Cisco WLC 与 Catalyst 结合 Purple WiFi 集成：访客接入分步指南

执行摘要

企业无线网络必须同时服务于不同的用户群体：需要无缝互联网访问的访客、需要安全访问公司资源的员工，以及需要相互隔离的无终端（headless）或租户设备。针对这些群体中的任何一个依赖单一的共享预共享密钥（Pre-Shared Key）都会带来安全隐患。单个凭据泄露就会使整个网络段面临风险，而撤销访问权限则需要更改全局密码，这会中断网络上每个设备的连接。

本指南详细介绍了 Cisco 无线局域网控制器 (WLC) 和 Catalyst 9800 系列硬件与 Purple 云端覆盖网络的集成。我们提供了三个不同认证层级的逐步配置：由 Purple 提供支持、具有 Captive Portal 重定向功能的开放式 访客 WiFi 网络，使用 802.1X EAP-TLS 证书认证的安全员工 WiFi 网络，以及使用具有动态 VLAN 分配的 Cisco 身份预共享密钥 (iPSK) 的多租户 WiFi 环境。通过部署此架构，您可以将公司资源与访客流量隔离开来，实现基于身份的自动访问控制，并通过 Purple 的 WiFi 分析 平台获取第一方数据。Purple 在全球 80,000 多个活跃场所中运行，并在 2024 年记录了 4.4 亿次登录（Purple 内部数据），这使其成为 Cisco 大规模基础设施中经受过验证的云端覆盖网络。

技术深挖：三层架构

基于 Cisco 硬件的现代企业无线部署必须迎合具有不同安全和访问要求的不同用户画像。Cisco WLC 与 Purple 之间的集成使统一的硬件占用空间能够通过不同的认证机制服务于这些画像，且全部由单个 Catalyst 9800 控制器进行管理。

第一层：访客 WiFi - 中央 Web 认证 (CWA)

对于 酒店餐饮 和 零售 环境中的访客，其目标是低摩擦的接入体验与合规的数据捕获相结合。这是通过使用开放式 SSID 结合中央 Web 认证 (CWA) 来实现的。当访客连接时，Cisco WLC 会应用预认证访问控制列表 (ACL) —— 即围墙花园 (walled garden)。此 ACL 会阻止常规互联网流量，同时允许流量访问 Purple 的 Captive Portal 域名、DNS 和社交登录端点。当访客尝试浏览网页时，WLC 会拦截 HTTP 请求并重定向至 Purple 的 splash 页面。访客通过其选择的方式（社交登录、邮箱注册或凭证码）进行身份验证。随后，Purple 作为 RADIUS 服务器运行，向 WLC 发送 RADIUS 授权变更 (CoA) 消息。CoA 指示 WLC 将客户端从认证前状态切换到隔离的访客 VLAN 上的认证后状态，从而授予互联网访问权限。每次登录都会记录在 Purple 的分析平台中，在符合 GDPR 和 CCPA 的前提下捕获第一方数据。

Tier 2：员工 WiFi - 802.1X EAP-TLS

企业设备需要最高级别的安全性。IEEE 802.1X 定义了基于端口的网络访问控制 (PNAC)，当与 EAP-TLS（可扩展身份验证协议 - 传输层安全）结合使用时，它可提供基于证书的身份验证，从而完全免除密码。数字证书通过移动设备管理 (MDM)——Microsoft Intune、Jamf 或同等工具部署到企业设备。Cisco WLC 作为认证器，在请求方（设备）和 RADIUS 服务器之间传递 EAP 消息。RADIUS 服务器验证证书并返回带有可选 VLAN 分配属性的 Access-Accept。

由于身份验证依赖于证书而非密码，因此不存在凭据被窃取的风险。如果设备丢失或员工离职，您只需撤销证书即可。访问权限会立即终止，而不会干扰任何其他用户。有关包括 WPA3 和零信任在内的企业安全标准的全面阐述，请参阅我们的指南： 企业 WiFi 安全：2026年完整指南 。

Tier 3：多租户 WiFi - Cisco iPSK 与动态 VLAN 分配

在学生公寓、联合办公空间或零售商场等环境中，您需要为不同的租户提供私有且隔离的网络，而无需广播数十个 SSID。Cisco Identity PSK (iPSK) 解决了这一问题。所有租户都连接到同一个 SSID。WLC 为每个连接的设备向 RADIUS 服务器发送 MAC 身份验证请求。RADIUS 服务器将该租户的特定 PSK 作为 cisco-av-pair 属性返回，同时返回标准 IETF RADIUS 属性，以将客户端动态分配到正确的 VLAN。

