Configuration de la redirection de Captive Portal sur les contrôleurs de réseau d'entreprise

Bienvenue dans le briefing technique Purple. Je suis votre hôte et, au cours des dix prochaines minutes, nous allons aborder l'un des sujets les plus recherchés et les moins bien documentés du WiFi d'entreprise : la configuration de la redirection vers le Captive Portal sur les contrôleurs réseau. Si vous avez déjà recherché "configurar controlador portal cautivo" pour finalement repartir les mains vides, ce briefing est exactement ce qu'il vous faut. Nous couvrons l'ensemble du sujet : l'architecture technique, les étapes de configuration pour chaque contrôleur, les exigences de conformité et les pièges concrets qui piègent même les équipes réseau chevronnées. Entrons dans le vif du sujet. Un Captive Portal est le mécanisme qui intercepte la première requête HTTP ou HTTPS d'un appareil invité après sa connexion à votre réseau WiFi, et le redirige vers une page de connexion personnalisée (splash page) avant de lui accorder l'accès à Internet. Cette page peut demander une connexion via les réseaux sociaux, la soumission d'un formulaire, une simple acceptation des conditions par clic ou une vérification des identifiants via un serveur RADIUS. La redirection elle-même est gérée au niveau du contrôleur, et non au niveau du point d'accès ou du pare-feu. Le contrôleur intercepte le trafic du client non authentifié, applique une liste de contrôle d'accès de pré-authentification — ce que nous appelons un walled garden — et redirige le navigateur du client vers l'URL de votre portail. Pourquoi cela est-il important sur le plan commercial ? Pour trois raisons. Premièrement, la conformité. En vertu du GDPR, vous devez obtenir un consentement explicite et éclairé avant de collecter les données personnelles des visiteurs. Un Captive Portal correctement configuré est votre mécanisme de recueil du consentement. Sans lui, vous collectez des données sans base légale, ce qui vous expose à des risques réglementaires. Deuxièmement, la sécurité. Un SSID ouvert sans authentification constitue une faille de sécurité. La redirection vers le Captive Portal, combinée à la segmentation VLAN et à un serveur RADIUS, vous offre une traçabilité par session. Vous savez qui s'est connecté, quand et depuis quel appareil. Troisièmement, la business intelligence. Chaque session authentifiée est une donnée propriétaire (first-party). Purple traite 440 millions de connexions par an sur 80 000 sites. Ces données — temps de présence, fréquence des visites, données démographiques — ne sont disponibles que si votre Captive Portal est correctement configuré pour les capturer et les transmettre. Laissez-moi maintenant vous présenter le flux de redirection, étape par étape. Étape 1 : l'appareil d'un invité s'associe à votre SSID invité. Le contrôleur lui attribue une adresse IP via DHCP, mais le place dans un état restreint de pré-authentification. Tout le trafic est bloqué, à l'exception du DNS et des domaines du walled garden que vous avez explicitement autorisés. Étape 2 : l'invité ouvre un navigateur. Sa requête HTTP parvient au contrôleur. Le contrôleur l'intercepte et émet une redirection 302 vers l'URL de votre portail. Il s'agit du mécanisme de redirection central. Étape 3 : le navigateur de l'invité charge votre splash page, hébergée soit sur le contrôleur lui-même, soit, plus fréquemment dans les déploiements d'entreprise, sur une plateforme cloud externe comme Purple. Étape quatre : le visiteur s'authentifie - via un identifiant de réseau social, un formulaire ou des identifiants. Le portail renvoie un signal d'autorisation au contrôleur, généralement via un message RADIUS Access-Accept ou un contournement d'authentification MAC. Étape cinq : le contrôleur déplace le client du VLAN de pré-authentification vers le VLAN de post-authentification, supprime la règle de redirection et accorde l'accès Internet. Ce flux en cinq étapes est le même sur toutes les principales plateformes de contrôleurs. Ce qui diffère, c'est la manière dont vous configurez chaque étape sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi et les autres. Passons en revue les principales plateformes. Cisco Meraki. Meraki utilise un portail de connexion personnalisé configuré entièrement via le tableau de bord Meraki - il n'y a pas d'interface en ligne de commande (CLI). Accédez à Wireless (Sans fil), puis à Access Control (Contrôle d'accès), sélectionnez le SSID de vos invités, réglez la page d'accueil sur "Sign-on with my RADIUS server" ou "Click-through", puis saisissez l'URL de votre portail externe dans le champ Custom Splash URL. Le walled garden (liste d'accès autorisé) est configuré dans la section Advanced Splash Settings (Paramètres avancés de la page d'accueil) - vous y ajoutez les adresses IP de votre serveur de portail afin que l'invité puisse accéder au portail de connexion avant de s'authentifier. Les détails du serveur RADIUS se configurent dans la section RADIUS : authentification sur le port 1812, comptabilisation (accounting) sur