Sophos 防火墙及接入点与 Purple WiFi 的集成

核心摘要

如果您运行 Sophos 基础设施并需要部署捕获第一方数据的 Guest WiFi ，本指南将为您提供准确的配置步骤。Purple 作为外部 Captive Portal 与 Sophos 防火墙（XG 和 XGS 系列）以及 Sophos AP6/APX 接入点集成，将访客身份管理、GDPR 同意书捕获和社交媒体登录处理卸载到 Purple 的云 RADIUS。您的 Sophos 防火墙将继续对所有流量执行深度包检测和统一威胁管理。最终实现一个合规、细分的网络：访客通过品牌化的 Purple 登录页面进行身份验证，员工通过带有 WPA2-Enterprise 的 802.1X 进行连接，多租户环境则使用 Sophos 专用预共享密钥 (PPSK) 进行动态 VLAN 分配。Purple 在全球 80,000 多个真实场所运行，并在 2024 年处理了 4.4 亿次登录（Purple 内部数据，2024 年）。它已通过 ISO 27001 认证、符合 GDPR 并获得 Cyber Essentials 认证。

技术深度剖析

重定向的工作原理

该集成使用标准的 RADIUS 协议和 HTTP 重定向。当场所用户在 Sophos AP6 或 APX 接入点上关联您的开放式访客 WiFi SSID 时，Sophos 防火墙会拦截来自该未授权设备的第一个 HTTP 请求。防火墙不会提供本地存储的登录页面，而是向 Purple 的云端托管登录页面 URL（通常为 https://region1.purpleportal.net/access/ 格式）发出 302 重定向。

在此预认证阶段，设备处于 Walled Garden（围墙花园）内：这是一个严格的允许访问域名白名单，未认证的设备可以访问这些域名。该白名单必须包括 Purple 的门户资产、任何社交媒体登录提供商（Facebook、Google、LinkedIn）以及您使用的任何身份联合端点，例如 Microsoft Entra ID 或 Okta。一旦用户在 Purple 登录页面上完成身份验证，Purple 的云 RADIUS 就会向 Sophos 防火墙发送 RADIUS Access-Accept 消息。防火墙将该会话状态更新为已认证，并应用您的认证后安全策略。

RADIUS 身份验证与计费

Purple 提供 RADIUS 即服务 (RADIUS-as-a-Service)。您无需为访客网络部署 FreeRADIUS、Windows NPS 或任何本地 RADIUS 基础设施。只需配置 Sophos 防火墙直接指向 Purple 的云 RADIUS IP 地址即可。

需要以下两项 RADIUS 功能：

记账并非可选。它是 Sophos 防火墙向 Purple 报告会话持续时间、已消耗带宽和会话终止事件的机制。如果没有记账数据，您的 WiFi 分析 仪表板将显示不完整的访客指标。将记账临时时间间隔设置为 120 秒，以便在实时可见性与网络开销之间取得良好平衡。

Sophos 配置与 Purple 门户之间的 RADIUS 共享密钥必须完全匹配。单个字符的差异就会导致无声的认证失败。

Walled Garden（围墙花园）配置

Walled Garden 是最重要的预认证配置元素，也是部署失败最常见的原因。在 Sophos 防火墙的 Wireless > Hotspot Settings 下进行配置。

您必须至少允许以下域名：

始终允许未认证客户端进行 DNS 解析（UDP 端口 53）。如果没有 DNS，设备将无法解析 Purple 门户的主机名，重定向在开始前就会失败。

适用于员工 WiFi 的 802.1X

对于员工 WiFi，请使用带有 WPA2-Enterprise 或 WPA3-Enterprise 的 802.1X（基于 IEEE 802.1X 端口的网络访问控制）。配置 Sophos AP，针对您的内部 RADIUS 服务器或云身份提供商（如 Microsoft Entra ID）使用 EAP-TLS（基于证书）或 PEAP-MSCHAPv2（用户名/密码）。

RADIUS 服务器返回 VLAN 分配属性，以将通过认证的员工设备放入正确的内部 VLAN。这与下面针对 PPSK 描述的动态 VLAN 机制相同，适用于企业认证。

保持员工 WiFi SSID 和 VLAN 与访客 WiFi SSID 和 VLAN 完全隔离。切勿将访客流量桥接到管理或公司子网。如果任何网络段处理持卡人数据，这种隔离是 PCI DSS 的强制要求。

适用于多租户环境的 Sophos PPSK 和动态 VLAN 分配

在多租户环境（联合办公空间、建房出租住宅区、学生公寓或零售特许权）中，您需要在网络级别隔离不同的用户群组，而无需为每个租户广播单独的 SSID。广播多个 SSID 会增加射频开销并使管理复杂化。

Sophos AP6接入点支持PPSK（专用预共享密钥），也称为身份PSK或单用户PSK。PPSK允许单个SSID接受多个唯一的密码，每个密码通过RADIUS属性映射到特定的VLAN。

