Cisco WLC and Catalyst Integration with Purple WiFi: Step-by-Step Guest Access Guide

欢迎来到 Purple 技术简报系列。今天我们要讨论一个几乎每位在酒店、零售或大型场馆工作标的企业网络架构师都会面临的问题：将 Cisco 无线局域网控制器和 Catalyst 无线基础设施与 Purple 的 Guest WiFi 平台相集成。如果您正在运行 Cisco Catalyst 9800 系列控制器或旧版的 AireOS 平台，并且需要提供合规、分段、且由分析驱动的访客网络，那么本期简报就是为您准备的。[medium pause] 首先来看一下背景。Purple 在全球 80,000 多个活跃场馆中运行，而 Cisco 是企业环境中占主导地位的无线基础设施供应商。让这两个平台干净利落地协同工作并不复杂，但确实需要您在前期做出正确的架构决策。如果决策错误，您将花费数周时间来排查重定向循环、VLAN 不匹配和 RADIUS 超时问题。如果决策正确，您将拥有一个能够自动隔离访客、员工和 IoT 设备，合规地收集第一方数据，并无需人工干预即可在数百个站点中进行扩展的网络。[medium pause] 那么让我们进入架构部分。[short pause] 在 Cisco 部署中，当访客连接到您的 WiFi 网络时，在他们访问互联网之前需要发生三件事。首先，Cisco Catalyst 9800 WLC 需要拦截最初的 HTTP 请求并将客户端重定向到 Purple 的 Captive Portal。其次，Purple 的门户需要对用户进行身份验证，无论是通过社交媒体登录、电子邮件、短信，还是简单的接受条款和条件。第三，Purple 的 RADIUS 服务器需要向 WLC 发回信号，表明用户已获得授权，并可选择将其分配给特定的 VLAN。[medium pause] 处理步骤一的机制称为外部 Web 身份验证（External Web Authentication）或 EWA。在 Catalyst 9800 上，您需要配置一个指向 Purple 欢迎页面 URL 的 Web 身份验证参数映射。WLC 会拦截来自未认证客户端的所有 HTTP 流量，并向该 URL 发出 302 重定向。您还需要配置认证前 ACL，或使用 9800 的 URL 过滤器功能，将 Purple 的门户 IP 地址加入白名单，以便客户端在通过身份验证之前能够实际访问欢迎页面。Purple 为其门户提供了两个 IP 地址，您需要在认证前 ACL 中允许这两个地址。[medium pause] 以下是 Catalyst 9800 的配置顺序。首先，创建参数映射。然后配置您的 URL 过滤器以允许 Purple 的域名进行预认证。将此应用于您的 WLAN 策略配置文件，将第 2 层安全设置为 None，在第 3 层上启用 Web 策略，并将其指向您的参数映射。[medium pause] 现在我们来谈谈 RADIUS。在此架构中，Purple 作为 RADIUS 服务器运行。您需要配置 WLC 指向 Purple 的 RADIUS 端点，您可以在 Purple 控制面板中的场馆网络设置下找到该端点。共享密钥是按每个场馆生成的。在 Catalyst 9800 上，导航至 Configuration, Security, AAA, Servers，然后添加包含正确 IP 和共享密钥的 Purple RADIUS 服务器。接着创建一个服务器组、一个身份验证方法列表，并将其应用到您的 WLAN。[medium pause] 有一个容易被忽略的细节：在 9800 上，您还必须在全局 Web 验证参数映射中配置虚拟 IP 地址。使用 192.0.2.1 作为虚拟 IPv4 地址。如果忽略这一步，客户端有时会被重定向到内部门户而不是 Purple 的门户，您可能会因此白白浪费一个下午的时间去寻找原因。[medium pause] 接下来，我们看看使用 802.1X 的员工 WiFi。[short pause] 对于员工网络，您需要使用 EAP-TLS 进行基于证书的身份验证，或者在无法部署证书的环境中，至少使用带有 MSCHAPv2 的 PEAP。在 Catalyst 9800 上，为员工创建一个独立的 WLAN，将第 2 层安全设置为 WPA2 企业级 (WPA2 Enterprise)，并将身份验证指向您的 RADIUS 服务器。如果您使用 Microsoft Entra ID 或 Okta 作为身份源提供商，Purple 的 SecurePass 插件可作为 RADIUS 代理，将 802.1X 身份验证请求转换为身份源提供商查询。这意味着您不需要为员工身份验证配置单独的本地 RADIUS 服务器。