Captive Portal for Ruckus

Résumé exécutif

Le déploiement d'un réseau sans fil invité haute performance dans les espaces d'entreprise exige un équilibre délicat entre une expérience utilisateur fluide et une sécurité technique robuste. Pour les organisations utilisant les architectures CommScope Ruckus — allant des stades et centres de congrès à haute densité aux vastes parcs de vente au détail et groupes hôteliers — le Captive Portal sert de passerelle principale pour l'intégration des utilisateurs, l'application de la conformité et la capture de données de première partie.

Ce guide fournit un manuel d'instructions faisant autorité, étape par étape, pour intégrer des Captive Portals externes aux contrôleurs Ruckus SmartZone et Ruckus Unleashed. En s'appuyant sur les protocoles d'itinérance standard de l'industrie WISPr (Wireless Internet Service Provider roaming), les ingénieurs réseau peuvent mettre en œuvre une redirection fiable, une authentification RADIUS (Remote Authentication Dial-In User Service) sécurisée et des configurations de Walled Garden granulaires.

Lorsqu'elle est associée à la plateforme Guest WiFi de Purple et de WiFi Analytics , cette intégration permet aux exploitants de sites de capturer des données démographiques cruciales sur les visiteurs, de se conformer aux réglementations internationales sur les données (telles que le GDPR et PCI DSS) et de débloquer une automatisation marketing puissante. Qu'il s'agisse de déployer des architectures Virtual SmartZone (vSZ) centralisées dans les hubs d' Hôtellerie et de Transport , ou des réseaux Unleashed distribués basés sur des points d'accès dans les environnements de Vente au détail , cette référence technique garantit un déploiement résilient et à haut débit.

Analyse technique approfondie

Pour déployer un réseau invité hautement évolutif, les ingénieurs doivent comprendre les normes de communication sous-jacentes qui régissent le flux du Captive Portal. Les architectures Ruckus utilisent la norme WISPr 2.0 pour négocier la redirection et l'authentification des clients. WISPr définit comment un point d'accès (AP) sans fil ou un contrôleur intercepte le trafic HTTP/HTTPS non authentifié et redirige le navigateur du client vers un serveur web de portail externe.

Le flux d'authentification WISPr

Le processus de redirection du Captive Portal externe suit une séquence stricte de transactions réseau. La compréhension de ce flux est essentielle pour le dépannage et la configuration des politiques de pare-feu en amont :

1. Association : Le client invité s'associe au SSID invité ouvert et non crypté. Le point d'accès attribue une adresse IP au client via DHCP.
2. Sonde HTTP : Le système d'exploitation du client lance une sonde HTTP (par exemple, la sonde Captive Network Assistant d'Apple vers captive.apple.com ou le test de connectivité d'Android vers connectivitycheck.gstatic.com) pour vérifier l'accès à Internet.
3. Redirection HTTP 302 : L'AP Ruckus ou le contrôleur SmartZone intercepte cette requête HTTP non authentifiée. Il répond par une redirection HTTP 302, redirigeant le navigateur du client vers l'URL du portail externe (par exemple, la page de connexion de Purple). Cette URL de redirection est complétée par des paramètres de requête critiques, notamment l'adresse MAC du client (client_mac), l'adresse IP (client_ip), l'adresse MAC de l'AP (ap_mac) et l'IP de l'interface Northbound du contrôleur (nbiIP).
4. Affichage du Portail : Le navigateur du client charge la page du portail externe. Le trafic non authentifié vers le domaine du portail et ses ressources associées est autorisé par la politique de Walled Garden du contrôleur.
5. Authentification de l'utilisateur : L'utilisateur remplit les conditions de connexion (par exemple, connexion via les réseaux sociaux, inscription par SMS, soumission de formulaire) sur le portail.
6. RADIUS Access-Request : La plateforme du portail externe, agissant en tant que client RADIUS, envoie un Access-Request au serveur d'authentification RADIUS configuré (tel que l'infrastructure Cloud RADIUS de Purple).
7. RADIUS Access-Accept : Le serveur RADIUS valide les identifiants et renvoie un paquet Access-Accept contenant les paramètres de session (par exemple, la durée de la session, les limites de bande passante) au contrôleur Ruckus.
8. Rappel NBI : Le portail externe effectue un appel API vers l'interface Northbound (NBI) du contrôleur Ruckus à l'aide des identifiants WISPr, demandant au contrôleur d'autoriser l'adresse MAC du client.
9. Accès Internet : Le contrôleur fait passer l'état du client à « Authentifié », permettant un accès complet à Internet conformément aux politiques de session configurées.

