Intégration de CommScope Ruckus avec Purple WiFi : Guide d'installation et de configuration

Bienvenue dans ce point technique Purple. Je suis votre hôte, et aujourd'hui nous abordons un modèle de déploiement qui revient dans presque tous les projets WiFi d'entreprise à grande échelle : l'intégration de CommScope Ruckus avec la plateforme cloud de Purple. Que vous gériez un groupe hôtelier, un parc de points de vente, un stade ou un centre de conférences, cet épisode vous donnera le manuel de configuration dont vous avez besoin. Plantons d'abord le décor. Ruckus – désormais sous la bannière de CommScope – est l'une des plateformes de WiFi d'entreprise dominantes dans le monde. SmartZone en particulier est le contrôleur de choix pour les environnements à haute densité. Des hôtels comme Premier Inn, de grandes chaînes de magasins, des stades et des centres de congrès exploitent tous l'infrastructure Ruckus. Lorsque vous déployez du WiFi invité à cette échelle, il vous faut plus qu'un simple SSID ouvert. Vous avez besoin d'une authentification structurée, d'une capture de données conforme au GDPR et de la capacité d'intégrer ces données d'invités dans votre pile marketing. C'est précisément là que Purple intervient. Purple est présent dans plus de 80 000 sites actifs, a traité 440 millions de connexions rien qu'en 2024, et détient les certifications ISO 27001, GDPR et Cyber Essentials. L'intégration Ruckus est l'un de nos modèles de déploiement les plus matures. Ruckus propose trois plateformes de contrôleurs distinctes que vous devez comprendre avant de toucher à un écran de configuration. SmartZone – disponible sous forme d'appareil physique SZ300 ou virtuel vSZ – est le contrôleur d'entreprise pour les grands déploiements multi-sites. Il gère des milliers de points d'accès sur plusieurs zones, vous offre un contrôle approfondi des politiques et prend en charge toute la gamme des méthodes d'authentification que nous allons aborder aujourd'hui. ZoneDirector est le contrôleur sur site hérité – encore largement déployé, notamment dans l'hôtellerie – et il prend en charge le même flux de Captive Portal basé sur WISPr, bien qu'avec un chemin de configuration légèrement différent. Et Unleashed est le modèle sans contrôleur, où un point d'accès fait office de maître pour jusqu'à 128 autres. Il est idéal pour les déploiements plus petits sur un seul site : hôtels indépendants, succursales de vente au détail, bureaux de PME. Très bien. Entrons dans les détails techniques. Je vais aborder trois cas d'usage distincts : le WiFi invité avec redirection vers un Captive Portal, le WiFi personnel sécurisé via 802.1X et l'isolation réseau multi-locataire à l'aide de Ruckus Dynamic PSK. Commençons par le WiFi invité. L'architecture ici est un flux de hotspot basé sur WISPr. WISPr – Wireless Internet Service Provider roaming – est un standard de l'industrie qui définit comment un contrôleur sans fil intercepte le trafic HTTP non authentifié et le redirige vers un portail externe. L'invité se connecte à votre SSID. Son appareil envoie une requête HTTP. SmartZone l'intercepte et émet une redirection HTTP 302 vers l'URL de votre portail externe – dans ce cas, le Captive Portal de Purple. L'invité s'authentifie – via une connexion sociale, un e-mail, un SMS ou un formulaire personnalisé – puis le portail communique en retour avec le contrôleur via l'interface Northbound, ou NBI, pour accorder l'accès. Sur SmartZone, la configuration comporte quatre composants principaux. Tout d'abord, le profil du serveur d'authentification RADIUS. Accédez à Services and Profiles, puis Authentification. Créez un nouveau profil de serveur AAA. Définissez le protocole de service sur RADIUS. L'adresse IP de votre serveur principal et le secret partagé sont fournis dans la console d'administration de Purple. Port 1812 pour l'authentification. Configurez toujours un serveur RADIUS de secours pour la résilience. Créez ensuite le serveur de comptabilité sous Services and Profiles, Accounting – port 1813, même secret partagé. Deuxièmement, le profil Hotspot WISPr. Allez dans Services and Profiles, Hotspots and Portals, et sélectionnez l'onglet Hotspot WISPr. Créez un nouveau profil. Définissez l'URL de connexion sur Externe et saisissez l'URL de redirection de votre portail. Définissez la page de démarrage pour rediriger vers votre URL post-authentification – généralement une page de réussite ou la page d'accueil