Grandstream GWN 與訪客 WiFi：使用 Purple 進行 captive portal 設定

歡迎來到 Purple 技術簡報系列。我是你們的主持人，今天我們要介紹一個在旅宿業、零售業和多租戶物業中越來越常見的部署模式：將 Grandstream GWN 基地台與 Purple 的 guest WiFi 平台進行整合。 如果您是 MSP、內部 IT 團隊，或是被要求在 Grandstream GWN 部署上外掛品牌 Captive Portal 與分析功能的網路架構師，這一集非常適合您。我們將涵蓋全套架構：訪客 Splash Page 重新導向、Walled Garden 設定、使用 802.1X 的安全員工 WiFi，以及使用 Grandstream 私人預先共用金鑰功能的多租戶分割。讓我們開始吧。 --- 首先，提供一些背景資訊。Grandstream 的 GWN 系列是一個實用的中階市場基地台系列。室內部署有 GWN7600 和 GWN7630，Wi-Fi 6 環境有 GWN7660 和 GWN7664，而高密度空間則有天花板安裝選項 GWN7610。它們可以透過 GWN Manager（安裝在 Linux 或 Windows 伺服器上的地端控制器）或 GWN dot Cloud（Grandstream 的雲端代管管理平台，現已改名為 GDMS Networking）進行管理。 對 MSP 來說，好消息是這兩個管理平台都原生支援 Captive Portal 設定。您可以完全在 GWN Manager 或 GWN dot Cloud 中建立 Portal 策略、自訂 Splash Page 並將其與 SSID 建立關聯。但對於需要符合 GDPR 規範的數據收集、行銷自動化和即時分析的企業級部署，您會希望用外部平台來取代該原生 Portal。這就是 Purple 發揮作用的地方。 Purple 以雲端覆蓋網路（Overlay）的形式運作。它位於您的硬體之上，提供 Captive Portal、RADIUS 認證層、分析引擎和行銷工具。Purple 支援 80,000 個實體場域，僅在 2024 年就處理了 4.4 億次登入，因此該平台在大規模應用中已得到充分驗證。與 Grandstream GWN 的整合遵循 Purple 在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi 中所使用的相同標準化方法。 --- 讓我們進入技術架構。在 Grandstream GWN 上搭配 Purple 的 guest WiFi 流程如下。 訪客連線到您的訪客 SSID。其裝置向任何網站傳送 HTTP 請求。GWN 基地台攔截該請求並向 Purple Portal URL 發出 HTTP 302 重新導向。訪客登陸由 Purple 託管的品牌 Splash Page。他們進行認證，無論是透過電子郵件、社群登入、簡訊驗證還是自訂表單。Purple 的平台驗證該認證，依據 GDPR 記錄同意書和數據，然後將 RADIUS Access-Accept 傳送回 GWN 基地台。AP 隨即授予網路存取權限。整個流程從連線到存取網路大約需要三到五秒。現在，Grandstream 端的主要設定元件包括：Captive Portal 策略、Splash 頁面設定、Walled Garden，以及 SSID 關聯。讓我為您逐一說明。 --- 步驟一：在 GWN Manager 或 GWN.Cloud 中設定 Captive Portal 策略。 導覽至 Captive Portal，然後選擇 Policy List，並建立一個新策略。給它一個描述性的名稱，例如 "Purple-Guest-Portal"。將 Authentication Type 設定為 RADIUS Server。接著您會看到 RADIUS Server Address、RADIUS Server Port 與 RADIUS Server Secret 的欄位。輸入 Purple 的 RADIUS 伺服器 IP 位址，以及用於驗證的連接埠 1812。您的共用金鑰（Shared Secret）可從 Purple Portal 管理主控台的場地硬體設定區域取得。將 RADIUS Authentication Method 設定為 PAP，這是 Purple 的 Captive Portal 流程所使用的驗證方式。 在 Landing Page 下，將其設定為 Redirect to External Page，並輸入您的 Purple Portal 重新導向 URL。