CommScope Ruckus 与 Purple WiFi 集成：安装与配置指南

欢迎收听 Purple 技术简报。我是您的主持人，今天我们将介绍一个几乎在每个大规模企业 WiFi 项目中都会遇到的部署模式——将 CommScope Ruckus 与 Purple 的云平台进行集成。无论您是管理酒店集团、零售物业、体育场还是会议中心，本期内容都将为您提供所需的配置指南。 首先让我们来了解一下背景。Ruckus（现属于 CommScope）是全球主流的企业 WiFi 平台之一。尤其是 SmartZone，它是高密度环境的首选控制器。像 Premier Inn 这样的酒店、大型连锁零售店、体育场和会议中心都在运行 Ruckus 基础设施。当您部署如此大规模的 Guest WiFi 时，您需要的不仅仅是一个开放的 SSID。您需要结构化的认证、符合 GDPR 的数据采集，以及将这些访客数据导入您的营销技术栈的能力。这正是 Purple 的用武之地。 Purple 在超过 80,000 个活跃场所中运行，仅在 2024 年就处理了 4.4 亿次登录，并持有 ISO 27001、GDPR 和 Cyber Essentials 认证。Ruckus 集成是我们最成熟的部署模式之一。 现在，在接触配置界面之前，您需要了解 Ruckus 的三种不同的控制器平台。SmartZone（可作为物理 SZ300 设备或虚拟 vSZ 提供）是适用于大型多站点部署的企业控制器。它管理着跨多个区域的数千个接入点，为您提供深度的策略控制，并支持我们今天将介绍的所有认证方法。ZoneDirector 是传统的本地控制器（仍广泛部署，特别是在酒店业中），它支持相同的基于 WISPr 的 Captive Portal 流程，尽管配置路径略有不同。而 Unleashed 是无控制器模式，其中一个 AP 作为多达 128 个其他 AP 的主 AP。它非常适合较小的单站点部署——独立酒店、零售分店、中小企业办公室。 好的。让我们进入技术细节。我将介绍三个不同的使用场景：具有 Captive Portal 重定向的 Guest WiFi、使用 802.1X 的 Secure Staff WiFi，以及使用 Ruckus Dynamic PSK 的多租户网络隔离。 首先是 Guest WiFi。这里的架构是基于 WISPr 的热点流程。WISPr（无线互联网服务提供商漫游）是一种行业标准，它定义了无线控制器如何拦截未认证的 HTTP 流量并将其重定向到外部 Portal。访客连接到您的 SSID。他们的设备发送一个 HTTP 请求。SmartZone 拦截该请求并向您的外部 Portal URL（在本例中为 Purple 的 Captive Portal）发出 HTTP 302 重定向。访客进行认证（通过社交登录、电子邮件、短信或自定义表单），然后 Portal 通过北向接口（即 NBI）与控制器进行通信以授予访问权限。 在 SmartZone 上，配置包含四个主要部分。首先是 RADIUS 认证服务器配置文件。导航至“服务与配置文件”，然后选择“认证”。创建一个新的 AAA 服务器配置文件。将服务协议设置为 RADIUS。您的主服务器 IP 和共享密钥在 Purple 管理控制台中提供。认证端口为 1812。务必配置备份 RADIUS 服务器以确保弹性。然后在“服务与配置文件”的“计费”下创建计费服务器——端口 1813，使用相同的共享密钥。 其次是 Hotspot WISPr 配置文件。转到“服务与配置文件”、“热点与门户”，然后选择“Hotspot WISPr”选项卡。创建一个新配置文件。将登录 URL 设置为“外部”，并输入您的 Portal 重定向 URL。将起始页设置为重定向到您的认证后 URL——通常是成功页面或您场所的主页。 现在是 Walled Garden。这是工程师最常犯错的地方。Walled Garden 定义了访客在认证前可以访问哪些域名和 IP 地址。您需要包含您的 Portal 域名、您的 Portal 加载资源的任何 CDN 或资产域名，以及标准的操作系统 Captive Portal 检测端点。在 SmartZone 中，支持使用星号加点格式的通配符——因此 *.purple.ai 涵盖了所有 subdomains。