Alcatel-Lucent Enterprise (ALE) OmniAccess 與 Purple WiFi 整合

執行摘要

Alcatel-Lucent Enterprise (ALE) OmniAccess Stellar 基地台與 Purple 的整合，是透過標準 RADIUS 協定及外部 Captive Portal 重新導向來完成。不需要任何專有的中介軟體。Purple 做為雲端覆蓋層運作，直接建置在您現有的 ALE 基礎架構之上，處理驗證、數據擷取以及工作階段原則，而不需要變更硬體。

本指南涵蓋三種佈署情境。第一，具備外部 Captive Portal 重新導向與 Walled Garden 設定的訪客 WiFi。第二，使用 802.1X（搭配 PEAP 或 EAP-TLS）的安全員工 WiFi。第三，使用個人預先共用金鑰 (PPSK) 與透過 RADIUS 屬性 64、65 和 81 進行動態 VLAN 導向的多租戶 WiFi。

Purple 為超過 80,000 個實體場域提供服務，並在 2024 年處理了超過 4.4 億次登入（Purple 內部數據，2024 年）。它擁有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 等認證。該平台維持 99.999% 的正常運作時間，使其成為企業佈署中可靠的驗證後端。

如果您是在餐旅、零售、活動或公共部門環境中佈署 ALE OmniAccess 硬體的 IT 經理或網路架構師，本指南將為您提供從硬體到完全運作的「身分識別導向網路」的確切設定步驟。

技術架構與整合流程

Purple 與 ALE OmniAccess Stellar 的整合依賴兩種標準協定：用於驗證和帳務的 RADIUS，以及用於提供 Captive Portal 的 HTTP/HTTPS 重新導向。ALE AP 扮演網路存取伺服器 (NAS) 的角色，將驗證請求轉發至 Purple 雲端 RADIUS 伺服器，並執行 Access-Accept 回應中傳回的原則。

圖 1：訪客裝置、ALE OmniAccess Stellar AP 與 Purple 雲端 RADIUS 之間的驗證流程。

流程運作如下。訪客連線至開放的訪客 WiFi SSID。ALE AP 從預先驗證的 DHCP 位址池中分配一個暫時的 IP 位址，並攔截訪客的第一個 HTTP 或 HTTPS 請求。AP 將瀏覽器重新導向至 Purple Captive Portal URL，並將用戶端的 MAC 位址和 AP 的 NAS 識別碼做為 URL 參數傳遞。訪客透過 Purple 登入頁面進行驗證（使用電子郵件、社群登入或簡訊驗證）。Purple 的 RADIUS 伺服器驗證該工作階段，並向 ALE AP 傳回 Access-Accept 訊息。AP 隨即授予網際網路存取權限，並開始以設定的間隔向 Purple 發送 RADIUS 帳務更新。

對於使用 PPSK 和動態 VLAN 導向的進階部署，RADIUS Access-Accept 訊息還包含 VLAN 分配屬性。ALE AP 使用這些屬性將用戶端流量直接引入正確的 VLAN 區段，將其與同一實體基礎架構上的其他使用者隔離。

實作指南

第 1 部分：使用外部 Captive Portal 的 Guest WiFi

本節涵蓋用於外部重新導向至 Purple 的 Alcatel-Lucent Captive Portal 設定。這些步驟適用於透過 OmniVista Cirrus、OmniVista 2500 或 Stellar Express 網頁介面管理的 ALE OmniAccess Stellar AP。

步驟 1：取得 Purple RADIUS 憑證

登入您的 Purple 入口網站。導覽至 Management > Venues，選取您的場域，然後開啟 Hardware 區段。新增一個硬體項目，並選取 Alcatel-Lucent OmniAccess Stellar 作為硬體類型。Purple 會為您的場域產生一個唯一的 RADIUS 共用密鑰、驗證伺服器 IP 和 Captive Portal URL。請在繼續之前記錄這些值。