這是訪客首次連線時會被引導至的 URL。同樣地，這可以從您的 Purple 管理主控台取得。 設定 Expiration 時間以符合您場地的工作階段策略。對於飯店，通常設定為 24 小時。對於會議場地，您可能會將其設定為活動期間。對於零售環境，兩到四個小時是常見的設定。 啟用 Failsafe Mode（安全失敗模式）。這非常重要。如果 GWN 存取點無法連線至 Purple 的 RADIUS 伺服器，安全失敗模式仍會授予網際網路存取權限，而不是阻擋所有訪客。對於大多數旅宿與零售部署，短暫的 RADIUS 斷線不應導致所有訪客失去連線。 --- 步驟二：設定 Walled Garden。 Walled Garden 是訪客在透過 Portal 進行驗證之前可以存取的網域和 IP 位址清單。如果您設定錯誤，訪客將會看到空白頁面或損壞的 Portal，然後他們會歸咎於 WiFi 問題。 在 GWN Manager 中，Walled Garden 是在 Captive Portal 策略下設定為 Pre-Authentication Rules（預先驗證規則）。新增以下網域作為允許規則：Purple Portal 網域，即 portal.purple.ai；Purple 的 Splash 頁面載入資源所需的任何 CDN 網域，包括使用萬用字元項目的 cloudfront.net；Apple 的 Captive Portal 偵測端點 captive.apple.com；以及 Google 的連線性檢查端點 connectivitycheck.gstatic.com。 Purple 的支援入口網站（support.purple.ai）提供了一個動態的 Walled Garden 產生器。從硬體清單中選擇 Grandstream，選擇您的驗證方式，它就會產生您確切需要的網域清單。請使用該清單，不要嘗試手動從頭建立。 您需要做出的一個決定是：是否將 captive dot apple dot com 納入圍牆花園（Walled Garden）？如果您將其納入，iOS 裝置將不會自動顯示 Captive Network Assistant 迷你瀏覽器。訪客將需要手動開啟瀏覽器才能到達該分頁入口。如果您將其排除，當裝置連接時，iOS 會自動啟動迷你瀏覽器。對於大多數旅宿業部署，您會希望顯示迷你瀏覽器，因此請將 captive dot apple dot com 排除在圍牆花園之外。 - - - 步驟三：設定 SSID。 在 GWN Manager 中，導覽至 SSID 並編輯您的訪客 SSID。啟用 Captive Portal 並選取您剛剛建立的策略。將 SSID 設定為 WPA2-Personal 並搭配簡單的公開密碼，或者如果您的場所偏好該方式，也可以將其設定為開放式 SSID。此流程中的安全性來自入口網站驗證，而非 WiFi 密碼。 啟用用戶端隔離（Client Isolation）。這可以防止訪客在網路上看到彼此的裝置。這是一項基本的安全要求，如果您的網站在相同的基礎設施上處理刷卡付款，這也是 PCI-DSS 的考量因素。 將 SSID 指派給您的訪客 VLAN。VLAN 10 是訪客流量的常用慣例。請確保您的上游交換器和路由器已設定為透過適當的防火牆規則將該 VLAN 路由到網際網路。 - - - 現在我們來談談使用 802.1X 的員工 WiFi。 IEEE 802.1X 是基於連接埠之網路存取控制的標準。對於員工 WiFi，它將共享的金鑰替換為每個使用者專屬的憑證，並向身分識別提供者進行驗證。當員工連線時，GWN 存取點充當驗證器，其裝置是要求端（supplicant），而 Purple 的 RADIUS 伺服器則是驗證伺服器。 在 GWN Manager 中，為員工建立一個獨立的 SSID。將安全性模式設定為啟用 802.1X 的 WPA2-Enterprise。使用 Purple 的 RADIUS IP、連接埠 1812 和您的共用秘密金鑰來設定 RADIUS 伺服器設定。在連接埠 1813 上啟用 RADIUS 計費（Accounting），以便您取得誰在何時連線以及連線時間多長完整稽核追蹤。此稽核追蹤是您符合 GDPR 法規規範以及因應任何安全性事件所需的必備要素。 對於 EAP 方法，您有兩個主要選擇。EAP-TLS 在伺服器和用戶端裝置上皆使用數位憑證。這是最安全的選擇，但它需要行動裝置管理（MDM）平台將憑證發送到員工裝置。如果您擁有 Microsoft Intune 或 Jamf，EAP-TLS 就是正確的選擇。 