Zyxel Nebula Cloud 和 USG 与 Purple WiFi 的集成

执行摘要

Zyxel Nebula Cloud 和 USG Flex 防火墙已部署在数千个企业场所，从连锁酒店到零售物业。当您将这些硬件与 Purple 集成时，您就添加了一个合规且可捕获数据的访客身份验证层，从而将标准的无线网络转化为第一方数据资产。本指南涵盖四种部署场景：通过外部展示页面进行访客 Captive Portal 重定向、基于 RADIUS 的身份验证和计费、使用 IEEE 802.1X 的安全员工 WiFi，以及使用 Zyxel 动态个人预共享密钥 (DPPSK) 的多租户网络隔离。Purple 在全球 80,000 多个活跃场所运行，并在 2024 年处理了 4.4 亿次登录（Purple 内部数据）。它持有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证。此处描述的集成架构在平台层面上与硬件无关，但本指南中具体的配置路径和参数适用于运行当前固件的 Zyxel Nebula Control Center (NCC) 和 USG Flex 防火墙。

如需更广泛地了解企业 WiFi 安全架构，请参阅我们的 企业 WiFi 安全：2026 年完整指南 。

技术深度解析

集成架构

Zyxel 与 Purple 的集成依赖于三个依次运行的标准协议：HTTP 重定向（captive portal 检测）、RADIUS 身份验证 (UDP 1812) 和 RADIUS 计费 (UDP 1813)。当访客设备连接到访客 WiFi SSID 时，Zyxel 接入点会拦截第一个 HTTP 请求，并向 Purple 外部 captive portal URL 发送 HTTP 302 重定向。访客在 Purple 展示页面上进行身份验证（通过电子邮件、社交登录或短信），然后 Purple 向 Zyxel 控制器发送 RADIUS Access-Accept 消息。控制器授予互联网访问权限，并开始发送 RADIUS Accounting Start 数据包以记录会话数据。

Zyxel USG Flex 防火墙介于无线网段和 WAN 之间。它执行基于区域的安全策略，将访客、员工和多租户 VLAN 彼此隔离，并与企业局域网 (LAN) 隔离。Nebula Control Center 通过端口 443 上的 HTTPS 连接到 Nebula 云，对接入点和 SSID 配置进行集中管理。

RADIUS 参数

下表总结了您需要从 Purple 管理控制台获取的 RADIUS 配置参数。

请务必同时配置主 RADIUS 服务器和备 RADIUS 服务器。单个 RADIUS 端点存在单点故障风险，一旦服务器无法访问，访客将被锁定在外。

Walled Garden 配置

Walled Garden（也称为白名单）定义了设备在完成认证之前可以访问的域名和 IP 范围。在 Zyxel Nebula 中，您可以在 Site-wide > Configure > Access points > Captive portal customisation > Captive portal advance setting 下进行配置。

您必须包含以下类别的条目：

• Purple 门户域名及其所有子域名（使用通配符格式：*.purple.ai）
• 托管门户 CSS、JavaScript 和图片资源的 CDN 域名
• 如果您启用了 Facebook、Google 或 Microsoft 登录，则需添加社交登录提供商域名
• Apple Captive Portal 检测：captive.apple.com
• Google 连接性检查：connectivitycheck.gstatic.com
• Microsoft NCSI：www.msftconnecttest.com

缺失其中任何条目都将导致 Splash 页面在特定设备类型上无法渲染。特别是 iOS 设备，如果未正确处理 Apple CNA 端点，将会显示一个空白的微型浏览器。

使用 IEEE 802.1X 保护员工 WiFi 安全

对于员工网络，不应使用共享 PSK。IEEE 802.1X（在 IEEE 802.1X-2020 标准中定义）通过为每个用户提供独立的凭据，来实现基于端口的网络访问控制。在 Nebula 中，您可以通过将 SSID 安全性设置为 WPA2-Enterprise，并将认证指向 Nebula 云认证服务器 (NCAS) 或通过 RADIUS 代理指向外部 RADIUS 服务器（如 Microsoft Entra ID 或 Okta）来进行配置。

对于 WPA3-Enterprise 部署，配置路径完全相同，只需在安全选项中选择 WPA3 即可。WPA3 强制要求使用受保护的管理帧 (PMF)，并使用对等实体同时认证 (SAE) 以提高对离线字典攻击的防御能力。

适用于多租户场所的 PPSK 和动态 VLAN 分配

Zyxel DPPSK（动态个人预共享密钥）允许单个 SSID 为多个隔离的网络段提供服务。每个用户或设备都会获得一个唯一的密码。当他们进行认证时，Nebula 控制器会将该密码映射到 DPPSK 数据库中定义的 VLAN ID。对于联合办公空间、学生公寓、长租公寓 (BTR) 以及多住户单元 (MDU) 等需要实现租户隔离而无需广播数十个 SSID 的场景，这是最正确的方法。DPPSK 需要 Nebula Pro Pack 许可证和 6.00 或更高版本的接入点固件。您可以在 Nebula Control Center 的 配置 > 云身份验证 > DPPSK 中配置 DPPSK 数据库。每个条目包括密码、可选的到期日期、用于发送的电子邮件地址以及目标 VLAN ID。