Comparaison de l'Architecture Centrale

Selon la taille du site, les organisations déploient soit l'architecture CommScope Ruckus SmartZone (échelle entreprise, basée sur un contrôleur), soit Ruckus Unleashed (distribuée, sans contrôleur). Bien que toutes deux prennent en charge les Captive Portals externes basés sur WISPr, leurs chemins de configuration sous-jacents et leurs capacités diffèrent considérablement :

Guide d'implémentation

Ce guide d'implémentation étape par étape accompagne les ingénieurs réseau dans la configuration d'un Captive Portal externe sur les contrôleurs Ruckus SmartZone et Ruckus Unleashed.

Partie A : Configuration de Ruckus SmartZone

Étape 1 : Configurer les serveurs RADIUS AAA

Pour authentifier les utilisateurs invités par rapport à une base de données externe, vous devez d'abord définir les serveurs d'authentification et de comptabilité RADIUS.

1. Naviguez vers Services & Profiles > Authentication et sélectionnez l'onglet Proxy (SZ Authenticator).
2. Sélectionnez votre Zone cible et cliquez sur Create.
3. Configurez les paramètres suivants :
   • Name : Purple_RADIUS_Auth
   • Service Protocol : RADIUS
   • Primary Server IP : Saisissez l'adresse IP fournie dans votre console d'administration Purple.
   • Port : 1812
   • Shared Secret : Saisissez votre secret partagé Purple RADIUS.
   • Backup RADIUS : Enabled (Configurez l'adresse IP secondaire, le port 1812 et le même secret partagé pour la haute disponibilité).
4. Cliquez sur OK pour enregistrer.
5. Naviguez vers Services & Profiles > Accounting et cliquez sur Create sous l'onglet Proxy (SZ Authenticator).
6. Configurez les paramètres suivants :
   • Name : Purple_RADIUS_Acct
   • Service Protocol : RADIUS Accounting
   • Primary Server IP : Saisissez l'adresse IP fournie dans votre console d'administration Purple.
   • Port : 1813
   • Shared Secret : Saisissez votre secret partagé Purple RADIUS.
   • Backup RADIUS : Enabled (Configurez l'adresse IP secondaire, le port 1813 et le même secret partagé).
7. Cliquez sur OK pour enregistrer.

Étape 2 : Configurer le profil de portail Hotspot WISPr

Le profil Hotspot WISPr définit le comportement de redirection et les règles de Walled Garden.

1. Naviguez vers Services & Profiles > Hotspots & Portals > Hotspot (WISPr).
2. Sélectionnez votre Zone cible et cliquez sur Create.
3. Dans la section General Options, configurez :
   • Portal Name : Purple_WISPr_Portal
   • WISPr Smart Client Support : None
   • Login URL : Sélectionnez External et saisissez l'URL de redirection principale fournie par Purple (ex. https://login.purple.ai/start).
   • Redirect MAC Format : AA:BB:CC:DD:EE:FF (Ce format est essentiel pour l'analyse de la base de données de Purple).
4. Dans la section Start Page, configurez :
   • Sélectionnez Redirect to the following URL et saisissez : https://login.purple.ai/success.php
5. Dans la section Session Options, configurez :
   • Session Timeout : 1440 minutes (24 heures, ou selon votre politique d'entreprise).
   • Période de grâce : 60 minutes (permet aux utilisateurs de se reconnecter dans l'heure sans avoir à se réauthentifier).
6. Cliquez sur OK pour enregistrer le profil.