您还需要 Apple 的 Captive Portal 检测域名（captive.apple.com） and Google 的连接性检查端点，以防止 CNA 微型浏览器在 iOS 和 Android 设备上出现异常。 一个容易忽略的关键步骤。默认情况下，SmartZone 会对重定向 URL 中传递给外部 Portal 的 MAC 地址和 IP 地址进行加密。Purple 需要看到实际的客户端 MAC 地址才能执行基于 MAC 的会话管理。您必须通过 CLI 禁用此功能。通过 SSH 登录到您的 SmartZone，进入配置模式，并运行：no encrypt-mac-ip。这是一个简单的命令，但如果您跳过它，它将成为一个硬性阻碍。 北向接口是另一个必不可少的部分。这是一个 API，允许 Purple 与 SmartZone 进行通信，以便在认证后授予或拒绝访问。在“系统管理”、“外部服务”、“WISPr 北向接口”下启用它。设置用户名和密码，并将这些凭据提供给 Purple。NBI 在用于 HTTP 的 TCP 端口 9080 和用于 HTTPS 的 9443 上运行——确保您的防火墙允许从 Purple 的 IP 范围到这些端口的入站连接。 最后，创建您的 WLAN。将认证类型设置为 Hotspot WISPr，选择您的 Portal 配置文件，并分配您的 RADIUS 认证和计费服务。如果 Purple 需要特定值，将 NAS ID 设置为“用户定义”，将 Called Station ID 设置为“AP MAC”，并启用“单会话 ID”。 对于 Unleashed，其架构有着本质的不同——它是一个分布式的无控制器模型。配置位于“管理与服务”、“服务”、“热点服务”。步骤大致相似——创建热点服务、配置您的外部 Portal URL、设置您的 AAA 认证服务器、添加您的 Walled Garden 条目——但有两个关键区别。Unleashed 中不需要北向接口。并且默认情况下不应用 MAC 地址加密，因此您不需要 CLI 命令。Unleashed 的 Walled Garden 也接受域名级条目，而不是完整的通配符语法。 现在让我们转向使用 802.1X 的 Secure Staff WiFi。这是一种完全不同的认证模型。员工设备不依赖 Captive Portal，而是使用可扩展身份验证协议 (EAP) 直接进行认证。企业环境中最常用的方法是 PEAP-MSCHAPv2（用户输入其 Active Directory 凭据）或 EAP-TLS（设备出示证书）。Purple 的 SecurePass 插件与 Microsoft Entra ID、Okta 和 Google Workspace 集成，作为此流程的 RADIUS 后端。 在 SmartZone 上，创建一个新的 WLAN 并将认证类型设置为 802.1X EAP。在 AAA 设置下，指向您的 RADIUS 服务器——即 Purple 的 SecurePass 端点。与访客流程的关键区别在于，您还要在此处配置动态 VLAN 分配。当 Purple 的 RADIUS 服务器返回 Access-Accept 时，它包含三个 IETF 标准属性：Tunnel-Type 设置为 VLAN，值为 13；Tunnel-Medium-Type 设置为 IEEE-802，值为 6；以及 Tunnel-Private-Group-ID 包含 VLAN ID 字符串——例如，员工 VLAN 的 20。SmartZone 读取这些属性并动态标记员工的流量，将其分配到正确的 VLAN，无论他们连接到哪个 AP。这就是动态 VLAN 引导，它使得单个 SSID 能够为具有不同网络访问策略的多个用户角色提供服务。 在 WLAN 高级设置中启用 AAA Override，以确保 SmartZone 处理 RADIUS 返回的 VLAN 属性。如果不勾选该复选框，即使 RADIUS 服务器发送了正确的属性，动态分配也无法工作。 第三个使用场景是使用 Ruckus Dynamic PSK (DPSK) 的多租户隔离。这是一种 Ruckus 专有技术，可在单个 SSID 上为每个用户或租户分配唯一的 WPA2 密码。与每个人都使用相同密码的共享 PSK 不同，DPSK 意味着租户 A 拥有唯一的 62 字符密钥，租户 B 拥有不同的密钥，依此类推。