步驟 2：在 ALE AP 上設定 RADIUS 伺服器

在您的 ALE 管理介面中，導覽至驗證設定並新增一個 RADIUS 伺服器設定檔。

使用 Purple 入口網站中的備用 IP 啟用次要 RADIUS 伺服器。這可確保在主要伺服器暫時無法連線時進行容錯轉移。

步驟 3：設定 Walled Garden

Walled Garden 定義了裝置在完成驗證之前可以存取的網域。在預先驗證存取清單中設定以下項目：

核心 Purple 網域（強制性）：

社群登入網域（依需求新增）：

遺漏任何必要的網域將導致對應的登入方法無聲失敗。設定後請測試每種登入方法。

步驟 4：設定 Guest WiFi SSID

建立一個新的 WLAN 設定檔，並進行以下設定：

步驟 5：將 SSID 指派給 AP 群組

將 WLAN 設定檔套用至 OmniVista 中相關的 AP 群組。在測試 Captive Portal 流程之前，請確認 AP 正在廣播該 SSID 且用戶端可以進行關聯。

第 2 部分：使用 802.1X 保護員工 WiFi

針對員工 WiFi，請使用 WPA2-Enterprise 或 WPA3-Enterprise 搭配 802.1X 驗證。這可以免除共用密碼，並將存取權限與 Microsoft Entra ID、Okta 或 Google Workspace 中管理的個人使用者身分綁定。

步驟 1：設定 802.1X SSID

為員工建立一個獨立的 WLAN 設定檔。將安全類型設定為 WPA2-Enterprise 或 WPA3-Enterprise，並指派 Purple RADIUS 伺服器作為驗證後端。Purple 的 RADIUS 伺服器會透過 LDAP 或 SAML 將驗證請求代理傳送至您的身分識別提供者 (IdP)。

步驟 2：選擇 EAP 方法

對於大多數部署，請使用 PEAP 搭配 MSCHAPv2。這只需要伺服器端的憑證，且適用於標準的 Windows、macOS、iOS 和 Android 請求端 (supplicants)。對於安全性要求較高的環境，請使用 EAP-TLS 搭配透過您的 PKI 發行的用戶端憑證。

步驟 3：將員工指派到專屬 VLAN

設定 Purple RADIUS 伺服器，使其在 Access-Accept 回應中傳回 Tunnel-Private-Group-ID = 您的員工 VLAN ID。這能確保員工裝置進入公司網路區段，在 Layer 2 與訪客流量隔離開來。

第 3 部分：使用 PPSK 和動態 VLAN 導向的多租戶 WiFi

PPSK (Private Pre-Shared Key)——在某些廠商的文件中也稱為 iPSK (Identity PSK)——允許單一 SSID 為多個隔離的使用者群組提供服務。每個群組都會收到一個唯一的密碼組合。RADIUS 伺服器會將每個密碼組合對應到特定的 VLAN，從而提供每個租戶的網路隔離，而不會產生多個 SSID 的 RF 開銷。

圖 2：單一 ALE OmniAccess SSID 上的 PPSK 多租戶 VLAN 分割。

步驟 1：建立 PPSK SSID

建立一個新的 WLAN 設定檔，並將驗證類型設定為 WPA2-PSK 搭配 RADIUS 支援的 PSK 驗證。在 Stellar 韌體 4.0.8.16 及以上版本（適用於 AP1301 及更高型號）中，Express Mode 支援透過 RADIUS 進行動態 VLAN 指派。對於較舊的型號或較早的韌體，請使用 OmniVista 託管模式。

步驟 2：在 Purple 中定義租戶密碼

在 Purple 入口網站中，為每個租戶建立一個 PPSK 群組。為每個租戶指派一個唯一的密碼，並將每個密碼對應到相應的 VLAN ID。Purple 會將這些對應關係儲存在其 RADIUS 資料庫中。