de votre site. Ensuite, le Walled Garden. C'est là que les ingénieurs trébuchent le plus souvent. Le Walled Garden définit les domaines et les adresses IP qu'un invité peut atteindre avant de s'authentifier. Vous devez inclure le domaine de votre portail, tous les domaines de CDN ou de ressources à partir desquels votre portail se charge, ainsi que les points de terminaison standard de détection de Captive Portal des systèmes d'exploitation. Dans SmartZone, les caractères génériques sont pris en charge au format astérisque-point – ainsi, *.purple.ai couvre tous les sous-domaines. Vous avez également besoin du domaine de détection de Captive Portal d'Apple – captive.apple.com – et des points de terminaison de vérification de connectivité de Google pour éviter que le mini-navigateur CNA ne se comporte mal sur les appareils iOS et Android. Une étape cruciale facile à manquer. Par défaut, SmartZone chiffre l'adresse MAC et l'adresse IP qu'il transmet au portail externe dans l'URL de redirection. Purple a besoin de voir l'adresse MAC réelle du client pour effectuer la gestion des sessions basée sur le MAC. Vous devez désactiver cela via la CLI. Connectez-vous en SSH à votre SmartZone, entrez en mode configuration et exécutez : no encrypt-mac-ip. C'est une seule commande, mais c'est un point de blocage absolu si vous l'ignorez. L'interface Northbound est l'autre élément essentiel. Il s'agit de l'API qui permet à Purple de communiquer en retour avec SmartZone pour accorder ou refuser l'accès après l'authentification. Activez-la sous Administration, Services externes, Interface Northbound WISPr. Définissez un nom d'utilisateur et un mot de passe, et fournissez ces identifiants à Purple. La NBI fonctionne sur le port TCP 9080 pour le HTTP et 9443 pour le HTTPS – assurez-vous que votre pare-feu autorise les connexions entrantes de la plage IP de Purple vers ces ports. Enfin, créez votre WLAN. Définissez le type d'authentification sur Hotspot WISPr, sélectionnez le profil de votre portail et attribuez vos services d'authentification et de comptabilité RADIUS. Définissez le NAS ID sur Défini par l'utilisateur si Purple requiert une valeur spécifique, définissez le Called Station ID sur AP MAC et activez Single Session ID. Pour Unleashed, l'architecture est fondamentalement différente : il s'agit d'un modèle distribué sans contrôleur. La configuration se trouve dans Admin et Services, Services, Services Hotspot. Les étapes sont globalement similaires – créer un service Hotspot, configurer l'URL de votre portail externe, configurer votre serveur d'authentification AAA, ajouter vos entrées de Walled Garden – mais il y a deux différences clés. Il n'y a pas d'exigence d'interface Northbound dans Unleashed. Et le chiffrement de l'adresse MAC n'est pas appliqué par défaut, vous n'avez donc pas besoin de la commande CLI. Le Walled Garden d'Unleashed accepte également des entrées au niveau du domaine plutôt que la syntaxe complète des caractères génériques. Passons maintenant au WiFi personnel sécurisé via 802.1X. Il s'agit d'un modèle d'authentification complètement différent. Au lieu d'un Captive Portal, les appareils du personnel s'authentifient directement à l'aide du protocole d'authentification extensible – EAP. La méthode la plus courante dans les environnements d'entreprise est PEAP-MSCHAPv2, où l'utilisateur saisit ses identifiants Active Directory, ou EAP-TLS, où l'appareil présente un certificat. Le module complémentaire SecurePass de Purple s'intègre à Microsoft Entra ID, Okta et Google Workspace pour faire office de backend RADIUS pour ce flux. Sur SmartZone, créez un nouveau WLAN et définissez le type d'authentification sur 802.1X EAP. Dans les paramètres AAA, pointez vers votre serveur RADIUS – le point de terminaison SecurePass de Purple. La différence clé par rapport au flux invité est que vous configurez également l'attribution dynamique de VLAN ici. Lorsque le serveur RADIUS de Purple renvoie un Access-Accept, il inclut trois attributs standard de l'IETF : Tunnel-Type défini sur VLAN, valeur 13 ; Tunnel-Medium-Type défini sur IEEE-802, valeur 6 ; et Tunnel-Private-Group-ID contenant la chaîne de l'ID de VLAN – par exemple, 20 pour le VLAN du personnel. SmartZone lit ces attributs et étiquette dynamiquement le trafic du membre du personnel avec le bon VLAN, quel que soit le point d'accès auquel il est connecté. C'est l'orientation dynamique des VLAN, et c'est ce qui