OpenWrt 客製化韌體與 Purple WiFi 整合

執行摘要

對於需要硬體獨立性且不願犧牲企業級控制能力的 IT 團隊而言，OpenWrt 是首選的韌體。它部署於旅宿業、零售業和公共部門場所，提供完全可自訂的基於 Linux 的網路堆疊。但開箱即用的 OpenWrt 就像一張白紙。如果沒有結構化的身分層，房客網路將變得無法管理，員工網路仍不安全，而多租戶環境則會退化為單一的扁平網路。

本指南提供了將 OpenWrt 連接到 Purple 雲端 RADIUS 和 Captive Portal 平台的權威整合指南。我們涵蓋了四種不同的部署情境：使用 CoovaChilli 的房客 Captive Portal 重導向、iptables 圍牆花園設定、使用帶有 IEEE 802.1X 之 hostapd 的安全員工 WiFi，以及使用帶有動態 VLAN 分配的專屬預先共用金鑰（PPSK）的多租戶區隔。最後，您將獲得在任何支援 OpenWrt 的硬體上部署生產就緒、符合 GDPR 規範、身分驅動網路所需的確切設定參數、常見失敗模式和決策架構。

Purple 在全球 80,000 多個實體場所運作，並在 2024 年處理了 4.4 億次登入（Purple 內部數據，2024 年）。此處描述的架構與在旅宿連鎖店、零售園區和交通樞紐大規模部署的架構完全相同。

技術深挖

CoovaChilli Captive Portal 架構

在 OpenWrt 上部署 房客 WiFi 時，CoovaChilli 是業界標準的存取控制器。它作為 Captive Portal 精靈運作，可攔截未經驗證的用戶端流量，透過其在 tun0 虛擬介面上的內部 DHCP 伺服器提供 IP 地址，並使用其直接管理的 iptables 規則強制執行圍牆花園政策。

驗證流程如下。房客裝置與開放式 SSID 建立關聯。CoovaChilli 從其內部集區（通常為 10.1.0.0/24）為該裝置分配一個 IP 地址。當裝置發送其第一個 HTTP 請求時，CoovaChilli 會攔截該請求，並向 Purple 登入頁面 URL 發送 HTTP 302 重導向。在此預先驗證階段，該裝置是被隔離的——它只能存取圍牆花園中明確列出的網域。

一旦房客在 Purple 入口網站上通過驗證，Purple 的雲端 RADIUS 伺服器就會向 UDP 連接埠 1812 上的 CoovaChilli 發送 Access-Accept 訊息。接著，CoovaChilli 會更新其 iptables 規則，以允許該特定 MAC 地址存取網際網路，並開始將計費數據（工作階段持續時間、傳輸的位元組數）傳輸到 UDP 連接埠 1813 上的 Purple RADIUS 計費伺服器。計費並非選配——這是 Purple 用工作階段數據填入您的 WiFi 分析 儀表板的機制。

圍牆花園：iptables 與網域允許清單

在任何 Captive Portal 部署中，圍牆花園都是營運上最關鍵的設定元素。CoovaChilli 透過兩種機制管理圍牆花園：針對個別 IP 地址的 uamallowed 參數，以及針對基於網域之允許清單（含 DNS 檢查）的 uamdomains 參數。

對於 Purple 整合，最低要求的圍牆花園項目如下：

關於 Apple CNA 管理的說明： 如果您在圍牆花園中納入 captive.apple.com，iOS 裝置將在驗證前偵測到網際網路連線，並抑制 Captive Network Assistant 彈出視窗。大多數旅宿業部署都會刻意排除此網域，以觸發自動入口網站提示。正確的選擇取決於您的房客體驗設計。

安全員工 WiFi：hostapd 與 IEEE 802.1X

房客網路需要無摩擦的引導上網。員工網路則需要絕對的安全。對於內部使用者，OpenWrt 使用 hostapd 來促進 IEEE 802.1X 驗證。在此架構中，OpenWrt 基地台充當驗證器（Authenticator），在用戶端裝置（Supplicant）與 Purple RADIUS 伺服器之間轉發可延伸驗證協定（EAP）訊息。

對於企業裝置， EAP-TLS 是規定的標準。它依賴雙向憑證驗證——伺服器和用戶端裝置皆須出示數位憑證——從而完全免除密碼以及相關的憑證遭竊或網路釣魚風險。對於尚未準備好使用完整公開金鑰基礎架構（PKI）的環境，PEAP-MSCHAPv2 提供了一個合理的過渡方案，使用加密通道來保護使用者名稱和密碼憑證。

當員工成功通過驗證時，RADIUS 伺服器會傳回授權屬性。網路區隔的關鍵屬性是 Tunnel-Private-Group-ID，它指示 OpenWrt 將使用者動態分配到正確的 VLAN。這就是身分辨識網路（Identity-Based Networks）背後的機制：使用者的身分（而非其實體位置）決定了其網路存取權限。

