Guide de l'administrateur réseau pour la configuration de l'authentification RADIUS pour le WiFi invité

Guide de l'administrateur réseau pour la configuration de l'authentification RADIUS pour le WiFi invité - Script de podcast [INTRO - environ 1 minute] Bonjour et bienvenue. Je vais vous présenter tout ce que vous devez savoir pour configurer l'authentification RADIUS pour le WiFi invité - de l'architecture sous-jacente aux étapes pratiques que votre équipe doit suivre, en passant par les pièges qui font échouer la plupart des déploiements. Il ne s'agit pas d'un cours magistral. Considérez cela comme le briefing d'un consultant senior qui a accompagné des responsables informatiques d'hôtels, de chaînes de magasins, de stades et de centres de conférences, et qui les a aidés à réussir ce projet. Nous aborderons les bases techniques, les modèles de déploiement en conditions réelles et la place de la plateforme RADIUS cloud-native de Purple dans ce panorama. C'est parti. [ANALYSE TECHNIQUE APPROFONDIE - environ 5 minutes] Alors, qu'est-ce que RADIUS au juste ? RADIUS signifie Remote Authentication Dial-In User Service. Il s'agit d'un protocole réseau - défini par la RFC 2865 - qui fournit une authentification, une autorisation et une traçabilité centralisées pour l'accès au réseau. En termes clairs : c'est le système qui décide si l'appareil d'un visiteur est autorisé à se connecter à votre réseau, sous quelles conditions, pour combien de temps, puis qui enregistre l'ensemble de la session. Pour le WiFi invité en particulier, RADIUS se situe entre vos points d'accès et votre couche d'identité. Un visiteur se connecte à votre SSID, son appareil envoie une demande d'authentification au point d'accès, le point d'accès la transmet à un serveur d'accès réseau - ou NAS - qui interroge ensuite le serveur RADIUS. Le serveur RADIUS valide les identifiants, renvoie un message Access-Accept ou Access-Reject, et la session commence ou est bloquée. Des paquets de traçabilité (Accounting) suivent ensuite la durée de la session, les données consommées et le motif de la déconnexion. Les trois fonctions clés sont souvent appelées AAA : Authentification, Autorisation et Accounting (Traçabilité). L'authentification confirme l'identité. L'autorisation définit ce à quoi cette identité peut accéder - limites de bande passante, attribution de VLAN, durée de session. L'accounting crée la piste d'audit. Pour le WiFi invité, la méthode d'authentification revêt une importance capitale. Dans un environnement d'entreprise, vous utiliseriez généralement le protocole 802.1X avec EAP-TLS - basé sur des certificats et très sécurisé. Pour des invités, c'est impossible. Les invités n'ont pas de certificats sur leurs appareils personnels. Le modèle le plus courant est donc l'association d'un Captive Portal et de RADIUS. Le visiteur arrive sur une page d'accueil, saisit ses informations ou s'authentifie via un réseau social, et le Captive Portal transmet ces identifiants au serveur RADIUS en son nom. Le serveur RADIUS signale ensuite au point d'accès d'autoriser l'accès. C'est précisément l'architecture qu'exploite Purple. Notre service RADIUS cloud-native gère l'échange d'authentification, tandis que le Captive Portal - que vous personnalisez et configurez via la plateforme Purple - gère l'expérience côté visiteur. Le point d'accès doit simplement connaître l'adresse du serveur RADIUS, le port et le secret partagé. Purple fournit ces trois éléments. Parlons des ports et des protocoles. Le trafic d'authentification RADIUS utilise le port UDP 1812. L'accounting RADIUS s'effectue sur le port UDP 1813. Vous configurerez ces deux éléments sur vos points d'accès. Le secret partagé est une clé pré-partagée entre votre point d'accès et le serveur RADIUS - traitez-le comme un mot de passe. Utilisez une chaîne de caractères longue et générée de manière aléatoire. Ne le réutilisez jamais d'un déploiement à l'autre. Du côté du matériel, Purple est indépendant des constructeurs. Nous fonctionnons notamment avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Les étapes de configuration varient selon le fournisseur, mais les paramètres RADIUS sous-jacents restent les mêmes : IP ou nom d'hôte du serveur, port d'authentification 1812, port d'accounting 1813, secret partagé et intervalle d'accounting. Pour les points d'accès Avaya, par exemple, vous configurez les attributs RADIUS sous la section External RADIUS, définissez le format de Called-Station-Id sur le format d'adresse MAC avec tirets UC, activez l'accounting, puis configurez l'SSID avec une redirection de page web pointant vers les URL de Captive Portal de Purple. La documentation d'assistance de Purple détaille les étapes exactes pour Avaya via le lien figurant dans le guide. Pour les appareils de la gamme Pepwave MAX, vous pouvez effectuer la configuration soit via InControl2 (leur plateforme de gestion cloud), soit directement via l'interface web locale. Dans les deux cas, vous configurez un Captive Portal externe, pointez l'authentification et l'accounting vers les serveurs RADIUS de Purple, et configurez l'SSID avec une sécurité ouverte et le Captive Portal associé. Là encore, les étapes exactes figurent dans les documents d'assistance de Purple. Une décision d'architecture mérite d'être soulignée : les serveurs RADIUS primaire et secondaire. Configurez toujours les deux. Purple fournit deux adresses de serveurs RADIUS pour assurer la redondance. Si le serveur primaire est injoignable, le point d'accès bascule automatiquement sur le secondaire. Sans serveur secondaire, la moindre anomalie du serveur RADIUS empêche vos invités de se connecter. Dans un hôtel de 300 chambres ou un stade de 40 000 spectateurs, c'est un incident grave. La segmentation VLAN est l'autre élément essentiel. Votre trafic WiFi invité ne doit jamais entrer en contact avec votre réseau d'entreprise ou opérationnel. Attribuez les sessions des invités à un VLAN dédié, puis orientez ce VLAN vers une liaison Internet distincte ou, au minimum, à travers un pare-feu doté de règles de sortie strictes. Il s'agit d'une exigence PCI-DSS si vous traitez des paiements par carte sur la même infrastructure physique, et c'est tout simplement une bonne pratique dans tous les cas. