Comment limiter le temps de connexion et la bande passante sur un WiFi invité

Comment implémenter des restrictions de temps et de bande passante sur le WiFi invité Une note d'information Purple WiFi [INTRODUCTION & CONTEXTE — environ 1 minute] Bienvenue dans cette note d'information Purple WiFi. Je suis votre hôte, et aujourd'hui nous abordons un sujet crucial qui se situe à l'intersection de la performance réseau, de la conformité et de l'expérience invité : l'implémentation de restrictions de temps et de bande passante sur le WiFi invité. Que vous gériez un hôtel, une chaîne de magasins, un stade ou un centre de conférences, c'est l'une des décisions opérationnelles les plus percutantes que vous prendrez pour votre réseau. Si vous vous trompez, soit vous frustrez vos invités en bridant excessivement leur connexion, soit vous exposez votre réseau d'entreprise à un gaspillage total de bande passante. Si vous réussissez, vous disposez d'une couche d'accès invité évolutive, conforme et commercialement intelligente. Dans les dix prochaines minutes, nous allons aborder l'architecture technique, les étapes d'implémentation, des études de cas réels dans l'hôtellerie et le commerce de détail, les pièges courants et ce à quoi ressemble la réussite du point de vue de l'impact commercial. C'est parti. [ANALYSE TECHNIQUE APPROFONDIE — environ 5 minutes] Commençons par les fondamentaux. Lorsque nous parlons de restrictions de temps et de bande passante sur le WiFi invité, nous parlons en réalité de deux couches de politiques distinctes mais complémentaires — et il est essentiel de comprendre cette différence avant de toucher au moindre écran de configuration. Les restrictions de bande passante régissent le débit. Combien de mégabits par seconde un seul appareil invité peut-il consommer ? Quel volume de trafic global l'ensemble du SSID invité peut-il acheminer via votre liaison montante ? Ces restrictions sont appliquées via des mécanismes de qualité de service — plus précisément la norme IEEE 802.11e, qui sous-tend le Wi-Fi Multimedia, ou WMM. Le WMM définit quatre catégories d'accès au trafic : la voix, la vidéo, le "best effort" (au mieux) et l'arrière-plan. Le trafic invité doit presque toujours être classé en "best effort" ou en arrière-plan, garantissant ainsi que votre trafic d'entreprise et opérationnel reste prioritaire. Les restrictions de temps régissent la durée des sessions. Combien de temps un invité peut-il rester connecté avant de devoir se réauthentifier ? Cela est appliqué au niveau de la couche du Captive Portal, via des paramètres de délai d'expiration de session, et de plus en plus via le mécanisme RADIUS Change of Authorisation — CoA — qui permet à votre serveur d'authentification de résilier ou de modifier dynamiquement une session sans obliger le client à se déconnecter et à se reconnecter.Désormais, l'architecture qui permet de faire fonctionner tout cela proprement est la segmentation VLAN. Votre SSID invité doit résider sur un VLAN dédié — appelons-le VLAN 30 — complètement isolé de votre réseau d'entreprise sur le VLAN 10 et de votre réseau opérationnel sur le VLAN 20. Le pare-feu se situe entre ces segments et applique les politiques de routage inter-VLAN. Le trafic invité sur le VLAN 30 ne doit avoir aucune passerelle vers vos serveurs internes, vos systèmes de point de vente ou tout autre appareil du réseau local d'entreprise. Ce n'est pas facultatif — c'est une exigence de la version 4.0 de la norme PCI DSS, au titre de l'exigence 1.3, qui impose une segmentation du réseau entre les environnements de paiement et tout réseau accessible à des appareils non fiables. Abordons les mécanismes d'application concrets. Il existe trois approches principales, et le choix de la bonne dépend de votre infrastructure. La première est l'application basée sur un contrôleur. Si vous utilisez un contrôleur LAN sans fil centralisé — de Cisco, HPE Aruba, Juniper Mist ou similaire — vous pouvez appliquer des politiques de bande passante par client et par SSID directement sur le contrôleur. Une configuration type pour un hôtel pourrait fixer une limite descendante par client de 25 mégabits par seconde, une limite montante de 5 mégabits, et une limite globale pour le SSID de 500 mégabits afin de protéger la liaison montante. Les délais d'expiration des sessions sont configurés dans les attributs RADIUS renvoyés lors de l'authentification — plus précisément l'attribut Session-Timeout, qui indique au point d'accès le nombre exact de secondes pendant lesquelles une session est valide. La deuxième approche est l'application des politiques basée sur le pare-feu. Les plateformes telles que Fortinet FortiGate, Palo Alto Networks