动态VLAN分配流程如下：

1. 居民或成员连接到单个共享的SSID并输入其唯一的PPSK。
2. Sophos AP向配置的RADIUS服务器发送RADIUS Access-Request，其中包含PPSK作为凭据。
3. RADIUS服务器验证PPSK并返回包含以下VLAN属性的Access-Accept：
   • Tunnel-Type = VLAN（值 13）
   • Tunnel-Medium-Type = IEEE-802（值 6）
   • Tunnel-Private-Group-ID = ``（例如 100）
4. Sophos AP使用返回的VLAN ID标记设备的流量，将其置于正确的隔离网络段。

这就是基于身份的网络（Identity-Based Networking）：一个SSID，多个隔离的VLAN，由用户的唯一凭据驱动。

实施指南

步骤 1：获取 Purple 凭据

登录到 Purple 门户。导航至 Management > Locations > [Your Venue] > Hardware > Add Hardware。选择 Sophos 作为硬件类型。门户将显示：

• 主和备用 RADIUS 服务器 IP 地址
• RADIUS 共享密钥
• Captive Portal URL（例如 https://region1.purpleportal.net/access/）
• 重定向 URL（例如 https://region1.purpleportal.net/access/?res=success）
• 完整的 Walled Garden 域名列表

在继续之前，请记录所有这四个值。

步骤 2：在 Sophos 防火墙上配置 RADIUS 服务器

在 Sophos 防火墙上导航至 Authentication > Servers（对于AP管理的配置，导航至 Sophos Central > Wireless > SSIDs > [SSID] > Advanced Settings）。

1. 点击 Add 创建一个新的 RADIUS 服务器条目。
2. 将 Server IP 设置为主 Purple RADIUS IP 地址。
3. 将 Authentication port 设置为 1812。
4. 将 Accounting port 设置为 1813。
5. 输入来自 Purple 门户的 Shared secret。
6. 对备用 Purple RADIUS 服务器重复此操作。

对于通过 Sophos Central 管理的 Sophos AP6，请在 SSID 的 Advanced Settings > Backend authentication 部分下配置 RADIUS 服务器。

步骤 3：配置 Walled Garden

在 Sophos 防火墙上导航至 Wireless > Hotspot Settings。

1. 在 Walled garden 下，点击 Add new item。
2. 添加 Purple 提供的列表中的每个域名。
3. 确保通过预认证防火墙规则允许未认证的客户端使用 DNS（UDP 端口 53）。
4. 点击 Apply。

步骤 4：创建访客 SSID

导航至 Wireless > Wireless Settings > SSIDs（或 Sophos Central > Wireless > SSIDs）。

1. 点击 Add SSID。
2. 将 Encryption mode 设置为 Open（无预共享密钥）。
3. 在 Advanced Settings > Captive portal 下，启用 Captive Portal。
4. 选择 Backend authentication 作为身份验证类型。
5. 输入 Purple RADIUS 服务器 IP、端口 1812 以及共享密钥。
6. 将 Redirect URL 设置为 Purple 侧边栏/展示页面（splash page）的 URL。
7. 将该 SSID 分配给专用的访客 VLAN（例如，VLAN 100）。
8. 启用 Client isolation（客户端隔离）以阻止访客之间的流量互通。

步骤 5：创建认证后防火墙规则

导航至 Rules and policies > Firewall rules。

1. 创建一条规则，允许来自访客 VLAN 到 WAN 区域的流量。
2. 应用 Web 过滤以阻止恶意类别。
3. 应用流量整形（traffic shaping）以限制每个用户的带宽（推荐：访客网络限制为下载 10 Mbps，上传 5 Mbps）。
4. 显式阻止从访客 VLAN 到任何包含 POS 系统、PMS 或企业资源的内部 VLAN 的所有流量。

步骤 6：为多租户环境配置 PPSK（可选）

1. 在 Sophos Central 中，创建一个 WPA2-Personal SSID。
2. 在该 SSID 的高级设置下启用 RADIUS VLAN assignment。
3. 配置 RADIUS 服务器以接受 PPSK 凭据，并根据每个用户组返回相应的 VLAN 属性。
4. 通过 Purple 门户或您的 RADIUS 管理界面向每个租户组发放唯一的 PPSK。

最佳实践

在二层和三层隔离流量。 务必将 Guest WiFi 置于专用 VLAN 中。创建显式防火墙规则，以阻止从访客 VLAN 到内部网段上 RFC 1918 地址空间的所有流量。这符合 PCI DSS 网络分段要求，并能在访客设备遭到入侵时防止横向移动。

在高密度部署中使用网桥（Bridge）模式。 在并发访客连接数超过 200 的环境中（如酒店、体育场、会议中心），将访客 SSID 配置为网桥模式。这会将流量传送到由企业级 DHCP 服务器处理的 VLAN 上，从而防止 Sophos AP 或防火墙成为 DHCP 瓶颈。一个入住率为 70% 的 500 间客房的酒店，若每个访客携带两台设备，将同时产生大约 700 个 DHCP 租约。企业级 DHCP 可以轻松处理此类情况，而 AP 自带的 DHCP 则无法应对。

