Site SPA · Guest Access

Caricamento statistiche…

Metriche di rete

Traffico per ora, top consumatori, sessioni oltre il 95° percentile

Traffico per ora

Top consumatori

Sessioni oltre il 95° percentile

Quando	MAC	Byte	Durata

Andamento nel periodo

Richieste, approvazioni e sessioni RADIUS

RichiesteApprovazioniSessioni

Esito richieste

Distribuzione per stato corrente

Prestazioni per sede

Confronto tra richieste, approvazioni e utilizzo

Sede	Richieste	Approvate	Tasso	Sessioni	Traffico

Orari di richiesta

Distribuzione nelle 24 ore

Aziende più presenti

Prime aziende per numero di richieste

Durate approvate

Opzioni scelte dagli sponsor

Piattaforme wireless

Richieste per infrastruttura

Ospite	Sede	Motivo	Richiesta	Stato	Azioni

Ospite	Sede	Stato	Approvato	Scadenza	Azioni

La passphrase viene mostrata una sola volta alla creazione. Revoca e chiusura calendario usano il Disconnect CoA già configurato.

Dispositivo	MAC	Sede	Profilo	Stato	Scadenza	Azioni

Il flag Accesso di rete registra l'IP dell'ospite sul firewall Palo Alto per raggiungere la rete interna configurata in Configurazione. Il profilo di accesso deve usare un ruolo Aruba che non blocchi quella rete.

Email o dominio	Sede	Profilo	Validità	Rete	Utilizzi	Stato	Azioni

Registrazioni sul firewall

IP degli ospiti con accesso di rete attualmente registrati

Ospite	IP	MAC	Stato	Registrato	Ultimo errore

Prenotazioni DHCP

Voce	IP fisso	MAC	Stato	Aggiornato	Ultimo errore

Matrice modello → famiglia (fonte: Aruba Instant 8.10 Release Notes)

Famiglia	Modelli AP	Immagine disponibile

Carica immagine firmware

Immagini caricate

Famiglia	Versione	File	SHA-256	Dimensione	Caricata da	Azioni

Genera piano di upgrade cluster

Piano generato

Pre-check

Comandi CLI

Post-check

Codice	Nome sede	Piattaforma	Email gruppo	Stato	Ultima modifica	Azioni

Le modifiche si applicano alle nuove approvazioni. Le sessioni già attive non cambiano.

Profili configurati

Ordine	Profilo	Segmento	Durata	Policy	Stato	Azioni

Matrice capability per sede

Sede	Capability	Stato	Firmware / modello	Valida fino	Azioni

Nessuna capability registrata. I profili base restano disponibili; i campi avanzati sono bloccati.

La password viene cifrata nel database e non viene mai mostrata nuovamente.

Le impostazioni si applicano a tutte le sedi e alle approvazioni successive al salvataggio.

Coda email sponsor

I tentativi proseguono automaticamente anche dopo un riavvio

Destinatario	Stato	Tentativi	Creata	Errore	Azioni

Data	Attore	Azione	Sede	Esito	Dettaglio

SSID gestiti da questa sede

SSID	Tipo	Profilo (VC)	VLAN	Stato live	Ultima operazione	Azioni

Rinnovo certificati per sede Una campagna accoda un rinnovo per ogni sede selezionata: un solo codice MFA per tutte

	Sede	Controller	Firmware	Certificato attivo	Credenziale di servizio	Azioni

Enrollment automatico EST Gli access point rinnovano da soli il certificato RadSec: nessun intervento per sede

Sede	Endpoint EST	Primo rilascio	Rilasci	Ultimo rinnovo	Esito	Azioni

Pre-autenticazione per il login Google Ruolo pre-auth con regole a dominio e walled garden: senza, i dipendenti non arrivano a Google Workspace dal captive portal

Certificato del captive portal Wildcard pubblico al posto del certificato di fabbrica Aruba: senza, l’HTTPS intercettato dall’AP dà errore di certificato e il login Google dal captive si ferma

Job di provisioningLe modifiche ai controller sono eseguite fuori dal portale

Rete	Sede	Controller	VLAN	Modalità	Avanzamento	Stato	Azioni

CERTIFICATE LIFECYCLE

Certificati e scadenze

Un inventario unico per HTTPS, server RadSec, CA e identità di sede

Inventario certificati

Fingerprint, servizi interessati e giorni residui

Certificato	Uso	Sede	Scadenza	Stato

Alert attivi

Deduplicati per fingerprint e soglia

Certificati client RadSec

Registro operativo; la revoca produce una richiesta di aggiornamento CRL

Sede	Identità	Scadenza	Stato	Azioni

Piattaforme wireless

Stato degli adapter disponibili

Nessuna configurazione operativa su file

Nei file restano solo bootstrap database, chiave master e binding di rete. Password e opzioni applicative, inclusa l’identità Google Workspace, sono versionate nel DB cifrato.