多租戶區隔：OpenWrt PPSK設定

在多租戶環境中（例如：共享工作空間、僅租不售 (BTR) 物業、擁有多個商家的零售中心，或設有獨立贊助商區域的體育場），廣播多個 SSID 在營運上成本高昂且射頻 (RF) 效率低下。每增加一個 SSID 都會增加管理訊框的開銷，從而減少數據傳輸可用的空口時間 (airtime)。

私有預共享金鑰 (PPSK，有時稱為動態 PSK) 解決了這個問題。您只需廣播單一 SSID。當裝置嘗試連線時，hostapd 會透過標準的 Access-Request 將裝置的 MAC 位址傳送到 RADIUS 伺服器。RADIUS 伺服器會比對其資料庫驗證該 MAC 位址，並傳回包含兩個關鍵屬性的 Access-Accept：Tunnel-Password 屬性（該裝置的唯一密碼）和 Tunnel-Private-Group-ID 屬性（VLAN 分配）。裝置使用其唯一的密碼進行連線，並直接被分配到其指定的 VLAN 中。

這意味著零售經理和活動參與者可以連線到同一個 SSID，但會根據其唯一身分被路由到完全獨立且隔離的網路。

實作指南

步驟 1：取得 Purple RADIUS 憑證

在修改 OpenWrt 設定之前，請先從 Purple 入口網站管理主控台取得以下資訊：

• 主要 RADIUS 伺服器 IP 位址
• 次要 RADIUS 伺服器 IP 位址（用於容錯移轉）
• RADIUS 共用金鑰
• Captive Portal 歡迎頁面 URL
• 驗證後重導向 URL

步驟 2：安裝並設定用於訪客 WiFi 的 CoovaChilli

透過 opkg 安裝 coova-chilli 套件：

opkg update && opkg install coova-chilli

主要設定檔為 /etc/chilli/defaults。請定義核心網路參數：

# 網路介面
HS_WANIF=eth0           # 上游網際網路介面
HS_LANIF=wlan0          # 訪客 WiFi 介面（或 VLAN 子介面）

# 訪客子網路
HS_NETWORK=10.10.20.0
HS_NETMASK=255.255.255.0
HS_UAMLISTEN=10.10.20.1 # CoovaChilli 在訪客網路上的 IP
HS_UAMPORT=3990

# Purple RADIUS 整合
HS_RADIUS=
HS_RADIUS2=
HS_RADSECRET=
HS_NASID=venue-openwrt-01

# Purple 歡迎頁面
HS_UAMSERVER=

# 圍牆花園 (Walled garden) - 基於網域的允許清單
HS_UAMDOMAINS=".purple.ai,.googleapis.com,.gstatic.com,.facebook.com,.fbcdn.net"

啟用並啟動服務：

/etc/init.d/chilli enable
/etc/init.d/chilli start

步驟 3：為訪客 SSID 設定 OpenWrt 無線介面

在 /etc/config/wireless 中，將訪客 SSID 定義為繫結至 CoovaChilli 將管理的介面的開放網路：

config wifi-iface 'guest_wifi'
    option device 'radio0'
    option network 'guest'
    option mode 'ap'
    option ssid 'Venue_Guest'
    option encryption 'none'
    option isolate '1'

用戶端隔離 (isolate '1') 可防止訪客裝置互相通訊，這是任何共享網路強制執行的安全性控制措施。

步驟 4：為 802.1X 員工 WiFi 設定 hostapd

針對員工 SSID，在 /etc/config/wireless 中設定 WPA2-Enterprise：

config wifi-iface 'staff_wifi'
    option device 'radio0'
    option network 'staff_vlan10'
    option mode 'ap'
    option ssid 'Venue_Staff'
    option encryption 'wpa2'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option vlan_bridge 'br-vlan'
    option vlan_naming '0'

設定 dynamic_vlan '2' 會指示 hostapd 強制執行 RADIUS 伺服器傳回的 VLAN 分配，並在未傳回 VLAN 時拒絕驗證。

套件需求： 標準的 wpad-mini 套件不支援 WPA2-Enterprise。您必須安裝 wpad 或 wpad-openssl：

opkg remove wpad-mini && opkg install wpad-openssl

步驟 5：為多租戶分割設定 PPSK

PPSK 需要 hostapd 向 RADIUS 伺服器進行 MAC 位址驗證，然後由該伺服器傳回每個裝置的密碼。在 /etc/config/wireless 中：

config wifi-iface 'ppsk_ssid'
    option device 'radio0'
    option mode 'ap'
    option ssid 'Venue_Connect'
    option encryption 'psk2'
    option key 'default_fallback_key'
    option macfilter 'radius'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option wpa_psk_radius '2'

wpa_psk_radius '2' 參數會指示 hostapd 必須取得 RADIUS 回應中的 Tunnel-Password 屬性。如果 RADIUS 伺服器未傳回密碼，則會拒絕驗證。