Étape 3 : Définir les exceptions du Walled Garden

Le Walled Garden permet aux clients non authentifiés de résoudre le DNS et de télécharger des ressources à partir de domaines spécifiques requis pour charger la page de splash et s'authentifier.

1. Modifiez votre profil Purple_WISPr_Portal nouvellement créé.
2. Faites défiler vers le bas et cliquez sur le signe + pour développer la section Walled Garden.
3. Ajoutez les domaines obligatoires suivants. Notez que Ruckus SmartZone requiert le format générique *.domain.com :
   • *.purple.ai (Portail principal et domaine de redirection)
   • *.cloudfront.net (CDN pour le chargement des feuilles de style et des ressources JavaScript)
   • *.apple.com et captive.apple.com (Pour gérer le comportement de l'Apple Captive Network Assistant)
   • *.googleapis.com et *.gstatic.com (Pour l'API Google et la diffusion de ressources)
4. Ajoutez tous les domaines de réseaux sociaux si vous activez la connexion sociale (par exemple, *.facebook.com, *.facebook.net pour la connexion Facebook).
5. Cliquez sur OK pour enregistrer.

Étape 4 : Configurer le réseau sans fil invité (WLAN)

Maintenant, associez les serveurs RADIUS et le profil Hotspot à un nouveau SSID.

1. Accédez à Wireless LANs et sélectionnez votre Zone cible.
2. Cliquez sur Create pour créer un nouveau WLAN.
3. Configurez les General Options :
   • Name : Guest_WiFi
   • SSID : !Free_Venue_WiFi
4. Configurez les Security Options :
   • Authentication Type : Hotspot (WISPr)
   • Method : Open
   • Encryption Options : None
5. Développez la section Hotspot Portal :
   • Hotspot (WISPr) Portal : Sélectionnez Purple_WISPr_Portal.
   • Authentication Service : Sélectionnez Purple_RADIUS_Auth.
   • Accounting Service : Sélectionnez Purple_RADIUS_Acct.
   • Send Interim Update : Réglez sur 5 minutes (essentiel pour le suivi des sessions en temps réel).
6. Développez les RADIUS Options :
   • NAS ID : Réglez sur User-defined et saisissez l'identifiant de site attribué par Purple.
   • Called Station ID : Sélectionnez AP MAC.
   • Single Session ID : ON (Empêche la duplication de session entre les points d'accès).
7. Cliquez sur OK pour déployer le WLAN.

Étape 5 : Activer l'interface WISPr Northbound (NBI)

La NBI permet à Purple de communiquer avec le SmartZone pour autoriser les clients.

1. Accédez à Administration > External Services > WISPr Northbound Interface.
2. Cochez la case Enable Northbound Interface support.
3. Définissez un Username et un Password (par exemple, purple_nbi / SecureNbiPassword123!).
4. Saisissez ces identifiants dans la console d'administration Purple sous Integrations > Ruckus SmartZone.

Étape 6 : Désactiver le chiffrement MAC/IP (ÉTAPE CLI CRITIQUE)

Par défaut, SmartZone chiffre les adresses MAC dans l'URL de redirection. Vous devez désactiver cette option pour que Purple puisse lire les adresses MAC des clients.

1. Ouvrez une session SSH sur l'IP de gestion de votre contrôleur SmartZone.
2. Connectez-vous avec vos identifiants d'administrateur.
3. Exécutez les commandes suivantes :

   ruckus> enable
   ruckus# config
   ruckus(config)# no encrypt-mac-ip
   ruckus(config)# end
   ruckus# write memory
   

Partie B : Configuration de Ruckus Unleashed

Pour les sites de plus petite taille utilisant une architecture Unleashed sans contrôleur, configurez le Captive Portal via l'interface web du point d'accès principal.