驱动动态 VLAN 分配的三个 IETF RADIUS 属性为：

如 RFC 2868 中所定义，Tunnel-Private-Group-ID 被编码为字符串。VLAN ID 必须存在于 WLC 上，分配才能成功。

实施指南：Cisco Catalyst 9800 WLC 配置以下步骤详细介绍了运行 IOS-XE 的 Cisco Catalyst 9800 WLC 与 Purple 进行 Guest WiFi 重定向集成的配置。对于旧版 AireOS WLC 部署，等效设置可在 Purple 支持门户中找到。

Step 1: 配置 RADIUS 认证和计费

您必须将 WLC 指向 Purple 的 RADIUS 服务器，以处理访客认证和会话计费。

1. 导航至 Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add。
2. 输入 Purple 主 RADIUS 服务器的 IP 地址，将 auth-port 设置为 1812，acct-port 设置为 1813，并输入来自 Purple 门户的共享密钥。
3. 启用 Support for CoA - 这对于 Captive Portal 重定向是强制性的。
4. 对 Purple 备 RADIUS 服务器重复此操作。
5. 导航至 RADIUS > Server Groups > + Add 并创建一个包含这两台服务器的组。
6. 导航至 AAA Method List > Authorization > + Add，将 Type 设置为 network，并将其指向该 RADIUS 服务器组。
7. 导航至 AAA Method List > Accounting > + Add，将 Type 设置为 identity，并将其指向同一个组。

IOS-XE 上的等效 CLI 命令为：

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Step 2: 定义预认证 ACL（围墙花园）

预认证 ACL 允许在用户认证之前访问 Purple 的 Splash 页面和基本服务。这就是围墙花园（walled garden）。

1. 导航至 Configuration > Security > ACL > + Add。
2. 创建一个名为 Purple_Guest_Walled_Garden 的 IPv4 扩展 ACL。
3. 添加规则以**拒绝（deny）**流向 WLC 管理 IP 和 RADIUS 服务器 IP 的流量。
4. 添加规则以**允许（permit）**流向您的 DNS 服务器的 DNS（UDP 端口 53）流量。
5. 添加规则以**允许（permit）**流向 Purple 围墙花园 IP 地址段和域名的流量（从 Purple 支持门户获取适用于您特定硬件类型的最新列表）。
6. 添加最后一条 permit ip any any 规则 - WLC 会将允许的流量重定向到 CPU 以进行门户处理。

Step 3: 配置访客 WLAN

1. 导航至 Configuration > Tags & Profiles > WLANs > + Add。

2. 创建一个名为 Guest-WiFi 且包含您所选 SSID 的 WLAN。

3. 在 Security > Layer 2 下，将安全设置为 None (Open)。

4. 在 Security > Layer 3 下，启用 Web Policy 并将 Web Auth 类型设置为 External。

5. 在重定向字段中输入您的 Purple 访问 URL。

6. 应用 Purple_Guest_Walled_Garden ACL。

7. 在 Security > AAA Servers 下，将 Purple RADIUS 服务器分配给认证（Authentication）和计费（Accounting）。### 步骤 4：配置策略配置文件

8. 导航至 Configuration > Tags & Profiles > Policy > + Add。

9. 在 Access Policies 下，分配 VLAN 20（或您指定的访客 VLAN）。

10. 在 Advanced 下，启用 Allow AAA Override 和 NAC State。

11. 分配 Purple 计费方法列表。

等效的 CLI 命令：

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

步骤 5：为多租户或 IoT 部署配置 iPSK

对于 iPSK，WLAN 配置与访客设置不同。WLAN 使用启用了 MAC 过滤的 WPA2-PSK，并且策略配置文件已激活 AAA Override，以接受来自 RADIUS 服务器的每个客户端的 PSK 和 VLAN。

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

RADIUS 服务器（在 Purple 或您的 RADIUS 平台中配置）为每个租户组返回以下属性：

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID = 

最佳实践

遵循既定标准可确保整个部署的稳定性、安全性和合规性。

强制执行严格的证书验证。 部署 802.1X 时，通过 MDM 配置客户端设备以显式信任您的 RADIUS 服务器的证书颁发机构，并指定预期的服务器名称。如果不强制执行此操作，客户端将容易受到流氓接入点攻击，攻击者会出示欺诈性证书以捕获凭据。这是一项硬性要求，而非建议。

