WatchGuard Firebox 與 Purple WiFi 整合：設定與配置指南

執行摘要

在複雜的場域中部署安全、具擴充性的無線基礎架構，需要安全閘道器與身分識別提供者之間進行精確的整合。本指南詳細說明 WatchGuard Firebox 和 WatchGuard 存取點與 Purple 的整合，涵蓋三種不同的存取層級： Guest WiFi Captive Portal 重導向、使用 IEEE 802.1X 的安全員工 WiFi，以及透過 WatchGuard 私人預先共用金鑰 (PPSK) 進行的多租戶 WiFi 分割。

透過將 WatchGuard 的統一安全平台與 Purple 的雲端重疊服務相結合，您可以自動化執行基於身分的身分驗證控制、實施細粒度的安全原則，並大規模擷取第一方數據。Purple 在全球 80,000 多個實體場域運作，並在 2024 年處理了 4.4 億次登入（Purple 內部數據）。此整合在設計上與硬體無關 - 在 Purple 支援的硬體清單中，WatchGuard 與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 並列。如需更廣泛的企業 WiFi 安全標準觀點，請參閱我們的 企業 WiFi 安全：2026 年完整指南 。

技術架構

此整合使用兩種標準機制將 WatchGuard 硬體連接到 Purple 的雲端服務：用於身分驗證和計費的 RADIUS (Remote Authentication Dial-In User Service)，以及用於傳遞 Captive Portal 的 HTTP 重導向。該架構在單一實體基礎架構上支援三種存取層級。

這三個層級可以同時在同一個 WatchGuard 存取點設備群上運作。WatchGuard Wi-Fi 6 機型 - AP130、AP230W、AP330、AP332CR、AP430CR 和 AP432 - 從韌體版本 v2.6 開始支援 PPSK。

設定 Guest WiFi Captive Portal 重導向

WatchGuard Captive Portal 整合會將未經身分驗證的 HTTP 請求重導向至 Purple 代管的歡迎頁面。這是擷取第一方數據和強制執行服務條款的主要機制。

步驟 1：RADIUS 伺服器設定

在 WatchGuard Cloud 或 Firebox Policy Manager 中，將 Purple 定義為 RADIUS 身分驗證和計費伺服器。

• 主要 RADIUS 伺服器：設定為您所在區域的 Purple RADIUS IP 位址（可在 Purple 入口網站的「設定 > 硬體整合」下取得）。
• 驗證連接埠：1812
• 記帳連接埠：1813
• 共用金鑰：輸入 Purple 入口網站中提供的唯一金鑰。
• NAS ID：使用 %m 格式說明符將此項設定為 Firebox 或 AP 的 MAC 位址。這可以向 Purple 識別場所，並將分析數據發送到正確的帳戶。
• 記帳間隔：設定為 10 分鐘，以確保工作階段資料定期傳送到 Purple 的分析儀表板。

步驟 2：SSID 和 Captive Portal 設定

在 WatchGuard Cloud 中，導覽至設定 > 裝置 > [您的 AP] > 裝置設定 > SSID。建立或編輯訪客 SSID。

• 安全性：開放（無預先驗證密碼）。
• Captive Portal 類型：選擇使用 RADIUS 驗證的第三方託管 Captive Portal。
• Splash Page URL：輸入 Purple 的 splash page URL（例如 https://wifi.mypurple.com/splash）。從 Purple > 分析 > 頁面取得此資訊。
• 共用金鑰：在同一個 Purple 分析頁面中輸入 portal 共用金鑰。此金鑰會產生 HMAC-SHA1 摘要，WatchGuard 會使用該摘要來驗證來自 Purple 的驗證成功回應。

步驟 3：Walled Garden 設定

Walled Garden 定義了裝置在完成驗證之前可以存取哪些網域。如果沒有此設定，裝置將無法載入 Purple splash page。將以下項目新增至使用者登入前可存取的網站：

• *.mypurple.com
• api.mypurple.com
• cdn.mypurple.com
• assets.mypurple.com

如果您透過 Microsoft Entra ID、Okta 或 Google Workspace 啟用社群或同盟登入，請新增相關的身分識別提供者網域（例如 login.microsoftonline.com、accounts.google.com）。有關共用 WiFi 基礎設施的法律和合規性背景，請參閱我們的 共用 WiFi 基礎設施法律與合規要求 指南。