PEAP，即受保護的 EAP（Protected EAP），在加密的 TLS 通道中使用使用者名稱和密碼。這更容易部署，特別是對於 BYOD 環境，但您必須確保員工接受過訓練，不接受憑證警告。如果使用者直接點選忽略憑證錯誤，惡意存取點就可能竊取 PEAP 憑證。 在 SSID 設定中啟用動態 VLAN 分配。啟用此功能後，RADIUS 伺服器可以在 Access-Accept 封包中傳回 VLAN ID，且 GWN AP 會將連線的裝置分配至該 VLAN。這意味著您可以只設定一個單一的員工 SSID，並根據使用者在 Purple 的目錄中的身分，自動將 IT 員工細分到 VLAN 20、管理人員細分到 VLAN 21，以及將 POS 裝置細分到 VLAN 40。 用於動態 VLAN 的 RADIUS 屬性為：Tunnel-Type 設定為 VLAN（屬性值為 13）；Tunnel-Medium-Type 設定為 IEEE-802（屬性值為 6）；以及 Tunnel-Private-Group-ID 設定為字串格式的 VLAN 編號。Access-Accept 封包中的這三個屬性就是 GWN AP 將裝置引導至正確 VLAN 所需的所有資訊。 - 現在來介紹特別適合多租戶物業的功能：Grandstream Private Pre-Shared Keys，或稱為 PPSK。 PPSK 是一種允許單一 SSID 支援多個不重複密碼的機制，每個密碼都對應到不同的 VLAN 或網路原則。以專供出租的公寓大樓、共享工作空間或商務中心為例。您希望所有人只看到一個 SSID，但每個租戶都能獲得自己的密碼，並透過該密碼連線到自己獨立的網路區段。 在 GWN Manager 中，PPSK 是在 SSID 設定下進行配置。將安全模式設定為 WPA2-Personal，然後啟用 PPSK。接著，您可以建立個別的 PSK 條目，每個條目都有一個不重複的密碼和相關聯的 VLAN ID。當裝置使用租戶 A 的密碼連線時，AP 會將其分配到 VLAN 31。當裝置使用租戶 B 的密碼時，則會進入 VLAN 32。租戶共享相同的 SSID，但在網路層完全彼此隔離。 對於更大規模的部署，Grandstream 也支援結合 RADIUS 後端的 PPSK。在此模式下，AP 會將 PSK 作為 RADIUS 屬性傳送至驗證伺服器，驗證伺服器會對其進行驗證並傳回適當的 VLAN 分配。這正是 Purple 的 Identity-Based Networks（基於身分的網路）功能直接整合之處。Purple 可以管理 PPSK 資料庫、對照其目錄驗證金鑰並傳回動態 VLAN 分配，讓您能從單一平台集中管理數百個租戶的憑證。 用於 PPSK 驗證的 RADIUS 屬性通常是 Tunnel-Password 屬性，或取決於韌體版本而定的特定廠商屬性。請查看 Grandstream 適用於您特定韌體的版本說明，因為屬性對應已隨著 GWN Manager 的版本更新而有所演進。 - 讓我來說明在配備外部入口網站的 Grandstream 部署中，我最常遇到的兩種故障模式。 第一個是未觸發重新導向。訪客連線到 SSID，開啟瀏覽器，卻收到「無法連線至此網站」的錯誤，而不是出現門戶頁面。最可能的起因是 walled garden（圍牆花園）設定錯誤。門戶頁面本身在進行驗證前就被阻擋了。請在連線到訪客 SSID 的測試裝置上開啟瀏覽器開發者工具，查看網路分頁，並找出哪些請求失敗。將這些網域新增到您的預先驗證規則中。 第二個故障模式是 RADIUS 逾時。AP 向 Purple 的 RADIUS 伺服器傳送 Access-Request，但沒有收到回應。這通常意味著防火牆阻擋了從 AP 的管理 VLAN 到 Purple 的 RADIUS IP 範圍的外傳 UDP 連接埠 1812。請檢查您的防火牆規則。Purple 的 RADIUS IP 位址已記錄在 Purple 管理主控台的場地設定中。請確保主要和次要 RADIUS IP 皆已允許通行的權限。 第三個值得提及的情況：動態 VLAN 無法運作。員工連線後進入了錯誤的 VLAN。最常見的原因是在 GWN Manager 的 SSID 設定中未勾選「啟用動態 VLAN」。這是一個很容易被遺漏的單一核取方塊。第二個原因是共用金鑰不符。如果 AP 上的共用金鑰與 Purple 中設定的金鑰不相符，AP 會在不提示的情況下捨棄 RADIUS 回應，並退回到預設的 VLAN。 - 讓我提供兩個實際案例，讓這項說明更具體。 案例一：一家擁有 120 間客房的飯店。