Configuration du Captive Portal FortiGate avec un serveur de portail externe

Sur FortiGate, un captive portal externe nécessite quatre éléments. Définissez le mode de sécurité de l'SSID ou de l'interface sur captive portal avec une URL de portail externe. Pointez l'authentification et la comptabilisation vers un serveur RADIUS. Exemptez le portail et les domaines de connexion sociale de l'authentification, et installez un certificat de confiance afin que le renvoi HTTPS ne déclenche aucun avertissement du navigateur.

Que fait réellement un captive portal externe FortiGate ?

Un captive portal est la page web qu'un visiteur doit remplir avant que le réseau ne laisse passer son trafic. Dans une configuration externe, FortiGate applique le portail et un serveur distinct héberge la page. Avec Purple, ce serveur est notre plateforme Guest WiFi.

La connexion se déroule en cinq étapes :

1. L'invité rejoint un SSID ouvert (le nom du réseau) diffusé par un FortiAP, ou un réseau situé derrière une interface FortiGate. Il reçoit une adresse IP.
2. L'appareil effectue sa première requête web. FortiGate l'intercepte et redirige le navigateur vers l'URL du portail externe. Il ajoute des paramètres qui identifient la session, l'adresse MAC du client et l'adresse de connexion propre au FortiGate.
3. L'invité remplit la page d'accueil Purple : un formulaire, une connexion via les réseaux sociaux ou l'acceptation des conditions d'utilisation.
4. Le portail renvoie les identifiants à l'écouteur d'authentification du FortiGate. Par défaut, celui-ci écoute sur le port TCP 1000 pour HTTP et le port TCP 1003 pour HTTPS.
5. FortiGate envoie une requête RADIUS Access-Request à Purple. Lors de la réception de l'Access-Accept, il marque l'appareil comme authentifié et applique la politique de pare-feu invité. Les messages d'accounting signalent ensuite le début de la session, l'utilisation intermédiaire et la fin de la session.

RADIUS (Remote Authentication Dial-In User Service) est le protocole utilisé par FortiGate pour demander "cet appareil peut-il se connecter ?". Il est défini dans la norme RFC 2865, avec la comptabilisation dans la norme RFC 2866.

La répartition du travail est le point essentiel. FortiGate conserve l'application des règles : politique de pare-feu, NAT et état de la session. Purple gère l'identité, le consentement et les données des invités. Vous pouvez modifier la page d'accueil de tous vos sites dans Purple sans toucher à FortiOS.

Portail intégré ou portail externe ?

FortiOS intègre son propre captive portal. Il fonctionne correctement, et pour un site unique disposant d'une page d'avertissement, il peut suffire. Le tableau ci-dessous montre la différence entre les deux approches.

	Portail intégré FortiGate	Portail externe avec Purple
Emplacement de la page	HTML du message de remplacement sur chaque FortiGate	Hébergé par Purple, un seul design pour chaque site
Options de connexion	Types de portails d'authentification, de clause de non-responsabilité et de collecte d'e-mails	Formulaires, connexion via les réseaux sociaux et acceptation des conditions d'utilisation
Attribution de l'accès	Groupes d'utilisateurs du pare-feu locaux ou distants	RADIUS vers Purple sur le port UDP 1812
Gestion du consentement	Capture d'e-mails uniquement ; les registres d'opt-in sont à votre charge	Opt-ins avec choix éclairé enregistrés par invité
Modification de la page sur 40 sites	Modifier chaque FortiGate ou déployer via FortiManager	Une seule modification dans Purple
Rapports	Journaux FortiGate et FortiAnalyzer	Tableaux de bord WiFi Analytics par site
Parc multi-fournisseurs	Matériel Fortinet uniquement	Même portail sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet
Usage idéal	Un seul site, accès sur simple acceptation des conditions	Parcs multi-sites souhaitant collecter des données propriétaires

De quoi avez-vous besoin avant de commencer la configuration du portail captif FortiGate ?

Rassemblez ces éléments avant d'ouvrir l'interface graphique de votre FortiGate. La plupart des déploiements échoués sont dus à un élément manquant dans cette liste.