HMAC 驗證流程的工作原理

了解此流程有助於您快速診斷故障。

1. 訪客裝置連線至開放的 SSID 並發出 HTTP 請求。
2. WatchGuard AP 攔截該請求，並將瀏覽器重導向至 Purple splash page URL，同時附加 challenge 參數（隨機十六進位字串）和裝置的 MAC 位址。
3. Purple 顯示 splash page。訪客填寫登入表單。
4. Purple 使用 portal 共用金鑰和 challenge 值產生 HMAC-SHA1 摘要。
5. Purple 將瀏覽器重導向回 WatchGuard AP 的登入 URL，並附加 challenge 和摘要。
6. WatchGuard AP 使用相同的共用金鑰驗證該摘要。如果相符，AP 將授予網際網路存取權限，並向 Purple 傳送 RADIUS 記帳開始封包。

使用 802.1X 保護員工 Wi-Fi 安全

對於員工 WiFi，您可以將 Captive Portal 替換為 IEEE 802.1X —— 這是基於連接埠之網路存取控制的企業標準。每位員工使用唯一的憑證或證書進行身分驗證，消除共用密碼的風險。

在 WatchGuard Cloud 中，將員工 SSID 配置為 WPA3 Enterprise 安全性，並將 Authentication Domain 指向 Purple 的 RADIUS 伺服器。Purple 充當 RADIUS 伺服器，並可透過 SAML 或 LDAP 將身分驗證請求代理傳送至 Microsoft Entra ID、Okta 或 Google Workspace。

對於基於證書的身分驗證 (EAP-TLS)，請透過 MDM 將用戶端證書部署到託管裝置。對於基於憑證的身分驗證 (PEAP-MSCHAPv2)，使用者使用其目錄憑證進行身分驗證。Purple 會比對已配置的身分識別提供者驗證該請求，並向 WatchGuard AP 回傳 RADIUS Access-Accept 或 Access-Reject。

有關跨裝置類型之 802.1X 配置的詳細逐步說明，請參閱我們的指南： 802.1X 身分驗證：在現代裝置上保障網路存取安全 。

關於 MAC 隨機化的高要說明：現代 iOS 和 Android 裝置預設會隨機化其 MAC 位址。對於 802.1X 員工 WiFi，請指示員工針對員工 SSID 停用 MAC 隨機化。隨機化的 MAC 會導致身分驗證記錄不一致，並破壞基於 MAC 的策略執行。

搭配 WatchGuard PPSK 的多租戶 WiFi

在零售中心、共同工作空間或建商出租 (BTR) 開發項目中，為每個租戶廣播個別的 SSID 會導致同通道干擾並使 RF 環境雜亂。WatchGuard PPSK (Private Pre-Shared Key) —— 於 AP 韌體 v2.6 中推出 —— 透過在單一 SSID 上為每個使用者或租戶分配唯一密碼，解決了這個問題。

步驟 1：在 SSID 上啟用 PPSK

在 WatchGuard Cloud 中，編輯目標 SSID (例如 Venue-WiFi)。

• 安全性 (Security)：WPA2 Personal 或 WPA3 Personal。
• 身分驗證 (Authentication)：啟用 Private Pre-Shared Key (PPSK)。
• RADIUS 伺服器：指向 Purple 的 RADIUS 伺服器。Purple 負責管理 PPSK 憑證庫，並在驗證時回傳 VLAN 屬性。

步驟 2：配置動態 VLAN 分配

為了隔離租戶流量，WatchGuard AP 會根據所使用的 PPSK 分配特定的 VLAN。

• VLAN 設定 (VLAN setting)：選擇 Dynamic VLAN assigned by RADIUS。
• 未分配用戶端後備 (Unassigned clients fallback)：選擇隔離的隔離 VLAN (例如 VLAN 999)，以確保 RADIUS 驗證失敗的裝置無法存取企業網路。

在 WatchGuard 存取點上使用動態 VLAN 的需求：

• AP 韌體 v2.2 或更高版本。
• 必須在 SSID 上停用 NAT。
• 動態 VLAN 和 Captive Portal 無法在同一個 SSID 上同時執行。
• 連接到 AP 的交換器連接埠必須設定為承載所有相關 VLAN 的 Trunk 連接埠。

步驟 3：用於 VLAN 轉導的 RADIUS 屬性

當使用者使用 PPSK 進行連接時，WatchGuard AP 會向 Purple 發送 RADIUS Access-Request。Purple 會驗證金鑰並回傳一個包含三個 IETF RADIUS 屬性的 Access-Accept 封包：