每个密钥都绑定到特定的 VLAN，因此租户 A 的流量进入 VLAN 101，租户 B 的流量进入 VLAN 102——实现完全隔离，无共享密码风险，并且可以立即撤销而不影响其他租户。 这在联合办公空间、长租公寓住宅楼、学生公寓和多租户零售园区中特别强大。Purple 通过 SmartZone API 与 Ruckus DPSK 集成，以实现密钥配置的自动化——当在 Purple 中入驻新租户时，系统会自动生成一个 DPSK，将其绑定到正确的 VLAN，并自动交付给租户。 要在 SmartZone 上配置 DPSK：导航至 WLAN，添加一个新的 WLAN，并在“安全”下将方法设置为 Dynamic PSK。将 DPSK 长度设置为 62 个字符以获得最大熵。在 VLAN 下，启用 Per-DPSK VLAN 分配。然后使用 SmartZone API 或 DPSK management 界面为每个租户创建单独的密钥，每个密钥映射到其自己的 VLAN ID。在 Unleashed 上，可以在“WiFi 网络”、“高级选项”、“Dynamic PSK”下找到相同的功能。 DPSK3 是 WPA3 变体，提供更强的基于 SAE 的加密。如果您的 AP 设备群支持 WPA3（目前所有 Ruckus R 系列 AP 都支持），则 DPSK3 是新部署的首选。 让我介绍两个实际的实施场景，以说明这三个使用场景是如何结合在一起的。 第一个场景：一家拥有 250 间客房的酒店。该物业在整个场所运行带有 R750 接入点的 Ruckus SmartZone。他们需要三种网络类型：用于酒店客房客人的 Guest WiFi、用于前台和后台员工的 Secure Staff WiFi，以及用于智能客房控制和闭路电视的 IoT 网络。 访客 WLAN 使用与 Purple 集成的 WISPr Captive Portal 流程。访客连接后，被重定向到品牌化的 Purple Portal，通过电子邮件或社交登录进行认证，并进入 VLAN 10。Portal 采集第一手数据——电子邮件、营销同意书、住宿偏好——这些数据直接导入酒店的 CRM。Purple 的分析仪表板向酒店展示了哪些楼层的连接率最高、高峰使用时间以及回头客率。Premier Inn 在其英国物业中部署了这种模式，并看到与 WiFi 体验直接相关的访客满意度评分有了显著提高。 员工 WLAN 针对 Purple 的 SecurePass 使用 802.1X。员工通过 PEAP-MSCHAPv2 使用其 Active Directory 凭据进行认证。前台员工进入 VLAN 20，可以访问物业管理系统。后台员工进入 VLAN 21，仅能访问人力资源和排班系统。VLAN 分配完全由 Purple 返回的 RADIUS 属性驱动——无需手动配置端口。当员工离职时，其帐户将在 Microsoft Entra ID 中被禁用，并且所有物业的访问权限将立即被撤销。 IoT WLAN 使用静态 PSK，隔离在 VLAN 30 上，并启用了客户端隔离。智能温控器、门锁和闭路电视摄像头都位于此处，与访客和员工流量完全隔离。 第二个场景：一个拥有 15 家租户公司的联合办公空间。这就是 DPSK 真正发挥作用的地方。运营商在三个楼层运行 Ruckus Unleashed。每个租户公司都会获得一个绑定到其自身 VLAN 的唯一 DPSK。租户 A 的 20 名员工都使用相同的 DPSK-A 密码，但该密码对租户 A 是唯一的，且仅映射到 VLAN 101。租户 B 使用 DPSK-B，映射到 VLAN 102。租户在网络层彼此完全隔离。当租户离开时，运营商在 SmartZone 中（或通过 Purple 的管理界面）撤销其 DPSK，仅此而已。其他租户不受影响，无需更改 SSID，也无需在整栋建筑中重置密码。 Purple 的多租户管理层位于其上，为联合办公运营商提供了一个单一的仪表板，以管理所有 15 个租户的入驻、访问撤销和使用分析。 现在让我介绍最常见的故障模式以及如何避免它们。 第一：Walled Garden 配置错误。如果您的 Portal 页面在重定向后无法加载，首先要检查的是您的 Portal 页面引用的所有域名是否都在 Walled Garden 中。现代 Portal 页面从多个 CDN 域名、分析脚本和社交登录 SDK 加载资源。如果其中任何一个在认证前被拦截，页面将无法加载或加载不完整。