Alta Labs 與 Purple WiFi 整合：設定與 Captive Portal 組態

播客腳本：Alta Labs 與 Purple WiFi 整合：設定與 Captive Portal 組態 Purple WiFi 智慧平台 - 技術簡報系列 長度：約 10 分鐘 配音：英式英語，資深顧問語氣 — 自信、口語、具權威性 --- [引言 - 1 分鐘] 歡迎收聽 Purple 技術簡報系列。我是您的主持人，今天我們將深入剖析 Alta Labs 無線基地台與 Purple WiFi 智慧平台之間的整合。 如果您是 IT 經理、網路架構師或場地營運總監，正尋求部署強健且具擴充性的房客 WiFi 解決方案，那麼本次簡報正是為您量身打造。我們將涵蓋 Alta Labs AP6 和 AP6 Pro 的具體設定、如何設定外部 captive portal 重新導向，以及使社群登入在實際環境中真正運作所需的關鍵圍牆花園（walled garden）設定。我們還將深入探討 AltaPass — Alta Labs 對於私有預共用金鑰（PPSK）的實作 — 以及您如何利用它來區隔多租戶環境，而不會因為 SSID 阻礙而破壞您的射頻（RF）效能。 讓我們開始吧。 --- [技術深挖 - 5 分鐘] Alta Labs 與 Purple 之間的整合依賴於兩個基本的網路概念：用於 captive portal 的 HTTP 重新導向，以及用於驗證和計費的 RADIUS。 當房客步入您的場地 — 例如零售店或飯店大廳 — 並連線至您的開放式或 WPA3-OWE 房客網路時，Alta Labs AP 就會扮演守門人的角色。它會攔截用戶端的初始 HTTP 請求，並將其重新導向至您的專屬品牌 Purple 登入頁面（splash page）。 若要在 Alta Labs 雲端管理平台中進行此設定，請導覽至您的 WiFi 設定，選取您的房客 SSID，並在「進階設定」下，將網路類型設定為「Guest」（房客）。這至關重要，因為它會自動套用戶端隔離，防止裝置在網路上進行橫向通訊。接著，在「Hotspot」（熱點）區段下，選取「External」（外部），並填入您場地設定中提供的 Purple 重新導向 URL，以及您的授權密鑰（Authorisation Secret）。 但這正是大多數部署遇到障礙的地方：圍牆花園（walled garden）。 圍牆花園是裝置在驗證之前允許存取的網域和 IP 地址清單。如果您希望房客使用 Google、Facebook 或 Apple 登入，他們的裝置就必須在仍處於未驗證狀態時連線至這些 OAuth 伺服器。 您必須明確地將 Purple 基礎架構網域（例如 region1.purpleportal.net 和 cloudfront.net）加入白名單。接著，您需要新增作業系統的 captive portal 探測：iOS 的 captive.apple.com，以及 Android 的 connectivitycheck.gstatic.com。如果您封鎖了這些，手機就不知道它處於 captive portal 後方，登入頁面也永遠不會彈出。 最後，您要新增社群登入網域。對於 Google，那是 accounts.google.com、oauth2.googleapis.com 和 gstatic.com。對於 Facebook，則是 facebook.com、graph.facebook.com 和 fbcdn.net 網域。靜態 IP 白名單在此處無法運作，因為這些提供者使用動態內容傳遞網路（CDN）。您必須使用網域名稱，並確保您的控制器執行動態 DNS 解析。 一次使用者在 Purple 登入頁面上完成登入，Purple 的 RADIUS 伺服器就會向 Alta Labs AP 傳回 Access-Accept 訊息。接著，AP 會解除圍牆花園限制，並授予裝置完整的網際網路存取權限。這是一個乾淨、安全的流程，在擷取第一方數據的同時維持網路完整性。 現在，我們來談談多租戶區隔。 在智慧辦公室、學生宿舍或多住戶單元（MDU）等環境中，您通常需要為不同群組提供安全、隔離的網路。過去，IT 團隊會為每個租戶廣播一個獨立的 SSID。這是一個非常糟糕的做法。它會造成巨大的管理開銷，並因信標訊框（beacon frame）開銷而破壞您的無線效能。 Alta Labs 透過 AltaPass（其私有預共用金鑰版本）解決了這個問題。使用 AltaPass，您只需廣播一個單一 SSID — 我們稱之為 BuildingWiFi。但是，您會為不同的使用者或裝置產生不重複的密碼。 當租戶 A 輸入其特定密碼時，AP 會動態地將其分配至 VLAN 101，並限制 100 Mbps 的頻寬。當管理團隊在同一個 SSID 上輸入其密碼時，他們會被分配至 VLAN 200，且不限制頻寬。您甚至可以為 IoT 裝置（如智慧恆溫器）建立密碼，將其分配至隔離的 VLAN 並完全繞過 captive portal。 單一 SSID。無限密碼。完全隔離。這就是邊緣端的基於身分網路（Identity-Based Networking），對於困擾多租戶部署多年的問題，這是一個真正優雅的解決方案。 讓我給您一個在實際應用中的具體範例。想像一個擁有 72 個單元的公寓大樓 — 這是 Alta Labs 被廣泛應用的實際部署類型。網路管理員無需廣播 72 個獨立的 SSID，而是建立一個單一 SSID，並為每個單元產生一個不重複的密碼。每個密碼對應到專屬的 VLAN 和子網路。基本方案的住戶可獲得 100 Mbps。付費升級尊榮方案的住戶可獲得 300 Mbps。大樓管理團隊則獲得無限制的存取權限。