Délais d'expiration des sessions WiFi invités : équilibrer UX et sécurité

[Musique d'intro - Électronique d'entreprise, professionnelle et rythmée] Animateur : Bienvenue dans ce Briefing Technique Purple. Je suis votre hôte, et aujourd'hui nous abordons un sujet qui se situe pile à l'intersection de l'ingénierie réseau et de l'expérience client : les délais d'expiration des sessions WiFi invités (Session Timeouts). Si vous êtes responsable informatique, architecte réseau ou directeur de l'exploitation d'un site, vous connaissez bien ce dilemme. L'équipe marketing souhaite que les invités se connectent une seule fois et ne revoient plus jamais d'écran de connexion. Les équipes de sécurité et d'infrastructure, quant à elles, surveillent l'épuisement du pool DHCP et s'inquiètent des sessions obsolètes et non authentifiées. Aujourd'hui, nous allons combler ce fossé. Nous allons voir comment configurer des délais d'expiration qui maintiennent les utilisateurs connectés sans compromettre votre niveau de sécurité ni la disponibilité de vos adresses IP. [Son de transition] Animateur : Plongeons dans les mécanismes techniques. Lorsque nous parlons de « délai d'expiration de session », nous parlons en réalité de deux minuteries distinctes fonctionnant sur votre contrôleur réseau : le délai d'inactivité (Idle Timeout) et le délai absolu (Absolute Timeout). Considérez le délai d'inactivité comme votre moniteur d'inactivité. Il surveille la transmission active des données. Si un appareil client n'envoie ou ne reçoit absolument rien pendant une durée spécifiée, le contrôleur met fin à la session. L'objectif principal ici est la récupération des ressources. Cela libère les baux DHCP et la mémoire des points d'accès alloués aux appareils qui ont physiquement quitté votre site sans se déconnecter formellement. Cependant, il y a un piège. Les smartphones modernes sont incroyablement agressifs en matière de mise en veille pour économiser la batterie. Lorsqu'ils dorment, ils cessent de transmettre. Si vous configurez votre délai d'inactivité de manière trop agressive — disons, cinq minutes — vous allez déconnecter les appareils en veille. Lorsque l'utilisateur sortira son téléphone de sa poche pour consulter un e-mail, il sera redirigé vers le Captive Portal. C'est une expérience utilisateur terrible. Pour les environnements typiques, un délai d'inactivité compris entre 30 et 60 minutes est le compromis idéal. Examinons maintenant le délai absolu. Il s'agit de la minuterie stricte. Elle dicte la durée totale maximale d'une session, que l'appareil transmette activement des données ou non. Une fois que cette minuterie atteint zéro, la session est interrompue et l'utilisateur doit se réauthentifier. Pourquoi en avons-nous besoin ? Elle impose des limites d'utilisation quotidiennes, garantit que les utilisateurs réacceptent périodiquement vos conditions générales et force une revalidation de sécurité. Le défi est que cela est perturbateur. Cela interrompra les sessions actives — même les appels VoIP. Par conséquent, votre délai absolu doit s'aligner sur le temps de présence typique de votre site. [Son de transition] Animateur : Examinons quelques recommandations de mise en œuvre concrètes. Il n'existe pas de solution unique. Prenons l'exemple d'un magasin de détail à forte rotation. Les clients se déplacent rapidement. Votre objectif est de capturer des analyses précises de fréquentation et éventuellement de diffuser du marketing ciblé, tout en évitant le flânage. Dans ce scénario, un délai d'inactivité (idle timeout) de 15 à 30 minutes est parfait. Si un appareil reste silencieux pendant une demi-heure, c'est que le client a quitté le magasin. Votre délai d'expiration absolu (absolute timeout) doit être d'environ 2 à 4 heures, ce qui couvre la plus longue session de shopping typique. Et vous devriez utiliser le contournement de l'authentification MAC — ou MAB — pour une réauthentification silencieuse sur 7 à 14 jours afin de suivre les clients fidèles. Maintenant, comparez cela à un environnement hôtelier d'entreprise — un hôtel. Les clients s'attendent à une expérience comme à la maison. Si vous les forcez à se connecter toutes les quatre heures, votre réception sera submergée de plaintes. Ici, votre délai d'inactivité doit être beaucoup plus long — 4 à 8 heures. Les clients laissent leurs appareils dans leur chambre lorsqu'ils vont à la piscine ; ces appareils ne doivent pas être