同时授权的 DPPSK 条目最大数量为 2,048。对于并发用户数超过 2,048 的部署，您需要仔细管理到期日期，以确保处于活动状态的凭据保持在此限制之内。

实施指南

步骤 1：准备网络基础设施

在操作 Nebula Control Center 之前，请先在 USG Flex 防火墙和下游交换机上配置您的 VLAN。

1. 创建一个具有专用子网（例如：192.168.10.0/24）的 访客 VLAN（例如：VLAN 10）。在此接口上配置 DHCP 服务器。
2. 创建一个具有专用子网（例如：192.168.20.0/24）的 员工 VLAN（例如：VLAN 20）。
3. 对于多租户部署，为每个租户创建额外的 VLAN（例如：VLAN 30、40、50）。
4. 在 USG Flex 上，创建一个映射到 VLAN 10 的 访客区域 (Guest Zone)。创建一条安全策略，允许流量从访客区域流向 WAN 区域。创建一条全部拒绝策略，阻止流量从访客区域流向 LAN 区域。
5. 确保连接 Zyxel AP 的交换机端口配置为承载所有所需 VLAN 标签的 802.1Q trunk 端口。

步骤 2：在 Nebula Control Center 中配置访客 SSID

1. 登录 Nebula Control Center：ncc.nebula.zyxel.com。
2. 导航至 站点范围 > 配置 > 接入点 > SSID 设置。
3. 启用访客 SSID 并切换至 高级模式。
4. 启用 访客网络 以激活第 2 层客户端隔离。这可以防止访客设备在同一个 SSID 上直接相互通信。
5. 保存。

步骤 3：配置外部 Captive Portal

1. 导航至 站点范围 > 配置 > 接入点 > SSID 高级设置。
2. 从下拉菜单中选择您的访客 SSID。
3. 在 登录方式 下，为初始重定向选择 Click-to-continue，或者如果您使用的是 Purple 基于 RADIUS 的 MAC 认证，请选择 My RADIUS server。
4. 导航至 站点范围 > 配置 > 接入点 > Captive portal 自定义。
5. 在 外部 Captive Portal URL 下，输入来自 Purple 管理控制台的 Purple 重定向 URL。格式为 https://[your-purple-domain]/[venue-id]。
6. 在 Captive Portal 高级设置 下，输入所有必需的 Walled Garden 域名。
7. 将 严格策略 设置为 在登录前阻止所有访问，以防止访客绕过门户。
8. 设置 重新认证时间 以匹配您场所的会话策略（通常酒店行业为 24 小时，零售会员计划为 30 天）。
9. 保存。

步骤 4：在 Nebula 中配置 RADIUS

1. 在 SSID 高级设置 的 网络访问 下，选择 My RADIUS server。
2. 输入来自 Purple 管理控制台的 主 RADIUS 服务器 IP。3. 将认证端口设置为 1812。
3. 输入共享密钥。
4. 对辅助 RADIUS 服务器重复此操作。
5. 启用RADIUS 计费并将计费端口设置为 1813。
6. 保存。

步骤 5：配置 DPPSK 以实现多租户分段

1. 导航至配置 > 接入点 > SSID 高级设置。
2. 选择多租户 SSID，并将网络访问设置为动态个人 PSK。
3. 导航至配置 > 云认证 > DPPSK。
4. 单击添加并选择批量创建 DPPSK。
5. 为每个租户组设置凭据数量、有效期和目标 VLAN ID。
6. 输入用于接收批量凭据的电子邮件地址。
7. 保存并向租户分发凭据。

步骤 6：验证部署

1. 将测试设备连接到访客 WiFi SSID。
2. 确认设备已重定向到 Purple 欢迎页面。
3. 完成认证并确认已获取互联网访问权限。
4. 在 Purple 管理控制台中，验证会话是否显示在分析仪表板中。
5. 在 Nebula 中，导航至接入点 > 监控 > 客户端，以确认客户端已关联并分配到正确的 VLAN。
6. 使用租户凭据进行连接，并确认 VLAN 分配正确，以此测试 DPPSK。

最佳实践

隔离每种流量类型。 访客、员工和 IoT 流量必须各自占用专用的 VLAN。如果您的场所在同一物理基础设施上处理刷卡支付，则此项为必选项——PCI DSS v4.0 要求在持卡人数据环境与访客网络之间进行网络分段。

使用 RADIUS 冗余。 在 Nebula 中配置主 Purple RADIUS IP 和辅助 Purple RADIUS IP。单个 RADIUS 服务器故障将导致所有访客认证中断，直至问题解决。

