常用惯例。确保您的上行交换机和路由器已配置为通过适当的防火墙规则将该 VLAN 路由到互联网。 - - - 现在让我们来谈谈使用 802.1X 的员工 WiFi。 IEEE 802.1X 是基于端口的网络访问控制标准。对于员工 WiFi，它将共享的预共享密钥替换为针对身份提供商进行验证的每用户凭据。当员工连接时，GWN 接入点充当身份验证器，他们的设备是请求方（supplicant），而 Purple 的 RADIUS 服务器是身份验证服务器。 在 GWN Manager 中，为员工创建一个单独的 SSID。将安全模式设置为 WPA2-Enterprise，这将启用 802.1X。使用 Purple 的 RADIUS IP、端口 1812 和您的共享密钥配置 RADIUS 服务器设置。在端口 1813 上启用 RADIUS 计费（RADIUS Accounting），以便您获得关于谁在何时连接、连接了多长时间的完整审计追踪。此审计追踪是您满足 GDPR 合规性以及应对任何安全事件所需要的。 对于 EAP 方法，您有两个主要选择。EAP-TLS 在服务器和客户端设备上都使用数字证书。这是最安全的选项，但它需要一个移动设备管理（MDM）平台来将证书推送到员工设备。如果您拥有 Microsoft Intune 或 Jamf，EAP-TLS 是正确的选择。 PEAP，即受保护的 EAP（Protected EAP），在加密的 TLS 隧道内使用用户名和密码。它更容易部署，尤其是在 BYOD 环境中，但您必须确保对员工进行培训，使其不要接受证书警告。如果用户点击忽略证书错误，流氓接入点就可以收集 PEAP 凭据。在 SSID 设置中启用动态 VLAN 分配。启用此功能后，RADIUS 服务器可以在 Access-Accept 数据包中返回 VLAN ID，而 GWN AP 将把连接设备分配到该 VLAN。这意味着您可以拥有一个员工 SSID，但可以根据用户在 Purple 目录中的身份，自动将 IT 员工细分到 VLAN 20、管理人员细分到 VLAN 21 以及销售点设备细分到 VLAN 40。 用于动态 VLAN 的 RADIUS 属性包括：Tunnel-Type 设置为 VLAN（属性值为 13）；Tunnel-Medium-Type 设置为 IEEE-802（属性值为 6）；以及 Tunnel-Private-Group-ID 设置为字符串形式的 VLAN 编号。Access-Accept 数据包中的这三个属性就是 GWN AP 将设备引导到正确 VLAN 所需的全部内容。 - 现在来看看特别适用于多租户场所的功能：Grandstream 专用预共享密钥，即 PPSK。 PPSK 是一种允许单个 SSID 支持多个唯一密码的机制，每个密码都映射到不同的 VLAN 或网络策略。想象一下面向租赁的公寓楼、联合办公空间或服务式办公大楼。您希望所有人都能看到一个 SSID，但每个租户都拥有自己的密码，将其置于自己隔离的网络段中。 在 GWN Manager 中，PPSK 是在 SSID 设置下配置的。将安全模式设置为 WPA2-Personal，然后启用 PPSK。接下来，您可以创建单独的 PSK 条目，每个条目都有一个唯一的密码和关联的 VLAN ID。当设备使用租户 A 的密码连接时，AP 会将其置于 VLAN 31。当设备使用租户 B 的密码时，它会进入 VLAN 32。租户共享同一个 SSID，但在网络层完全相互隔离。 对于更大规模的部署，Grandstream 还支持带有 RADIUS 后端的 PPSK。在此模式下，AP 将 PSK 作为 RADIUS 属性发送到认证服务器，服务器对其进行验证并返回相应的 VLAN 分配。这就是 Purple 的基于身份的网络（Identity-Based Networks）功能直接集成的地方。Purple 可以管理 PPSK 数据库，对照其目录验证密钥，并返回动态 VLAN 分配，让您从单一平台集中管理数百个租户凭据。 用于 PPSK 验证的 RADIUS 属性通常是 Tunnel-Password 属性，或者是取决于固件版本的厂商特定属性。请检查 Grandstream 对应您特定固件的版本说明，因为属性映射在不同的 GWN Manager 版本之间有所演变。 - 让我来介绍一下我在使用外部门户的 Grandstream 部署中发现的两种最常见故障模式。 第一种情况是重定向未触发。访客连接到SSID，打开浏览器，却收到“无法访问此网站”的错误，而不是Portal页面。最可能的原因是围墙花园（Walled Garden）配置错误。Portal页面本身在认证前被阻止了。在连接到访客SSID的测试设备上打开浏览器开发者工具，查看网络标签页，并识别哪些请求失败了。将这些域名添加到您的预认证规则中。 第二种失败模式是RADIUS超时。AP向Purple的RADIUS服务器发送Access-Request（访问请求）但未收到响应。这通常意味着防火墙阻止了从AP的管理VLAN到Purple的RADIUS IP范围的出站UDP端口1812。