在网络层隔离访客流量。 访客 WiFi 必须终止在与所有企业资源隔离（通过防火墙）的专用 VLAN 上。PCI DSS 4.0 要求将持卡人数据环境与公共网络隔离。VLAN 20 上的访客必须无法路由到 VLAN 10 上的企业网络。

为 IoT 设备使用 iPSK，而不是 MAC 地址旁路认证。 MAC 地址以明文形式广播，极易被伪造。iPSK 为无屏设备提供加密安全保障。有关显示设备和 IoT 设备如何与无线协议交互的指南，请参阅 什么是无线显示：协议与最佳实践 2026 。

定义明确的使用条款。 您的 Captive Portal 必须在授予访问权限之前展示使用条款协议。这是 GDPR 对数据收集的要求，也是网络使用政策的法律必要条件。对于内部员工网络，请参阅 员工 WiFi 条款和条件：法律与合规要点 。部署 RADIUS 冗余。 务必配置主 RADIUS 服务器和备 RADIUS 服务器。Purple 为此提供了两个服务器 IP 地址。单个 RADIUS 服务器故障将导致所有访客无法登录。

故障排除与风险规避

即使配置再仔细，也可能会出现集成问题。在升级上报之前，请系统地排查最常见的故障模式。

问题：访客已连接，但未显示展示页面。

这是最常见的问题。认证前 ACL 阻断了 DNS。如果没有 DNS，客户端将无法解析初始 HTTP 请求，操作系统也不会触发 captive portal 微型浏览器。请确认在 Walled Garden ACL 中已允许向您的 DNS 服务器开放 UDP 端口 53。在 WLC 上，运行 show wireless client summary 以确认客户端处于 Webauth Pending 状态，而不是 Run 状态。

问题：iPSK 客户端连接失败或进入了错误的 VLAN。

Tunnel-Private-Group-ID 中指定的 VLAN 在 WLC 上不存在，或者 cisco-av-pair 属性格式错误。在 WLC 上运行 debug radius all 以检查原始 RADIUS 响应。确认已在 Configuration > Layer 2 > VLAN > VLAN List 下创建了该 VLAN ID。

问题：802.1X 员工客户端间歇性认证失败。

这通常是 RADIUS 服务器超时或客户端上的证书信任问题。检查 RADIUS 服务器日志中是否有 Access-Reject 消息。在 Windows 客户端上，验证 WiFi 配置文件是否已配置为验证服务器证书，并指定了正确的受信任 CA。

问题：WLC 未处理来自 Purple 的 CoA。

CoA 共享密钥必须与 WLC 上配置的 RADIUS 共享密钥一致。在 IOS-XE 17.4 及更高版本上，CoA 密钥是与共享密钥分开配置的。请验证两者是否与 Purple 门户中的值一致。

投资回报率（ROI）与业务影响

从基础的 PSK 网络过渡到基于 Purple 构建的结构化、基于身份的架构，可在 酒店餐饮 、 零售 、 医疗保健 和 交通运输 等垂直行业带来可衡量的业务成果。

首先，该架构消除了管理共享密码的运营成本。当员工离职时，您只需撤销其证书，而无需更改全局密码并更新网络中的每台设备。其次，与 Purple 的 captive portal 集成将 IT 成本中心转变为收入驱动力。Purple 平台在每次登录时捕获合规的第一方数据，从而实现自动化营销活动和访客分析。凭借在 Purple 网络中收集的 290 亿个数据点（Purple 内部数据），该平台可对访客行为、停留时间和回访率提供极具价值的洞察。对于通过开展调查来了解访客满意度的场所运营商，Purple 平台可直接与研究工作流集成。请参阅 调查设计：场所实用指南 ，获取关于如何构建通过 Captive Portal 投放的高效场所调查的指导。

通过将 Cisco 的企业级硬件与 Purple 的云覆盖网络相结合，您可以获得一个安全、可扩展的网络，从而积极助力实现场所的商业目标。Purple 已通过 ISO 27001 认证，符合 GDPR 和 CCPA 标准，并通过了 Cyber Essentials 认证和 B Corp 认证——满足企业采购团队的合规性要求。