在 Purple RADIUS 端，FreeRADIUS 設定（或同等設定）的 authorize 區段會將 MAC 位址對應至密碼和 VLAN ID：

# 用於 PPSK 的 RADIUS 授權項目範例
AA:BB:CC:DD:EE:FF   Auth-Type := Accept
    Tunnel-Password = "GuestPass2024",
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-ID = "20"

步驟 6：設定動態 VLAN 分配

為了使動態 VLAN 分配正常運作，您的 OpenWrt 交換器必須設定為在連接到核心交換器的 Trunk 埠上，將相關 VLAN 作為標記 (tagged) 流量進行傳輸。在 /etc/config/network 中：

config interface 'vlan10'
    option ifname 'eth0.10'
    option proto 'dhcp'

config interface 'vlan20'
    option ifname 'eth0.20'
    option proto 'dhcp'

config interface 'vlan30'
    option ifname 'eth0.30'
    option proto 'dhcp'

請確保您的核心交換器連接埠已設定為 Trunk，並允許標記的 VLAN 10、20 和 30 通過。

最佳實踐

絕對的網路隔離。 切勿橋接 g訪客介面與內部網路。訪客流量必須隔離在專用的 VLAN 上，並直接路由到網際網路防火牆。這是符合 PCI DSS 4.0 合規性的強制性要求，該規範強制要求訪客 WiFi 網路必須與處理持卡人資料的任何網路區段完全隔離。

**圍牆花園（Walled garden）精準度。**不完整的圍牆花園是 Captive Portal 失敗的主要原因。在連接到訪客 SSID 的測試裝置上使用瀏覽器的開發者工具，以識別哪些請求在驗證前被阻擋。每個被阻擋的網域都是潛在的入口網站失敗原因。

**RADIUS 計費間隔。**將 CoovaChilli 計費過渡間隔（interim interval）設定為 120 秒。這可在 Purple 分析儀表板中提供近乎即時的會話資料，而不會產生過多的 RADIUS 流量。

**次要 RADIUS 伺服器。**務必在您的 CoovaChilli 設定中配置 HS_RADIUS2。如果主要的 Purple RADIUS 伺服器無法連線，CoovaChilli 將無法驗證新的會話。次要伺服器提供自動容錯移轉，無需在存取點（access point）進行任何設定變更。

**套件選擇。**許多 OpenWrt 版本隨附的 wpad-mini 套件不支援 WPA2-Enterprise 或動態 VLAN 分配。對於任何需要 802.1X 或 PPSK 的部署，請務必安裝 wpad-openssl。

如需關於企業 WiFi 安全架構的進一步指引，請參閱我們的 企業 WiFi 安全：2026 年完整指南 。

疑難排解與風險緩釋

**GDPR 合規性說明：**CoovaChilli 本身不會擷取或儲存個人資料。所有同意擷取、資料處理和 GDPR 合規機制均由 Purple 平台在入口網站層處理。在正式上線前，請確保您的 Purple 入口網站已設定您場所的條款與條件以及資料處理聲明。

如需相關硬體整合模式，請參閱我們的指南： EnGenius Cloud 存取點與 Purple WiFi 整合 以及 DrayTek Vigor 路由器和存取點與 Purple WiFi 整合 。

投資報酬率（ROI）與業務影響

從基礎 PSK 網路轉移到由 Purple 管理的 OpenWrt 架構，可在三個維度上帶來可衡量的影響。

**資料擷取與行銷。**透過強制執行 Captive Portal 驗證，場所可以在連接 WiFi 時擷取合規的第一方人口統計資料（姓名、電子郵件地址、社群個人資料）。這些資料會直接匯入 CRM 和電子郵件行銷平台，從而推動會員計畫註冊並實現精準行銷活動。Purple 在 2024 年處理了 4.4 億次登入（Purple 內部資料），展示了在網路邊緣進行第一方資料擷取的可能規模。

**營運效率。**實作 PPSK 可減少 SSID 開銷，從而提高密集環境中的 WiFi 效能。對於擁有 200 個據點的零售連鎖店，透過 Purple 的雲端 RADIUS 集中管理身分（而不是更新每個站點的本機路由器設定），每年可節省數百個工程小時。單一 RADIUS 策略變更會立即傳播到所有 200 個據點。

**安全與合規性。**動態 VLAN 分配在邊緣強制執行最小權限存取。員工與訪客隔離。IoT 裝置與員工隔離。POS 終端機與所有其他流量隔離。這種區隔滿足了 PCI DSS 4.0 網路隔離要求，並為 GDPR 合規性審查提供了清晰、可稽核的網路拓撲。

如需特定垂直產業的部署模式，請參閱我們針對 零售 、 旅宿 、 醫療保健 和 交通運輸 環境的指南。您可能也會發現我們的指南 什麼是無線顯示：協定與最佳實踐 2026 對於理解場所部署中的互補無線技術非常有用。