Arista Cognitive Wi-Fi 與 Purple WiFi 整合

執行摘要

部署用於訪客存取的 Arista Captive Portal 不僅僅是一項連線任務。它是網路安全、法規合規與數據策略的重要交會點。對於管理分佈式場域的 IT 主管而言，將 Arista CloudVision Cognitive Unified Edge (CV-CUE) 與 Purple 整合，可將未受管理的訪客流量轉化為安全、隔離且可衡量的資產。

本參考指南提供了配置 Arista Cognitive Wi-Fi 與 Purple 的決定性藍圖。我們將詳細說明部署第三方代管的 Splash 頁面、構建精確的 Walled Garden 存取控制清單（ACL）以及實作 RADIUS 驗證所需的確切機制。我們還涵蓋了使用 Arista 私有預先共用金鑰（PPSK）和動態 VLAN 引導的高級多租戶 WiFi 隔離技術——這種架構可消除共同工作空間、零售商場和住宅大樓中 SSID 氾濫的問題。

Purple 在全球 80,000 多個實體場域運作，並在 2024 年處理了 4.4 億次登入（Purple 內部數據）。該平台已通過 ISO 27001 認證、符合 GDPR 和 CCPA 規範，並擁有 Cyber Essentials 和 B Corp 認證。本指南反映了在餐旅業、零售業和公共部門部署中經過生產測試與驗證的配置。

技術深度剖析

Arista Captive Portal 註冊架構

訪客註冊流程決定了裝置在驗證前後與 Arista 存取點（AP）的互動方式。當裝置與開放式訪客 SSID 建立關聯時，Arista AP 會將其分配至驗證前 VLAN。在此狀態下，AP 會將 DNS 和 HTTP 流量限制在定義的允許清單內。裝置作業系統會偵測到 Captive Portal，並嘗試連接到已知端點——iOS 會向 captive.apple.com 發送 HTTP 請求，Android 會發送至 connectivitycheck.gstatic.com，而 Windows 則會發送至 www.msftconnecttest.com。Arista AP 會攔截此請求，並發出 HTTP 302 重新導向至 Purple Splash 頁面 URL。

{{asset:captive_portal_flow.png}}

為確保此流程無誤執行，必須將 Arista CV-CUE 控制器配置為指向 Purple 作為第三方代管 Portal。這需要在 CV-CUE 網路設定檔中定義 Purple RADIUS 伺服器（驗證連接埠 1812，計帳連接埠 1813）。一旦訪客在 Purple Portal 上提交其憑證或接受條款，Purple 將作為 RADIUS 伺服器，並向 Arista AP 發送 Access-Accept 訊息。此訊息包含 RFC 3576 中定義的 RADIUS 授權變更 (CoA) 屬性，指示 AP 將用戶端 MAC 位址從受限的驗證前狀態轉換為驗證後 VLAN 上的完整網際網路存取權限。

CV-CUE 中的 Walled Garden ACL 設計

Walled Garden（圍牆花園）是網域和 IP 位址的白名單，未經驗證的裝置必須能夠連通這些位址，才能載入 Splash Page 並完成驗證。在 Arista CV-CUE 中，您可以在 Captive Portal 設定下的 "Websites that users can access before login"（使用者登入前可存取的網站）中進行配置。

Walled Garden 是一個明確的允許清單。您必須包含 Purple 的核心網域才能轉譯該 Portal。如果您提供社群媒體登入，還必須將身分驗證提供者 (IdP) 網域加入白名單。未能維護此清單將導致訪客無法載入驗證提供者的登入畫面，從而立即放棄連接。

Purple 最低要求的 Walled Garden 條目：

• region1.purpleportal.net
• venuewifi.com
• cloudfront.net
• openweathermap.org
• stripe.com（如果啟用了付費存取）

社群媒體登入的附加條目：

• Facebook：facebook.com、fbcdn.net、akamaihd.net、connect.facebook.net
• Google Workspace：accounts.google.com、googleapis.com
• Twitter/X：twitter.com、twimg.com
• LinkedIn：linkedin.com、licdn.net

用於多租戶隔離的 Arista PPSK 配置

對於共享工作空間、住宅大樓或零售商場等環境，標準 802.1X 對於非受控裝置而言往往過於複雜，而開放式網路又缺乏必要的安全性。Arista 私有預先共用金鑰 (PPSK) 解決了這個問題，它允許在單個 SSID 上使用多個唯一的複雜密碼，每個密碼都對應到不同的網路原則。

