Allied Telesis 接入点与 Purple WiFi 集成

您是一位资深网络顾问，正在向客户的 IT 总监进行私人简报。请使用自信、权威、口语化的语气。节奏沉稳，吐字清晰。不使用无意义的填充词。适当自然停顿以示强调： 欢迎参加本次关于 Allied Telesis TQ 系列接入点与 Purple WiFi 集成的技术简报。我将带您了解完整的部署方案，从访客 Captive Portal 重定向到多租户 PPSK 隔离。在本次简报结束时，您将获得一个清晰的实施路线图。 [中等停顿] 让我们先了解一下背景。Allied Telesis 生产 TQ 系列产品，包括 TQ5403 和 TQ6702 GEN2 Wi-Fi 6 接入点。这些是运行 AlliedWare Plus 固件的企业级 AP，广泛部署在酒店、零售和公共部门环境中。Purple 是一个与硬件无关的云端覆盖平台，在 80,000 个场所运行，并在 2024 年处理了 4.4 亿次登录。这两个平台之间的集成非常干净、基于标准且已具备生产就绪性。 [中等停顿] 现在，大多数 IT 团队需要配置的第一件事是访客 Captive Portal 重定向。Allied Telesis AP 支持三种 Captive Portal 模式：一键登录、RADIUS 身份验证和外部页面重定向。对于 Purple 集成，您将使用“外部页面重定向”模式。以下是其在实际操作中的工作原理。 您登录 AP 的 device GUI，导航至“无线”，选择相关的 VAP，进入“高级设置”，然后选择“安全”选项卡。将 Captive Portal 设置为“外部页面重定向”。在“外部页面 URL”字段中，输入 Purple 控制面板中提供的 Purple 展示页面 URL。这就是您的访客在首次连接时将访问的 URL。 [短暂停顿] 现在，AP 会拦截来自每个新客户端的第一个 HTTP 或 HTTPS 数据包，并将该流量重定向到您的 Purple 展示页面。访客通过 Purple 进行身份验证，Purple 的 RADIUS 服务器向 AP 发回 Access-Accept。然后 AP 授予网络访问权限。 [中等停顿] 对于 RADIUS 配置，Purple 为您提供 RADIUS 服务器 IP 地址、共享密钥和身份验证端口（即 UDP 1812）。计费运行在 UDP 1813 上。您可以在 AP GUI 的“网络服务”下的“RADIUS”中进行配置。NAS 标识符应设置为 AP 的管理 IP 或描述性主机名。Purple 的 RADIUS 即服务处理身份验证后端，因此您无需在本地运行自己的 RADIUS 基础设施。 [短暂停顿] 有一点需要正确配置，那就是 Walled Garden。在访客进行身份验证之前， AP 会阻止除白名单目的地之外的所有流量。您需要将 Purple 的平台域名添加到 Walled Garden 中，以便展示页面能够正确加载。至少要将 Purple 展示页面域名、Purple 用于资源的任何 CDN 端点以及您启用的任何社交登录提供商（例如 Google 或 Facebook）列入白名单。您可以在 Walled Garden 下的同一个 VAP 高级设置面板中进行配置。 [中等停顿] 接下来，我们来看看使用 802.1X 的员工 WiFi。在这里，您可以在单独的 VAP 上配置 WPA Enterprise。在 AP GUI 中，从“安全”下拉菜单中选择 WPA Enterprise，然后将 RADIUS 身份验证组指向您的外部 RADIUS 服务器，在本例中是 Purple 的 SecurePass 服务，或者是您自己的 Microsoft Entra ID 或基于 Okta 的 RADIUS。员工设备使用带有 MSCHAPv2 的 EAP-PEAP 进行身份验证，或者在安全性要求更高的环境中使用带有证书的 EAP-TLS。AP 充当 802.1X 验证器，将凭据转发给 RADIUS 服务器并执行响应。 [短暂停顿] 对于员工网络上的动态 VLAN 分配，您可以在 VAP 的高级安全设置中启用“动态 VLAN”。当 RADIUS 服务器返回 Access-Accept 时，它会包含三个标准属性：Tunnel-Type 设置为 VLAN，Tunnel-Medium-Type 设置为 IEEE 802，Tunnel-Private-Group-Id 设置为 VLAN ID。AP 读取这些属性并自动将已验证的设备放入正确的 VLAN 中。这是 RFC 3580 中定义的机制，在 Allied Telesis 硬件上运行非常稳定。 [中等停顿] 现在让我们谈谈多租户部署中最有趣的功能：Allied Telesis PPSK（专用预共享密钥）。在其他平台上，这有时被称为 iPSK。这个概念非常简单。您只有一个 SSID，但每个租户或用户组都会获得一个唯一的密码。当设备连接时，AP 会将该密码作为 RADIUS Access-Request 中的密码字段发送给 RADIUS 服务器。RADIUS 服务器将该密码与用户记录进行匹配，并返回带有 Tunnel-Private-Group-Id 属性的 Access-Accept，指定该租户的 VLAN。 [短暂停顿] 因此，在多用途建筑中，零售单元中的租户 A 使用其密码连接并进入 VLAN 100。一楼的餐厅使用不同的密码并进入 VLAN 300。