Alcatel-Lucent Enterprise (ALE) OmniAccess 与 Purple WiFi 集成指南

执行摘要

Alcatel-Lucent Enterprise (ALE) OmniAccess Stellar 接入点通过标准 RADIUS 协议和外部 Captive Portal 重定向与 Purple 集成。无需任何专有中间件。Purple 作为云端覆盖层运行，部署在您现有的 ALE 基础设施之上，负责处理身份验证、数据捕获和会话策略，而无需更改硬件。

本指南涵盖三种部署场景。第一，具有外部 Captive Portal 重定向和 Walled Garden 配置的访客 WiFi。第二，使用 802.1X（配合 PEAP 或 EAP-TLS）的安全员工 WiFi。第三，使用私有预共享密钥 (PPSK) 和通过 RADIUS 属性 64、65 和 81 进行动态 VLAN 引导的多租户 WiFi。

Purple 为超过 80,000 个活跃场所提供服务，并在 2024 年处理了超过 4.4 亿次登录（Purple 内部数据，2024 年）。它拥有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证。该平台运行可用性达 99.999%，使其成为企业部署中可靠的身份验证后端。

如果您是在酒店、零售、活动或公共部门环境中部署 ALE OmniAccess 硬件的 IT 经理或网络架构师，本指南将为您提供从硬件到完全运营的基于身份的网络的精确配置步骤。

技术架构与集成流程

Purple 与 ALE OmniAccess Stellar 的集成依赖于两种标准协议：用于身份验证和计费的 RADIUS，以及用于交付 Captive Portal 的 HTTP/HTTPS 重定向。ALE AP 作为网络接入服务器 (NAS)，将身份验证请求转发到 Purple 云 RADIUS 服务器，并执行 Access-Accept 响应中返回的策略。

图 1：访客设备、ALE OmniAccess Stellar AP 与 Purple 云 RADIUS 之间的身份验证流程。

该流程运行如下：访客连接到开放的访客 WiFi SSID。ALE AP 从认证前 DHCP 地址池分配一个临时 IP 地址，并拦截访客的第一个 HTTP 或 HTTPS 请求。AP 将浏览器重定向到 Purple Captive Portal URL，并将客户端的 MAC 地址和 AP 的 NAS 标识符作为 URL 参数传递。访客通过 Purple 登录页面进行身份验证 - 使用电子邮件、社交登录或短信验证。Purple 的 RADIUS 服务器验证该会话并向 ALE AP 返回 Access-Accept 消息。AP 授予互联网访问权限，并开始按配置的间隔向 Purple 发送 RADIUS 计费更新。

对于使用 PPSK 和动态 VLAN 引导的高级部署，RADIUS Access-Accept 消息还包含 VLAN 分配属性。ALE AP 使用这些属性将客户端流量直接投递到正确的 VLAN 网段，从而将他们与同一物理基础设施上的其他用户隔离。

实施指南

第 1 部分：具有外部 Captive Portal 的访客 WiFi

本节介绍用于外部重定向到 Purple 的 Alcatel-Lucent Captive Portal 配置。这些步骤适用于通过 OmniVista Cirrus、OmniVista 2500 或 Stellar Express Web 界面管理的 ALE OmniAccess Stellar AP。

步骤 1：获取 Purple RADIUS 凭据

登录您的 Purple 门户。导航至 Management > Venues，选择您的场所，然后打开 Hardware 部分。添加一个新的硬件条目，并选择 Alcatel-Lucent OmniAccess Stellar 作为硬件类型。Purple 会为您的场所生成唯一的 RADIUS 共享密钥、身份验证服务器 IP 和 Captive Portal URL。在继续之前记录这些值。

步骤 2：在 ALE AP 上配置 RADIUS 服务器

在您的 ALE 管理界面中，导航至身份验证设置并添加一个新的 RADIUS 服务器配置文件。

使用 Purple 门户中的备用 IP 启用备用 RADIUS 服务器。这可确保在主服务器暂时无法访问时进行故障转移。

步骤 3：配置 Walled Garden

Walled Garden 定义了设备在完成身份验证之前可以访问的域名。在认证前访问控制列表中配置以下条目：

核心 Purple 域名（必填）：

社交登录域名（根据需要添加）：

遗漏任何所需的域名都会导致相应的登录方式静默失败。配置后请测试每种登录方式。

步骤 4：配置访客 WiFi SSID

使用以下设置创建一个新的 WLAN 配置文件：

如果您需要 HTTPS 重定向，请在 ALE AP 的 System > General > Certificate Management 下安装有效的 SSL 证书。请注意，不支持通配符证书rted by the Stellar AP for this purpose.

步骤 5：将 SSID 分配给 AP 组

将 WLAN 配置文件应用到 OmniVista 中相关的 AP 组。在测试 Captive Portal 流程之前，验证 AP 是否正在广播该 SSID，以及客户端是否可以进行关联。

第 2 部分：使用 802.1X 保护员工 WiFi

对于员工 WiFi，请使用带有 802.1X 认证的 WPA2-Enterprise 或 WPA3-Enterprise。这消除了共享密码，并将访问权限与 Microsoft Entra ID、Okta 或 Google Workspace 中管理的个人用户身份绑定。

步骤 1：配置 802.1X SSID

为员工创建一个单独的 WLAN 配置文件。将安全类型设置为 WPA2-Enterprise 或 WPA3-Enterprise，并分配 Purple RADIUS 服务器作为认证后端。Purple 的 RADIUS 服务器通过 LDAP 或 SAML 将认证请求代理到您的身份提供商。