定期审计 Walled Garden。 门户网站供应商会更新其 CDN 配置。如果供应商将资产迁移到新的 CDN，部署时可用的域名在六个月后可能会失效。请计划每季度审查一次您的 Walled Garden 条目。

启用 RADIUS 计费。 如果不启用计费，Purple 将无法跟踪会话时长、数据使用情况，或实施基于时间的访问限制。计费数据还会同步到 WiFi 分析 仪表板。

在硬件支持的情况下应用 WPA3。 2021 年及以后发布的合勤 (Zyxel) 接入点支持 WPA3。对于员工 WiFi，采用 192 位安全模式的 WPA3-Enterprise 符合 NIST SP 800-187 对企业无线安全的建议。

在上线前测试 CNA 行为。 在 iOS 上，与完整浏览器相比，Captive Network Assistant (CNA) 微型浏览器的功能有限。在向访客部署之前，请在 CNA 环境中测试您的 Purple 欢迎页面（特别是社交登录流程和自定义 JavaScript）。对于 酒店业 部署，另请参阅我们关于隔离访客网络和后勤网络的指南。对于 零售 环境，同样的 PPSK 方法也适用于将销售点（POS）系统与顾客 WiFi 进行隔离。

故障排除与风险规避

认证页面加载失败

故障现象：访客连接到 SSID，但在 CNA 中看到空白页面或浏览器错误。

原因：认证页面所需的一个或多个域名未包含在 Walled Garden 中。

解决方法：将测试设备连接到访客 SSID。打开浏览器（而非 CNA）并访问任意 HTTP URL。重定向到门户页面时，打开浏览器的开发者工具并检查 Network（网络）标签页。找出所有返回 403 或连接被拒绝（connection-refused）错误的请求。将这些域名添加到 Nebula Walled Garden 中。

访客已通过认证但无法访问互联网

故障现象：访客完成了门户表单并看到了成功页面，但无法浏览网页。

原因：Zyxel 控制器未收到来自 Purple 的 RADIUS Access-Accept 报文，或者 USG Flex 防火墙阻止了 RADIUS 响应。

解决方法：验证是否允许从 Zyxel AP 管理 IP 到 Purple RADIUS 服务器 IP 的出站 UDP 端口 1812 和 1813。检查 USG Flex 安全策略日志中是否有被拦截的流量。

Purple 控制面板中缺失 RADIUS 计费数据

故障现象：会话显示在 Nebula 中，但 Purple 分析控制面板中未显示会话时长数据。

原因：Nebula SSID 配置中未启用 RADIUS 计费（Accounting），或者 UDP 端口 1813 被阻止。

解决方法：确认 SSID 高级设置中已启用 RADIUS 计费。验证计费端口是否设置为 1813，且共享密钥与 Purple 配置相匹配。

DPPSK 用户被分配到错误的 VLAN

故障现象：租户使用其 PPSK 进行连接，但被分配到了错误的网络网段。

原因：DPPSK 数据库条目中的 VLAN ID 与交换机 Trunk 或 USG Flex 接口上配置的 VLAN 不匹配。

解决方法：交叉比对 Nebula DPPSK 数据库中的 VLAN ID 与上游交换机及 USG Flex 上的 VLAN 配置。确保 AP 交换机端口为承载所有租户 VLAN 的 Trunk 端口。

投资回报率（ROI）与业务影响

将 Zyxel 基础设施与 Purple 集成，可将作为成本中心的无线网络转化为能够创收的数据资产。对于一家拥有 200 间客房的酒店，在 WiFi 登录时获取访客的电子邮件地址和营销授权，可以构建起一个 CRM 数据库，从而推动直接预订营销活动——降低对 OTA 佣金的依赖。对于零售连锁店，Purple 的 Guest WiFi 平台可提供客流量分析、停留时间数据和复访率，为排班和商品规划决策提供数据支持。对于多租户运营商（长租公寓 (BTR) 项目、学生公寓、联合办公空间）而言，将 Zyxel DPPSK 与 Purple 联合部署可以消除为每个租户管理独立 SSID 和凭据的运营开销。具有动态 VLAN 分配功能的单一 SSID 可减少射频干扰、简化接入流程，并且无需额外基础设施即可轻松扩展至数百名居民。

Purple 的 99.999% 运行时间 SLA 确保了认证层不会成为访客接入的瓶颈。凭借在整个平台收集的 290 亿个数据点（Purple 内部数据），通过 Purple 管理控制台提供的分析数据为场所运营商提供了可操作的智能洞察，在部署的首个季度内即可证明该集成投资的价值。

对于将访客 WiFi 视为受监管服务的 医疗保健 和 交通运输 环境，内置于 Purple 的 Captive Portal 且符合 GDPR 规范的数据捕获和同意管理功能，消除了与未托管开放网络相关的合规风险。

另请参阅： Arista Cognitive Wi-Fi 与 Purple WiFi 集成 ，了解在不同硬件平台上的类似集成模式。