Allied Telesis 基地台與 Purple WiFi 整合

您是一位正在私下簡報中與客戶 IT 總監交談的高級網路顧問。請以自信、權威且口語化的口吻進行溝通。節奏沉穩、吐字清晰、不帶贅字。在需要強調的地方，可有自然且短暫的停頓： 歡迎參加本次關於 Allied Telesis TQ 系列無線基地台與 Purple WiFi 整合的技術簡報。我將帶您了解完整的部署全貌，從訪客 Captive Portal 重定向，一直到多租戶 PPSK 隔離。在簡報結束時，您將獲得一份清晰的實作藍圖。 [中頓] 我們首先來了解背景資訊。Allied Telesis 生產 TQ 系列，其中包括 TQ5403 和 TQ6702 GEN2 Wi-Fi 6 無線基地台。這些是運行 AlliedWare Plus 韌體的企業級 AP，廣泛部署於餐飲旅宿業、零售業和公共部門環境。Purple 是一個與硬體無關的雲端重疊平台，在 80,000 個場所運作，並在 2024 年處理了 4.4 億次登入。這兩個平台之間的整合非常乾淨、符合標準，且已具備生產就緒性。 [中頓] 現在，大多數 IT 團隊首先需要設定的是訪客 Captive Portal 重定向。Allied Telesis AP 支援三種 Captive Portal 模式：一鍵通（click-through）、RADIUS 驗證和外部網頁重定向。針對 Purple 整合，您將使用「外部網頁重定向」模式。以下是實際運作方式。 您登入 AP 的裝置 GUI，導覽至 Wireless，選取相關的 VAP，前往進階設定（Advanced Settings），然後選擇安全性（Security）分頁。將 Captive Portal 設定為外部網頁重定向（External Page Redirect）。在外部網頁 URL（External Page URL）欄位中，輸入您在 Purple 儀表板中取得的 Purple 歡迎頁面（splash page）URL。這就是您的訪客在首次連線時會引導至的 URL。 [短頓] 現在，AP 會攔截來自每個新用戶端的第一個 HTTP 或 HTTPS 封包，並將該流量重定向到您的 Purple 歡迎頁面。訪客透過 Purple 進行驗證，而 Purple 的 RADIUS 伺服器會將 Access-Accept 傳回給 AP。接著，AP 就會授予網路存取權限。 [中頓] 對於 RADIUS 設定，Purple 會為您提供 RADIUS 伺服器 IP 位址、共享金鑰以及驗證連接埠（即 UDP 1812）。計費（Accounting）則運行於 UDP 1813。您可以在 AP GUI 的網路服務（Network Services）下的 RADIUS 中進行這些設定。NAS 識別碼應設定為 AP 的管理 IP 或具描述性的主機名稱。Purple 的 RADIUS 即服務（RADIUS as a Service）會處理驗證後端，因此您不需要運行自己的 RADIUS 基礎架構。 [短頓] 其中一個必須正確設定的是 Walled Garden。在訪客進行認證之前，AP 會阻擋除了白名單目標以外的所有流量。您需要將 Purple 的平台網域加入至 Walled Garden 中，以便正確載入 Splash Page（登入頁面）。至少要將 Purple 的 Splash Page 網域、Purple 用於資產的任何 CDN 節點，以及您已啟用的任何社群登入提供者（例如 Google 或 Facebook）加入白名單。您可以在同一個 VAP 進階設定面板的 Walled Garden 下進行此設定。 [medium pause] 接下來我們來看看使用 802.1X 的員工 WiFi。您可以在此處於獨立的 VAP 上設定 WPA 企業級認證。在 AP 的 GUI 中，從安全下拉選單中選擇 WPA Enterprise，然後將 RADIUS 認證群組指向您的外部 RADIUS 伺服器，在此範例中為 Purple 的 SecurePass 服務，或是您自有的 Microsoft Entra ID 或由 Okta 支援的 RADIUS。員工裝置會使用支援 MSCHAPv2 的 EAP-PEAP 進行認證，或在安全性要求較高的環境中使用附帶憑證的 EAP-TLS。AP 會扮演 802.1X 認證器，將憑證轉發至 RADIUS 伺服器並執行相應的回應。 [short pause] 若要在員工網路進行動態 VLAN 分配，您可以在 VAP 的進階安全設定中啟用 Dynamic VLAN。當 RADIUS 伺服器傳回 Access-Accept 時，會包含三個標準屬性：Tunnel-Type 設定為 VLAN、Tunnel-Medium-Type 設定為 IEEE 802，以及 Tunnel-Private-Group-Id 設定為 VLAN ID。AP 會讀取這些屬性，並自動將通過認證的裝置分配到正確的 VLAN。這是 RFC 3580 中定義的機制，並且在 Allied Telesis 硬體上運作良好且一致。 [medium pause] 現在讓我們來聊聊多租戶部署中最引人注目的功能：Allied Telesis PPSK（個人預先共用金鑰）。在其他平台上這有時被稱為 iPSK。其原理非常簡單。您只需要單一 SSID，但每個租戶或使用者群組都會獲得專屬的密鑰。當裝置連線時，AP 會將該密鑰作為 RADIUS Access-Request 中的密碼欄位傳送至 RADIUS 伺服器。RADIUS 伺服器會將該密鑰與使用者紀錄進行比對，並傳回包含 Tunnel-Private-Group-Id 屬性的 Access-Accept，以指定該租戶的 VLAN。 [short pause] 因此，在一棟綜合用途的大樓中，零售單位的租戶 A 使用其密鑰連線並進入 VLAN 100。