ArchivioDB cifratoRevisione—

Cronologia configurazione

Snapshot cifrati immutabili; il ripristino crea sempre una nuova revisione

Revisione	Schema	Data	Autore	Impronta	Azioni
Caricamento…

Portale e indirizzi

URL pubblici e comportamento mostrato agli ospiti

URL pubblico portale

Endpoint login Aruba

Fuso orario

Pagina dopo l’accesso

Accesso dopo approvazione

Email sponsor

La password SMTP viene memorizzata esclusivamente nel documento cifrato

Server SMTP

Porta

Sicurezza

Nome utente

PasswordLascia vuoto per mantenerla invariata.

Nome mittente

Email mittente

Intervallo worker email (secondi)Quanto spesso il worker verifica la coda persistente.

Google Workspace

Identità dipendenti tramite OpenID Connect; configurazione versionata e Client Secret write-only

ProtocolloIl flusso implementato è OIDC, non SAML.

File client OAuth Google (.json)Scarica da Google Cloud il client di tipo Applicazione web. Il file viene validato e salvato nel DB cifrato; non serve caricare alcun certificato.

OAuth Client IDRedirect autorizzato: —

OAuth Client SecretLascia vuoto per mantenerlo invariato.

Riautenticazione (ore)

Domini Workspace consentitiViene verificato il claim firmato hd, non il solo suffisso dell’email.

L’importazione lascia Google disattivato. Verifica domini e redirect, poi abilita il provider con un secondo salvataggio MFA. I certificati X.509 servono solo a un’eventuale integrazione SAML separata.

Login admin via Google Workspace

Sostituisce username+password+TOTP con il login Google. Un account locale (break-glass) resta come emergenza.

Utente break-glass (locale)Solo questo username puo\' usare il form password+TOTP quando OIDC è on.

Delegated subject (email admin Workspace)L’utente Workspace su cui il service account impersona per leggere i gruppi.

Service Account JSON (con DWD)Necessario per leggere i gruppi Workspace al login. Lascia vuoto per mantenerlo invariato.

Mapping gruppi Workspace → ruolo

Gruppo Workspace	Ruolo	Sedi
Nessun mapping configurato.

Facoltativo: se non definisci alcun mapping, l’autorizzazione dipende solo dagli admin importati singolarmente qui sotto (senza toccare i gruppi Workspace).

Attivare il login Google richiede Google Workspace già configurato sopra. I mapping per gruppo sono opzionali: puoi lavorare interamente con la lista di admin importati.

Admin abilitati (import singolo)

Autorizza un utente Google Workspace inserendo la sua email. Attivazione, ruolo e sedi restano nel database del portale: nessuna dipendenza dai gruppi Workspace.

Sedi vuote = tutte le sedi (super_admin, helpdesk, auditor). Per site_admin / reception / helpdesk seleziona almeno una sede.

Import da lista · una persona per riga, formato email; ruolo; CODICE-SEDE[,CODICE-SEDE] (ruolo facoltativo, predefinito reception)

Email	Ruolo	Sedi	Ultimo login	Attivo
Nessun admin importato.

Template SSID Wi-Fi

Preset tecnici usati dal wizard "Aggiungi SSID" nella sezione Rete Wi-Fi. Modifiche a security/captive/RADIUS richiedono MFA.

Mostra anche i template disattivati (soft-deleted)

Code	Nome	Vendor	Security	Captive	RADIUS	Attivo
Caricamento…

I template guest-site-standard e iot-aruba-mpsk sono seed di bootstrap: la DELETE su di loro esegue soft-deletion (active=False) invece del hard-delete, cosi' il wizard non resta senza opzioni.