• Un FortiGate sur une version FortiOS prise en charge. Soit le FortiGate gère vos FortiAP en tant que contrôleur sans fil, soit l'une de ses interfaces sert le réseau invités. Le mode interface prend en charge les points d'accès tiers et les ports invités filaires.
• Un segment de réseau invités. Placez les invités sur leur propre VLAN (LAN virtuel, un domaine de diffusion de couche 2 séparé) ou sur une interface SSID dédiée. Ne partagez jamais un sous-réseau avec le personnel ou les appareils de paiement ; la norme PCI-DSS exige que les systèmes contenant les données des titulaires de cartes soient segmentés des réseaux non sécurisés.
• Les identifiants de votre compte Purple. Vous avez besoin de l'URL du portail externe, des adresses des serveurs RADIUS et du secret partagé. Ces informations proviennent de l'article de support FortiGate de Purple et de votre tableau de bord Purple. Elles sont spécifiques à votre compte, ne les copiez donc jamais depuis un forum.
• Une accessibilité sortante. Le FortiGate doit pouvoir joindre les serveurs RADIUS de Purple sur le port UDP 1812 pour l'authentification et le port UDP 1813 pour la comptabilisation (accounting).
• Un certificat publiquement approuvé. Il doit couvrir un nom d'hôte qui résout l'adresse de l'interface invités du FortiGate. La section sur les certificats ci-dessous en explique la raison.
• Un inventaire de la liste d'exemption. Décidez des méthodes de connexion que vous allez proposer, car chacune d'elles ajoute des domaines à votre jardin clôturé (walled garden).
• Une couverture fiable. Un portail ne peut pas corriger un signal faible. Si les invités se plaignent de déconnexions, réalisez d'abord une étude de site ; notre guide sur les études de site WiFi en détaille la méthode.

Qu'est-ce qui change entre les versions de FortiOS ?

Fortinet déplace et renomme les paramètres du portail captif entre les versions majeures de FortiOS. Sur certaines versions, des options telles que la liste d'exemption ou le certificat d'authentification sont plus faciles à configurer, ou uniquement disponibles, via l'interface en ligne de commande (CLI). Les SSID en mode pont (bridge) et en mode tunnel peuvent également se comporter différemment selon le micrologiciel.

Trois habitudes vous permettront d'éviter les erreurs :

• Consultez le guide d'administration correspondant exactement à votre version de FortiOS dans la bibliothèque de documents Fortinet, et non la toute dernière version.
• Vérifiez les notes de mise à jour pour relever les changements concernant le portail captif et le serveur RADIUS avant chaque mise à niveau.
• Exécutez à nouveau votre matrice de test complète après chaque mise à jour du micrologiciel, avant que les invités ne découvrent le problème à votre place.

Comment configurer un portail captif sur FortiGate avec un serveur de portail externe ?

La séquence ci-dessous fonctionne aussi bien pour les SSID FortiAP que pour les interfaces FortiGate. L'article d'assistance FortiGate de Purple contient les valeurs exactes et les captures d'écran pour chaque étape. Utilisez-le en complément de ce résumé.

Étape 1 : ajouter Purple en tant que serveur RADIUS

Créez un objet serveur RADIUS sur le FortiGate. Entrez les adresses de serveur Purple et le secret partagé de votre compte. Activez l'accounting pour que FortiGate envoie les enregistrements de début, d'intermédiaire et de fin de session à Purple.

Si le FortiGate possède plus d'une liaison WAN, définissez explicitement l'adresse source RADIUS. Les requêtes RADIUS doivent toujours partir de l'adresse attendue par Purple ; sinon, un basculement interrompt silencieusement les connexions. Utilisez le test de connectivité intégré sur l'objet RADIUS avant de continuer.

Étape 2 : créer un groupe d'utilisateurs pare-feu

Créez un groupe d'utilisateurs de type pare-feu et ajoutez le serveur RADIUS Purple comme serveur distant. Le Captive Portal authentifiera les invités par rapport à ce groupe. Conservez un groupe par source d'authentification afin de garder un dépannage clair.