le port 1813. HPE Aruba. Sur ArubaOS, vous configurez un profil de Captive Portal sous la section AAA, en spécifiant l'URL de connexion, le groupe de serveurs pointant vers votre serveur RADIUS, et l'URL de redirection. Vous appliquez ensuite ce profil à votre SSID via le profil AP virtuel. Le rôle de pré-authentification - ce qu'Aruba appelle le rôle "logon" - contient l'ACL qui autorise le DNS, le DHCP et l'accès à la plage IP du serveur de votre portail. Après l'authentification, le contrôleur attribue le rôle "authenticated", qui permet un accès complet à Internet. Ruckus SmartZone utilise un type de réseau WLAN Hotspot pour les déploiements de Captive Portal. Sous la configuration WLAN, définissez le type de WLAN sur Hotspot, puis configurez l'URL du portail, le serveur RADIUS pour l'authentification et la comptabilisation, ainsi que les entrées du walled garden. L'interface Northbound Portal gère le flux d'authentification MAC entre le portail et le contrôleur. Juniper Mist utilise une approche cloud-native. Sous Network (Réseau), puis WLANs, créez un WLAN invité et définissez le type de portail sur "External Captive Portal". Saisissez l'URL de votre portail et configurez les détails du serveur RADIUS. Mist transmet l'adresse MAC du client, l'adresse MAC du point d'accès (AP) et le nom du SSID en tant que paramètres d'URL au portail. Ubiquiti UniFi. Dans le UniFi Network Controller, accédez à Settings (Paramètres), puis à WiFi, sélectionnez votre réseau invité et, sous Advanced Options (Options avancées), activez la Guest Policy (Politique invité) pour activer le portail hotspot. Définissez le type de portail sur "External" et saisissez l'URL de votre portail. Configurez le serveur RADIUS sous Profiles, puis RADIUS. Le walled garden est l'élément le plus fréquemment mal configuré dans les déploiements de Captive Portal. Si vous vous trompez à cette étape, vos invités verront une erreur de navigateur au lieu de votre portail de connexion. Le walled garden doit autoriser, au minimum : les adresses IP ou le domaine de votre serveur de portail, les adresses IP de votre serveur RADIUS, la résolution DNS sur le port 53, et le DHCP sur les ports 67 et 68. Si votre portail charge des ressources à partir d'un CDN - polices, images, JavaScript - ces domaines CDN doivent également être inclus dans le walled garden. Pour les déploiements Purple, nous fournissons les plages d'adresses IP et les domaines spécifiques à inscrire sur liste blanche lors de l'intégration. Le mode de défaillance le plus courant est un portail qui charge le cadre HTML mais ne parvient pas à afficher les images ou à exécuter le JavaScript parce que les domaines CDN sont absents du walled garden. Deux normes de conformité dominent ici : le GDPR et la norme PCI DSS. Sous le GDPR, votre Captive Portal doit présenter un mécanisme de consentement clair et spécifique avant de collecter des données personnelles. Cela signifie des cases à cocher distinctes et non pré-cochées pour l'accès WiFi et le consentement marketing. Vous ne pouvez pas les regrouper. L'enregistrement du consentement doit être stocké et pouvoir être récupéré à des fins d'audit. La plateforme de Purple gère cela automatiquement, en stockant les enregistrements de consentement pour chaque session authentifiée. Sous la norme PCI DSS, si votre établissement traite des paiements par carte, votre réseau WiFi invité doit être isolé de votre environnement de cartes de paiement. Cela implique un VLAN invité dédié avec des règles de pare-feu empêchant tout routage entre le segment invité et votre réseau POS. La version 4.0 de la norme PCI DSS, devenue obligatoire en mars 2024, exige des tests de segmentation réseau au moins tous les six mois. Laissez-moi vous présenter deux scénarios concrets. Scénario un : un hôtel de 350 chambres équipé de Cisco Meraki. L'hôtel souhaite remplacer un portail d'accès simple par une expérience client personnalisée aux couleurs de la marque, qui capture les adresses e-mail pour son programme de fidélité. La configuration : créez un SSID invité dédié sur un VLAN distinct avec un accès Internet uniquement. Configurez la page d'accueil Meraki pour qu'elle pointe vers l'URL du portail de Purple. Configurez l'authentification RADIUS à l'aide des informations du serveur RADIUS de Purple. Configurez le walled garden avec les plages d'adresses IP de Purple. Dans le tableau de bord Purple, créez une page d'accueil personnalisée avec un formulaire capturant le nom, l'e-mail et le numéro de chambre, avec des cases à cocher de consentement GDPR explicites. Connectez le connecteur CRM de Purple à la plateforme marketing de l'hôtel. Premier Inn a mis en œuvre ce modèle sur l'ensemble de son parc et a constaté des augmentations mesurables des taux de réservation directe provenant des clients acquis via le WiFi. Scénario deux : une chaîne de vente au détail régionale de 40 magasins équipés d'HPE Aruba. Le détaillant a besoin d'une expérience WiFi invité cohérente sur tous les sites, avec des analyses de fréquentation pour comparer