Cisco WLC and Catalyst Integration with Purple WiFi: Step-by-Step Guest Access Guide

歡迎觀看 Purple 技術簡報系列。今天我們將探討幾乎每位在餐旅、零售或大型場館工作的企業網路架構師都會面臨的任務：將 Cisco Wireless LAN Controllers 和 Catalyst 無線基礎架構與 Purple 的 Guest WiFi 平台進行整合。如果您正在運作 Cisco Catalyst 9800 系列控制器或舊版 AireOS 平台，並且需要提供一個合規、進行區段劃分且由分析驅動的訪客網路，那麼本簡報正是為您準備的。 [medium pause] 首先讓我們來看看背景資訊。Purple 在全球 80,000 多個營運中的場館中運作，而 Cisco 是企業環境中佔主導地位的無線基礎架構供應商。讓這兩個平台流暢地協同工作並不複雜，但確實需要您在前期做出正確的架構決策。如果決策錯誤，您將花費數週時間來排查重定向迴圈、VLAN 不匹配和 RADIUS 逾時等問題。如果決策正確，您將擁有一個能自動區隔訪客、員工和 IoT 裝置、合規地收集第一方數據，並可在數百個站點之間橫向擴充而無需手動干預的網路。 [medium pause] 現在讓我們深入探討架構。 [short pause] 在 Cisco 部署中，當訪客連接到您的 WiFi 網路時，在他們存取網際網路之前需要完成三件事。首先，Cisco Catalyst 9800 WLC 需要攔截該初始 HTTP 請求，並將用戶端重定向到 Purple 的 Captive Portal。其次，Purple 的入口網站需要對使用者進行身分驗證，無論是透過社群媒體登入、電子郵件、簡訊，還是簡單的條款與條件接受。第三，Purple 的 RADIUS 伺服器需要向 WLC 回傳訊號，確認使用者已獲得授權，並可選擇將其分配給特定的 VLAN。 [medium pause] 處理第一步的機制稱為外部網頁驗證（External Web Authentication），簡稱 EWA。在 Catalyst 9800 上，您需要設定一個指向 Purple 的 Splash Page URL 的網頁驗證參數對照表（parameter map）。WLC 會攔截來自未驗證用戶端的所有 HTTP 流量，並向該 URL 發出 302 重定向。您還需要設定驗證前 ACL，或使用 9800 的 URL 篩選功能，將 Purple 的入口網站 IP 位址加入白名單，以便用戶端在通過驗證前能夠實際存取 Splash Page。Purple 為其入口網站提供兩個 IP 位址，您需要在驗證前 ACL 中允許這兩個位址。 [medium pause] 以下是 Catalyst 9800 的設定步驟。首先，建立參數對照表。然後設定您的 URL 篩選，以允許在驗證前存取 Purple 的網域。將其套用到您的 WLAN 原則設定檔，將 Layer 2 安全性設定為「無」，在 Layer 3 上啟用 Web Policy，並將其指向您的參數對照表。 [medium pause] 現在，談談 RADIUS。在此架構中，Purple 充當 RADIUS 伺服器的角色。您需要設定 WLC，將其指向 Purple 的 RADIUS 端點（您可以在 Purple 管理後台中，您場域的網路設定下找到此端點）。共享密鑰是依每個場域個別產生的。在 Catalyst 9800 上，導覽至「Configuration」、「Security」、「AAA」、「Servers」，然後新增 Purple 的 RADIUS 伺服器，並輸入正確的 IP 和共享密鑰。接著建立一個伺服器群組與一個認證方法清單，並將其套用至您的 WLAN。[medium pause] 有一個大家常忽略的地方：在 9800 上，您還必須在全球網頁認證參數對應（global web auth parameter map）中設定虛擬 IP 位址。請使用 192.0.2.1 作為虛擬 IPv4 位址。如果您跳過此步驟，用戶端有時會被重新導向到內部入口網站，而非 Purple 的入口網站，您可能會花上一個令人沮喪的下午來苦思原因。[medium pause] 接下來，我們看看使用 802.1X 的員工 WiFi。[short pause] 對於員工網路，您會希望使用基於憑證的 EAP-TLS 認證，或在無法部署憑證的環境中，至少使用帶有 MSCHAPv2 的 PEAP。在 Catalyst 9800 上，為員工建立一個獨立的 WLAN，將 Layer 2 安全性設定為 WPA2 Enterprise，並將認證指向您的 RADIUS 伺服器。如果您使用 Microsoft Entra ID 或 Okta 作為身分識別提供者，Purple 的 SecurePass 附加功能可作為 RADIUS 代理，將 802.1X 認證請求轉換為身分識別提供者查詢。