Étape 3 : définir le mode de sécurité sur Captive Portal

Pour FortiAP, modifiez l'SSID invité. Pour les points d'accès filaires ou tiers, modifiez l'interface invitée. Ensuite :

• Définissez le mode de sécurité sur Captive Portal.
• Choisissez le type de portail d'authentification et sélectionnez l'option de portail externe.
• Collez l'URL du portail externe fournie par Purple.
• Sélectionnez le groupe d'utilisateurs de l'Étape 2.
• Choisissez la redirection après connexion : l'URL d'origine de l'invité ou une page que vous spécifiez.

Sur FortiAP, attribuez l'SSID au profil FortiAP utilisé par vos points d'accès. La documentation de Fortinet utilise le mode tunnel comme référence pour les SSID avec Captive Portal. Si vous faites du bridging local, confirmez que votre firmware prend en charge le Captive Portal dans ce mode.

Étape 4 : construire la liste d'exemption

Créez des objets d'adresse pare-feu pour chaque destination que les invités doivent atteindre avant l'authentification. Associez-les à l'SSID ou à l'interface en tant que liste d'exemption de sécurité. La section suivante énumère ce qui doit y figurer et ce qui doit en être exclu.

Étape 5 : rédiger la politique de pare-feu invité

Créez une politique allant de l'SSID ou de l'interface invité vers le WAN, avec le NAT activé. Appliquez les profils de filtrage web et de contrôle des applications requis par votre politique d'utilisation acceptable. Assurez-vous que les invités peuvent résoudre les requêtes DNS avant de s'authentifier, sinon la redirection ne se déclenchera jamais.

Étape 6 : installer le certificat et utiliser HTTPS pour le post-back

Importez votre certificat publiquement approuvé et configurez FortiGate pour qu'il l'utilise pour l'authentification. Orientez le post-back du portail vers le listener HTTPS, en utilisant le nom d'hôte présent sur ce certificat. Cela supprime l'avertissement que les invités verraient autrement au moment de soumettre le formulaire.

Étape 7 : aligner les délais d'expiration

Le délai d'expiration de l'authentification de FortiGate détermine combien de temps un appareil authentifié reste sur la liste. Les paramètres de session de Purple déterminent ce qu'un invité de retour voit. Si votre firmware respecte l'attribut RADIUS Session-Timeout (RFC 2865), laissez Purple définir la durée de la session à partir d'un seul endroit.

Que doit inclure la liste d'exemption du FortiGate ?

La liste d'exemption est le jardin fermé de FortiGate : les destinations qu'un appareil peut atteindre avant de s'authentifier. Trop courte, et le portail ne fonctionne plus. Trop longue, et les invités naviguent sans jamais se connecter.

Catégorie	Exemples d'entrées	Pourquoi	Exempté ?
Portail et éléments Purple	Nom d'hôtes répertoriés dans l'article de support FortiGate de Purple	Charge la page de redirection, les images et les scripts	Oui
Fournisseurs de connexion sociale	Domaines de connexion pour Facebook, Google, Apple et Microsoft, en tant qu'objets FQDN génériques	La connexion OAuth doit être terminée avant l'authentification	Oui, uniquement pour les fournisseurs que vous activez
Vos propres pages d'information	Le site d'information des patients d'un hôpital, la page jour de match d'un stade	Les visiteurs accèdent aux informations essentielles sans se connecter	Optionnel
Détection de Captive Portal par l'OS	captive.apple.com, connectivitycheck.gstatic.com, www.msftconnecttest.com	Le test doit échouer pour que l'appareil ouvre la page de connexion	Non, jamais
Navigation générale	Sites d'actualités, de recherche et de streaming	Contourne le portail	Non

Deux règles permettent d'éviter la plupart des échecs de jardin captif.

Utilisez des objets FQDN, pas des adresses IP. Les fournisseurs de connexion sociale diffusent leurs pages de connexion à partir de réseaux de distribution de contenu dont les adresses changent constamment. Une liste d'adresses IP statiques devient obsolète en quelques semaines.

