Guide d'intégration Fortinet FortiAP et Purple WiFi

Résumé exécutif

Pour les équipes informatiques d'entreprise exploitant une infrastructure Fortinet, l'intégration de portails captifs externes pour l'accès des invités tout en maintenant des postures de sécurité strictes est une exigence courante. L'intégration entre les points d'accès Fortinet FortiAP, les appliances de gestion unifiée des menaces (UTM) FortiGate et la plateforme Purple WiFi permet aux organisations de dissocier l'authentification des invités de la sécurité du réseau central. Ce guide fournit aux architectes techniques et aux responsables informatiques le schéma directeur définitif pour déployer Purple en tant que Captive Portal externe au sein d'un environnement Fortinet. En déléguant la gestion de l'identité des invités au RADIUS cloud de Purple, les équipes réseau peuvent exploiter les politiques de sécurité de niveau 7 robustes de Fortinet pour l'inspection du trafic tout en capturant simultanément des données démographiques de première main pour générer de la valeur commerciale. Qu'elle soit déployée sur un parc de points de vente distribués ou dans un stade à haute densité, cette architecture garantit la conformité avec PCI DSS et le GDPR tout en offrant une expérience Guest WiFi fluide.

Analyse technique approfondie

L'intégration architecturale entre Fortinet et Purple repose sur les protocoles RADIUS standard et les mécanismes de redirection HTTP. Lorsqu'un appareil invité s'associe au SSID ouvert désigné diffusé par un FortiAP, le FortiGate intercepte la requête HTTP/HTTPS initiale. Au lieu de proposer un Captive Portal local, le FortiGate est configuré pour rediriger le client vers la page d'accueil hébergée sur le cloud de Purple.

Durant cette phase de pré-authentification, le FortiGate applique un walled garden — une liste d'autorisation stricte d'adresses IP et de domaines qui permet à l'appareil client de charger les ressources du Captive Portal, d'effectuer des connexions via les réseaux sociaux et d'accéder aux services essentiels (tels que le DNS) sans accorder un accès complet à Internet. Une fois que l'utilisateur s'authentifie sur le portail Purple, la plateforme Purple communique en retour avec le FortiGate via des messages RADIUS Access-Accept. Le FortiGate fait ensuite passer l'état de la session du client de non authentifié à authentifié, en appliquant les politiques de pare-feu post-authentification appropriées.

Coexistence RADIUS : Purple et FortiAuthenticator

Un défi d'architecture fréquent dans les environnements Fortinet consiste à gérer l'accès des invités parallèlement à l'authentification du personnel lorsqu'un FortiAuthenticator (FAC) est déjà déployé pour l'identité d'entreprise. L'approche recommandée est une ségrégation absolue des SSID. Les appareils du personnel se connectent à un SSID sécurisé utilisant la norme IEEE 802.1X — généralement PEAP ou EAP-TLS — authentifié directement auprès du FortiAuthenticator. À l'inverse, les appareils des invités se connectent à un SSID ouvert configuré pour une redirection vers un Captive Portal externe, s'authentifiant auprès de l'infrastructure RADIUS cloud de Purple.

Cette séparation garantit que les données d'identité des invités — cruciales pour le WiFi Analytics — sont entièrement gérées au sein de la plateforme Purple, tandis que les identifiants Active Directory de l'entreprise restent traités en toute sécurité par le FortiAuthenticator sur site. Le FortiGate gère le routage et l'application des politiques pour les deux flux de trafic de manière indépendante, garantissant un croisement nul entre le VLAN invité et le VLAN d'entreprise. Cette architecture répond également aux exigences PCI DSS en matière de segmentation du réseau, car le trafic invité est isolé physiquement et logiquement de toute infrastructure de traitement des paiements.

Guide d'implémentation

Le déploiement de l'intégration FortiAP Purple nécessite une configuration coordonnée à la fois sur le portail Purple et sur l'infrastructure Fortinet. Les étapes suivantes décrivent le chemin critique pour un déploiement réussi à l'aide de la gestion FortiCloud AP.