Purple 会处理 EAP 终结并将身份检查转发给您的身份源提供商。[medium pause] 特别是对于 EAP-TLS，您需要通过 Microsoft Intune、Jamf 或类似的 MDM 平台向员工设备部署客户端证书。证书链必须被 Purple 的 RADIUS 服务器所信任，这意味着需要将您的根 CA 证书上传到 Purple 控制面板。配置完成后，员工设备就可以进行无感知验证，无需密码提示，无需展示页面。用户连接后，证书通过验证，即可在几秒钟内接入员工 VLAN。[medium pause] 现在，我们来聊聊大多数架构师都非常感兴趣的部分：Cisco 身份 PSK，即 iPSK。[short pause] iPSK 解决了多租户环境中经常出现的特定问题。想象一个拥有 300 间客房的酒店、一个拥有 50 家门店的零售物业、或一个拥有 200 套公寓的“建房出租”住宅区。您希望使用单个 SSID，但需要将每个租户、每个房间或每个设备组隔离在各自的 VLAN 上。传统的解决方案是为每个租户创建一个单独的 SSID，这既无法扩展，又会造成射频拥堵。而 iPSK 可以为您提供单个 SSID，其中每个客户端或客户端组都拥有一个唯一的预共享密钥，且 RADIUS 服务器会将该密钥映射到特定的 VLAN。[medium pause] 以下是其技术工作原理。当客户端关联到 SSID 时，Catalyst 9800 WLC 会向 Purple 的 RADIUS 服务器发送一个包含客户端 MAC 地址的 RADIUS Access-Request。Purple 的 RADIUS 服务器在其 iPSK 数据库中查找该 MAC 地址，找到关联的 PSK 和 VLAN 分配，并返回一个 RADIUS Access-Accept，其中包含带有 PSK 的 Cisco AV-pair 以及用于 VLAN 分配的 IETF 隧道属性。WLC 使用返回的 PSK 完成 WPA2 四步握手，然后将客户端放入分配的 VLAN 中。 [medium pause] 动态 VLAN 分配所需的三个 RADIUS 属性是：IETF 属性 64（Tunnel-Type），设置为 VLAN 且值为 13。IETF 属性 65（Tunnel-Medium-Type），设置为 802 且值为 6。以及 IETF 属性 81（Tunnel-Private-Group-ID），设置为 VLAN ID 的字符串形式。这三个属性在 RADIUS Access-Accept 中一起发送，可以准确地告诉 WLC 应该分配哪个 VLAN。该 VLAN 必须已经作为动态接口存在于 WLC 上，并且上行交换机端口必须配置为承载所有相关 VLAN 的 Trunk 链路。 [medium pause] 在 WLC 侧，在 iPSK WLAN 上启用 MAC 过滤，启用 AAA Override，并将 Layer 2 安全性设置为 WPA2-PSK。您在 WLAN 上配置的全局 PSK 仅充当备用方案。对于 MAC 地址已注册在 Purple 的 iPSK 数据库中的任何客户端，RADIUS 返回的 PSK 具有最高优先级。对于未注册的设备，您可以拒绝访问或回退到全局 PSK，具体取决于您的策略。 [medium pause] 让我为您提供两个实际应用场景，使其更加具体。 [short pause] 第一个场景：一家拥有 200 间客房的酒店。该酒店希望将访客分配在仅限互联网访问的 VLAN 10，员工分配在可访问物业管理系统的 VLAN 20，而物联网设备、门锁、恒温器、CCTV 则分配在无互联网访问的 VLAN 30。他们运行的是 Cisco Catalyst 9800 控制器和 Cisco 9100 系列接入点。 [medium pause] 架构设计：WLC 上有三个策略配置文件，每个 VLAN 一个。一个用于访客的单一 SSID，使用指向 Purple 的外部 Web 认证。一个用于员工的独立 SSID，使用 WPA2 Enterprise 和 EAP-TLS，通过 Purple SecurePass 针对 Microsoft Entra ID 进行身份验证。以及用于物联网设备的 iPSK，每个设备的 MAC 地址都注册在 Purple 的门户中并分配到 VLAN 30。酒店的物业管理系统通过 Purple 的 API 配置新的物联网设备，因此当安装新的门锁时，其 MAC 地址会自动注册并分配到正确的 VLAN。无需手动进行 RADIUS 配置。 [medium pause] 第二个场景：一个拥有 80 家门店的零售连锁品牌。每家门店都有一个访客 WiFi 网络、一个员工网络和一个用于支付终端的网络。PCI DSS 合规性要求支付终端网络与访客网络完全隔离。