Fortinet FortiAP 與 Purple WiFi 整合指南

執行摘要

對於運行 Fortinet 基礎架構的企業 IT 團隊而言，在維持嚴格安全態勢的同時，整合外部 Captive Portal 以進行訪客存取是一項常見的需求。Fortinet FortiAP 無線基地台、FortiGate 統一威脅管理 (UTM) 設備與 Purple WiFi 平台之間的整合，使企業能夠將訪客驗證與核心網路安全解耦。本指南為技術架構師和 IT 經理提供了在 Fortinet 環境中將 Purple 部署為外部 Captive Portal 的權威藍圖。透過將訪客身分管理卸載至 Purple 的雲端 RADIUS，網路團隊可以利用 Fortinet 強大的 Layer 7 安全策略進行流量檢查，同時獲取第一方客群數據以創造商業價值。無論是部署在分散的零售據點還是高密度的體育場館，此架構都能在確保符合 PCI DSS 和 GDPR 的同時，提供無縫的 Guest WiFi 體驗。

技術深度解析

Fortinet 與 Purple 之間的架構整合依賴於標準 RADIUS 協定和 HTTP 重新導向機制。當訪客裝置與 FortiAP 廣播的指定開放 SSID 建立關聯時，FortiGate 會攔截初始的 HTTP/HTTPS 請求。FortiGate 並非提供本機 Captive Portal，而是設定為將用戶端重新導向至 Purple 的雲端託管 Splash Page。

在此預先驗證階段，FortiGate 會執行 Walled Garden（圍牆花園）——一項嚴格的 IP 位址和網域允許清單，允許用戶端裝置載入 Captive Portal 資源、進行社群登入並存取基本服務（例如 DNS），而無需授予完整的網際網路存取權限。一旦使用者在 Purple 入口網站上通過驗證，Purple 平台就會透過 RADIUS Access-Accept 訊息與 FortiGate 進行通訊。接著，FortiGate 會將用戶端的工作階段狀態從未驗證轉換為已驗證，並套用適當的驗證後防火牆策略。

RADIUS 共存：Purple 與 FortiAuthenticator

在 Fortinet 的架構設計中，常見的挑戰是在已部署 FortiAuthenticator (FAC) 作為企業身分驗證的情況下，如何同時管理訪客存取與員工身分驗證。對此，我們強烈建議採用絕對的 SSID 隔離方案。員工裝置連線至使用 IEEE 802.1X（通常為 PEAP 或 EAP-TLS）的安全 SSID，並直接透過 FortiAuthenticator 進行身分驗證。相反地，訪客裝置則連線至設定為外部 Captive Portal 重新導向的開放式 SSID，並透過 Purple 的雲端 RADIUS 架構進行身分驗證。

這種隔離機制可確保對 WiFi Analytics 至關重要的訪客身分資料完全在 Purple 平台內進行管理，而企業的 Active Directory 認證資訊則繼續安全地由地端的 FortiAuthenticator 處理。FortiGate 會獨立處理這兩個流量來源的路由與原則實施，確保訪客 VLAN 與企業 VLAN 之間達到零交叉。此架構亦符合 PCI DSS 對於網路分段的要求，因為訪客流量在實體與邏輯上皆與任何支付處理架構完全隔離。

實作指南

部署 FortiAP 與 Purple 的整合方案，需要對 Purple 管理平台與 Fortinet 架構進行協調一致的設定。以下步驟說明了使用 FortiCloud AP 管理進行成功部署的關鍵路徑。

步驟 1：網路與 RADIUS 設定

首先在 FortiCloud 儀表板中定義網路。導覽至 Configure > My RADIUS Server，並使用 Purple 管理平台中提供的憑證資訊，定義驗證伺服器（連接埠 1812）與計費伺服器（連接埠 1813）。這兩台伺服器皆必須設定——計費功能並非選用。Purple 需依賴 RADIUS 計費資料，才能將工作階段持續時間、頻寬消耗及訪客頻率指標填入 WiFi Analytics 儀表板中。請將計費過渡期間隔（Accounting Interim Interval）設為 120 秒，以實現即時的可視性。

步驟 2：SSID 與 Captive Portal 定義

建立一個專用於訪客存取的全新 SSID。將驗證方法設為「Open」並啟用 Captive Portal 功能，然後選擇外部或自訂 Portal 選項。您必須輸入 Purple 管理平台設定畫面上提供的專屬存取 URL（Access URL）與重新導向 URL（Redirect URL）。

圍牆花園（Walled Garden）設定是整個部署過程中最關鍵的步驟。您必須輸入 Purple 要求的完整網域清單，以確保社群登入提供商（Facebook、Google、X）以及必要的 Portal 資源能在驗證前正確載入。若未能精確設定圍牆花園，將會導致驗證流程中斷，因為用戶端裝置將無法存取必要的外部資源。此外，請確保在驗證前原則中已明確允許 DNS 流量（UDP 連接埠 53）。

步驟 3：IP 分配 — NAT 模式對比橋接模式

定義 SSID 時，您必須選擇使用 NAT 模式或橋接模式來進行 IP 分配。

在 NAT 模式下，FortiGate 會從專用的內部子網路向訪客裝置提供 DHCP 位址，並在流量離開防火牆時轉換這些位址。這適用於較簡單的部署或較小的 零售 分店環境，此時由 FortiGate 管理整個訪客子網路。