與 Purple RADIUS 整合時，Arista PPSK 可實現動態 VLAN 導向。住戶或零售租戶使用其特定的 PPSK 連接到統一的 SSID。Arista AP 會向 Purple RADIUS 伺服器驗證該金鑰。Purple 會傳回標準的 Access-Accept，但會附加三個用於驅動 VLAN 分配的 RADIUS 屬性：

Arista AP 會將裝置動態分配到該 VLAN。這在租戶之間提供了嚴格的 Layer 2 隔離，而無需廣播數十個獨立的 SSIDs，在保持絕對安全邊界的同時優化了射頻（RF）利用率。

使用 IEEE 802.1X 保護員工 WiFi 安全

對於員工網路，共享密碼存在安全風險。IEEE 802.1X（定義於 IEEE Std 802.1X-2020）使用每用戶憑證提供基於連接埠的網路存取控制。在 CV-CUE 中，您可以使用 WPA2-Enterprise 或 WPA3-Enterprise 安全協定來設定企業 SSID。AP 作為驗證者，透過 EAP（可延伸驗證協定）將憑證轉發至 RADIUS 伺服器。Purple 支援用於帳號/密碼驗證的 EAP-PEAP，以及用於憑證驗證的 EAP-TLS。

對於 EAP-TLS 部署，您可以與 Microsoft Entra ID、Okta 或 Google Workspace 整合做為憑證授權單位。當員工裝置提供有效的用戶端憑證時，RADIUS 伺服器會向目錄進行驗證並回傳 Access-Accept。這完全消除了憑證遭竊取這一攻擊媒介。

Arista Cloud WIPS 整合

Arista 的無線入侵防禦系統（WIPS）在背景持續運作，掃描非法存取點、設定錯誤的 AP 和未授權的用戶端。在 CV-CUE 中，導覽至 Configure > WIPS > Automatic Intrusion Prevention 來設定防禦層級。Arista 提供四個層級：Degrade、Interrupt、Disrupt 和 Block。對於企業部署，請先從 Disrupt 開始，這會干擾未授權的通訊而不會完全封鎖，從而在初始部署期間降低誤判風險。

啟用 Configure > Device > Access Point > Security 頁籤底下的 SSID VLAN Monitoring，以確保 AP 主動監控其分配的 VLAN 是否有非法活動。Arista AP-3xx 系列型號支援同時監控多達 42 個 VLAN（Arista WIPS 文件，2025 年）。

實作指南

階段 1：網路分段與 RADIUS 設定

1. 登入 Arista CV-CUE 並導覽至 Configure > Network Profiles > RADIUS。
2. 點擊 Add RADIUS Server。
3. 輸入主要 Purple RADIUS 伺服器的詳細資訊：IP 地址、驗證連接埠（1812）、計費連接埠（1813）以及來自 Purple 入口網站硬體設定頁面的共用金鑰（Shared Secret）。
4. 對次要 Purple RADIUS 伺服器重複上述步驟，以確保高可用性。
5. 在您的防火牆上驗證 Arista AP 與 Purple RADIUS 伺服器之間的 UDP 連接埠 1812 和 1813 是否已開啟。

階段 2：訪客 SSID 與 Captive Portal 設定

1. 導覽至 Configure > WiFi > SSID 並點擊 Add New SSID。
2. 定義 SSID 名稱（例如 Guest_WiFi）並將 SSID 類型設定為 Guest。
3. 在 Security 頁籤下，將安全性層級設定為 Open。
4. 在 Network 頁籤下，設定具有專用 DHCP 範圍的預先驗證 VLAN（例如 VLAN 10）。5. 在 Captive Portal 索引標籤下，啟用 Captive Portal 核取方塊。
5. 從 Cloud Hosted 下拉式選單中選擇 Third-Party Hosted。
6. 勾選 With RADIUS Authentication 並選擇 Purple RADIUS 設定檔。
7. 輸入 Purple Splash Page URL（例如 https://region1.purpleportal.net/access/）和 Redirect URL（例如 https://region1.purpleportal.net/access/?res=success）。
8. 將 Called Station ID 格式設定為 %m（Purple 所需的 MAC 位址格式）。
9. 將 Accounting Interval 設定為 2 分鐘。
10. 取消勾選 HTTPS Redirection 核取方塊。

階段 3：Walled Garden 部署

1. 在 Captive Portal 索引標籤中，找到 Websites that users can access before login 區段。
2. 新增上方列出的所有必要 Purple 網域和身分識別提供者 (IdP) 網域。
3. 儲存 SSID 設定並將其套用至目標 Arista AP 群組。

