Captive Portal 架構：安全性、重新導向與最佳實踐

請以自信、權威且口語化的英式英語發音 - 就像一位資深網路顧問在喝咖啡時向客戶簡報一樣。節奏沉穩、發音清晰、不急不徐。在需要強調的地方自然停頓。展現專業但不生硬的態度： 歡迎來到 Purple 技術簡報。我是您的主持人，今天我們將深入探討 Captive Portal 架構 - 特別是安全模型、重新導向機制，以及區分合規、工程設計優良的部署與那些會在凌晨三點給您帶來麻煩的部署之間的設計決策。 [中度停頓] 讓我們來設定場景。您正在連鎖飯店、零售物業或體育場營運訪客 WiFi。每天有數千台裝置進行連線。其中一些裝置攜帶著惡意軟體。有些使用者會試圖存取不該存取的內容。而您的法務團隊希望書面確認，在您儲存任何一個位元組的個人資料之前，您已經取得了有效的同意。[中度停頓] 這就是 Captive Portal 架構旨在解決的問題。讓我們來拆解它是如何運作的。 [中度停頓] 第一部分：重新導向鏈。 當訪客裝置連線到您的 WiFi SSID 時，它會從專用訪客 VLAN（我們稱之為 VLAN 20）上的 DHCP 位址池取得 IP 位址。您的企業裝置則位於 VLAN 10 上。這兩個 VLAN 絕對不能互相路由。從 PCI-DSS 的角度來看，這點毫無妥協餘地，坦白說，從基本安全的角度來看也是如此。 現在，裝置已連線，但尚未通過驗證。控制器會將其置於我們所說的預先驗證狀態。該裝置只能存取小型網域白名單 - 即 walled garden。其他所有內容都會被攔截。 巧妙的地方在這裡。當裝置嘗試載入網頁 - 或者當作業系統執行其 Captive Portal 偵測檢查（例如 iOS 會透過自動連線到 captive.apple.com 來進行此檢查）時，閘道器上的 DNS 解析器會傳回 Captive Portal 伺服器的 IP 位址，而不是真實的目的地。瀏覽器會跟隨該重新導向並進入您的 Splash Page。 [中度停頓] 這是 Layer 3 與 Layer 7 協同運作。VLAN 處理網路隔離。DNS 攔截處理重新導向。而 Captive Portal 則處理身分與同意層。三個不同的機制，依序運作。 [中度停頓] 第二部分：驗證與 RADIUS。 一旦訪客與 Splash Page 進行互動 - 無論是接受條款與細則、輸入電子郵件地址、透過社群登入進行驗證，還是驗證簡訊驗證碼 - 平台都需要通知網路控制器為該特定裝置開啟防火牆。 這就是 RADIUS 發揮作用的地方。RADIUS 代表遠端驗證撥號使用者服務。它是 RFC 2865 中定義的協定，也是原則伺服器與網路存取裝置之間進行驗證決策通訊的產業標準。 Purple 的運作方式為雲端託管的 RADIUS 伺服器。當訪客完成 Captive Portal 流程時，Purple 會向本機 WiFi 控制器（無論是 Cisco Meraki、HPE Aruba 控制器、Ruckus SmartZone，還是 Juniper Mist 存取點）傳送 RADIUS Access-Accept 訊息。控制器接收該訊息並將訪客裝置從預先驗證狀態轉換為授權狀態，進而啟用防火牆規則並授予網際網路存取權限。 [medium pause] 關於 RADIUS，有一項您需要了解的重要延伸功能：授權變更（Change of Authorisation），簡稱 CoA。CoA 允許 RADIUS 伺服器傳送工作階段中期的訊息給控制器，以撤銷或修改已啟用的工作階段。Purple 使用 CoA 來強制執行工作階段逾時、中斷因違反原則而被標記的裝置，以及支援 GDPR 規範下的刪除權（Right-to-Erasure）工作流程 - 當使用者要求刪除其資料時，Purple 可以立即撤銷其作用中的工作階段。 [medium pause] 第三部分。Walled garden（隔離區）。 Walled garden 是一個 IP 位址和網域名稱的白名單，未經驗證的裝置在完成 Captive Portal 流程之前可以存取這些位址。如果此設定出錯，您的歡迎頁面將無法載入。如果發生嚴重錯誤，您將會製造出安全性漏洞。 您的 walled garden 至少需要包含 Captive Portal 網址本身、託管該入口網站資產的任何 CDN 端點，以及您所使用的任何社群登入供應商（Google、Facebook、Microsoft）的驗證端點。如果您使用簡訊驗證，則需要將簡訊閘道的 API 端點加入白名單。 大多數部署中常見的陷阱是動態 IP 位址。雲端服務並不總是擁有靜態 IP。如果您將 IP 而非網域加入白名單，且該 IP 發生變更，您的入口網站就會失效。請在您的控制器支援的情況下使用基於網域的白名單功能，並在每次變更後進行測試。 [medium pause] 第四部分。安全性設計。 讓我們更詳細地討論安全性架構，因為這通常是大多數部署出現漏洞的地方。 第一：用戶端隔離（Client Isolation）。請啟用它。這是存取點上的一項設定，可防止訪客裝置在無線媒體上直接互相通訊。若未啟用此功能，您訪客網路中受安全威脅的裝置就能探測並攻擊其他訪客裝置。這是一個只需勾選單一核取方塊就能消除整類點對點攻擊的解決方案。 第二：DHCP 租期（DHCP lease times）。在高流動率的場所 - 如交通樞紐、體育場、繁忙的零售店 - 您需要設定較短的租期。三十到六十分鐘。如果您將預設值保留為二十四小時，且在比賽日有一萬台裝置進行連線，您的 IP 位址池將在半場結束前耗盡。