Assurez-vous que le FortiGate et l'invité s'accordent sur le DNS. FortiGate résout lui-même les objets d'adresse FQDN. Les objets FQDN génériques sont renseignés à partir des réponses DNS qui transitent par le FortiGate. Si le DHCP transmet aux invités un résolveur public, l'invité et le FortiGate peuvent recevoir des adresses CDN différentes, et l'entrée exemptée échoue. Transmettez le FortiGate, ou le résolveur qu'il utilise, comme serveur DNS invité.

Pour les sites du secteur de la santé, exempter une page d'information des patients permet aux visiteurs de trouver les horaires des services sans se connecter. Conservez ces entrées dans une liste courte et nommée, puis révisez-la tous les trimestres.

Pourquoi le Captive Portal de FortiGate affiche-t-il une erreur de certificat ?

Deux moments différents génèrent des avertissements de certificat. Ils ont des causes et des solutions distinctes.

Avertissement 1 : l'invité ouvre un site HTTPS avant de se connecter

La majeure partie de la navigation se fait en HTTPS. Pour la rediriger, FortiGate doit répondre lui-même à la négociation TLS, en présentant son propre certificat pour un site qu'il ne possède pas. Le navigateur détecte une incompatibilité de nom et émet un avertissement. Aucun certificat ne peut résoudre ce problème, car aucun certificat n'est valide pour tous les sites web.

Les sites figurant sur la liste de préchargement HSTS (HTTP Strict Transport Security, qui indique aux navigateurs de refuser les connexions non sécurisées) ne permettent pas de passer outre l'avertissement. Les sites bancaires et de messagerie électronique appartiennent généralement à ce groupe.

La solution consiste à s'appuyer sur la détection de Captive Portal du système d'exploitation. iOS, Android, Windows et macOS testent chacun une URL HTTP simple lors de la connexion à un réseau. FortiGate redirige ce test et l'appareil ouvre la page de connexion avant que l'invité n'ouvre un navigateur. C'est pourquoi les domaines de détection ne doivent jamais figurer dans la liste d'exemption.

Avertissement 2 : l'invité soumet le formulaire du portail

Une fois que l'invité a rempli la page Purple, le navigateur transmet les données à l'écouteur d'authentification du FortiGate. Si cet écouteur utilise le certificat d'usine, le navigateur émet un avertissement car le certificat est auto-signé.

Si le portail effectue un post vers le listener HTTP à la place, Chrome signale que le formulaire n'est pas sécurisé. La page est en HTTPS, mais le formulaire est soumis en HTTP.

La solution correspond à l'Étape 6 : un certificat publiquement approuvé sur un nom d'hôte qui pointe vers l'interface invité du FortiGate, avec le post-back en HTTPS. Renouvelez-le avant son expiration. Un certificat d'authentification expiré interrompt l'ensemble des connexions immédiatement, sur tous les SSID de ce FortiGate.

Comment vérifier que le portail invité FortiGate fonctionne ?

Testez sur de véritables appareils, pas seulement sur un ordinateur portable. Établissez une matrice incluant iOS, Android, Windows et macOS, puis exécutez chaque vérification sur toutes les plateformes.

1. Rejoignez le SSID. La fiche de connexion doit s'ouvrir automatiquement en quelques secondes. Si ce n'est pas le cas, vérifiez la liste d'exemption pour les domaines de détection.
2. Complétez chaque méthode de connexion. Testez le formulaire, chaque fournisseur social activé et l'acceptation des conditions d'utilisation.
3. Restez attentif aux avertissements. Aucun avertissement de certificat ne doit apparaître à aucun moment du parcours.
4. Confirmez l'authentification sur le FortiGate. Le moniteur des utilisateurs authentifiés du pare-feu doit lister l'appareil dans le groupe invité.
5. Confirmez le RADIUS depuis la CLI. diagnose test authserver radius teste directement l'objet serveur. diagnose debug application fnbamd -1, lorsque le débogage est activé, affiche chaque Access-Request et réponse en temps réel.
6. Confirmez la comptabilité dans Purple. La session doit apparaître avec un enregistrement de début, puis des mises à jour intermédiaires, et enfin un arrêt lorsque l'invité se déconnecte.
7. Testez la visite ultérieure. Reconnectez-vous après l'expiration du délai et vérifiez que l'invité voit bien la page prévue.

