MikroTik RouterOS Captive Portal 与 Purple WiFi 集成指南

MikroTik RouterOS Captive Portal 与 Purple WiFi 集成指南 - 播客脚本 [引言 - 约 1 分钟] 欢迎收听。如果您正在管理酒店、零售连锁店、体育场或会议中心的 WiFi 基础设施，并且正在运行 MikroTik RouterOS，那么本期节目非常适合您。 我将带您详细了解如何将 MikroTik 的热点网关与 Purple 的访客 WiFi 平台集成——涵盖三个不同的使用场景：带有 Captive Portal 和围墙花园的访客 WiFi、使用 802.1X 的安全员工 WiFi，以及使用 MikroTik 私有预共享密钥（Private Pre-Shared Key）功能的多租户网络隔离。 这不仅仅是理论上的概述。在节目结束时，您将获得自己部署或审计这些配置所需的具体 CLI 命令、RADIUS 属性和配置逻辑。 让我们开始吧。 [技术深挖 - 约 5 分钟] 第一部分：访客 WiFi 和 MikroTik Captive Portal。 MikroTik 的热点网关是 RouterOS 上访客 WiFi 重定向的引擎。当访客连接到您的访客 SSID 时，热点网关会拦截其 HTTP 流量并将其重定向到欢迎页面——这就是您的 Captive Portal。Purple 托管该欢迎页面。您的 MikroTik 路由器充当热点网关和 RADIUS 客户端。Purple 的平台充当 RADIUS 服务器。 以下是设置方法。首先，在 Winbox 的 IP 菜单中或通过 CLI 运行 Hotspot Setup 向导。您需要将其分配给面向访客的接口——通常是 VLAN 接口或网桥端口。设置您的本地地址池，配置您的 DNS 服务器，并为热点指定一个 DNS 名称。该 DNS 名称就是访客在进行身份验证之前在浏览器中看到的名称。 向导完成后，您需要将热点配置文件指向 Purple 的 RADIUS 服务器。在 CLI 中，如下所示： /radius add service=hotspot address=YOUR-PURPLE-RADIUS-IP secret=YOUR-SHARED-SECRET authentication-port=1812 accounting-port=1813 然后在热点配置文件上启用 RADIUS： /ip hotspot profile set default use-radius=yes 当您在 Purple 控制面板中设置场所时，Purple 将为您提供 RADIUS IP 地址、共享密钥和欢迎页面 URL。 现在，关于围墙花园。这至关重要。在访客进行身份验证之前，其设备需要能够访问 Purple 的欢迎页面以及您使用的任何 OAuth 提供商——如 Google、Facebook 等。如果没有围墙花园条目，重定向循环就会中断，访客将无法登录。 在 RouterOS 中，您可以在 IP、Hotspot、Walled Garden 下添加围墙花园条目。您需要添加 Purple 的欢迎页面域名、任何社交登录域名以及提供登录页面资源的任何 CDN 主机。Purple 的文档列出了您所在地区的具体域名。将它们添加为 IP 条目或主机名条目——当 IP 地址发生变化时，主机名条目更具弹性。 Purple 在成功进行身份验证后返回的关键 RADIUS 属性包括会话超时（控制访客在再次收到提示之前保持连接的时间），以及可选的、使用 Mikrotik-Rate-Limit 厂商特定属性的带宽速率限制。这使您能够直接从 Purple 控制面板强制执行每个访客会话的公平使用策略，而无需更改路由器配置。 第二部分：使用 802.1X 的安全员工 WiFi。 在这里，您将完全摆脱共享密码。IEEE 802.1X 是基于端口的网络访问控制标准。在 MikroTik 无线接口上，您启用 WPA2-Enterprise 或 WPA3-Enterprise 身份验证，这意味着接入点成为认证器——它将员工设备的 EAP 凭据传递给 RADIUS 服务器，服务器对其进行验证并返回 Access-Accept 或 Access-Reject。 Purple 的员工 WiFi 产品与 Microsoft Entra ID、Okta 和 Google Workspace 作为身份提供商进行集成。当员工设备连接时，它会通过 PEAP-MSCHAPv2 提供证书或用户名和密码。Purple 的 RADIUS 服务器会实时向您的身份提供商验证该凭据。 在 MikroTik 侧，您将无线安全配置文件的 authentication-types 设置为 wpa2-eap，并将 RADIUS 客户端指向 Purple 的服务器，设置 service=wireless。在 CAPsMAN（MikroTik 的集中式接入点管理系统）中，您可以在安全配置级别进行此设置，以便一致地应用于所有受管理的接入点。 RADIUS 服务器可以返回 Mikrotik-Wireless-VLANID 属性，将通过身份验证的员工置于特定的 VLAN 上。这就是您强制执行网络细分的方式——财务员工进入 VLAN 10，运营员工进入 VLAN 20，依此类推——全部来自单个 SSID，全部由身份驱动。 对于自动撤销——当员工离职时——Purple 与您的身份提供商的集成意味着，当您在 Entra ID 或 Okta 中禁用该帐户时，下一次重新身份验证尝试将失败，设备将被断开连接。无需手动更改路由器配置。 第三部分：使用私有预共享密钥的多租户 WiFi。 这是这三种架构中最有趣的一种。