步驟 3：設定用於 VLAN 導向的 RADIUS 屬性

請確保 Purple RADIUS 伺服器在每個 Access-Accept 回應中返回以下 IETF 標準屬性：

這三個屬性都必須存在。如果遺漏任何一個，ALE AP 將會忽略 VLAN 分配，並將用戶端置於預設 VLAN 中。

步驟 4：驗證上行鏈路上的 VLAN 中繼 (Trunking)

請確保在 ALE AP 與分發交換器之間網路上行鏈路連接埠上標記了所有租戶 VLAN。AP 無法將流量引導至其上行鏈路中繼不允許的 VLAN。

最佳實踐

以下建議反映了企業級無線部署的標準實踐，並符合 IEEE 802.1X、PCI DSS 4.0 和 GDPR 要求。

在 Layer 2 將訪客 WiFi 與員工 WiFi 隔離。 絕不要將訪客流量與員工流量放在同一個 VLAN。使用 RADIUS 驅動的 VLAN 分配來自動執行此隔離，不論使用者連接到哪個 AP。

對所有 Captive Portal 重定向使用 HTTPS。 在 ALE AP 上安裝有效的 SSL 憑證以啟用 HTTPS 重定向。這可防止瀏覽器在 Splash Page 上顯示安全警告，從而降低流失率並符合 GDPR 對安全數據處理的要求。

將 RADIUS Accounting 間隔設定為 300 秒。 這可為 Purple 提供定期的工作階段更新，以確保數據分析的準確性。如果間隔長於 600 秒，當用戶端在沒有清除解除驗證的情況下斷開連接時，將面臨遺失工作階段數據的風險。

在正式上線前測試 Walled Garden。 將測試裝置連接到訪客 WiFi SSID，並嘗試訪問每個社群媒體登入提供商。如果登入失敗，說明 Walled Garden 中遺漏了對應的網域。

使用 PPSK 隔離 IoT 裝置。 在零售和餐旅環境中，數位看板、付款終端和環境感測器等 IoT 裝置應各自獲得對應到隔離 VLAN 的不重複 PPSK。這可防止受侵害的 IoT 裝置存取更廣泛的網路。

如需進一步閱讀企業 WiFi 安全標準和架構，請參閱我們的 企業 WiFi 安全指南 。

疑難排解與風險緩釋

下表涵蓋了 ALE OmniAccess 與 Purple 整合中最常見的故障模式。

若 RADIUS 問題持續存在，請在 ALE AP 上啟用偵錯記錄並擷取 RADIUS 交換。尋找 Access-Reject 訊息並檢查拒絕原因代碼。常見代碼包括 16 (驗證失敗) 與 18 (遺失屬性)。

ROI 與商業影響

在 ALE OmniAccess 硬體上部署 Purple，可將被動網路轉換為主動數據資產。每個通過驗證的工作階段都會產生訪客設定檔：電子郵件地址、造訪頻率、停留時間和裝置類型。此第一方數據會透過 Purple 擁有超過 400 個連接器的資料庫直接匯入您的 CRM。

Harrods 透過使用 Purple 的數據擷取來推動會員計劃註冊，使其 Guest WiFi 部署實現了 57 倍的行銷 ROI (Purple 案例研究，2023 年)。AGS Airports 藉由在旗下機場實施分級頻寬付費 WiFi，創造了 842% 的 ROI (Purple 案例研究，2022 年)。

對於 旅宿 業者而言，Captive Portal 是擷取顧客數據的首要接觸點。對於 零售 環境，它能實現顧客行為分析與精準促銷。對於 交通 樞紐，它能提供旅客流量數據與符合法規的工作階段記錄。

Purple 的 Guest WiFi 平台與 WiFi Analytics 工具為您提供衡量這些成效的報表基礎架構。從單一儀表板追蹤驗證率、工作階段持續時間、回訪客率以及選擇加入 (opt-in) 轉換率。

如需相關整合指引，請參閱 WatchGuard Firebox 整合指南 ，該指南涵蓋了在不同硬體平台上類似的 RADIUS 架構。