Quels problèmes peuvent survenir avec un Captive Portal FortiGate et comment les résoudre ?

Symptôme	Cause probable	Solution
La fiche de connexion n'apparaît jamais ; l'appareil indique "connecté"	Domaines de détection dans la liste d'exemption, ou politique autorisant le trafic avant l'authentification	Supprimez captive.apple.com et les entrées similaires ; vérifiez que la politique invité exige une authentification
La page de splash s'affiche vide ou sans style	Noms d'hôte des ressources Purple manquants dans la liste d'exemption	Ajoutez chaque nom d'hôte mentionné dans l'article de support FortiGate de Purple
Avertissement de certificat lors de la navigation avant la connexion	Le FortiGate intercepte un site HTTPS	Comportement attendu ; les invités doivent utiliser la fiche de connexion ou ouvrir une page HTTP
Avertissement de certificat lors de la soumission du formulaire	Certificat d'usine sur le listener d'authentification	Installez un certificat approuvé et effectuez le post-back en HTTPS
La connexion via les réseaux sociaux tourne en boucle ou échoue	Domaines des fournisseurs non exemptés, ou incohérence DNS entre l'invité et le FortiGate	Utilisez des objets FQDN génériques ; définissez le FortiGate comme DNS invité
Le portail accepte les informations, mais aucun accès Internet ne suit	Rejet ou délai d'attente RADIUS : secret partagé incorrect, adresse source incorrecte, UDP 1812 bloqué	Exécutez le test authserver ; lisez la sortie de débogage fnbamd
Les invités doivent se connecter trop souvent	Délai d'authentification ou d'inactivité trop court	Alignez les délais d'expiration du FortiGate sur les paramètres de session Purple
Sessions manquantes dans les rapports	Comptabilité désactivée ou UDP 1813 bloqué	Activer la comptabilité sur l'objet RADIUS ; ouvrir l'UDP 1813
Les connexions échouent après une mise à jour du firmware	Paramètres déplacés ou valeurs par défaut modifiées dans la nouvelle version	Vérifier à nouveau par rapport aux notes de version et réexécuter la matrice de test

Comment cela se traduit-il dans des établissements réels ?

Scénario 1 : un hôtel de 200 chambres remplaçant un ancien fournisseur de WiFi invité

Situation. Un hôtel de 200 chambres utilisait un FortiGate avec 30 FortiAP et un SSID invité en mode tunnel. Les clients sur iPhone ne voyaient s'afficher aucune page de connexion et ouvraient Safari à la place. Ceux qui atteignaient la page voyaient un avertissement de certificat lors de sa validation.

Action réalisée. L'ingénieur a trouvé captive.apple.com dans la liste d'exemption, laissé par le fournisseur précédent, et l'a supprimé. Il a installé un certificat reconnu publiquement sur un nom d'hôte résolvant vers l'interface invité et a basculé le post-back vers HTTPS. Il a ajouté les serveurs RADIUS de Purple avec la comptabilité activée.

Résultat. Dans la matrice de test post-modification, la page de connexion s'est ouverte automatiquement sur les quatre plateformes. Aucun avertissement de certificat n'est apparu dans le flux de connexion. Les enregistrements de session avec les entrées de début, d'intermédiaire et de fin ont atteint Purple pour chaque session de test. Pour en savoir plus sur les déploiements hôteliers, consultez Hôtels.

Scénario 2 : une chaîne de 40 magasins gérée par un MSP

Situation. Un MSP gérait un FortiGate par magasin pour une chaîne du secteur du Commerce de détail de 40 magasins. Les acheteurs signalaient des échecs intermittents lors de la connexion avec Google et Apple, mais seulement dans certains magasins.