Étape 1 : Définir les serveurs AAA

1. Accédez à Admin & Services > Services > AAA Servers.
2. Cliquez sur Create New pour ajouter le serveur d'authentification RADIUS :
   • Name : Purple_Auth
   • Type : RADIUS
   • IP Address : Saisissez l'adresse IP RADIUS de Purple.
   • Port : 1812
   • Shared Secret : Saisissez votre secret partagé RADIUS Purple.
3. Cliquez sur OK.
4. Cliquez sur Create New pour ajouter le serveur de comptabilité RADIUS :
   • Name : Purple_Acct
   • Type : RADIUS Accounting
   • IP Address : Saisissez l'adresse IP RADIUS de Purple.
   • Port : 1813
   • Shared Secret : Saisissez votre secret partagé RADIUS Purple.
5. Cliquez sur OK.

Étape 2 : Configurer le service Hotspot

1. Accédez à Admin & Services > Services > Hotspot Services.
2. Cliquez sur Create New.
3. Sous l'onglet General :
   • Name : Purple_Hotspot
   • Login URL : Saisissez votre URL de redirection Purple.
   • Start Page : Sélectionnez Redirect to the following URL et saisissez https://login.purple.ai/success.php.
4. Sous l'onglet Authentication :
   • Authentication Server : Sélectionnez Purple_Auth.
   • Accounting Server : Sélectionnez Purple_Acct.
   • Interim Update : Définissez sur 5 minutes.
5. Sous l'onglet Walled Garden :
   • Ajoutez les entrées au niveau du domaine (par ex., purple.ai, cloudfront.net, gstatic.com). Notez qu'Unleashed ne requiert pas le préfixe générique astérisque ; la correspondance standard au niveau du domaine est appliquée automatiquement.
6. Cliquez sur OK pour enregistrer.

Étape 3 : Assigner le service Hotspot au WLAN

1. Accédez à Wi-Fi Networks et cliquez sur Create.
2. Définissez le Name et le SSID avec le nom de votre réseau invité.
3. Définissez le Usage Type sur Hotspot Service.
4. Sélectionnez Purple_Hotspot dans la liste des services.
5. Cliquez sur OK pour publier le SSID sur l'ensemble des points d'accès Unleashed.

Bonnes pratiques

Pour garantir des performances maximales, une sécurité optimale et la conformité réglementaire, les architectes réseau doivent mettre en œuvre les bonnes pratiques standard de l'industrie suivantes :

1. Segmentation granulaire du VLAN invité

Ne mappez jamais le trafic invité sur le VLAN natif ou de gestion. Isolez toujours les clients invités sur un VLAN dédié et non routable (par ex., VLAN 100). Mettez en œuvre des listes de contrôle d'accès (ACL) strictes sur le commutateur ou le pare-feu en amont pour empêcher le trafic invité d'atteindre les sous-réseaux de l'entreprise, les systèmes de point de vente (POS) et l'infrastructure IoT. Cette segmentation est une exigence fondamentale pour la conformité PCI DSS.

2. Optimisation RF haute densité

Dans les environnements à haute densité tels que les stades, les centres de conférence et les grands hubs commerciaux, le réglage RF est essentiel. Désactivez les débits de données hérités inférieurs (par exemple, désactivez les débits 802.11b inférieurs à 12 Mbps) pour forcer les clients à utiliser des débits plus rapides, réduisant ainsi l'encombrement du temps d'antenne. Activez le Band Steering pour diriger les appareils clients bi-bande vers les spectres 5 GHz et 6 GHz, préservant ainsi la bande 2.4 GHz très encombrée pour les appareils hérités.

3. Gestion dynamique du Walled Garden

Gardez votre Walled Garden aussi restreint que possible. Des Walled Gardens trop permissifs (comme l'ajout de grands sous-réseaux IP tels que 172.217.0.0/16) peuvent permettre à des utilisateurs non authentifiés de contourner le Captive Portal et d'accéder à des services externes (comme Google Search ou YouTube) sans se connecter. Inspectez régulièrement les domaines de votre Walled Garden, en particulier après l'activation de nouveaux fournisseurs de connexion sociale.

4. Gestion sécurisée des sessions

Définissez des délais d'expiration de session raisonnables (par exemple, 1440 minutes / 24 heures) et des périodes de grâce (par exemple, 60 minutes). Une période de grâce bien configurée évite la « fatigue du portail » en permettant aux utilisateurs qui perdent temporairement la couverture WiFi (par exemple, en sortant du hall d'un hôtel) de se reconnecter de manière transparente sans être obligés de se réauthentifier.