请检查您的防火墙规则。Purple的RADIUS IP地址已在Purple管理控制台的场所设置中提供。请确保主和备RADIUS IP均已允许通过。 第三个值得一提的情况是：动态VLAN无法正常工作。员工连接后进入了错误的VLAN。最常见的原因是GWN Manager中的SSID设置中未勾选“启用动态VLAN”。这是一个很容易被忽略的单一复选框。第二个原因是共享密钥不匹配。如果AP上的共享密钥与Purple中配置的共享密钥不匹配，AP会静默丢弃RADIUS响应并退回到默认VLAN。 - 让我为您提供两个实际场景，以使其更加具体。 场景一：一家拥有120间客房的酒店。该酒店运行通过GWN.Cloud管理的GWN7660接入点。他们需要一个用于访客的品牌专属访客Portal页面，一个用于前台和客房服务的安全员工网络，以及一个用于物业管理系统的独立管理VLAN。 该配置使用三个SSID：VLAN 10上的访客WiFi（采用Purple Captive Portal策略）；VLAN 20上的员工WiFi（采用WPA2-Enterprise和针对Purple RADIUS的PEAP认证）；以及VLAN 30上的隐藏管理SSID（用于PMS终端）。员工SSID上的动态VLAN分配意味着客房服务设备会进入限制互联网访问的VLAN 21，而前台设备则进入拥有完全访问权限的VLAN 20。Purple的分析仪表板向酒店运营商展示每日访客人数、会话时长以及营销订阅率，为营销团队提供运营定向推广所需的数据。 场景二：包含 40 个单元的建设出租（build-to-rent）公寓楼。运营商在本地运行 GWN7630 接入点和 GWN Manager。每个公寓都需要自己独立的网络。运营商使用带有 RADIUS 后端的 PPSK。Purple 管理着 40 个独特的租户凭据，每个凭据都映射到专用的 VLAN。居民使用自己单元的密码连接到单一的 “BuildingConnect” SSID。Purple 的门户网站处理初始的引导流程，收集居民同意书，并为运营商提供入住率分析和互动数据。当居民搬出时，运营商可以在 Purple 的管理控制台中注销其 PPSK 凭据，访问权限将立即终止。无需更改 SSID 密码或重新配置 AP。 - 快速问答。关于 Grandstream 部署，我经常被问到的三个问题。 问题一：我可以使用 GWN dot Cloud 代替 GWN Manager 进行 Purple 集成吗？是的。GWN dot Cloud 中的 Captive Portal 配置在功能上与 GWN Manager 完全相同。菜单路径相同。RADIUS 和围墙花园（walled garden）设置也位于相同的位置。对于管理多个站点的 MSP 而言，GWN dot Cloud 是更好的选择，因为您可以通过单一窗口管理所有部署。 问题二：Purple 是否支持 Grandstream 的原生分析以及其自身的分析？Purple 用其自身更详细的数据集取代了原生的 Captive Portal 分析。您可以获得会话数、停留时间、选择加入率、来自表单字段的人口统计数据，以及与营销平台的集成。用于射频性能、AP 健康状况和客户端数量的原生 GWN 分析在 GWN Manager 或 GWN dot Cloud 中仍然可用，与 Purple 的门户分析并存。 问题三：对于带有 RADIUS 的 PPSK，我需要在 GWN AP 上使用什么固件版本？带有 RADIUS 后端的 PPSK 要求 GWN76xx 系列的 GWN 固件版本为 1.0.19 或更高。在部署前请检查 Grandstream 的发布说明。运行过时的固件是 PPSK 部署中出现异常行为的最常见原因。 - 总结。按照正确的顺序，将 Grandstream GWN 接入点与 Purple 集成是一个非常直接的部署过程。首先在 Captive Portal 策略中配置您的 RADIUS 服务器设置。使用 Purple 的域名生成器工具构建您的围墙花园。将该策略与您的访客 SSID 关联并启用客户端隔离。对于员工 WiFi，启用带有动态 VLAN 分配的 WPA2-Enterprise。对于多租户物业，使用带有 RADIUS 后端的 PPSK，并通过 Purple 集中管理凭据。 需要做对的五件事：UDP 1812 上的 RADIUS 以及匹配的共享密钥；涵盖所有门户资产域名的围墙花园；在访客 SSID 上启用客户端隔离；在 SSID 设置中启用动态 VLAN；以及 1.0.19 或更高版本的 PPSK 固件。搞定这五个要点，您就拥有了一个稳固、可扩展的部署，可以在未来数年内为您的场所提供服务。Purple的上线团队可以在正式启用前验证您的配置，而该平台99.999%的在线率意味着您无需在凌晨两点向酒店宾客解释Portal页面中断的原因。 感谢收听。如需了解更多关于企业WiFi集成的技术指南，请访问purple.ai。下一期，我们将介绍结合Microsoft Entra ID与Purple的SecurePass功能的动态VLAN分配。下期再见。