步骤 2：选择 EAP 方法

对于大多数部署，使用 PEAP with MSCHAPv2。这只需要服务器端证书，并且适用于标准的 Windows、macOS、iOS 和 Android 客户端。对于安全性要求更高的环境，请使用通过您的 PKI 颁发的客户端证书的 EAP-TLS。

步骤 3：将员工分配到专用 VLAN

配置 Purple RADIUS 服务器，在 Access-Accept 响应中返回 Tunnel-Private-Group-ID = 您的员工 VLAN ID。这可以确保员工设备进入企业网络段，在第 2 层与访客流量隔离。

第 3 部分：使用 PPSK 和动态 VLAN 引导的多租户 WiFi

PPSK（Private Pre-Shared Key）——在某些厂商文档中也被称为 iPSK（Identity PSK）——允许单个 SSID 为多个隔离的用户群组提供服务。每个群组接收一个唯一的密码。RADIUS 服务器将每个密码映射到特定的 VLAN，从而提供每个租户的网络隔离，而无需多个 SSID 带来的 RF 开销。

图 2：在单个 ALE OmniAccess SSID 上进行 PPSK 多租户 VLAN 细分。

步骤 1：创建 PPSK SSID

创建一个新的 WLAN 配置文件，并将认证类型设置为带有 RADIUS 支持的 PSK 验证的 WPA2-PSK。在 Stellar 固件 4.0.8.16 及以上版本（适用于 AP1301 及更高型号）中，Express 模式支持通过 RADIUS 进行动态 VLAN 分配。对于较旧的型号或较早的固件，请使用 OmniVista 管理模式。

步骤 2：在 Purple 中定义租户密码

在 Purple 门户中，为每个租户创建一个 PPSK 组。为每个租户分配一个唯一的密码，并将每个密码映射到相应的 VLAN ID。Purple 将这些映射存储在其 RADIUS 数据库中。

步骤 3：配置用于 VLAN 引导的 RADIUS 属性

确保 Purple RADIUS 服务器在每个 Access-Accept 响应中返回以下 IETF 标准属性：

这三个属性必须全部存在。如果缺少任何一个，ALE AP 将忽略 VLAN 分配，并将客户端置于默认 VLAN 中。

步骤 4：验证上行链路上的 VLAN Trunking

确保在 ALE AP 和分布交换机之间的上行链路端口上标记了所有租户 VLAN。AP 无法将流量引导至其上行链路 Trunk 上不允许的 VLAN。

最佳实践

以下建议反映了企业无线部署的标准实践，并符合 IEEE 802.1X、PCI DSS 4.0 和 GDPR 要求。

在第 2 层将访客 WiFi 与员工 WiFi 隔离。 切勿将访客和员工流量放在同一个 VLAN 上。使用 RADIUS 驱动的 VLAN 分配来自动强制执行此隔离，无论用户连接到哪个 AP。

对所有 Captive Portal 重定向使用 HTTPS。 在 ALE AP 上安装有效的 SSL 证书以启用 HTTPS 重定向。这可以防止浏览器在展示页面上显示安全警告，从而降低流失率，并符合 GDPR 对安全数据处理的要求。

将 RADIUS Accounting 间隔设置为 300 秒。 这为 Purple 提供了定期的会话更新，以确保分析的准确性。如果客户端在没有干净去认证的情况下断开连接，超过 600 秒的间隔可能会面临丢失会话数据的风险。

在上线前测试 Walled Garden。 将测试设备连接到访客 WiFi SSID，并尝试访问每个社交登录提供商。如果登录失败，则说明 Walled Garden 中缺少相应的域名。

使用 PPSK 细分 IoT 设备。 在零售和酒店环境中，数字标牌、支付终端和环境传感器等 IoT 设备应各自接收一个映射到隔离 VLAN 的唯一 PPSK。这可以防止受损的 IoT 设备访问更广泛的网络。

有关企业 WiFi 安全标准和架构的进一步阅读，请参阅我们的 企业 WiFi 安全指南 。

故障排除与风险缓解

下表涵盖了 ALE OmniAccess 和 Purple 集成中最常见的故障模式。

对于持续出现的 RADIUS 问题，请在 ALE AP 上启用调试日志记录并捕获 RADIUS 交互。查找 Access-Reject 消息并检查拒绝原因代码。常见代码包括 16（身份验证失败）和 18（缺少属性）。

投资回报率（ROI）与业务影响

在 ALE OmniAccess 硬件上部署 Purple 可将静态网络转化为动态的数据资产。每个通过身份验证的会话都会生成一个访客画像：电子邮件地址、访问频率、停留时间和设备类型。这些第一方数据可通过 Purple 拥有 400 多个连接器的库直接导入您的 CRM。

Harrods 百货通过使用 Purple 的数据捕获来推动会员计划注册，使其 Guest WiFi 部署实现了 57 倍的营销投资回报率（Purple 案例研究，2023 年）。AGS 机场通过在其整个区域内实施分层带宽的付费 WiFi，实现了 842% 的投资回报率（Purple 案例研究，2022 年）。

对于 酒店住宿 运营商而言，Captive Portal 是捕获宾客数据的主要触点。对于 零售 环境，它支持购物者行为分析和定向促销。对于 交通 枢纽，它提供旅客流量数据和符合合规要求的会话日志记录。

Purple 的 Guest WiFi 平台和 WiFi Analytics 工具为您提供了衡量这些成果的报表基础设施。通过单一仪表板即可跟踪身份验证率、会话持续时间、回头客率以及选择加入（opt-in）转化率。

有关相关的集成指南，请参阅 WatchGuard Firebox 集成指南 ，该指南涵盖了在不同硬件平台上类似的基于 RADIUS 的架构。