5. Conformité réglementaire et sécurité

Le déploiement d'un réseau WiFi invité public expose les sites à des risques juridiques. Assurez-vous que l'intégration de votre Captive Portal est conforme aux réglementations locales :

• GDPR / CCPA : Assurez-vous que la splash page affiche des conditions d'utilisation et des politiques de confidentialité claires, nécessitant un consentement actif (opt-in) pour les communications marketing.
• Mode de transition WPA3 : Bien que les réseaux invités soient généralement ouverts, envisagez d'activer le mode de transition WPA3 avec l'Opportunistic Wireless Encryption (OWE) pour chiffrer le trafic sans fil entre le client et l'AP sans nécessiter de clé pré-partagée, protégeant ainsi les invités de l'écoute passive.
• Filtrage de contenu Web : Les serveurs DNS en amont (tels que Cisco Umbrella ou Cloudflare Families) doivent être configurés pour bloquer les domaines malveillants, les contenus pour adultes et le trafic de partage de fichiers illégal sur le VLAN invité.

Dépannage et atténuation des risques

Lors du déploiement de Captive Portals externes sur du matériel Ruckus, les ingénieurs rencontrent généralement un ensemble prévisible de problèmes de configuration et de chemin réseau. Utilisez ce cadre de dépannage structuré pour résoudre les goulots d'étranglement du déploiement.

Modes de défaillance courants et pistes de résolution

Problème 1 : Les appareils invités ne sont pas redirigés vers la page du Captive Portal.

• Cause racine A : Échec de la résolution DNS. Les clients non authentifiés doivent pouvoir résoudre les requêtes DNS avant la redirection. Si le client ne peut pas résoudre login.purple.ai, la redirection échouera.
  • Résolution : Vérifiez que la plage DHCP attribuée au VLAN invité fournit des serveurs DNS publics valides (par exemple, 1.1.1.1 ou 8.8.8.8). Assurez-vous que le pare-feu en amont autorise le trafic du port UDP 53 depuis le sous-réseau invité vers Internet avant l'authentification.
• Cause racine B : Le pare-feu bloque le port 9080/9443. SmartZone nécessite l'ouverture de ports spécifiques pour charger la splash page.
  • Résolution : Assurez-vous que le port TCP 9080 (HTTP) ou 9443 (HTTPS) est autorisé à travers tous les pare-feux locaux.
• Cause racine C : Mauvaise configuration du Walled Garden. L'URL de redirection elle-même peut être bloquée.
  • Résolution : Assurez-vous que *.purple.ai est explicitement défini dans le Walled Garden WISPr du Hotspot.

Problème 2 : Les visiteurs peuvent voir et remplir la page de connexion, mais ne peuvent pas accéder à Internet après avoir cliqué sur « Se connecter ».

• Cause racine A : Échec de communication NBI. Le portail externe ne peut pas renvoyer l'appel API d'autorisation au contrôleur SmartZone.
  • Résolution : Vérifiez que l'interface Northbound (NBI) du SmartZone est activée et que les identifiants saisis dans la console d'administration Purple correspondent à la configuration du contrôleur. Assurez-vous que votre pare-feu périphérique autorise le trafic entrant sur le port TCP 9080 (ou 9443) depuis la plage d'adresses IP publiques de Purple vers l'IP de gestion du SmartZone.
• Cause racine B : Échec d'authentification RADIUS. Le contrôleur rejette le message RADIUS Access-Accept ou ne l'a pas reçu.
  • Résolution : Accédez à Services & Profiles > Authentication sur le SmartZone, sélectionnez votre serveur RADIUS et cliquez sur Test AAA. Saisissez des identifiants de test pour vérifier la connectivité. Si le test échoue, vérifiez l'IP RADIUS, le port 1812 et le Secret Partagé. Assurez-vous que les ports UDP 1812 et 1813 sont autorisés en sortie sur votre pare-feu périphérique.

Problème 3 : Les appareils Apple iOS n'affichent pas automatiquement le mini-navigateur Captive Network Assistant (CNA).