這意味著您不需要為了員工認證而設置獨立的本地端 RADIUS 伺服器。Purple 會處理 EAP 終端，並將身分核對轉發給您的身分識別提供者。[medium pause] 特別是針對 EAP-TLS，您需要透過 Microsoft Intune、Jamf 或類似的 MDM 平台，將用戶端憑證部署到員工裝置。憑證鏈必須受到 Purple 的 RADIUS 伺服器信任，這代表您需要將您的根憑證授權單位（root CA）憑證上傳到 Purple 管理後台。完成此設定後，員工裝置即可進行無感認證 - 無需密碼提示，無需歡迎頁面。使用者一連線，憑證通過驗證，即可在幾秒鐘內進入員工 VLAN。[medium pause] 現在，來談談大多數架構師真正感興趣的部分：Cisco Identity PSK，即 iPSK。[short pause] iPSK 解決了多租戶環境中經常出現的特定問題。想像一間有 300 間客房的飯店、一個擁有 50 家店面的零售商場，或是一個有 200 套公寓的租賃型住宅開發項目。您希望使用單一 SSID，但又需要讓每個租戶、每個房間或每個裝置群組隔離在各自的 VLAN 上。傳統的做法是為每個租戶建立一個獨立的 SSID，這不僅無法擴充，還會造成無線射頻擁塞。iPSK 則為您提供單一 SSID，其中每個用戶端或用戶端群組都擁有一個專屬的預共用金鑰，而 RADIUS 伺服器會將該金鑰對應到特定的 VLAN。[medium pause] 以下是其技術運作原理。當用戶端與 SSID 關聯時，Catalyst 9800 WLC 會向 Purple 的 RADIUS 伺服器傳送 RADIUS Access-Request，其中包含用戶端的 MAC 位址。Purple 的 RADIUS 伺服器會在其 iPSK 資料庫中查詢該 MAC 位址，找到關聯的 PSK 和 VLAN 分配，並傳回一個包含含有 PSK 的 Cisco AV-pair 以及用於 VLAN 分配的 IETF 隧道屬性的 RADIUS Access-Accept。WLC 使用傳回的 PSK 來完成 WPA2 四向握手，然後將用戶端放入分配的 VLAN 中。[medium pause] 動態 VLAN 分配所需的三個 RADIUS 屬性為：IETF 屬性 64（Tunnel-Type），設定為 VLAN 且值為 13；IETF 屬性 65（Tunnel-Medium-Type），設定為 802 且值為 6；以及 IETF 屬性 81（Tunnel-Private-Group-ID），設定為字串格式的 VLAN ID。這三個屬性在 RADIUS Access-Accept 中一同傳送，可確切告知 WLC 要分配哪一個 VLAN。該 VLAN 必須已作為動態介面存在於 WLC 上，且上行交換器連接埠必須設定為承載所有相關 VLAN 的 Trunk。[medium pause] 在 WLC 端，請在 iPSK WLAN 上啟用 MAC 過濾、啟用 AAA Override，並將 Layer 2 安全性設定為 WPA2-PSK。您在 WLAN 上設定的全域 PSK 僅作為備用方案。對於在 Purple 的 iPSK 資料庫中註冊了 MAC 位址的任何用戶端，RADIUS 傳回的 PSK 具有優先權。對於未註冊的裝置，您可以根據您的原則拒絕存取或遞補至全域 PSK。[medium pause] 讓我提供兩個實際情境，讓這項說明更具體。[short pause] 第一個情境：擁有 200 間客房的飯店。飯店希望將房客分配在僅能存取網際網路的 VLAN 10，將員工分配在可存取物業管理系統的 VLAN 20，並將 IoT 裝置（門鎖、溫控器、監視器）分配在無法存取網際網路的 VLAN 30。他們運作的是 Cisco Catalyst 9800 控制器搭配 Cisco 9100 系列無線基地台。[medium pause] 架構：WLC 上有三個原則設定檔，每個 VLAN 一個。單一 SSID 供房客使用指向 Purple 的外部網頁驗證（External Web Authentication）。另一個獨立的 SSID 供員工使用 WPA2 Enterprise 搭配 EAP-TLS，並透過 Purple SecurePass 對 Microsoft Entra ID 進行驗證。而 IoT 裝置則使用 iPSK，每台裝置的 MAC 位址都會註冊在 Purple 的入口網站中並分配至 VLAN 30。飯店的物業管理系統透過 Purple 的 API 佈署新的 IoT 裝置，因此當安裝新的門鎖時，其 MAC 位址會自動註冊並分配至正確的 VLAN。無需手動進行 RADIUS 設定。[medium pause] 第二個情境：擁有 80 家分店的連鎖零售商。每家分店都有房客 WiFi 網路、員工網路以及付款終端機網路。