Étape 1 : Configuration du réseau et de RADIUS

Commencez par définir le réseau dans le tableau de bord FortiCloud. Naviguez vers Configure > My RADIUS Server et définissez à la fois le serveur d'authentification (Port 1812) et le serveur de comptabilité (Port 1813) à l'aide des identifiants fournis dans le portail Purple. Les deux serveurs doivent être configurés — la comptabilité n'est pas facultative. Purple s'appuie sur les données de comptabilité RADIUS pour alimenter le tableau de bord WiFi Analytics avec des mesures de durée de session, de consommation de bande passante et de fréquence des visiteurs. Définissez l'intervalle intermédiaire de comptabilité sur 120 secondes pour une visibilité en temps réel.

Étape 2 : Définition du SSID et du Captive Portal

Créez un nouveau SSID dédié à l'accès invité. Définissez la méthode d'authentification sur Open et activez la fonctionnalité Captive Portal, en sélectionnant l'option de portail externe ou personnalisé. Vous devez saisir l'URL d'accès unique et l'URL de redirection fournies par l'écran de configuration du portail Purple.

La configuration du Walled Garden est l'étape la plus sensible de l'ensemble du déploiement. Vous devez saisir la liste complète des domaines requis par Purple pour vous assurer que les fournisseurs de connexion sociale (Facebook, Google, X) et les ressources essentielles du portail se chargent correctement avant l'authentification. Si le walled garden n'est pas configuré correctement, le flux d'authentification sera interrompu, car l'appareil client ne pourra pas atteindre les ressources externes nécessaires. Assurez-vous également que le trafic DNS (port UDP 53) est explicitement autorisé dans la politique de pré-authentification.

Étape 3 : Attribution des adresses IP — Mode NAT vs Mode Bridge

Lors de la définition du SSID, vous devez choisir entre le mode NAT et le mode Bridge pour l'attribution des adresses IP.

En mode NAT, le FortiGate fournit des adresses DHCP aux appareils invités à partir d'un sous-réseau interne dédié, traduisant ces adresses lorsque le trafic sort du pare-feu. Cela convient aux déploiements plus simples ou aux petits environnements de succursales de Retail où le FortiGate gère l'ensemble du sous-réseau invité.

En mode Bridge, le FortiAP ponte directement le trafic invité sur un VLAN spécifique, permettant à un serveur DHCP externe d'attribuer les adresses IP. Le mode Bridge est fortement recommandé pour les environnements à haute densité tels que les établissements du secteur Hospitality ou les hubs de Transport , car il offre une plus grande flexibilité pour la gestion des adresses IP, évite les goulots d'étranglement DHCP sur le FortiGate et permet à la plateforme Purple de voir la véritable adresse IP du client pour des analyses et un dépannage plus précis.

Étape 4 : Politique de pare-feu post-authentification

Une fois l'authentification terminée, le FortiGate doit appliquer une politique de pare-feu post-authentification dédiée au VLAN invité. Cette politique doit faire référence aux profils FortiGuard Web Filtering et Application Control pour appliquer des restrictions de contenu et bloquer le trafic peer-to-peer. Appliquez un profil Traffic Shaper pour imposer des limites de bande passante, empêchant ainsi un seul invité de saturer la liaison montante du site. Assurez-vous que la politique bloque explicitement toutes les destinations de l'espace d'adressage IP privé RFC 1918 afin d'empêcher les invités de sonder les ressources du réseau interne.

Bonnes pratiques

Lors de la conception de cette intégration, respectez les recommandations standard de l'industrie suivantes pour garantir la stabilité, la sécurité et la conformité.

La ségrégation des VLAN est obligatoire : Ne déployez jamais de WiFi invité sur le même VLAN que les actifs de l'entreprise ou les systèmes de point de vente. Un marquage VLAN strict doit être appliqué au niveau du port du commutateur pour maintenir la conformité PCI DSS. Le FortiGate doit appliquer des politiques de pare-feu agressives au VLAN invité, bloquant toutes les destinations de l'espace d'adressage IP privé RFC 1918 pour empêcher tout mouvement latéral.

