Alta Labs 与 Purple WiFi 集成：安装与 Captive Portal 配置

播客脚本：Alta Labs 与 Purple WiFi 集成：安装与 Captive Portal 配置 Purple WiFi 智能平台 - 技术简报系列 时长：约 10 分钟 配音：英式英语，资深顾问语气 - 自信、口语化、权威 --- [引言 - 1 分钟] 欢迎收听 Purple 技术简报系列。我是您的主持人，今天我们将详细解析 Alta Labs 接入点与 Purple WiFi 智能平台之间的集成。 如果您是 IT 经理、网络架构师或场所运营总监，并正在寻找部署强大、可扩展的宾客 WiFi 解决方案，那么本期简报非常适合您。我们将涵盖 Alta Labs AP6 和 AP6 Pro 的具体设置、如何配置外部 captive portal 重定向，以及使社交登录在实际应用中正常运行所需的关键围墙花园（walled garden）设置。我们还将深入探讨 AltaPass（Alta Labs 对私有预共享密钥 PPSK 的实现），以及如何使用它来细分多租户环境，而不会因 SSID 膨胀而破坏您的射频（RF）性能。 让我们开始吧。 --- [技术深挖 - 5 分钟] Alta Labs 与 Purple 之间的集成依赖于两个基本的网络概念：用于 captive portal 的 HTTP 重定向，以及用于身份验证和计费的 RADIUS。 当宾客步入您的场所（例如零售店或酒店大堂）并连接到您的开放式或 WPA3-OWE 宾客网络时，Alta Labs AP 将充当看门人。它会拦截客户端的初始 HTTP 请求，并将其重定向到您的定制品牌 Purple 引导页面。 要在 Alta Labs 云管理平台中进行配置，请导航至您的 WiFi 设置，选择您的宾客 SSID，并在“高级设置”下将网络类型设置为“Guest”。这至关重要，因为它会自动应用客户端隔离，防止设备在网络中进行横向通信。接下来，在“Hotspot”部分下，选择“External”并放入您的场所设置中提供的 Purple 重定向 URL，以及您的授权密钥（Authorisation Secret）。 但这就是大多数部署遇到障碍的地方：围墙花园（walled garden）。 围墙花园（walled garden）是设备在通过身份验证之前允许访问的域名和 IP 地址列表。如果您希望宾客使用 Google、Facebook 或 Apple 进行登录，他们的设备就需要在仍处于未验证状态时访问这些 OAuth 服务器。 您必须明确将 Purple 基础设施域名（例如 region1.purpleportal.net 和 cloudfront.net）列入白名单。然后，您需要添加操作系统 captive portal 探测域名：适用于 iOS 的 captive.apple.com 和适用于 Android 的 connectivitycheck.gstatic.com。如果您阻止了这些，手机就不知道它处于 captive portal 之后，引导页面也永远不会弹出。 最后，添加社交登录域名。对于 Google，是 accounts.google.com、oauth2.googleapis.com 和 gstatic.com。对于 Facebook，是 facebook.com、graph.facebook.com 和 fbcdn.net 域名。静态 IP 白名单在这里不起作用，因为这些提供商使用动态内容分发网络。您必须使用域名，并确保您的控制器执行动态 DNS解析。 一旦用户在 Purple 引导页面上完成登录，Purple 的 RADIUS 服务器就会向 Alta Labs AP 发回一条 Access-Accept 消息。然后，AP 会解除围墙花园限制，并授予设备完整的互联网访问权限。这是一个干净、安全的流程，在捕获第一方数据的同时维护了网络完整性。 现在，让我们谈谈多租户细分。 在智能办公室、学生公寓或多住宅单元（MDU）等环境中，您通常需要为不同的群体提供安全、隔离的网络。在过去，IT 团队会为每个租户广播一个单独的 SSID。这是一个非常糟糕的做法。它会带来巨大的管理开销，并由于信标帧开销而破坏您的无线性能。 Alta Labs 通过 AltaPass（他们对私有预共享密钥的实现）解决了这个问题。使用 AltaPass，您只需广播一个 SSID——我们称之为 BuildingWiFi。但是，您可以为不同的用户或设备生成唯一的密码。 当租户 A 输入其特定密码时，AP 会动态地将他们分配到 VLAN 101，并限制 100 Mbps 的带宽。当管理团队在同一个 SSID 上输入他们的密码时，他们会被分配到具有无限带宽的 VLAN 200。您甚至可以为物联网（IoT）设备（如智能恒温器）创建一个密码，将其分配到隔离的 VLAN 并完全绕过 captive portal。 一个 SSID。无限的密码。完全隔离。这是边缘端的基于身份的网络（Identity-Based Networking），对于困扰多租户部署多年的问题，这是一个真正优雅的解决方案。 让我给您举一个实际运作的具体例子。设想一个拥有 72 个单元的公寓大楼——这是 Alta Labs 被广泛使用的一种真实部署类型。网络管理员无需广播 72 个独立的 SSID，而是创建一个单一的 SSID 并为每个单元生成一个唯一的密码。每个密码映射到专用的 VLAN 和子网。基础层的居民获得 100 Mbps。购买了高级层的居民获得 300 Mbps。大楼管理团队获得无限制的访问权限。