在橋接模式下，FortiAP 會直接將訪客流量橋接到特定的 VLAN，並由外部 DHCP 伺服器分配 IP 位址。強烈建議在 旅宿餐飲 場所或 交通運輸 樞紐等高密度環境中使用橋接模式，因為它為 IP 位址管理提供了更大的彈性，能防止 FortiGate 上的 DHCP 瓶頸，並允許 Purple 平台查看真實的用戶端 IP 位址，以進行更精細的分析與排錯。

步驟 4：驗證後防火牆策略

驗證完成後，FortiGate 必須將專用的驗證後防火牆策略套用到訪客 VLAN。此策略應引用 FortiGuard 網頁過濾 (Web Filtering) 與應用程式控制 (Application Control) 設定檔，以實施內容限制並阻擋點對點流量。套用流量整形 (Traffic Shaper) 設定檔以實施頻寬限制，防止單一訪客佔滿場地的上行鏈路。確保策略明確阻擋所有 RFC 1918 私有 IP 位址空間目的地，以防止訪客探測內部網路資源。

最佳實踐

在規劃此整合架構時，請遵守以下業界標準建議，以確保穩定性、安全性與合規性。

強制進行 VLAN 隔離：切勿將訪客 WiFi 與企業資產或 POS 系統部署在同一個 VLAN 上。必須在交換器連接埠層級強制執行嚴格的 VLAN 標記，以維持 PCI DSS 合規性。FortiGate 應將嚴格的防火牆策略套用到訪客 VLAN，阻擋所有 RFC 1918 私有 IP 位址空間目的地，以防止橫向移動。

最佳化工作階段計時器：適當設定 DHCP 租約時間與 RADIUS 計帳暫時時間間隔 (accounting interim intervals)。3600 秒的 DHCP 租約時間搭配 120 秒的計帳暫時時間間隔，能在 IP 位址保留與 Purple 儀表板內精確的即時分析報告之間，取得最佳的平衡。在認證後善用 Fortinet UTM 功能：此整合的主要優勢在於，能夠在認證後對訪客流量套用 Fortinet 的進階安全功能。設定認證後的防火牆原則，以利用 FortiGuard 網頁過濾 (Web Filtering) 和應用程式控制 (Application Control)。這能降低訪客利用場地頻寬進行惡意活動、使用 BT 下載或存取不當內容的風險，進而保護場地的公開 IP 聲譽與網際網路服務合約。

使用公開憑證：請確保 FortiGate 在重定向介面上呈現有效且受公開信任的 SSL/TLS 憑證。自簽憑證會在現代的 iOS 和 Android 裝置上觸發安全警告，進而顯著提高訪客在 Captive Portal 的流失率。

疑難排解與風險緩釋

即使經過精密設定，部署過程中仍可能遇到阻礙。了解常見的故障模式可顯著加速問題的解決。

Captive Portal 無法載入：若訪客已連線但未出現 Splash 頁面，最常見的原因是圍牆花園 (Walled Garden) 設定不完整。請驗證預先認證原則中，是否已明確允許 Purple 以及任何已設定的社群登入提供者所需的所有網域。確保未驗證的用戶端能正常進行 DNS 解析；若用戶端無法解析 Purple 的入口網站 URL，重定向將會完全失敗。

RADIUS 逾時：若入口網站成功載入但持續驗證失敗，請調查 RADIUS 傳輸路徑。驗證 FortiGate 的外部 IP 地址是否已正確註冊於 Purple 入口網站的路由器設定中。確保共用金鑰完全一致（單一字元不符即會導致無聲的驗證失敗），且中間沒有任何防火牆阻擋 Fortinet 基礎架構與 Purple 雲端 RADIUS 伺服器之間的 UDP 連接埠 1812 和 1813。

憑證錯誤：現代行動作業系統在 Captive Portal 攔截期間，對 SSL/TLS 憑證異常極為敏感。請確保 FortiGate 為重定向介面呈現有效且受公開信任的憑證，而非預設的自簽憑證。這能避免產生令人驚恐的安全警告，防止訪客因此放棄完成認證流程。

工作階段帳務數據缺失：若 Purple 分析儀表板顯示工作階段資料不完整或缺少頻寬指標，請驗證 RADIUS 帳務伺服器（連接埠 1813）是否已正確設定，且已設定帳務過渡期間 (Accounting Interim Interval)。帳務資料是與認證分開傳送的，需要其專屬的伺服器定義。

投資報酬率 (ROI) 與商業影響

Fortinet 與 Purple 的整合將標準的成本中心 —— 顧客 Wi-Fi —— 轉化為可衡量的企業資產。透過使用 Purple 的 Captive Portal，場域能獲取經驗證的人口統計數據與聯絡資訊，進而實現精準的行銷活動、會員計畫成長以及訪後重新互動。對於在 零售 或 餐飲旅宿 領域營運的場域而言，隨著第三方 Cookie 的淘汰限制了傳統數位行銷管道，此第一方數據顯得日益珍貴。

對於 IT 營運而言，將顧客驗證轉移至 Purple 的雲端 RADIUS，能大幅減少管理本地使用者資料庫、列印實體折價券或維護地端 RADIUS 基礎設施所帶來的管理負擔。Purple 的無縫引導與 Fortinet 強大的流量檢測相結合，確保場域在提供高效能、安全的網路體驗之餘，還能透過 WiFi Analytics 同步產生具實作價值的商業智慧。此架構具備高度可擴充性，支援從單一精品飯店到分散式企業園區等各種規模，透過行銷賦能與營運效率雙管齊下，提供持續的投資報酬率。