該飯店執行透過 GWN dot Cloud 管理的 GWN7660 存取點。他們需要一個供訪客使用的品牌專屬訪客門戶、一個供櫃檯和房務部使用的安全員工網路，以及一個供物業管理系統使用的獨立管理 VLAN。 此設定使用三個 SSID：VLAN 10 上搭配 Purple Captive Portal 原則的 Guest WiFi；VLAN 20 上使用 WPA2-Enterprise 和 PEAP 驗證與 Purple RADIUS 對接的 Staff WiFi；以及 VLAN 30 上供 PMS 終端機使用的隱藏 Management SSID。在員工 SSID 上啟用動態 VLAN 分配，意味著房務裝置會進入受限制網際網路存取的 VLAN 21，而櫃檯裝置則進入具有完整存取權限的 VLAN 20。Purple 的分析儀表板向飯店營運商展示每日訪客統計、工作階段持續時間以及行銷訂閱率，為行銷團隊提供執行精準行銷活動所需的數據。 情境二：擁有 40 個單元的租賃專用公寓大樓。營運商在本地運行 GWN7630 基地台並搭配 GWN Manager。每戶公寓都需要各自獨立的網路。營運商使用搭配 RADIUS 後端的 PPSK。Purple 管理 40 個獨特的住戶憑證，每個憑證都對應到專屬的 VLAN。住戶使用其單元的密碼連線到單一的 "BuildingConnect" SSID。Purple 的入口網站處理初始的引導流程、收集住戶同意書，並為營運商提供入住率分析與互動數據。當住戶搬出時，營運商只需在 Purple 的管理主控台中撤銷其 PPSK 憑證，存取權限便會立即終止。無需變更 SSID 密碼或重新設定基地台。 - - - 快速問答。關於 Grandstream 部署，我經常被問到的三個問題。 問題一：我可以使用 GWN dot Cloud 代替 GWN Manager 來進行 Purple 整合嗎？可以。GWN dot Cloud 中的 Captive Portal 設定在功能上與 GWN Manager 完全相同。功能選單路徑一致。RADIUS 與 Walled Garden 設定也位於相同的位置。對於管理多個案場的 MSP 而言，GWN dot Cloud 是更好的選擇，因為您可以在所有部署中獲得單一整合介面。 問題二：Purple 是否支援 Grandstream 原生的分析以及其自身的分析？Purple 會將原生的 Captive Portal 分析取代為其自身更詳細的數據集。您將獲得工作階段次數、停留時間、同意率、來自表單欄位的客群統計數據，以及與行銷平台的整合。GWN Manager 或 GWN dot Cloud 中仍可與 Purple 的入口網站分析並行，提供用於 RF 效能、基地台健康狀況和用戶端數量的原生 GWN 分析。 問題三：若要搭配 RADIUS 使用 PPSK，我的 GWN 基地台需要什麼韌體版本？搭配 RADIUS 後端的 PPSK 需要 GWN76xx 系列的 GWN 韌體 1.0.19 或更高版本。在部署前請先檢查 Grandstream 的版本說明。在 PPSK 部署中，執行過期的韌體是導致非預期運作行為最常見的單一原因。 - - - 總結。只要遵循正確的步驟，將 Grandstream GWN 基地台與 Purple 進行整合是一項簡單直接的部署。首先在 Captive Portal 策略中設定您的 RADIUS 伺服器設定。使用 Purple 的網域產生器工具建立您的 Walled Garden。將該策略與您的訪客 SSID 關聯，並啟用用戶端隔離。對於員工 WiFi，請啟用搭配動態 VLAN 分配的 WPA2-Enterprise。對於多租戶物業，請使用搭配 RADIUS 後端的 PPSK，並透過 Purple 集中管理憑證。 必須做對的五件事：使用 UDP 1812 上的 RADIUS 並搭配相符的共用金鑰；涵蓋所有入口網站資源網域的 Walled Garden；在訪客 SSID 上啟用用戶端隔離；在 SSID 設定中啟用動態 VLAN；以及 1.0.19 或更高版本的 PPSK 韌體。 只要做對這五點，您就擁有了一個穩健、具擴充性的部署，可以為您的場地服務多年。Purple 的上線服務團隊可以在正式啟用前驗證您的設定，且平台 99.999% 的上線時間意味著您不用在凌晨兩點向飯店訪客解釋門戶網站中斷的原因。 感謝您的收聽。如需更多關於企業級 WiFi 整合的技術指南，請造訪 purple dot ai。在下一集中，我們將介紹使用 Microsoft Entra ID 與 Purple 的 SecurePass 功能進行動態 VLAN 分配。我們下期再見。