Optimiser les temporisateurs de session : Configurez de manière appropriée la durée du bail DHCP et les intervalles intermédiaires de comptabilité RADIUS. Une durée de bail DHCP de 3600 secondes combinée à un intervalle intermédiaire de comptabilité de 120 secondes offre un équilibre optimal entre la conservation des adresses IP et des rapports d'analyse précis en temps réel dans le tableau de bord Purple.Tirez parti des fonctionnalités UTM de Fortinet après l'authentification : Le principal avantage de cette intégration est la possibilité d'appliquer les fonctionnalités de sécurité avancées de Fortinet au trafic des invités après leur authentification. Configurez la politique de pare-feu post-authentification pour utiliser le filtrage web FortiGuard et le contrôle des applications. Cela limite le risque que les invités utilisent la bande passante de l'établissement pour des activités malveillantes, du téléchargement de torrents ou l'accès à des contenus inappropriés, protégeant ainsi la réputation de l'IP publique de l'établissement et son contrat de service Internet.

Utilisez des certificats publics : Assurez-vous que le FortiGate présente un certificat SSL/TLS valide et publiquement approuvé sur l'interface de redirection. Les certificats auto-signés déclenchent des avertissements de sécurité sur les appareils iOS et Android récents, ce qui augmente considérablement le taux d'abandon des invités sur le portail.

Dépannage et atténuation des risques

Même avec une configuration méticuleuse, les déploiements peuvent rencontrer des difficultés. Comprendre les modes de défaillance courants permet d'accélérer considérablement la résolution.

Échec du chargement du Captive Portal : Si un invité se connecte mais que la page de splash n'apparaît pas, le coupable le plus fréquent est un walled garden incomplet. Vérifiez que tous les domaines requis pour Purple et les fournisseurs de connexion sociale configurés sont explicitement autorisés dans la politique de pré-authentification. Assurez-vous que la résolution DNS fonctionne correctement pour les clients non authentifiés ; si le client ne peut pas résoudre l'URL du portail Purple, la redirection échouera complètement.

Timeouts RADIUS : Si le portail se charge mais que l'authentification échoue systématiquement, examinez le chemin de communication RADIUS. Vérifiez que l'adresse IP externe du FortiGate est correctement enregistrée dans la configuration du routeur du portail Purple. Assurez-vous que les secrets partagés correspondent exactement — une simple différence de caractère entraînera des échecs d'authentification silencieux — et qu'aucun pare-feu intermédiaire ne bloque les ports UDP 1812 et 1813 entre l'infrastructure Fortinet et les serveurs RADIUS cloud de Purple.

Erreurs de certificat : Les systèmes d'exploitation mobiles modernes sont extrêmement sensibles aux anomalies de certificat SSL/TLS lors de l'interception par le portail captif. Assurez-vous que le FortiGate présente un certificat valide et publiquement approuvé pour l'interface de redirection, plutôt qu'un certificat par défaut auto-signé. Cela évite les avertissements de sécurité alarmants qui dissuadent les invités de finaliser le processus d'authentification.

Écarts dans le suivi des sessions : Si le tableau de bord analytique de Purple affiche des données de session incomplètes ou des mesures de bande passante manquantes, vérifiez que le serveur de comptabilité RADIUS (Port 1813) est correctement configuré et que l'intervalle intermédiaire de comptabilité est défini. Les données de comptabilité sont envoyées séparément de l'authentification et nécessitent leur propre définition de serveur.

ROI et impact commercial

L'intégration de Fortinet et de Purple transforme un centre de coûts standard — le WiFi invité — en un actif commercial mesurable. En utilisant le Captive Portal de Purple, les établissements capturent des données démographiques et des coordonnées vérifiées, permettant des campagnes marketing ciblées, la croissance des programmes de fidélité et le réengagement après visite. Pour les établissements opérant dans les secteurs du Commerce de détail ou de l' Hôtellerie , ces données de première main sont de plus en plus précieuses alors que la suppression des cookies tiers limite les canaux de marketing digital traditionnels.

Pour les opérations informatiques, déléguer l'authentification des invités au RADIUS cloud de Purple réduit considérablement la charge administrative associée à la gestion des bases de données d'utilisateurs locaux, à l'impression de coupons physiques ou à la maintenance d'infrastructures RADIUS sur site. L'association de l'intégration fluide de Purple et de l'inspection robuste du trafic de Fortinet garantit que l'établissement offre une expérience Internet sécurisée et performante, tout en générant simultanément des informations commerciales exploitables grâce aux WiFi Analytics . Cette architecture est hautement évolutive, prenant en charge aussi bien un simple hôtel-boutique qu'un campus d'entreprise distribué, offrant un ROI constant grâce à l'activation marketing et à l'efficacité opérationnelle.