déconnectés. Le délai d'expiration absolu doit être de 24 heures ou, idéalement, lié directement à la date de départ via une intégration avec le système de gestion de propriété (PMS). Et enfin, considérez un hub de transport massif comme un aéroport ou un stade. Les temps de présence sont très variables et l'épuisement des adresses IP est un risque critique et immédiat. Vous avez des dizaines de milliers d'appareils de passage. Dans cet environnement, la conservation des ressources l'emporte sur une expérience utilisateur fluide. Vous avez besoin d'un délai d'inactivité agressif — 15 minutes — pour récupérer rapidement les adresses IP. Votre délai d'expiration absolu pourrait être de 4 heures, et vous imposez généralement une réauthentification manuelle pour gérer les utilisateurs gourmands en bande passante. [Son de transition] Animateur : Avant de passer aux questions-réponses, je souhaite souligner quelques pièges critiques à éviter. Premier piège : Des baux DHCP mal alignés. C'est l'erreur de configuration numéro un que nous constatons. Ne définissez pas un délai d'expiration de session de 2 heures avec un bail DHCP de 8 heures. Si une session est terminée, l'adresse IP doit être libérée. La durée de votre bail DHCP doit correspondre étroitement ou dépasser légèrement votre délai d'expiration absolu de session. Deuxième piège : Ignorer la randomisation MAC. iOS et Android utilisent désormais des adresses MAC privées par défaut. Si votre réseau repose fortement sur la réauthentification basée sur l'adresse MAC pour offrir cette expérience de retour fluide, vous devez informer les utilisateurs. Utilisez votre Captive Portal pour leur indiquer de désactiver la randomisation MAC pour votre SSID spécifique s'ils souhaitent une connexion fluide sur plusieurs jours. Troisième piège : Opérer dans l'obscurité. Utilisez vos analyses WiFi. Examinez la durée de vos sessions. Si 90 % de vos utilisateurs partent naturellement au bout de 45 minutes, définir un délai d'expiration absolu de 12 heures ne fait que générer des risques inutiles. Basez vos minuteries sur les données réelles de temps de présence. [Son de transition] Animateur : Passons à une session rapide de questions-réponses basée sur les questions courantes des clients. Question 1 : « Les utilisateurs se plaignent de devoir se connecter à chaque fois qu'ils reviennent de déjeuner. Comment résoudre ce problème ? » Réponse : Augmentez votre délai d'inactivité. Si le déjeuner dure une heure, un délai d'inactivité de 30 minutes les déconnectera. Passez-le à 90 minutes. Question 2 : « Nous manquons d'adresses IP chaque après-midi, mais notre site n'est pas plein. Pourquoi ? » Réponse : Les sessions fantômes. Votre délai d'inactivité (idle timeout) est soit désactivé, soit configuré sur une durée beaucoup trop longue, ce qui signifie que des appareils partis il y a plusieurs heures détiennent toujours des baux IP. Réduisez votre délai d'inactivité à 30 minutes et raccourcissez la durée de votre bail DHCP. Question 3 : « Quel est l'impact du chiffrement sans fil opportuniste, ou OWE, sur les délais d'expiration ? » Réponse : L'OWE fournit un chiffrement individualisé pour les réseaux ouverts sans mot de passe. Il ne modifie pas directement le fonctionnement des délais d'expiration, mais il améliore considérablement votre niveau de sécurité pendant la session, ce qui rend les délais d'expiration absolus plus longs légèrement moins risqués du point de vue de l'écoute passive. [Son de transition] Hôte : Pour résumer : les délais d'expiration de session sont le point d'équilibre entre l'expérience utilisateur et la sécurité du réseau. Utilisez votre délai d'inactivité pour gérer le comportement des appareils et les ressources réseau. Utilisez votre délai d'expiration absolu pour gérer le comportement humain et la conformité. Adaptez ces paramètres à votre secteur d'activité spécifique : l'hôtellerie a besoin de minuteurs longs, le commerce de détail de minuteurs moyens et les transports à forte densité de minuteurs agressifs. Alignez vos baux DHCP, prenez en compte la randomisation MAC et laissez vos analyses guider votre configuration. Faites les bons choix et vous réduirez les tickets d'assistance, sécuriserez votre réseau et offrirez la connectivité fluide que vos clients attendent. Merci d'avoir suivi ce briefing technique Purple. À la prochaine, gardez vos réseaux sécurisés et vos clients connectés. [Musique de fin - Fondu]