Action réalisée. Le DHCP dans les magasins concernés fournissait aux acheteurs un résolveur DNS public. Le FortiGate résolvait les noms d'hôte CDN des fournisseurs vers des adresses différentes, de sorte que les entrées exemptées échouaient. Le MSP a fait passer les fournisseurs à des objets FQDN génériques (wildcard) et a fait du FortiGate le serveur DNS invité. Ils ont piloté le changement dans trois magasins avant de le déployer via FortiManager.

Résultat. Les trois méthodes de connexion via les réseaux sociaux ont abouti lors de chaque test pilote, sur toutes les plateformes. Le MSP a ensuite appliqué le même modèle aux 37 magasins restants. Si vous revendez du WiFi invité à des clients comme celui-ci, notre guide sur le logiciel de Captive Portal en marque blanche couvre les vérifications commerciales.

Scénario 3 : une bibliothèque municipale avec des bornes invités filaires

Situation. Le réseau d'une bibliothèque municipale proposait un WiFi invité sur des points d'accès tiers et quatre bornes publiques filaires. Tous deux étaient connectés via un seul FortiGate. La municipalité souhaitait une seule page de conditions d'utilisation et une seule piste d'audit.

Action réalisée. L'ingénieur a activé le Captive Portal sur l'interface invité du FortiGate plutôt que sur un SSID. Le même Captive Portal externe Purple et le même groupe RADIUS ont servi pour les visiteurs sans fil et les sessions sur borne.

Résultat. Les sessions sans fil et filaires sont apparues dans un seul journal de comptabilité dans Purple, associé à un seul enregistrement d'acceptation des conditions. Cela a fourni à la municipalité une réponse unique lorsqu'il s'agissait de savoir qui a utilisé le réseau et quand.

Combien cela coûte-t-il et quels sont les bénéfices ?

Ce que cela coûte

Le coût matériel est généralement nul. Le captive portal et le client RADIUS font partie de FortiOS, vous configurez donc le FortiGate et les FortiAP que vous possédez déjà. Purple est indépendant du matériel : le même portail fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Notre article de blog expliquant pourquoi votre prochaine mise à niveau WiFi ne nécessite pas de nouveau matériel détaille cet argument plus largement.\n\nLe coût logiciel correspond au forfait Purple : Connect, Capture ou Engage. Chaque forfait est tarifé différemment selon la façon dont vous comptez les sites, les points d'accès ou les visiteurs. Notre guide sur les modèles de tarification des captive portals compare les modèles par site, par point d'accès et par utilisateur.\n\nLe coût en ressources correspond au temps d'ingénierie par site. Créez un modèle une fois, testez-le sur un site pilote et déployez le modèle via FortiManager sur l'ensemble du parc.\n\n### Ce que vous y gagnez\n\n- Des données de première partie avec consentement. Purple enregistre les adhésions volontaires par visiteur. Le traitement des données est conforme au GDPR, et Purple détient les certifications ISO 27001, Cyber Essentials et B Corp.\n- Un portail unique sur l'ensemble du parc. Modifiez la page d'accueil une seule fois au lieu de le faire sur chaque FortiGate, y compris pour les sites équipés d'un autre matériel.\n- Des rapports exploitables. Les données de comptabilisation alimentent les analyses WiFi : visites, temps de présence et taux de retour par établissement.\n- Une plateforme à grande échelle. Purple fonctionne sur plus de 80 000 établissements actifs et a géré 440 millions de connexions en 2024 (données internes de Purple). Pour les professionnels de la restauration, notre guide sur le WiFi dans les restaurants traite de la couverture et de la sécurité au Royaume-Uni.\n\n## Foire aux questions\n\n### Est-ce que Purple fonctionne avec mon matériel FortiGate et FortiAP existant ?\n\nOui, Purple fonctionne sur votre parc FortiGate et FortiAP existant sans aucun nouveau matériel. FortiGate applique le captive portal et envoie l'authentification et la comptabilisation RADIUS à Purple, tandis que Purple héberge la page d'accueil. La même approche s'applique aux points d'accès tiers situés derrière une interface FortiGate. Purple prend également en charge Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium et Extreme, ce qui permet à un parc mixte de partager un seul portail.\n\n### Ai-je besoin d'une licence Fortinet supplémentaire pour un captive portal externe ?\n\nNon, le captive portal et le client RADIUS sont des fonctionnalités standard de FortiOS, le FortiGate n'a donc besoin d'aucune licence de portail distincte. Vous avez besoin d'une version FortiOS prise en charge et, pour le sans-fil, de FortiAPs gérés par le FortiGate. Le forfait Purple, qu'il s'agisse de Connect, Capture ou Engage, fait l'objet d'une licence séparée. Notre guide sur les modèles de tarification des captive portals explique comment se comparent les tarifs par site, par point d'accès et par utilisateur.\n\n### Puis-je changer de fournisseur de WiFi invités sans interruption de service ?\n\nOui, si vous créez la configuration Purple en parallèle avant de basculer. Ajoutez les serveurs RADIUS de Purple et un nouveau groupe d'utilisateurs à côté de ceux existants, puis créez un SSID ou une interface de test en les utilisant. Exécutez la matrice complète de tests d'équipements sur ce réseau de test. Une fois validé, réorientez le SSID invité en production et supprimez les entrées de la liste d'exemption de l'ancien fournisseur, en particulier les domaines de détection de Captive Portal.