Sicurezza applicativa

Limiti, sessioni e protezioni brute-force applicati immediatamente

Reti autorizzate per l’amministrazioneUna CIDR privata RFC1918/ULA per riga; reti e IP pubblici sono sempre rifiutati. IP corrente: —.

Sessione admin (ore)

Durata guest predefinita (secondi)

Durata guest massima (secondi)

Body massimo richiesta (byte)

Richieste guest / minuto

Richieste guest / ora

Duplicati guest (secondi)

Validità link sponsor (ore)

Errori login per IP

Errori login per account

Finestra login (secondi)

Blocco login (secondi)

Provisioning controller

Allowlist di rete e artefatti; l’automazione resta protetta da MFA

Reti management autorizzateUna rete CIDR per riga. Ogni indirizzo DNS del controller deve ricadere qui.

Intervallo worker (secondi)

Durata artefatti (minuti)

Porta relay CoA internoPorta RFC 5176 confinata alla rete Docker; predefinita 3799.

Segreto relay CoA internoNon va configurato sugli AP. Lascia vuoto per mantenerlo invariato.

IP sorgente download predefinito

Password CA emittenteLascia vuoto per mantenerla invariata.

Pulizia automatica dei residuiSe abilitata, il pre-check non si ferma sui profili di sede con suffisso vecchio: il piano li rimuove prima di ricreare il canonico. L’anteprima li elenca esplicitamente nel blocco safety. Lascia disabilitato finché non hai visto un paio di piani con l’operatore.

L’abilitazione dell’applicazione automatica non attiva direttamente alcun SSID: ogni job richiede comunque nuova MFA, anteprima, test e conferma finale.

Certificati e notifiche

Endpoint HTTPS/RadSec, split-DNS del monitor e soglie di scadenza

Endpoint monitorati

IP interno portale per il monitor

IP interno RadSec per il monitor

Intervallo controllo (ore)

Soglie (giorni)

Destinatari alert

Report d'uso via mail (ore 07:00) Giornaliero Settimanale, il lunedi'

Destinatari report

Accesso di rete per la whitelist (Palo Alto)

Gli IP degli ospiti in whitelist con il flag di rete vengono registrati via User-ID API in un Dynamic Address Group; una regola in cima alla policy li lascia passare verso la subnet

Firewall (IP o nome)

Chiave APIGenerata sul firewall per un utente dedicato con ruolo limitato. Lascia vuoto per mantenerla.

vsys

Certificato Verifica il certificato TLS del firewall

Subnet raggiungibile

Zona di origine (rete ospiti)

Zona di destinazione

Tag User-ID

Dynamic Address Group

Oggetto destinazione

Nome regola

Utente della chiave APIPer i commit parziali: solo le sue modifiche, mai quelle degli altri admin.

Interfaccia DHCP (VLAN ospiti)

Intervallo IP riservato: da

aFuori dal pool dinamico. Serve per l'opzione «IP fisso» delle voci.

La regola viene creata una sola volta e portata in cima; serve il commit, che il portale esegue e attende. Registrazioni e rilasci degli IP non richiedono commit.

Conservazione e manutenzione

La pulizia è progressiva e non interrompe RADIUS o portale

PII guest (giorni)

Accounting RADIUS (giorni)

Audit (giorni)

Storico email (giorni)

Intervallo manutenzione (secondi)

Salvataggio protettoInserisci un nuovo codice MFA. Il codice usato per il login non è riutilizzabile.

Il segreto MFA e i codici di recupero vengono mostrati una sola volta alla creazione.

Utente	Ruolo	Sedi	Stato	Aggiornato	Azioni

Accesso amministratore

Traffico per ora

Top consumatori

Sessioni oltre il 95° percentile

Prenotazioni DHCP

Piano generato

Pre-check

Comandi CLI

Post-check

Server SMTP

Verifica configurazione

Comportamento del captive portal

Conservazione dati

Certificati e scadenze

Notifiche scadenza

Registra certificato

Cronologia configurazione

Portale e indirizzi

Email sponsor

Google Workspace

Login admin via Google Workspace

Admin abilitati (import singolo)

Template SSID Wi-Fi

Sicurezza applicativa

Provisioning controller

Certificati e notifiche

Accesso di rete per la whitelist (Palo Alto)

Conservazione e manutenzione