• Cause racine : Contournement du CNA Apple activé ou Walled Garden trop permissif. Si le domaine de test d'Apple est autorisé dans le walled garden, iOS suppose qu'il dispose d'un accès Internet direct et masque le CNA.
  • Résolution : Assurez-vous que captive.apple.com n'est PAS entièrement contourné dans votre walled garden si vous souhaitez forcer l'apparition du CNA. Inversement, si votre politique consiste à contourner le CNA et à forcer les utilisateurs à ouvrir un navigateur standard, assurez-vous que l'option Bypass CNA est activée (ON) dans la configuration du WLAN.

Exigences relatives aux ports réseau et aux protocoles

Pour garantir une communication fluide entre le contrôleur Ruckus, les appareils clients et le portail externe, vérifiez que les ports suivants sont autorisés sur vos pare-feux réseau :

ROI & Impact Commercial

Alors que les ingénieurs réseau se concentrent sur les flux de paquets et les configurations de ports, les directeurs informatiques et les CTO doivent justifier l'investissement dans le WiFi invité d'entreprise. L'intégration du matériel haute densité Ruckus avec la plateforme Purple's WiFi Analytics transforme un réseau considéré comme un centre de coûts en un actif commercial à forte valeur ajoutée, offrant un retour sur investissement (ROI) mesurable.

1. Capture de données de première partie à grande échelle

Dans des secteurs comme le Retail et l' Hospitality , la compréhension de la démographie des clients est un moteur essentiel de la croissance de l'entreprise. Un SSID ouvert standard ne capture aucune donnée visiteur. En implémentant le Captive Portal de Purple, les sites atteignent des taux moyens de complétion de connexion de 25 % à 40 %. Cela permet aux exploitants de capturer légalement des adresses e-mail vérifiées, des numéros de téléphone et des profils sociaux.

2. Marketing et engagement hyper-localisés

En associant les services de localisation précis de Ruckus au moteur marketing de Purple, les sites peuvent déclencher des campagnes automatisées en temps réel basées sur la présence physique. Par exemple, une marque de retail peut déclencher l'envoi d'un coupon SMS ciblé à un client qui parcourt un rayon spécifique depuis plus de 15 minutes, ou un hôtel peut envoyer un e-mail de bienvenue avec un lien pour réserver des services de spa immédiatement après la connexion du client au WiFi du hall.

3. Efficacité opérationnelle et insights sur les sites

L'intégration des portails captifs aux analyses de localisation fournit une intelligence opérationnelle puissante. Les directeurs de sites peuvent surveiller :

• Fréquentation et temps de séjour : Mesurez le nombre exact de visiteurs, leur temps de présence et leur parcours dans l'espace physique.
• Fidélité et taux de retour : Identifiez les nouveaux visiteurs par rapport aux visiteurs réguliers pour évaluer l'impact des campagnes marketing et des changements opérationnels.
• Optimisation du personnel : Alignez les effectifs sur les cartes de densité des visiteurs en temps réel, réduisant ainsi les frais généraux pendant les heures creuses et améliorant le service client pendant les heures de pointe.

Matrice d'impact commercial

Le tableau ci-dessous présente les résultats commerciaux types dans les principaux secteurs verticaux suite au déploiement d'un réseau WiFi invité intégré Ruckus et Purple :

En alignant l'excellence technique de l'ingénierie sans fil avec les objectifs stratégiques de l'entreprise, l'intégration de Ruckus et Purple offre une infrastructure réseau d'entreprise sécurisée, conforme et hautement rentable.

Références

• [1] CommScope Ruckus SmartZone Access Services Guide
• [2] Ruckus SmartZone RADIUS Authentication Deployment Guide
• [3] Ruckus Unleashed Hotspot WISPr Configuration Guide
• [4] Cisco Wireless APs: 2026 Guide to Products & Deployment
• [5] 10 Best Network Access Control (NAC) Solutions for 2026
• [6] WiFi in Schools: The 2026 Administrator & IT Guide
• [7] How to Implement 802.1X Authentication with Cloud RADIUS