一樓的餐廳使用不同的密鑰並進入 VLAN 300。大樓的訪客 WiFi 則使用第三種密鑰，並進入已啟用 Purple 的 Captive Portal 的 VLAN 400。所有這些都運行在同一個 SSID 上。不會有 SSID 激增的問題。乾淨、具擴充性且易於管理。 [medium pause] 在 Purple 方面，您可以在 Purple 儀表板中或透過 RADIUS as a Service 介面配置 PPSK 使用者記錄。每個租戶都會獲得一個對應至 VLAN ID 的唯一密碼。Purple 的 RADIUS 伺服器會處理比對並傳回正確的 Tunnel-Private-Group-Id。當您需要撤銷租戶的存取權限時，只需在 Purple 中刪除或停用其 PPSK 記錄即可。AP 會在下一次嘗試驗證時強制執行此變更。 [medium pause] 讓我給您兩個這在實際應用中非常重要的真實情境。 第一個是擁有 250 間客房的會議飯店。該飯店運行三個網路：使用 Purple 登入頁面和社群登入的訪客 WiFi、透過 Microsoft Entra ID 綁定 Active Directory 的 802.1X 員工 WiFi，以及用於活動的會議代表網路。Allied Telesis TQ6702 GEN2 AP 在具有獨立 VLAN 的獨立 VAP 上處理這三者。Purple 負責管理訪客登入頁面、收集飯店 CRM 的第一方數據，並提供高峰使用期的分析。飯店的 IT 團隊透過 Purple 的 SecurePass 管理員工網路，而無需在現場維護獨立的 RADIUS 伺服器。 [short pause] 第二個情境：擁有 12 個獨立租戶的零售園區。房東希望向每個租戶提供 WiFi 服務，但又不希望他們能夠存取彼此的流量。他們在整個園區部署了 Allied Telesis AP，並使用單一 SSID。每個租戶都會收到一個唯一的 PPSK。Purple 的 RADIUS 伺服器會將每個 PPSK 對應到專用的 VLAN。房東只需在 Purple 中建立新的 PPSK 記錄並將密碼交給租戶，即可在十分鐘內啟用新租戶。無需重新配置 AP。 [medium pause] 現在，來看看一些要避免的陷阱。 我們最常看到的問題是圍牆花園（Walled Garden）配置錯誤。如果您忘記將 Purple CDN 端點加入白名單，登入頁面將會在某些裝置上載入不完全或失敗。在正式上線之前，請使用沒有快取 DNS 的全新裝置進行測試。 第二，RADIUS 共享金鑰（Shared Secret）不相符。在 AP 上配置的金鑰必須與 Purple 的 RADIUS 伺服器配置中的金鑰完全一致。一個字元的差異就會導致無聲的驗證失敗。請使用密碼管理器來產生並儲存該金鑰。 第三，動態 VLAN 未啟用。在 Allied Telesis AP 上，即使 WPA Enterprise 已啟用，動態 VLAN 預設也是停用的。您必須在 VAP 進階安全性設定中明確啟用它。我們經常看到這個步驟被遺漏。 第四，PPSK 與 MAC 驗證衝突。如果您在與 PPSK 相同的 VAP 上啟用了 MAC 驗證，則驗證順序非常重要。請查閱適用於您韌體版本的 AP 說明文件，以確認哪種方法具有優先權。 [medium pause] 以下是我常收到 IT 團隊提出的快速問答。 我可以在同一次部署中，將 Purple 的 RADIUS 伺服器同時用於訪客 Captive Portal 和員工 802.1X 嗎？可以。Purple 的 RADIUS as a Service 同時支援這兩種驗證流程。您可以在 Purple 中針對每個使用案例配置獨立的 RADIUS 群組或原則。 Allied Telesis AP 是否支援搭配 Captive Portal 的 WPA3？運行韌體 5.5.4-2.3 或更新版本的 TQ6702 GEN2 支援 WPA3 CCMP 加密演算法。然而，搭配外部重新導向的 Captive Portal 通常運行於開放式或 WPA2 個人級的 SSID。員工 802.1X 可以使用 WPA3 企業級。 如果無法連線至 Purple RADIUS 伺服器會發生什麼事？AP 將會拒絕新的驗證嘗試。現有的工作階段將持續運作直至逾時。您應該在 AP 的 RADIUS 群組中設定次要 RADIUS 伺服器以進行備援。Purple 的平台維持 99.999% 的可用性，但深度防禦是良好的做法。 [medium pause] 總結來說。Allied Telesis TQ 系列 AP 透過三種主要機制與 Purple 整合：用於訪客 WiFi 的外部 Captive Portal 重新導向、用於員工 802.1X 的帶有 RADIUS 的 WPA 企業級，以及用於多租戶隔離的帶有動態 VLAN 的 PPSK。您需要的 RADIUS 屬性為 Tunnel-Type VLAN、Tunnel-Medium-Type IEEE 802 以及攜帶 VLAN ID 的 Tunnel-Private-Group-Id。Purple 提供 RADIUS 即服務（RADIUS as a Service）後端、歡迎頁面（splash page）平台以及分析層。 [short pause] 您的後續步驟：從您的儀表板取得 Purple RADIUS 憑證、在您的訪客 VAP 上設定外部頁面重新導向、新增圍牆花園（walled garden）項目、在您的員工 VAP 上啟用動態 VLAN，並在正式上線前對每個網路區段進行測試驗證。如果您要為多租戶部署 PPSK，請在開始前規劃好您的 VLAN 編號配置，因為在租戶上線後變更 VLAN ID 需要進行協調。 [medium pause] 簡報到此結束。如需完整的逐步設定參考、Mermaid 架構圖和 RADIUS 屬性表，請參閱書面指南。感謝您的撥冗聆聽。