les performances des magasins. Déployez Aruba Central pour gérer les 40 sites à partir d'un tableau de bord unique. Configurez un modèle de WLAN invité avec un Captive Portal externe pointant vers Purple. Appliquez le modèle à l'ensemble des sites à l'aide de la fonctionnalité de stratégie de groupe d'Aruba Central. Dans Purple, configurez un modèle de portail unique qui s'applique à tous les sites, avec des tableaux de bord analytiques par site. Le walled garden et la configuration RADIUS sont définis une seule fois dans le modèle et propagés automatiquement. Résultat : l'équipe informatique gère 40 sites à partir d'une seule console. L'équipe marketing obtient des données de fréquentation par magasin, des analyses de temps de séjour et des taux de visites répétées, le tout depuis un seul tableau de bord Purple. Quatre pièges que je vois régulièrement. Un : échecs d'interception HTTPS. Les navigateurs et systèmes d'exploitation mobiles modernes utilisent des sondes HTTPS pour détecter les captive portals. Si votre contrôleur ne peut pas intercepter le trafic HTTPS - ce qui nécessite un certificat valide pour le domaine de redirection - la sonde échoue silencieusement et l'invité ne voit aucune redirection. La solution : configurez l'interface virtuelle de votre contrôleur avec un certificat de confiance, ou utilisez des sondes uniquement HTTP sur votre SSID invité. Deux : fuite DNS. Si votre ACL de pré-authentification autorise un DNS non restreint, les invités peuvent utiliser le tunnel DNS pour contourner entièrement le Captive Portal. Restreignez le DNS uniquement à votre résolveur désigné. Trois : incohérences de l'expiration de session. Si l'expiration de session de votre contrôleur est plus courte que la validité du jeton de session de votre portail, les invités sont redirigés vers le portail en milieu de session. Alignez ces valeurs - généralement 24 heures pour l'hôtellerie et huit heures pour le commerce de détail. Quatre : absence d'accounting. L'accounting RADIUS - les messages Accounting-Start et Accounting-Stop - permet à votre portail de savoir qu'une session est terminée. Sans configuration d'accounting, les enregistrements de session de votre portail seront inexacts et vos analyses ne seront pas fiables. Questions rapides, réponses rapides. Puis-je utiliser un portail externe avec n'importe quel contrôleur ? Oui, à condition que le contrôleur prenne en charge la redirection vers un Captive Portal externe - ce qui est le cas de toutes les plateformes dont nous avons parlé. Ai-je besoin d'un serveur RADIUS pour faire fonctionner un Captive Portal ? Pas toujours. Les portails simples de type clic de connexion peuvent utiliser le contournement d'autorisation MAC sans serveur RADIUS complet. Mais pour les portails basés sur des identifiants ou des connexions sociales, RADIUS est le mécanisme standard. Le Captive Portal fonctionne-t-il avec le WPA3 ? Oui. Le WPA3 gère la couche de chiffrement sans fil. Le Captive Portal gère la couche d'authentification. Ils fonctionnent de manière indépendante et sont entièrement compatibles. Comment Purple s'intègre-t-il à mon contrôleur existant ? Purple agit en tant que serveur de portail externe. Vous pointez l'URL de splash de votre contrôleur vers le point de terminaison du portail de Purple, configurez le walled garden avec les plages IP de Purple, et configurez RADIUS à l'aide des informations de serveur de Purple. L'intégration suit le même processus, que vous utilisiez Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist ou Ubiquiti UniFi. En résumé. La redirection du Captive Portal est configurée au niveau du contrôleur, et non du point d'accès. Les composants clés sont : l'URL de splash pointant vers votre portail, le walled garden autorisant l'accès à votre serveur de portail, RADIUS pour l'authentification et l'accounting, et la segmentation VLAN pour l'isolation du réseau. Les étapes de configuration diffèrent selon le fournisseur, mais l'architecture reste la même. Pour la conformité, votre portail doit implémenter une capture de consentement conforme au GDPR et une segmentation réseau conforme à la norme PCI DSS. Le WPA3 est la norme actuelle pour le chiffrement sans fil et devrait constituer votre spécification de base pour tout nouveau déploiement. Purple s'intègre nativement avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Avec 80 000 sites et 440 millions de connexions en 2024, la plateforme est indépendante du matériel par conception - le choix de votre contrôleur ne limite pas votre capacité à capturer des données clients de première main (first-party) ou à exécuter des analyses. Votre prochaine étape : comparez la configuration actuelle de votre contrôleur avec la liste de contrôle du walled garden et de l'accounting RADIUS dans ce guide. Si vous déployez un nouveau réseau WiFi invité, commencez par les étapes de configuration spécifiques au fournisseur pour votre plateforme de contrôleur et connectez Purple comme portail externe. Merci pour votre écoute. C'était le point technique de Purple.