ou pfSense vous permettent d'appliquer des politiques de mise en forme du trafic (traffic shaping) au niveau du pare-feu, limitées au VLAN invité. C'est particulièrement utile dans les environnements où l'infrastructure sans fil ne prend pas en charge nativement la limitation de débit par client, ou lorsque vous avez besoin d'un contrôle plus granulaire sur le trafic de la couche applicative — par exemple, pour bloquer le partage de fichiers en peer-to-peer ou le streaming vidéo pendant les heures de pointe. La troisième approche est l'application gérée par le cloud. Les plateformes comme Purple, Cisco Meraki et Juniper Mist poussent les configurations de politiques depuis un tableau de bord cloud centralisé vers des points d'accès distribués. C'est le modèle privilégié pour les déploiements multi-sites — une chaîne de vente au détail de 200 magasins, par exemple — car il élimine le besoin de configuration sur site pour chaque emplacement. Les modifications de politiques se propagent automatiquement, et vous bénéficiez d'une visibilité centralisée sur les modèles d'utilisation de l'ensemble du parc. Parlons maintenant de la planification horaire, un concept légèrement différent de l'expiration de session. La planification signifie que l'SSID invité lui-même n'est actif que pendant des heures définies. Un magasin de détail peut choisir de ne diffuser l'SSID invité qu'entre 09h00 et 21h00, correspondant aux heures d'ouverture. En dehors de ces heures, l'SSID est entièrement masqué, ce qui réduit votre surface d'attaque et élimine le risque d'accès non autorisé pendant la nuit. La plupart des points d'accès d'entreprise prennent en charge nativement la planification d'SSID, et les plateformes gérées dans le cloud rendent cette configuration extrêmement simple sur l'ensemble d'un parc de terminaux. Un autre mécanisme mérite d'être souligné : les quotas de volume de données, parfois appelés limites de données quotidiennes. Plutôt que de restreindre la vitesse, vous limitez la consommation totale. Un invité bénéficie, par exemple, de 500 mégaoctets par jour. Une fois ce quota consommé, la session est soit interrompue, soit bridée à une vitesse très faible — par exemple 1 mégabit — suffisante pour la messagerie de base mais pas pour le streaming. C'est particulièrement efficace dans les environnements disposant d'une connectivité réseau limitée, comme les hôtels isolés connectés par satellite ou par liaison sans fil fixe. La norme technique qui sous-tend tout cela est l'IEEE 802.1X pour le contrôle d'accès réseau basé sur les ports, combinée à RADIUS pour l'authentification, l'autorisation et la comptabilité. Le serveur RADIUS renvoie des attributs que le point d'accès ou le contrôleur utilise pour appliquer la politique, notamment Session-Timeout, Idle-Timeout et des attributs spécifiques au fournisseur pour les limites de bande passante. Si vous utilisez un déploiement RADIUS dans le cloud, la plateforme de Purple s'intègre directement à votre infrastructure WiFi pour fournir ces attributs de manière dynamique, en fonction de la méthode d'authentification de l'utilisateur et des politiques que vous avez définies. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — environ 2 minutes] Très bien, passons à la pratique. Voici les étapes de mise en œuvre que je recommanderais à tout client. Étape un : Définissez votre matrice de politiques avant de toucher au matériel. Pour chaque type de site (hôtel, point de vente, stade, centre de conférence), définissez la limite de temps de session, le plafond de bande passante par client, le plafond global de l'SSID, le quota de données quotidien et la plage horaire de planification. Documentez tout cela. Cela devient votre configuration de référence et votre piste d'audit. Étape deux : Segmentez votre réseau. Si vous n'avez pas de séparation VLAN entre le trafic invité et le trafic de l'entreprise, arrêtez tout le reste et résolvez ce problème en premier. Aucune politique de bande passante au monde ne compense un réseau plat où les appareils invités peuvent accéder à vos systèmes internes. Étape trois : Configurez votre Captive Portal avec les paramètres de session appropriés. Définissez l'attribut RADIUS Session-Timeout pour qu'il corresponde à votre politique — par exemple, 7 200 secondes pour une session de deux heures. Activez l'expiration d'inactivité (idle timeout) pour récupérer les sessions des appareils qui se sont déconnectés sans se déconnecter formellement. C'est essentiel pour la gestion de la capacité dans les environnements à haute densité. Étape quatre : Appliquez des limites de débit par client au niveau du contrôleur ou du point d'accès. Testez-les en charge — pas