私有 PSK（有时称为 PPSK 或 iPSK）允许您运行单个 SSID，其中每个租户、住户或设备组使用唯一的密码进行连接，并且每个密码都映射到不同的 VLAN。 在 MikroTik 上，这通过无线接口上基于 MAC 的 RADIUS 身份验证来工作。当设备连接时，接入点会将设备的 MAC 地址作为用户名发送到 RADIUS 服务器。RADIUS 服务器（RouterOS 7 中 MikroTik 自带的 User Manager 或 FreeRADIUS）会查找该 MAC 地址并返回两个厂商特定属性：Mikrotik-Wireless-Psk（每个设备的密码）和 Mikrotik-Wireless-VLANID（将设备置于正确的 VLAN 上）。 无线安全配置文件需要将 radius-mac-authentication 设置为 yes，并且 RADIUS 客户端需要设置 service=wireless。 在实践中，对于拥有 200 间公寓的长租公寓项目，您可以在住户入住时在 Purple 的平台中预先注册其设备的 MAC 地址。Purple 将每个 MAC 地址映射到唯一的 PSK 以及与该公寓网络段相对应的 VLAN。住户使用其公寓密码进行连接。他们的设备将进入一个隔离的 VLAN。他们邻居的设备则处于一个完全独立的 VLAN 中。双方都无法看到对方的流量。 对于不支持 802.1X 的设备——智能电视、游戏机、物联网设备——这种方法是实用的替代方案。设备只需要支持 WPA2-PSK，而这几乎是所有设备都支持的。 [实施建议与常见陷阱 - 约 2 分钟] 让我为您介绍在这些部署中最常出现问题的四个方面。 第一：围墙花园漏洞。如果 Purple 的欢迎页面无法加载，请检查您的围墙花园条目。最常见的罪魁祸首是缺少 CDN 域名或未将社交登录重定向列入白名单。使用 MikroTik torch 工具或数据包嗅探器来观察在身份验证之前有哪些 DNS 查询被阻止。 第二：RADIUS 超时时间不匹配。MikroTik 的默认 RADIUS 超时时间为 1100 毫秒。如果 Purple 的 RADIUS 服务器在地理位置上较远，或者网络路径存在延迟，您将看到间歇性的身份验证失败。将超时时间增加到 3000 毫秒，并配置备份 RADIUS 服务器以提高弹性。 第三：网桥上未启用 VLAN 过滤。通过 RADIUS 进行的动态 VLAN 分配仅在启用网桥 VLAN 过滤时才有效。这是 RouterOS 的要求。如果您看到所有客户端都进入默认 VLAN，而不管 RADIUS 返回什么，请检查您的网桥接口上是否设置了 vlan-filtering=yes。 第四：CAPsMAN 版本不匹配。如果您混合运行 CAPsMAN 版本 2 和版本 3 管理的接入点，VLAN 标记行为可能会有所不同。在部署动态 VLAN 功能之前，请在您的所有 AP 设备上统一使用带有 CAPsMAN 版本 3 的 RouterOS 7。 一个架构建议：从第一天起就在独立的 VLAN 上运行您的访客、员工和管理流量，即使您不会立即使用所有这三种 Purple 使用场景。在扁平网络上后期改造 VLAN 细分，其破坏性要比从一开始就构建它大得多。 [快速问答 - 约 1 分钟] 我可以使用 MikroTik 内置的 User Manager 代替外部 RADIUS 服务器吗？ 是的，对于较小规模的部署可以。RouterOS 7 中的 User Manager 支持用于无线 802.1X 的 PEAP-MSCHAPv2，并可以返回 Mikrotik-Wireless-VLANID 属性。对于使用 Purple 的生产部署，您将使用 Purple 托管的 RADIUS 基础设施，它会为您处理身份提供商集成和会话管理。 Purple 支持 MikroTik CAPsMAN 吗？ 是的。Purple 与硬件无关。该集成在 RADIUS 和热点重定向级别工作，因此它同样兼容独立的 MikroTik 接入点和由 CAPsMAN 管理的部署。 我需要什么版本的 RouterOS？ 本指南中涵盖的所有三个使用场景均推荐使用 RouterOS 7.x。通过无线 RADIUS 进行的动态 VLAN 分配和更新后的 User Manager 都是 RouterOS 7 的功能。RouterOS 6.x 支持热点和基本的 RADIUS 身份验证，但缺乏某些无线 VLAN 功能。 [总结与后续步骤 - 约 1 分钟] 总结一下：MikroTik RouterOS 为您提供了与 Purple 的三个不同的集成点。热点网关处理访客 WiFi 重定向和 Captive Portal 身份验证。带有 RADIUS 的无线 802.1X 配置处理具有基于身份访问的安全员工 WiFi。而带有私有 PSK 的基于 MAC 的 RADIUS 身份验证则处理住宅和综合体物业的多租户网络隔离。 这三者的共同点是 RADIUS。正确配置您的 RADIUS 客户端——正确的 IP、正确的共享密钥、正确的服务类型、正确的超时时间——其余的就顺理成章了。 您的下一步：登录您的 Purple 控制面板，导航到场所配置，并获取您的 RADIUS 凭据。然后按照书面指南中的 CLI 命令配置您的热点配置文件、您的无线安全配置文件以及您的围墙花园条目。在推广到整个网络之前，先用单个接入点进行测试。 如果您要进行大规模部署——多个站点、数百个接入点——Purple 的专业服务团队可以为推广提供支持。Purple 在全球 80,000 个活跃场所运行，可用性达 99.999%，并已通过 ISO 27001、GDPR 和 Cyber Essentials 认证。 感谢您的收听。包含所有 CLI 命令、RADIUS 属性表和实际案例的完整书面指南已链接在节目简介中。