在连接到访客 SSID 的测试设备上使用浏览器的开发者工具，以识别哪些请求被拦截。Purple 为 SmartZone 和 Unleashed 提供了文档化的 Walled Garden 列表——将其作为您的基准，并在其上添加任何特定于场所的域名。 第二：NBI 连接问题。如果访客可以看到 Portal 并进行认证，但始终无法访问互联网，可能的原因是 SmartZone 无法接收来自 Purple 的 NBI 回调。检查从 Purple 的 IP 范围到 SmartZone 管理 IP 的入站 TCP 端口 9080 和 9443 是否已开放。还要验证您配置的 NBI 凭据是否与 Purple 记录的凭据一致。 第三：缺少 no encrypt-mac-ip 命令。这是最常见的 SmartZone 特有陷阱。如果 Purple 正在接收重定向请求，但无法将该会话与 MAC 地址匹配，这几乎肯定就是原因。这是一个单行的 CLI 修复，但很容易被忽略，因为它没有在 GUI 中显现出来。 第四：未针对动态 VLAN 启用 AAA Override。如果员工在 802.1X 上成功认证，但全部进入了相同的默认 VLAN，而不是其特定于角色的 VLAN，请检查 WLAN 高级设置中是否启用了 AAA Override。这是通知 SmartZone 采纳 RADIUS 服务器返回的 VLAN 属性的开关。 第五：DPSK VLAN 未传播。如果 DPSK 用户正在进行认证但未进入正确的 VLAN，请验证 WLAN 设置中是否启用了 Per-DPSK VLAN 分配，并且连接到 AP 的交换机端口是否配置为承载所有 DPSK VLAN 的 Trunk 端口。如果交换机端口是 Access 端口，VLAN 标记将被剥离。 现在，解答在每次 Ruckus-Purple 部署中都会被问到的三个快速问题。 我是否需要为 Guest WiFi 使用专用 VLAN？是的，始终需要。将访客流量隔离在专用 VLAN 上。如果您的场所在同一网络上处理刷卡支付，这既是安全要求，也是 PCI DSS 合规性考虑。在访客 WLAN 上启用客户端隔离，以防止访客设备之间相互通信。 我可以在 Ruckus One（云管理平台）上使用 Purple，而不是 SmartZone 吗？可以。配置路径有所不同——它位于 Ruckus One 门户中的“WiFi 网络”、“访客接入”设置下——但 Walled Garden 和 RADIUS 配置原则是完全相同的。 Purple 是否支持 SmartZone 多区域部署？是的。Purple 的集成可以处理多区域 SmartZone 环境，您可以将 Portal 配置范围限定到单个 SmartZone 实例中的各个区域，以适用于不同的场所或楼层。 总结一下。Ruckus 和 Purple 的集成涵盖了三个不同的使用场景，每个场景都有自己的配置模型。Guest WiFi 使用基于 WISPr 的 Captive Portal 流程——五个关键配置点：端口 1812 和 1813 上的 RADIUS（带有备份服务器）、带有外部登录 URL 的 Hotspot WISPr 配置文件、使用通配符条目且范围正确的 Walled Garden、no encrypt-mac-ip CLI 命令，以及启用了正确凭据的北向接口。 Secure Staff WiFi 使用 802.1X EAP，并通过 RADIUS 属性进行动态 VLAN 引导——关键的启用项是 WLAN 高级设置中的 AAA Override。 多租户隔离使用 Ruckus DPSK——每个租户拥有唯一的密钥，每个密钥绑定到专用 VLAN，具有即时撤销和零共享密码风险。 正确掌握这三种模式，您就拥有了一个网络架构，它可以从 Unleashed 上拥有 50 间客房的独立酒店扩展到 SmartZone 上拥有 5,000 个座位的体育场，并且上面运行着相同的 Purple 平台，提供统一的分析、符合 GDPR 的数据采集和集中式访问管理。 如果您正在计划使用 Purple 进行 Ruckus 部署，技术入驻团队可以引导您完成上线前清单，并在上线前验证您的配置。Purple 平台还提供有关 Portal 加载时间、认证成功率和会话数据的实时分析——让您能够在访客发现问题之前捕获这些问题。 感谢收听。我们下期再见。