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes] Voici les trois erreurs les plus fréquentes. Premièrement : les incohérences de secret partagé. Le secret partagé configuré sur le point d'accès doit correspondre exactement à celui enregistré dans le serveur RADIUS. Il est sensible à la casse, au caractère près. Un seul caractère erroné génère un message d'erreur Access-Reject sans aucune explication utile. Privilégiez toujours un copier-coller depuis votre tableau de bord Purple plutôt qu'une saisie manuelle. Deuxièmement : les lacunes de la liste blanche. Avant que le visiteur ne s'authentifie, son appareil doit atteindre le Captive Portal. Cela signifie que certains domaines doivent être mis sur liste blanche sur le point d'accès - les URL du portail de Purple, les points de terminaison d'authentification et tous les fournisseurs de connexion sociale que vous utilisez. Si la liste blanche est incomplète, les visiteurs voient une page blanche ou une expiration de session. Purple tient à jour une liste des domaines requis dans sa documentation d'assistance - utilisez cette liste, ne devinez pas. Troisièmement : l'intervalle de comptabilisation. Il contrôle la fréquence à laquelle le point d'accès envoie des mises à jour de comptabilisation intermédiaires au serveur RADIUS. S'il est trop long, vous perdez en granularité de session. S'il est trop court, vous générez du trafic inutile. Pour la plupart des déploiements, une plage de 240 à 300 secondes est idéale. L'intervalle recommandé par Avaya est de 300 secondes ; celui de Pepwave est de 180 à 240 secondes. Suivez les conseils spécifiques au fournisseur. Du côté de la conformité : le GDPR exige que vous disposiez d'une base légale pour collecter les données des visiteurs. Un Captive Portal bien configuré avec des cases d'acceptation explicites permet d'y répondre. La plateforme de Purple est conforme au GDPR et certifiée ISO 27001. Chaque connexion via Purple est une adhésion par choix conscient - le visiteur accepte activement vos conditions avant de se connecter. Cette piste d'audit constitue votre preuve de conformité. [Q&R RAPIDE - environ 1 minute] Questions rapides que l'on me pose régulièrement. "Dois-je remplacer mon matériel existant ?" Non. Purple se superpose à votre infrastructure existante. Aucun remplacement complet n'est requis. "Puis-je utiliser RADIUS pour le WiFi du personnel sur la même plateforme ?" Oui. Purple prend en charge des SSID distincts pour les invités et le personnel, avec des politiques d'authentification différentes pour chacun. "Que se passe-t-il si mon site comporte plusieurs établissements ?" Purple gère les déploiements multisites à partir d'un écran unique. Vous configurez une fois et répliquez sur tous les sites. "Le cloud RADIUS est-il moins sécurisé qu'une solution sur site ?" Non. Le cloud RADIUS de Purple fonctionne avec une disponibilité de 99,999 %, la certification ISO 27001 et un chiffrement de bout en bout. La surface d'attaque est plus réduite que celle d'un serveur géré en interne, car les correctifs et le renforcement de la sécurité sont gérés de manière centralisée. "Combien de temps prend un déploiement complet ?" Pour un site unique doté d'un matériel compatible, un administrateur réseau peut terminer la configuration RADIUS en moins de deux heures. L'équipe d'intégration de Purple est disponible pour vous aider. [RÉSUMÉ ET PROCHAINES ÉTAPES - environ 1 minute] En résumé. L'authentification RADIUS pour le WiFi invité vous offre un contrôle d'accès centralisé, une piste de comptabilisation complète et le socle de conformité dont vous avez besoin pour le GDPR et PCI-DSS. L'architecture est simple : du point d'accès au NAS, puis au serveur RADIUS et enfin à la plateforme cloud de Purple. Les trois éléments à configurer correctement sont le secret partagé, la liste blanche de domaines et l'intervalle de comptabilisation. Purple exploite un service RADIUS natif dans le cloud dans plus de 80 000 sites à travers le monde, gérant 440 millions de connexions en 2024. La plateforme est compatible avec tous les types de matériel, certifiée ISO 27001 et conforme au GDPR. Vos prochaines étapes : vérifiez si votre matériel figure sur la liste des équipements pris en charge par Purple, récupérez les identifiants du serveur RADIUS depuis votre tableau de bord Purple, et suivez le guide de configuration spécifique au fournisseur dans le centre de support de Purple. Si vous avez besoin d'aide, l'équipe technique de Purple peut vous accompagner pas à pas. Merci pour votre écoute. Le guide écrit complet avec schémas, exemples concrets et références de configuration est accessible via le lien ci-dessous.