Les données invités collectées via un portail FortiGate sont-elles conformes au GDPR ?

Oui, lorsque le portail fonctionne sur Purple, le consentement et la gestion des données respectent le GDPR. Purple enregistre les consentements explicites par invité, séparant ainsi le consentement marketing de l'accès au réseau. Purple est certifié ISO 27001 et Cyber Essentials. FortiGate transmet les détails de la session tels que l'adresse MAC du client au portail, mais les fiches invités sont stockées dans Purple. Vous restez le responsable du traitement des données et définissez votre propre durée de conservation ainsi que votre notice de confidentialité.

Dois-je utiliser le portail intégré FortiGate ou un portail externe ?

Utilisez le portail intégré pour un site unique qui n'a besoin que d'une page de conditions d'utilisation. Utilisez un portail externe lorsque vous gérez plusieurs sites, souhaitez un login social ou des données propriétaires, ou gérez un parc matériel mixte. La page intégrée réside sur chaque FortiGate et doit être modifiée site par site. Un portail externe Purple se modifie en un seul endroit et enregistre les consentements ainsi que les analyses de session pour chaque établissement.

Quel effort d'ingénierie nécessite un déploiement FortiGate ?

Un site unique représente une simple modification de configuration, pas un projet matériel. Vous créez un objet serveur RADIUS, un groupe d'utilisateurs, une modification de SSID ou d'interface, une liste d'exemption, une politique et un certificat. La majeure partie de l'effort est consacrée aux tests sur iOS, Android, Windows et macOS. Pour les grands parcs, créez la configuration une fois sous forme de modèle FortiManager, pilotez-la sur quelques sites, puis déployez-la partout.

Un MSP peut-il faire fonctionner Purple sur de nombreux FortiGate clients ?

Oui, les MSP font fonctionner Purple sur de nombreux FortiGate clients à partir d'une seule structure de compte. Chaque site client utilise le même modèle de configuration, ce qui vous permet de le modéliser dans FortiManager et de le déployer par lots. La conception de Purple, indépendante du matériel, permet aux clients sur Cisco Meraki, HPE Aruba ou Ruckus d'utiliser le même portail. Vérifiez les conditions commerciales dans notre guide des logiciels de Captive Portal en marque blanche avant de signer.

Le portail externe fonctionne-t-il sur les réseaux invités filaires ?

Oui, FortiGate peut imposer un Captive Portal sur une interface comme sur un SSID FortiAP. Activez le Captive Portal sur l'interface desservant le VLAN invité filaire, sélectionnez le portail externe et pointez-le vers le même groupe RADIUS Purple. Les bornes, les ports des salles de réunion et les points d'accès tiers partagent ainsi une seule page de capture, un seul enregistrement d'acceptation des conditions et un seul journal de comptabilité avec vos invités WiFi.