階段 4：PPSK 多租戶設定

1. 在 Purple 入口網站中，導覽至場地硬體設定並取得 PPSK RADIUS 設定。
2. 在 CV-CUE 中，建立一個具有 WPA2-Personal 安全性的新 SSID，並啟用 PPSK 模式。
3. 設定 SSID 以向 Purple RADIUS 設定檔進行驗證。
4. 在 Purple 入口網站中，為每個租戶建立一個 PPSK 複雜密碼，並將其對應至對應的 VLAN ID。
5. 確認連接至 Arista AP 的交換器連接埠已設定為主幹 (trunk) 傳輸所需的租戶 VLAN。

階段 5：安全員工 WiFi (802.1X)

1. 在 CV-CUE 中建立一個新的企業 SSID。
2. 在「安全性」索引標籤下，選取 WPA2-Enterprise 或 WPA3-Enterprise。
3. 選擇指向您企業身分識別提供者（Microsoft Entra ID、Okta 或 Google Workspace）的 RADIUS 設定檔。
4. 設定 EAP 類型：使用者名稱/密碼使用 PEAP，基於憑證的驗證使用 EAP-TLS。
5. 將員工 SSID 分配給與訪客 VLAN 隔離的專用 VLAN（例如 VLAN 20）。

最佳實踐

自動化 Walled Garden 更新。 身分識別提供者經常變更其 CDN 網域。請安排每季審查您的 Arista CV-CUE Walled Garden 設定，對照 Purple 更新的網域列表。若遺漏任何一個 CDN 項目，將會導致所有訪客的社群登入功能失效。

根據場地類型最佳化工作階段計時器。 在 Arista CV-CUE 中設定閒置逾時，以符合您場地的流量特性。零售環境適合使用 10 分鐘的閒置逾時，以便從已離開商店的裝置中回收 IP 位址。飯店部署應使用較長的逾時時間（4-8 小時），以避免在房客住宿期間重複觸發入口網站。

強制執行用戶端隔離 (Client Isolation)。 請務必在 Arista CV-CUE 中的訪客 SSID 上啟用 Client Isolation。這可防止訪客裝置互相通訊，從而降低橫向移動風險，並符合 PCI DSS 網路分割要求。 **啟用 RADIUS Accounting。**請確保以 2 分鐘的間隔啟用 RADIUS Accounting。這能為 Purple 提供準確的連線階段持續時間和數據傳輸指標，並傳送至 WiFi Analytics 儀表板，以進行準確的訪客停留時間分析。

**按 SSID 類型進行細分，而非按 AP。**將 Guest、Staff 和 Multi-Tenant SSIDs 套用至相同的 AP 群組。Arista CV-CUE 會處理每個 SSID 的 VLAN 標記，因此您不需要為每種使用者類型設置獨立的 AP。這在簡化硬體部署的同時，仍能保持嚴格的邏輯隔離。

如欲深入瞭解企業 WiFi 安全架構，請參閱我們的 企業 WiFi 安全：2026 年完整指南 。

案例研究

案例研究 1：擁有 350 間客房的連鎖飯店

一家擁有 12 家分店的中型連鎖飯店在所有地點部署了 Arista Wi-Fi 6E AP，並透過單一 CV-CUE 執行個體進行管理。其需求是提供具備行銷用電子郵件收集功能且有品牌標識的 Guest WiFi，並與物業管理系統 (PMS) 網路隔離，同時也為員工裝置提供 802.1X 支援。

該團隊為每家分店配置了三個 SSID：指向 Purple 的 Guest SSID (VLAN 10)、對應 Microsoft Entra ID 使用 802.1X 的 Staff SSID (VLAN 20)，以及用於大樓管理裝置的 IoT SSID (VLAN 30)。Purple 平台在辦理入住時收集了訪客的電子郵件地址和同意書。在 90 天內，該連鎖飯店已從 68% 的訪客中收集了經驗證的第一方數據（Purple 內部數據），從而實現了精準的再次互動行銷活動。PMS 網路保持完全隔離，符合持卡人資料環境細分的 PCI DSS 要求。

案例研究 2：多租戶共同工作空間

一家管理八個地點的共同工作空間營運商需要為每個地點的 35 家會員公司提供隔離的 WiFi，而無需廣播 35 個 SSID。當時射頻 (RF) 環境已相當擁擠，SSID 暴增降低了所有會員的網路效能。