使用受信任的公共 SSL 证书。 为 Sophos 防火墙进行配置，使其在重定向界面上出示由公共 CA 签名的证书。自签名证书会在 iOS 和 Android 上生成浏览器安全警告，从而提高门户放弃率。这在 酒店餐饮与住宿 环境中尤为重要，因为访客体验会直接影响评分。同时配置 RADIUS 认证和计费。 认证（端口 1812）用于授予访问权限。计费（端口 1813）用于跟踪使用情况。两者都是 Purple 分析功能正常运行所必需的。计费数据用于在 Purple 控制面板中生成会话时长指标、带宽报告以及回头客识别。

在正式上线前规划好您的 Walled Garden（放行列表）。 在部署到生产环境之前，请在至少一台 iOS 设备和一台 Android 设备上测试 Captive Portal。这两个平台具有不同的 Captive Portal 检测机制，在 Walled Garden 配置不完整时可能会表现出不同的行为。利用 Sophos Firewall 上的数据包捕获功能，识别预认证阶段中任何被拦截的域名。

在认证后应用 Sophos 同步安全（Synchronized Security）。 Sophos AP6 接入点支持与 Sophos Endpoint Protection 集成的同步安全功能。如果识别到访客设备已受损（红色安全心跳状态），AP 可以自动将该设备限制在 Walled Garden 内，无需人工干预即可将其与互联网隔离。对于 医疗保健 和 零售 环境来说，这是一项非常有意义的安全控制措施。

若要了解更广泛的企业 WiFi 安全背景，请参阅我们的指南： 企业 WiFi 安全：2026 年完整指南 。

故障排查与风险缓解

现象：Portal 页面无法加载（空白屏幕或超时） 原因：Walled Garden 配置不完整。Sophos Firewall 在认证前拦截了对 Purple 的 CSS/JS 资产或社交登录 API 的访问。 解决方法：在 Sophos Firewall 上针对访客 VLAN 启用数据包捕获。识别被拦截的域名，将它们添加到 Walled Garden 中，并验证预认证阶段是否允许 DNS 解析。

现象：Portal 能够加载，但认证总是失败 原因：RADIUS 共享密钥不匹配，或 UDP 端口 1812/1813 被拦截。 解决方法：逐字验证 Sophos 配置和 Purple Portal 中的共享密钥。在 Sophos CLI 中使用 nmap -sU -p 1812,1813 命令来确认 UDP 的连通性。

现象：分析数据中显示的会话时长为零，且没有带宽数据 原因：未配置 RADIUS 计费或计费被拦截。 解决方法：验证计费服务器是否已配置在端口 1813，且共享密钥是否正确。检查是否有中间 ACL 拦截了出站的 UDP 1813 流量。

现象：访客设备上出现证书警告 原因：Sophos Firewall 在重定向接口上使用的是自签名证书。 解决方法：将由公共 CA（Let's Encrypt、DigiCert 或类似机构）签名的证书上传至 Sophos Firewall，并在 无线 > 热点设置 下将其分配为登录页面证书。

现象：PPSK 用户进入了错误的 VLAN 原因：RADIUS VLAN 属性配置不正确，或者 Sophos AP 未接受动态 VLAN 分配。 修复：验证 RADIUS 服务器返回 Tunnel-Type = 13、Tunnel-Medium-Type = 6 和 Tunnel-Private-Group-ID = 。确认在 Sophos Central 的 SSID 上已启用 RADIUS VLAN 分配。

投资回报率（ROI）与业务影响

在 Sophos 基础设施上部署 Purple，可将 Guest WiFi 从一项公用事业成本转变为第一方数据资产。其商业可行性显而易见。

一家拥有 200 间客房、入住率为 70%、平均停留 1.8 晚的酒店，每年通过 Purple 的自主选择加入 Captive Portal 将产生大约 50,000 个经过验证的访客画像。每个画像包括姓名、电子邮件地址、人口统计数据和访问历史。这些数据直接导入电子邮件营销活动，从而显著提高直接预订量以及餐饮收入。

对于 零售 环境，Purple 的分析功能可以识别停留时间、重复访问频率和客流高峰期。拥有 50 个网点的零售连锁店可以使用这些数据来优化人员配置、调整促销时机，并衡量店内活动对访问频率的影响。

对于公共部门和 交通 运营商，Purple 提供可审计的 GDPR 同意记录，并支持关键服务运营商遵守英国的网络和信息系统（NIS）法规。

Purple 99.999% 的运行时间服务等级协议（SLA）可确保访客认证服务不会成为您网络的单点故障。云 RADIUS 架构意味着无需维护、修补或更换本地认证服务器。

有关相关的集成指南，请参阅 Alta Labs 与 Purple WiFi 集成：设置与 Captive Portal 配置 指南。