该零售商在每个站点使用 Cisco Catalyst 9800-L 控制器，并通过 Cisco Catalyst Centre 进行集中管理。 [medium pause] Purple 采用云端覆盖方式进行部署。每个门店的 WLC 都配置有 Purple 的 RADIUS 服务器详情。访客身份验证使用包含电子邮件捕获功能的品牌宣传页面，将第一方数据注入 Purple 的分析平台。员工身份验证通过 Purple SecurePass 使用 PEAP 对接 Active Directory。支付终端使用带有专用 VLAN 的 iPSK，且预身份验证 ACL 明确阻止支付 VLAN 与访客 VLAN 之间的任何流量，从而满足 PCI-DSS 规范 1.3 关于网络隔离的要求。 [medium pause] 现在我们来谈谈可能遇到的陷阱。 [short pause] 最常见的故障模式是重定向循环。当预身份验证 ACL 未能正确将 Purple 的门户 IP 地址列入白名单时，就会发生这种情况，导致 WLC 将客户端重定向到 Purple 的门户，但客户端由于受到 ACL 阻挡而无法访问该门户，于是 WLC 再次重定向，无限循环。解决方法：验证您的 URL 过滤器或预身份验证 ACL 是否同时包含 Purple 的两个门户 IP 地址，并确认在预身份验证阶段允许进行 DNS 解析。 [medium pause] 第二个常见问题是 VLAN 不匹配。RADIUS 服务器返回了一个在 WLC 上并不作为动态接口存在的 VLAN ID。然后 WLC 会将客户端置于原生 VLAN（通常是管理 VLAN）中。这存在安全风险。解决方法：在部署之前，对照 Purple 的 RADIUS 策略中配置的 VLAN ID 审计您的 WLC 动态接口。它们必须完全匹配。 [medium pause] 第三个陷阱：EAP-TLS 部署中的证书信任失败。如果客户端的证书链不被 Purple 的 RADIUS 服务器所信任，从用户的角度来看，身份验证会静默失败。他们就是无法连接。解决方法：在部署客户端证书之前，将您的根 CA 以及任何中间 CA 证书上传到 Purple 的 SecurePass 配置中。在推广到整个设备群之前，先用单台设备进行测试。 [medium pause] 快速问答。 [short pause] 我可以在 Cisco Meraki 上使用 Purple 代替 WLC 吗？可以。Cisco Meraki 拥有自己的 Captive Portal 集成机制，并且 Purple 原生支持该机制。RADIUS 配置类似，但使用的是 Meraki 的仪表板，而不是 WLC 命令行。 [short pause] Purple 在 Cisco 上支持 WPA3 吗？支持。Cisco Catalyst 9800 配合 IOS-XE 17.3 及更高版本支持 WPA3-SAE。Purple 的 RADIUS 集成在 WPA3 下的工作方式完全相同。 [short pause] 推荐的 RADIUS 超时设置是多少？将您的主 RADIUS 服务器超时设置为 3 秒，并重试 2 次。配置备用 RADIUS 服务器以进行故障转移。Purple 为企业客户提供冗余的 RADIUS 端点。 [short pause] 我可以将 Cisco ISE 与 Purple 一起使用吗？可以。一些组织在将 Purple 用于访客门户和分析的同时，使用 ISE 进行准入评估和设备画像。这两个 RADIUS 服务器配置在不同的 WLAN 上。 [medium pause] 总结一下。 [short pause] Cisco WLC 和 Catalyst 无线基础设施与 Purple 完美集成，利用 External Web Authentication 进行访客 Captive Portal 重定向，通过 Purple SecurePass 采用 802.1X EAP-TLS 或 PEAP 进行员工身份验证，并使用支持动态 VLAN 分配的 Cisco iPSK 进行多租户和 IoT 隔离。这三个 RADIUS VLAN 属性（Tunnel-Type、Tunnel-Medium-Type 和 Tunnel-Private-Group-ID）是驱动动态隔离的机制。在进行整网部署之前，请确保预授权 ACLs 配置正确、RADIUS 与 WLC 之间的 VLAN IDs 匹配，并测试证书信任链。[medium pause] Purple 业务覆盖超过 80,000 个场所，并在 2024 年处理了 4.4 亿次登录。与 Cisco 的集成是我们全球部署最多的配置之一。如果您想开始使用，Purple 控制面板将引导您完成每个场所的 RADIUS 配置，我们的集成团队也将为您的大型企业部署提供支持。[medium pause] 本期简报到此结束。感谢收听。