解決方案是每個地點使用一個結合 Arista PPSK 與 Purple RADIUS 的單一 SSID。每家會員公司都會收到一個專屬的 PPSK 密碼。Purple 將每個密碼對應到專屬的 VLAN（VLAN 100 至 VLAN 3500）。當會員連線時，Arista AP 會根據 Purple RADIUS 傳回的 Tunnel-Private-Group-ID 動態將其導向至其專屬的 VLAN。結果是每個地點的 SSID 從 35 個減少到 1 個，空口時間 (airtime) 效率顯著提升，且會員公司之間達到了完全的第二層 (Layer 2) 隔離。當會員合約結束時，營運商只需在 Purple 平台撤銷其密碼，即可在幾秒鐘內終止其存取權限。

疑難排解與風險緩釋

問題：Apple 裝置上無法載入 Splash 頁面。 iOS 使用特定的機制來偵測 Captive Portal。如果 Splash 頁面無法自動載入，請確認 Arista Walled Garden 已包含所有 Purple CDN 網域。如果 Walled Garden 限制過於嚴格，iOS 裝置將無法載入 Portal 資源並會中斷連線。

問題：MAC 位址隨機化導致無法識別回訪訪客。 iOS 14+ 與 Android 10+ 裝置會針對每個 SSID 隨機化其 MAC 位址。這會使 Purple 無法僅根據 MAC 位址來識別回訪訪客。請依賴已驗證的身分（電子郵件或社群登入）進行長期追蹤。若要實現無 Captive Portal 的無縫、安全重新連線，請遷移至 Passpoint/Hotspot 2.0 架構。

問題：動態 VLAN 導向在 PPSK 下失敗。 如果租戶被分配到預設 VLAN 而非其特定的 VLAN，請使用 Arista CV-CUE 疑難排解工具驗證 RADIUS 回應。請確保 Purple 回傳正確的 Tunnel-Private-Group-ID、Tunnel-Type 和 Tunnel-Medium-Type 屬性，且指定的 VLAN 存在於連接到 Arista AP 的交換器連接埠上。

問題：Guest VLAN 上的 DHCP 位址池耗盡。 在人流量高的環境中，將閒置逾時時間縮短至 5-10 分鐘。如果場地的位址池使用率經常超過 80%，請擴大 DHCP 範圍大小。對於體育場或會議中心等高密度場地，請考慮使用 /22 或更大的子網路。

問題：RADIUS 計費資料顯示零秒工作階段。 請確認 Arista AP 與 Purple RADIUS 伺服器之間的防火牆已開啟 UDP 埠 1813。確認 CV-CUE SSID 設定中的計費間隔 (Accounting Interval) 設定為 2 分鐘。

如需企業環境中無線顯示和協定最佳做法的相關指引，請參閱 What Is Wireless Display: Protocols and Best Practices 2026 。

投資報酬率 (ROI) 與業務影響

將 Arista Cognitive Wi-Fi 與 Purple 結合部署，可將網路成本中心轉化為可衡量的企業資產。藉由強制執行合規的 Captive Portal，您可以降低違反 GDPR 罰款的風險（罰款最高可達全球年度總營業額的 4%）。更重要的是， Guest WiFi 登入頁面可收集經驗證的第一方資料。Purple 已在整個網路中收集了 290 億個資料點（Purple 內部資料），這證明了正確部署的客用 WiFi 架構所能產生的巨大規模。

對於 零售 場所而言，這些數據會直接匯入 CRM 系統，從而能夠根據造訪頻率和停留時間進行精準的行銷活動。對於 旅宿餐飲 業者，它能與回頭客進行個人化的重新互動。對於 交通 樞紐，它提供準確的旅客流量數據，為營運決策提供依據。對於 醫療保健 機構，它確保病患和訪客獲得適當的網路存取權限，同時保持臨床系統完全隔離。

Purple 平台以 99.999% 的運作時間運行（Purple 內部數據），確保訪客存取絕不會因平台可用性問題而中斷。結合 Arista 的雲端管理基礎設施，您將獲得一個端到端的架構，可從單一場所擴展到 80,000 多個地點，而無需變更架構。

如需更多整合背景資訊，請參閱我們的指南： NETGEAR Insight 與企業級存取點與 Purple WiFi 整合 。對於正在評估調查工具以輔助其 WiFi 分析的場所營運商，請參閱 調查設計：場所實用指南 。