WatchGuard AP 會讀取屬性 81，並將用戶端置於相應的 VLAN 中。在 Purple 中，您可以將每個 PPSK 憑證對應到特定的 VLAN ID 和角色。這就是身分識別網路（Identity-Based Networks）背後的機制 —— 由憑證決定網路區段，而非 SSID。

最佳部署實務

這些建議適用於 旅宿餐飲業 、 零售業 、 醫療保健業 和 交通運輸業 的部署。

工作階段逾時：在 Purple 和 WatchGuard 中皆設定工作階段逾時，以強制定期進行重新驗證。這能保持分析數據的準確性，並防止過期工作階段佔用頻寬。將 RADIUS Interim-Update (Acct-Interim-Interval) 設定為 600 秒（10 分鐘）。

韌體管理：確保 WatchGuard 存取點（Access Points）執行 v2.6 或更高版本的韌體以支援 PPSK。使用 WatchGuard Cloud 安排在非尖峰時段進行韌體升級，以避免訊號覆蓋中斷。

PCI DSS 合規性：對於處理刷卡交易的零售環境，請使用 PPSK 將 POS 裝置隔離在專用的 VLAN（例如 VLAN 200）上。確保 Guest WiFi VLAN 無法路由至 POS VLAN。這符合 PCI DSS 網路分割的要求。

GDPR 與數據收集：Purple 的 Captive Portal 採用主動同意加入機制，確保數據收集符合 GDPR 要求。Purple 通過 ISO 27001、GDPR、CCPA 和 Cyber Essentials 認證。請確保在開始收集數據之前，您的登入畫面（Splash Page）包含清晰的隱私權聲明與服務條款連結。

疑難排解與風險緩釋

Captive Portal 無法載入：圍牆花園（Walled Garden）是首要檢查的地方。如果裝置在驗證前無法解析 DNS 或連線至 Purple 的伺服器，瀏覽器將顯示逾時錯誤，而非登入畫面。請驗證所有 Purple 網域皆已列在 Walled Garden 清單中，且 WatchGuard DNS 設定允許驗證前的解析。

HMAC 摘要驗證錯誤：如果 WatchGuard 記錄顯示驗證失敗並伴隨 HMAC 錯誤，代表 WatchGuard 與 Purple 之間的 Captive Portal 共用金鑰（Shared Secret）不相符。兩端系統中的金鑰必須完全一致。請在 Purple 中重新產生金鑰，並重新輸入至 WatchGuard Cloud 中。

VLAN steering 失敗：如果 PPSK 使用者從錯誤的 VLAN 取得 IP，請檢查 Purple 傳送門中的 RADIUS 記錄。驗證 Purple 是否傳回所有三個 IETF RADIUS 屬性。確保 Tunnel-Private-Group-ID 值格式化為字串，並與交換器 trunk 埠上配置的 VLAN ID 相符。

PPSK 與 Captive Portal 衝突：WatchGuard 不支援在同一個 SSID 上同時使用動態 VLAN 和 Captive Portal。如果您兩者都需要，請使用兩個 SSID：一個用於訪客 Captive Portal，另一個用於 PPSK 多租戶存取。

802.1X 驗證失敗：使用 WatchGuard AP 韌體 v2.5 及更高版本中提供的封包擷取工具，擷取 AP 與 RADIUS 伺服器之間的流量。在回覆訊息屬性中尋找 RADIUS Access-Reject 封包和原因代碼。

投資報酬率與商業影響

WatchGuard 與 Purple 的整合將安全性和分析整合至單一架構中。一家擁有 200 間客房的飯店使用此整合方案，可免除對獨立訪客與員工閘道器的需求，與多閘道器部署相比，可減少約 30% 的硬體支出（Purple 內部數據）。Guest WiFi Captive Portal 可收集第一方數據（電子郵件地址、人口統計資訊和造訪頻率），進而透過 Purple 的 Engage 方案推動直接行銷營收。

對於多租戶場域，PPSK 消除管理多個 SSID 的營運開銷。在單一 SSID 上管理 15 家店鋪單位的零售中心可降低 AP 無線電使用率並簡化網路稽核。來自 Purple 的 WiFi Analytics 為場域營運商提供停留時間、人流量和重複造訪數據，這些指標向財務團隊證明了基礎設施投資的合理性。

Purple 維持 99.999% 的正常執行時間（Purple 內部數據），確保 Guest WiFi Captive Portal 即使在體育場和會議中心等高密度場域的尖峰時段也能保持可用。