大楼的访客 WiFi 使用第三个密码并进入 VLAN 400（其中 Purple 的 Captive Portal 处于活动状态）。所有这些都运行在一个 SSID 上。没有 SSID 激增。干净、可扩展且易于管理。 [中等停顿] 在 Purple 方面，您可以在 Purple 控制面板中或通过 RADIUS 即服务界面配置 PPSK 用户记录。每个租户都会获得一个映射到 VLAN ID 的唯一密码。Purple 的 RADIUS 服务器处理匹配并返回正确的 Tunnel-Private-Group-Id。当您需要撤销租户的访问权限时，只需在 Purple 中删除或禁用其 PPSK 记录即可。AP 将在下一次身份验证尝试时执行此更改。 [中等停顿] 让我给您举两个在实际应用中非常重要的场景。 首先，一个拥有 250 间客房的会议酒店。该酒店运行三个网络：带有 Purple 展示页面和社交登录的访客 WiFi、绑定到 Microsoft Entra ID（通过 Active Directory）的 802.1X 员工 WiFi，以及用于活动的会议代表网络。Allied Telesis TQ6702 GEN2 AP 在不同的 VAP 上处理这三个网络，并使用独立的 VLAN。Purple 管理访客展示页面，为酒店的 CRM 收集第一方数据，并提供高峰使用期的分析。酒店的 IT 团队通过 Purple 的 SecurePass 管理员工网络，而无需在本地维护单独的 RADIUS 服务器。 [短暂停顿] 第二个场景：一个拥有 12 个独立租户的零售园区。业主希望向每个租户提供 WiFi 即服务，同时不让他们访问彼此的流量。他们在整个场所部署了 Allied Telesis AP，并使用单个 SSID。每个租户都会收到一个唯一的 PPSK。Purple 的 RADIUS 服务器将每个 PPSK 映射到专用 VLAN。业主可以在十分钟内通过在 Purple 中创建新的 PPSK 记录并将密码交给租户来引导新租户。无需重新配置 AP。 [中等停顿] 现在，需要避免一些常见陷阱。 我们看到的最常见问题是 Walled Garden 配置错误。如果您忘记将 Purple CDN 端点列入白名单，展示页面将在某些设备上部分加载或加载失败。在上线前，请使用没有缓存 DNS 的全新设备进行测试。 第二，RADIUS 共享密钥不匹配。AP 上配置的密钥必须与 Purple 的 RADIUS 服务器配置中的密钥完全一致。单个字符的差异就会导致静默身份验证失败。请使用密码管理器生成并存储密钥。 第三，未启用动态 VLAN。在 Allied Telesis AP 上，即使 WPA Enterprise 处于活动状态，动态 VLAN 默认也是禁用的。您必须在 VAP 高级安全设置中显式启用它。我们经常看到这一点被遗漏。 第四，PPSK 与 MAC 身份验证冲突。如果您在与 PPSK 相同的 VAP 上启用了 MAC 身份验证，则身份验证顺序非常重要。请查看适用于您固件版本的 AP 文档，以确认哪种方法优先。 [中等停顿] 我经常从 IT 团队那里收到的一些快速问答。 我可以在同一个部署中将 Purple 的 RADIUS 服务器同时用于访客 Captive Portal 和员工 802.1X 吗？是的。Purple 的 RADIUS 即服务支持这两种身份验证流程。您可以在 Purple 中为每个用例配置独立的 RADIUS 组或策略。 Allied Telesis AP 是否支持带 Captive Portal 的 WPA3？运行固件 5.5.4-2.3 或更高版本的 TQ6702 GEN2 支持 WPA3 CCMP 密码。然而，带有外部重定向的 Captive Portal 通常运行在开放或 WPA2 Personal SSID 上。员工 802.1X 可以使用 WPA3 Enterprise。 如果 Purple RADIUS 服务器无法访问会发生什么？AP 将拒绝新的身份验证尝试。现有会话将继续，直到超时。您应该在 AP 的 RADIUS 组中配置备用 RADIUS 服务器以实现冗余。Purple 的平台保持 99.999% 的在线率，但深度防御是很好的实践。 [中等停顿] 总结一下。Allied Telesis TQ 系列 AP 通过三种主要机制与 Purple 集成：用于访客 WiFi 的外部 Captive Portal 重定向、用于员工 802.1X 的 WPA Enterprise（带 RADIUS），以及用于多租户隔离的 PPSK（带动态 VLAN）。您需要的 RADIUS 属性是 Tunnel-Type VLAN、Tunnel-Medium-Type IEEE 802 和携带 VLAN ID 的 Tunnel-Private-Group-Id。Purple 提供 RADIUS 即服务后端、展示页面平台和分析层。 [短暂停顿] 您的下一步行动：从控制面板中获取 Purple RADIUS 凭据，在访客 VAP 上配置外部页面重定向，添加 Walled Garden 条目，在员工 VAP 上启用动态 VLAN，并在上线前对每个网络段运行测试身份验证。如果您要为多租户部署 PPSK，请在开始前规划好您的 VLAN 编号方案，因为在租户上线后更改 VLAN ID 需要进行协调。 [中等停顿] 以上就是本次简报。有关完整的逐步配置参考、Mermaid 架构图和 RADIUS 属性表，请参阅书面指南。感谢您的时间。