大楼自动化系统（门锁、暖通空调、电梯）拥有自己隔离的 VLAN，并启用了深度包检测。所有这些都来自一个 SSID。射频环境更干净，性能更高，管理也显著简化。 现在，让我们继续讨论用于安全员工 WiFi 的 802.1X 配置。 对于您的员工网络，您根本不应该使用预共享密钥。您应该使用带有 802.1X 身份验证的 WPA2 或 WPA3 企业版。在 Alta Labs 平台中，您可以通过选择员工 SSID、将安全模式设置为 WPA2-Enterprise 或 WPA3-Enterprise，并将 AP 指向您的 RADIUS 服务器来进行配置。 如果您正在与 Purple 的 SecurePass 产品集成，Purple 将充当 RADIUS 中介，连接到您的身份提供商（无论是 Microsoft Entra ID、Okta 还是 Google Workspace），并在 Access-Accept 消息中返回相应的 VLAN 分配。Alta Labs AP 从 RADIUS 响应中读取 Tunnel-Private-Group-Id 属性，并自动将设备置于正确的 VLAN 上。 关于 Alta Labs 动态 VLAN 分配的一个重要注意事项：在配置 RADIUS 分配的 VLAN 时，将 SSID 上的默认 VLAN 设置为 VLAN 1 或保持未标记状态。存在一个已知行为，即如果默认 VLAN 设置为特定值，AP 可能会使用配置的默认值覆盖 RADIUS 分配的 VLAN。将默认值设置为 VLAN 1 可确保 RADIUS 分配优先。 --- [实施建议与常见陷阱 - 2 分钟] 当您推出此方案时，我想强调几个关键建议。 首先，始终使用全新设备测试您的 captive portal 流程。如果在测试期间您已经连接过网络，请不要使用您自己的手机。您的设备会记住 MAC 地址授权或拥有缓存的 DNS 条目，这会掩盖围墙花园故障。拿一台从未连接过该网络的平板电脑，连接它，并验证操作系统 captive portal 助手是否自动启动。 其次，谨防过度加白名单。我看到有些工程师对社交登录错误感到沮丧，于是直接将整个通配符域名或庞大的 IP 块列入白名单。这会制造安全漏洞，使懂技术的用户能够完全绕过您的 captive portal。请坚持仅使用 OAuth 流程所需的特定域名。 第三，在部署带有动态 VLAN 的 AltaPass PPSK 时，确保您的整个交换基础设施配置正确。连接到 Alta Labs AP 的交换机端口必须配置为 Trunk，允许所有带标记的 VLAN 通过网关。如果 AP 为 VLAN 101 标记了流量，但交换机端口在 VLAN 1 上设置为 Access 模式，则流量会丢失，客户端将无法获取 IP 地址。 第四，对您的围墙花园（walled garden）配置进行季度审查。OAuth 提供商和内容分发网络会更改其域名结构。Apple 在 2023 年两次更新了其登录域名。如果不进行主动维护，部署时正确的围墙花园将会偏离实际。 --- [快速问答 - 1 分钟] 让我们快速浏览一下来自一线的一些常见问题。 问题一：我可以在 Alta Labs 硬件上将 WPA3 与 Purple captive portal 结合使用吗？ 可以。您应该使用 WPA3-OWE，它代表机会性无线加密。这会对空中传输的数据进行加密，保护宾客隐私，同时仍可作为触发 captive portal 重定向的开放网络运行。这是 2026 年任何新宾客 WiFi 部署的正确选择。 问题二：我需要在防火墙上为 RADIUS 流量打开哪些端口？ Purple 的 RADIUS 服务器通过 UDP 端口 1812 进行身份验证，通过 UDP 端口 1813 进行计费。确保您的边缘防火墙允许从 Alta Labs AP 到 Purple 基础设施的这些端口的出站流量。 问题三：我可以在同一个 SSID 上同时使用 AltaPass PPSK 和 Purple captive portal 吗？ 可以，这实际上是一个非常实用的配置。您可以创建一个 AltaPass 密码，为已知设备（如您的销售点终端或数字标牌）绕过 captive portal，而连接到相同 SSID 的标准连接仍会通过 Purple 引导页面。这为您提供了一个单一、干净之 SSID，可同时处理已验证的设备和宾客用户。 --- [总结与后续步骤 - 1 分钟] 总结一下：将 Alta Labs 与 Purple WiFi 集成，为您提供了一个安全、可扩展的平台，用于捕获第一方数据并提供品牌化的宾客体验。 记住成功部署的三大支柱。首先，在 Alta Labs 云管理平台中准确配置外部热点重定向和 RADIUS 设置。其次，细致地定义您的围墙花园（walled garden）域名，以确保操作系统探测和社交登录正常运行。第三，利用 AltaPass PPSK 实现基于身份的网络（Identity-Based Networking），在不因不必要的 SSID 污染您的空间的情况下细分流量。 Purple 在 80,000 个活跃场所运营，并在 2024 年处理了 4.4 亿次登录。该平台已通过 ISO 27001 认证，符合 GDPR，并且构建为可从单一精品酒店扩展到全国性零售资产。当您将其与 Alta Labs 硬件的性能和灵活性相结合时，您就拥有了一个引人注目的企业级 WiFi 技术栈。 如果您遵循本指南，您将提供无缝、合规的 WiFi 体验，让您的营销团队和安全团队都感到满意。 感谢收听 Purple 技术简报系列。下期再见，保持您的网络安全，并让您的数据发挥作用。