新裝置將無法連線。您的營運團隊將會收到投訴。請保持簡短的租期。 第三：加密。您的 captive portal 必須透過 HTTPS 與有效的 TLS 憑證提供服務。如果透過 HTTP 提供服務，現代瀏覽器會將其標記為不安全，使用者會失去信任，且您是以純文字傳輸認證資訊。請至少使用 TLS 1.2；建議使用 TLS 1.3。WiFi 傳輸層應使用 WPA2-AES 或 WPA3 - 絕不要使用 WEP，也絕不要使用 TKIP。 第四：VLAN 區隔。您的訪客 VLAN 必須與任何接觸付款卡資料的網路區段完全隔離。PCI DSS 4.0 版對此有明確規定。如果您的訪客網路可以路由到包含銷售點系統（POS）的子網路，則您的整個 POS 網路都將納入 PCI 稽核的範圍內。這是一項重大的合規負擔。從第一天起就進行正確的區隔。 [medium pause] 第五節。GDPR 與資料合規性。 每個收集個人資料的 captive portal - 根據 GDPR，電子郵件地址、電話號碼和社群登入資訊都算作個人資料 - 都必須滿足特定要求。 您需要有處理資料的合法依據。對於訪客 WiFi，這通常是「同意」。該同意必須是自由給予、具體、知情且明確的。預先勾選的方塊不算數。將 WiFi 同意與行銷同意捆綁在一起也不算數。Purple 的 conscious-choice 選擇性加入模型將網路存取同意與行銷同意分開，因此訪客可以在不被強迫接受行銷電子郵件的情況下連線。 您需要記錄收集了哪些資料、收集的原因、儲存的位置以及保留的時間。Purple 通過 ISO 27001 認證，符合 GDPR、CCPA 標準，並通過 Cyber Essentials 認證。該平台將資料儲存在符合規範的資料中心，並設有記錄完善的保留政策。 此外，您還需要一個「被遺忘權」（右至刪除）的工作流程。如果訪客要求刪除其資料，您必須能夠在三十天內執行該操作。Purple 的平台原生支援此功能，而我之前提到的 RADIUS CoA 機制意味著您可以同時撤銷使用中的工作階段。 [medium pause] 現在讓我們轉向實作建議以及我們最常遇到的陷阱。 [medium pause] 陷阱一：設定錯誤的 walled garden（圍牆花園）。Splash 頁面已載入，但社群登入按鈕無法運作。或者頁面已載入，但標誌沒有出現，因為 CDN 網域未列入白名單。在正式上線前，請在沒有快取 DNS 的全新裝置上測試您的 walled garden。 陷阱二：共用的 PSK。有些場地仍在使用寫在黑板上的單一 WiFi 密碼。那不是 captive portal - 那是一個任何人都可以拍照並分享的共用秘密。它無法為您提供身分資料、同意記錄，也無法撤銷個別存取權限。請用託管的 captive portal 取代它。 陷阱三：DHCP 核心集大小不足。我已經提過這點，但這值得重複強調。請針對巔峰時段的同時連線數來調整您的 DHCP 核心集大小，而不是平均連線數。在一個擁有四萬名球迷的體育場中，您可能會有兩萬台裝置嘗試同時連線。請做好相應的規劃。 陷阱四：未設定工作階段逾時。如果沒有設定工作階段逾時，六個月前連接且再未返回的裝置仍會在您的控制器中保持授權的工作階段狀態。這是一個浪費資源並產生稽核雜訊的過期記錄。請務必設定工作階段逾時，30 分鐘的閒置時間是一個合理的預設值。 [中頓] 快速問答。 問題：Captive Portal 適用於所有裝置嗎？ 回答：現代作業系統 - iOS、Android、Windows、macOS - 都內建了 Captive Portal 偵測功能。它們會偵測重定向並自動呈現入口網站。較舊的裝置可能需要使用者手動開啟瀏覽器。Purple 的平台可以同時處理這兩種流程。 問題：我們可以在使用 802.1X 的同時使用 Captive Portal 嗎？ 回答：可以。許多企業部署對員工裝置使用 802.1X - 透過憑證或憑證進行自動驗證 - 並在獨立的 SSID 上為訪客裝置提供 Captive Portal。Purple 可與同時支援這兩種流程的 RADIUS 基礎架構整合。 問題：那 OpenRoaming 呢？ 回答：OpenRoaming 是一種標準，允許裝置使用基於憑證的驗證自動連接到 WiFi，完全繞過 Captive Portal。在 Connect 授權下，Purple 可作為 OpenRoaming 的免費身分識別提供者。這是無縫訪客連線的未來趨勢，但 Captive Portal 仍是目前資料收集與同意管理的主流標準。 [中頓] 總結一下。 一個架構完善的 Captive Portal 部署基於五大支柱：保護企業網路的 VLAN 隔離；用於呈現歡迎頁面的 DNS 攔截與 HTTPS 重定向；同意後開啟防火牆的 RADIUS 驗證；正確配置的 Walled Garden 以確保入口網站可靠載入；以及保護訪客與貴組織的符合 GDPR 規範的資料處理。 Purple 的平台在 80,000 個實體場域處理這五個層級，2024 年處理了 4.4 億次登入，並擁有 99.999% 的正常執行時間。它與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 原生整合 - 因此無論您執行何種硬體，都無需汰換即可直接部署。 如果您想深入了解其中任何主題 - SSID 設計、RADIUS 設定或 GDPR 合規工作流程 - 請造訪 purple.ai 獲取完整的技術指南庫。 感謝您的聆聽。