seulement avec un seul appareil, mais avec un nombre réaliste de clients simultanés. Une limite de 10 mégabits par client semble généreuse lorsqu'il y a 5 invités, mais quand il y a 200 invités dans une salle de conférence, la limite globale de votre SSID devient la contrainte majeure. Étape cinq : Activez l'isolation des clients sur le SSID invité. Cela empêche les appareils des invités de communiquer entre eux sur le réseau sans fil, ce qui élimine une classe importante d'attaques par mouvement latéral. Maintenant, les pièges. Le plus courant que je constate est le surprovisionnement. Les opérateurs configurent des limites de bande passante généreuses car ils craignent les plaintes des invités, puis ils sont surpris lorsqu'une poignée d'invités diffusant des vidéos 4K saturent la liaison montante pour tout le monde. La bonne approche consiste à définir des limites conservatrices et à surveiller les données d'utilisation. Si vos analyses montrent que 95 % des invités consomment moins de 5 mégabits, vous pouvez resserrer la limite en toute confiance sans impacter l'expérience client. Le deuxième piège est d'oublier la randomisation des adresses MAC. Les appareils iOS et Android modernes randomisent leurs adresses MAC par défaut, ce qui signifie que vos quotas par appareil et votre suivi de session peuvent ne pas fonctionner comme prévu. Votre Captive Portal et votre infrastructure RADIUS doivent suivre les sessions par identité authentifiée — adresse e-mail, numéro de téléphone ou connexion sociale — plutôt que par la seule adresse MAC. Le troisième piège est de négliger la conformité GDPR. Si vous collectez des données personnelles sur le Captive Portal dans le cadre de votre flux d'authentification — et vous devriez le faire, à des fins de responsabilisation — vous devez disposer d'une base légale pour ce traitement, d'un avis de confidentialité et d'une période de conservation définie pour vos journaux de session. En vertu de l'article 5 du GDPR, vous ne pouvez pas conserver les données personnelles plus longtemps que nécessaire aux fins pour lesquelles elles ont été collectées. [QUESTIONS-RÉPONSES RAPIDES — environ 1 minute] Permettez-moi de passer en revue quelques questions que l'on me pose régulièrement. "Quelle est la bonne limite de bande passante pour un hôtel ?" Pour les établissements de milieu de gamme, 15 à 25 mégabits en débit descendant par client est la formule idéale. Les établissements de luxe devraient envisager 50 mégabits ou plus, en particulier s'ils se positionnent comme adaptés aux professionnels. "Dois-je utiliser des limites de temps ou des quotas de données ?" Utilisez les deux. Les limites de temps gèrent la simultanéité des sessions. Les quotas de données gèrent les abus de débit. Ils résolvent des problèmes différents. "Puis-je appliquer des politiques différentes à différentes catégories d'invités ?" Oui, et vous devriez le faire. Un membre d'un programme de fidélité qui s'est authentifié via votre application devrait bénéficier d'une meilleure expérience qu'un visiteur anonyme. Les attributs RADIUS peuvent renvoyer différents profils de bande passante en fonction de la catégorie de l'utilisateur. "Qu'en est-il du WPA3 ?" Activez le chiffrement sans fil opportuniste (OWE) WPA3 sur votre SSID invité. Il fournit un chiffrement par session sans nécessiter de mot de passe, ce qui est exactement ce que vous recherchez pour un réseau WiFi ouvert. [RÉSUMÉ ET PROCHAINES ÉTAPES — environ 1 minute] Pour résumer : l'implémentation de restrictions de temps et de bande passante sur le WiFi invité n'est pas un exercice à faire une fois pour toutes. C'est une discipline opérationnelle continue qui se situe à l'intersection de l'ingénierie réseau, de la conformité et de la gestion de l'expérience client. Les principes fondamentaux sont les suivants : segmentez votre réseau avec des VLAN, appliquez les politiques au niveau du contrôleur ou du pare-feu à l'aide des attributs RADIUS, définissez des limites de bande passante conservatives et ajustez-les en fonction des données d'utilisation, utilisez les délais de session du Captive Portal pour gérer la simultanéité, et assurez-vous que vos pratiques de collecte de données sont conformes au GDPR. Si vous souhaitez approfondir la couche d'authentification, le guide de Purple sur l'implémentation de l'authentification 802.1X avec Cloud RADIUS est une excellente prochaine étape. Et si vous évaluez votre stratégie globale de WiFi invité, la plateforme Purple vous offre les outils d'analyse et de gestion des politiques pour opérationnaliser tout ce que nous avons abordé aujourd'hui sur l'ensemble de votre parc de sites. Merci pour votre écoute. À la prochaine.