大樓自動化系統 — 門鎖、空調、電梯 — 則擁有自己專屬且啟用了深層封包檢測（DPI）的隔離 VLAN。這一切都來自同一個 SSID。射頻環境更乾淨，效能更高，管理也大幅簡化。 現在，我們轉到用於安全員工 WiFi 的 802.1X 設定。 對於您的員工網路，您根本不應該使用預共用金鑰。您應該使用帶有 802.1X 驗證的 WPA2 或 WPA3 企業版（Enterprise）。在 Alta Labs 平台中，您只需選取您的員工 SSID，將安全模式設定為 WPA2-Enterprise 或 WPA3-Enterprise，並將 AP 指向您的 RADIUS 伺服器即可進行設定。 如果您正在與 Purple 的 SecurePass 產品整合，Purple 將扮演 RADIUS 中介角色，連線至您的身分識別提供者 — 無論是 Microsoft Entra ID、Okta 還是 Google Workspace — 並在 Access-Accept 訊息中傳回適當的 VLAN 分配。Alta Labs AP 會讀取 RADIUS 回應中的 Tunnel-Private-Group-Id 屬性，並自動將裝置置於正確的 VLAN 上。 關於 Alta Labs 動態 VLAN 分配的一個重要注意事項：在設定 RADIUS 分配的 VLAN 時，請將 SSID 上的預設 VLAN 設定為 VLAN 1 或保持未標記狀態。存在一個已知行為，即如果預設 VLAN 設定為特定值， AP 可能會使用設定的預設值覆寫 RADIUS 分配的 VLAN。將預設值設定為 VLAN 1 可確保 RADIUS 分配具有優先權。 --- [實作建議與常見陷阱 - 2 分鐘] 當您開始推行此方案時，我想強調幾個關鍵建議。 首先，務必使用全新的裝置測試您的 captive portal 流程。請勿使用您在測試期間已連線過網路的個人手機。您的裝置會記住 MAC 地址授權或擁有快取的 DNS 項目，這會掩蓋圍牆花園的失敗。請拿一台從未連接過該網路的平板電腦，進行連線，並驗證作業系統的 captive portal 助理是否會自動啟動。 其次，注意過度加入白名單的問題。我看到有些工程師因為社群登入錯誤而感到沮喪，於是直接將整個萬用字元網域或龐大的 IP 區段加入白名單。這會製造安全漏洞，讓聰明的使用者可以完全繞過您的 captive portal。請堅持僅加入 OAuth 流程所需的特定網域。 第三，當部署帶有動態 VLAN 的 AltaPass PPSK 時，請確保您的整個交換器基礎架構設定正確。連接至 Alta Labs AP 的交換器連接埠必須設定為 Trunk，允許所有標記的 VLAN 通過閘道器。如果 AP 將流量標記為 VLAN 101，但交換器連接埠在 VLAN 1 上設定為 Access 模式，則流量將會中斷，且用戶端將無法取得 IP 地址。 第四，對您的圍牆花園設定進行每季審查。OAuth 提供者和內容傳遞網路會變更其網域結構。Apple 在 2023 年曾兩次更新其「使用 Apple 登入」網域。若無主動維護，部署時正確的圍牆花園將會逐漸偏離。 --- [快速問答 - 1 分鐘] 讓我們快速瀏覽幾個來自一線的常見問題。 問題一：我可以在 Alta Labs 硬體上將 WPA3 與 Purple captive portal 結合使用嗎？ 可以。您應該使用 WPA3-OWE，這代表機會性無線加密（Opportunistic Wireless Encryption）。這會在空中對數據進行加密，保護房客隱私，同時仍能作為開放式網路運作，觸發 captive portal 重新導向。這是 2026 年任何新房客 WiFi 部署的正確選擇。 問題二：我需要在防火牆上為 RADIUS 流量開啟哪些連接埠？ Purple 的 RADIUS 伺服器透過 UDP 連接埠 1812 進行驗證，並透過 UDP 連接埠 1813 進行計費。請確保您的邊緣防火牆允許來自 Alta Labs AP 到 Purple 基礎架構的這些連接埠之連外流量。 問題三：我可以在同一個 SSID 上同時使用 AltaPass PPSK 和 Purple captive portal 嗎？ 可以，這實際上是一個非常實用的設定。您可以建立一個 AltaPass 密碼，為已知裝置（例如您的 POS 終端機或數位看板）繞過 captive portal，而連線至相同 SSID 的標準連線仍會通過 Purple 登入頁面。這為您提供了一個單一、乾淨的 SSID，可同時處理已驗證的裝置和房客使用者。 --- [總結與後續步驟 - 1 分鐘] 總結來說：將 Alta Labs 與 Purple WiFi 整合，可為您提供一個安全、具擴充性的平台，用於擷取第一方數據並提供具品牌特色的房客體驗。 請記住成功部署的三大支柱。第一，在 Alta Labs 雲端管理平台中精確設定外部熱點重新導向和 RADIUS 設定。第二，細緻地定義您的圍牆花園網域，以確保作業系統探測和社群登入正常運作。第三，利用 AltaPass PPSK 實作基於身分的網路，區隔您的流量，而不會用不必要的 SSID 污染您的空域。 Purple 在全球 80,000 個活躍場地運作，並在 2024 年處理了 4.4 億次登入。該平台已通過 ISO 27001 認證，符合 GDPR 規範，且其架構可從單一精品飯店擴充至全國性零售資產。當您將其與 Alta Labs 硬體的效能和彈性相結合時，您就擁有了一個極具吸引力的企業級 WiFi 解決方案組合。 如果您遵循這份指南，您將能提供無縫且合規的 WiFi 體驗，讓您的行銷團隊和安全團隊都感到滿意。 感謝您收聽 Purple 技術簡報系列。我們下次再見，請保持您的網路安全，並讓您的數據發揮價值。