PCI DSS 合規性要求付款終端機網路必須與房客網路完全隔離。該零售商在每個據點使用 Cisco Catalyst 9800-L 控制器，並透過 Cisco Catalyst Centre 進行集中管理。[medium pause] Purple 以雲端覆蓋層（cloud overlay）方式部署。每家分店的 WLC 均設定了 Purple 的 RADIUS 伺服器詳細資訊。訪客驗證使用具備電子郵件收集功能之品牌宣傳頁面，將第一方數據導入 Purple 的分析平台。員工驗證則透過 Purple SecurePass 對 Active Directory 進行 PEAP。付款終端機使用具備專用 VLAN 的 iPSK，且驗證前 ACL 明確封鎖付款 VLAN 與訪客 VLAN 之間的所有流量，符合 PCI DSS 關於網路分段的要求 1.3。[medium pause] 現在我們來談談常見的陷阱。[short pause] 最常見的失敗模式是重新導向迴圈。當驗證前 ACL 未正確將 Purple 的入口網站 IP 位址加入白名單時，就會發生這種情況，導致 WLC 將用戶端重新導向到 Purple 的入口網站，但用戶端卻因為 ACL 封鎖而無法連接入口網站，於是 WLC 再次進行重新導向，無限循環。解決方法：驗證您的 URL 篩選器或驗證前 ACL 是否同時包含 Purple 的兩個入口網站 IP 位址，並確認在驗證前已允許 DNS 解析。[medium pause] 第二個常見問題是 VLAN 不相符。RADIUS 伺服器傳回了一個在 WLC 上不存在作為動態介面的 VLAN ID。WLC 隨後會將用戶端置於原生 VLAN，這通常是管理 VLAN。這會帶來安全性風險。解決方法：在部署之前，請根據 Purple 的 RADIUS 原則中設定的 VLAN ID 稽核您的 WLC 動態介面。它們必須完全一致。[medium pause] 第三個陷阱：EAP-TLS 部署中的憑證信任失敗。如果用戶端的憑證鏈不被 Purple 的 RADIUS 伺服器信任，從使用者的角度來看，驗證會無聲無息地失敗。他們就是無法連線。解決方法：在部署用戶端憑證之前，先將您的根 CA 及任何中繼 CA 憑證上傳至 Purple 的 SecurePass 設定中。在推廣到整批設備之前，先用單一裝置進行測試。[medium pause] 快速問答。[short pause] 我可以在 Cisco Meraki 上使用 Purple 代替 WLC 嗎？可以。Cisco Meraki 有其專屬的 Captive Portal 整合機制，且 Purple 原生支援。RADIUS 設定類似，但使用的是 Meraki 的儀表板，而非 WLC 命令列。[short pause] Purple 在 Cisco 上支援 WPA3 嗎？支援。搭載 IOS-XE 17.3 及更高版本的 Cisco Catalyst 9800 支援 WPA3-SAE。Purple 的 RADIUS 整合在 WPA3 上的運作方式完全相同。[short pause] 建議的 RADIUS 逾時時間是多少？將您的主要 RADIUS 伺服器逾時時間設定為三秒，並重試兩次。設定次要 RADIUS 伺服器以進行容錯移轉。Purple 為企業客戶提供備份 RADIUS 端點。[short pause] 我可以在使用 Purple 的同時使用 Cisco ISE 嗎？可以。部分企業組織在將 Purple 用於訪客入口網站和分析的同時，使用 ISE 進行狀態評估和裝置描述檔分析。這兩台 RADIUS 伺服器設定在不同的 WLAN 上。[medium pause] 總結一下。[short pause] Cisco WLC 與 Catalyst 無線基礎架構使用 External Web Authentication 進行訪客 Captive Portal 重新導向、透過 Purple SecurePass 進行員工認證的 802.1X EAP-TLS 或 PEAP，以及搭配動態 VLAN 分配的 Cisco iPSK 用於多租戶與 IoT 分群，與 Purple 完美整合。這三個 RADIUS VLAN 屬性：Tunnel-Type、Tunnel-Medium-Type 和 Tunnel-Private-Group-ID，是驅動動態分群的機制。在整批部署之前，請確保預先認證 ACL 設定正確、比對 RADIUS 與 WLC 之間的 VLAN ID，並測試憑證信任鏈。[medium pause] Purple 在全球超過 80,000 個場所運作，並在 2024 年處理了 4.4 億次登入。Cisco 整合是我們在全球部署最廣泛的設定之一。如果您想開始使用，Purple 儀表板將引導您完成每個場所的 RADIUS 設定，且我們的整合團隊可為企業部署提供協助。[medium pause] 以上為本次簡報內容，感謝您的收聽。