permet à un seul SSID de desservir plusieurs rôles d'utilisateurs avec des politiques d'accès réseau différentes. Activez l'option AAA Override dans les paramètres avancés du WLAN pour vous assurer que SmartZone traite les attributs de VLAN renvoyés par le RADIUS. Sans cette case cochée, l'attribution dynamique ne fonctionnera pas, même si le serveur RADIUS envoie les bons attributs. Le troisième cas d'usage est l'isolation multi-locataire à l'aide de Ruckus Dynamic PSK – ou DPSK. Il s'agit d'une technologie propriétaire de Ruckus qui attribue une phrase de passe WPA2 unique à chaque utilisateur ou locataire, le tout sur un seul SSID. Contrairement à un PSK partagé où tout le monde utilise le même mot de passe, le DPSK signifie que le locataire A dispose d'une clé unique de 62 caractères, le locataire B d'une autre, et ainsi de suite. Chaque clé est liée à un VLAN spécifique, de sorte que le trafic du locataire A arrive sur le VLAN 101 et celui du locataire B sur le VLAN 102 – isolation complète, aucun risque lié au mot de passe partagé et révocation instantanée sans affecter les autres locataires. C'est particulièrement puissant dans les espaces de coworking, les immeubles résidentiels locatifs, les logements étudiants et les parcs d'activités commerciales multi-locataires. Purple s'intègre à Ruckus DPSK via l'API de SmartZone pour automatiser l'attribution des clés – lorsqu'un nouveau locataire est intégré dans Purple, un DPSK est généré, lié au bon VLAN et transmis automatiquement au locataire. Pour configurer le DPSK sur SmartZone : accédez à WLANs, ajoutez un nouveau WLAN et, sous Sécurité, définissez la méthode sur Dynamic PSK. Définissez la longueur du DPSK sur 62 caractères pour une entropie maximale. Sous VLAN, activez l'attribution de VLAN par DPSK. Utilisez ensuite l'API de SmartZone ou l'interface de gestion DPSK pour créer des clés individuelles par locataire, chacune mappée à son propre ID de VLAN. Sur Unleashed, la même fonctionnalité est disponible sous Réseaux WiFi, Options avancées, Dynamic PSK. Le DPSK3 est la variante WPA3, offrant un chiffrement plus fort basé sur SAE. Si votre parc de points d'accès prend en charge le WPA3 – ce qui est le cas de tous les points d'accès Ruckus actuels de la série R – le DPSK3 est le choix privilégié pour les nouveaux déploiements. Laissez-moi vous présenter deux scénarios de mise en œuvre réels qui illustrent comment ces trois cas d'usage s'articulent. Premier scénario : un hôtel de 250 chambres. L'établissement utilise Ruckus SmartZone avec des points d'accès R750 répartis partout. Ils ont besoin de trois types de réseaux : un WiFi invité pour les clients de l'hôtel, un WiFi personnel sécurisé pour le personnel d'accueil et d'arrière-guichet, et un réseau IoT pour les commandes de chambres intelligentes et la vidéosurveillance. Le WLAN invité utilise le flux de Captive Portal WISPr avec Purple. Les invités se connectent, sont redirigés vers un portail Purple personnalisé, s'authentifient par e-mail ou connexion sociale, et arrivent sur le VLAN 10. Le portail capture des données de première partie – e-mail, consentement marketing, préférences de séjour – qui alimentent directement le CRM de l'hôtel. Le tableau de bord analytique de Purple montre à l'hôtel quelles zones présentent les taux de connexion les plus élevés, les heures de pointe et les taux de visiteurs récurrents. Premier Inn a déployé ce modèle sur l'ensemble de son parc au Royaume-Uni et a constaté des améliorations mesurables des scores de satisfaction des clients directement liées à l'expérience WiFi. Le WLAN du personnel utilise le 802.1X avec SecurePass de Purple. Le personnel s'authentifie avec ses identifiants Active Directory via PEAP-MSCHAPv2. Le personnel de réception arrive sur le VLAN 20 avec accès au système de gestion de l'établissement. Le personnel d'arrière-guichet arrive sur le VLAN 21 avec un accès uniquement aux systèmes de RH et de planification. L'attribution du VLAN est entièrement gérée par les attributs RADIUS renvoyés par Purple – aucune configuration manuelle de port n'est requise. Lorsqu'un membre du personnel s'en va, son compte est désactivé dans Microsoft Entra ID et l'accès est révoqué instantanément sur tous les sites. Le IoT WLAN utilise un PSK statique, isolé sur le VLAN 30, avec l'isolation des clients activée. Les thermostats intelligents, les serrures de porte et les caméras de vidéosurveillance se trouvent ici, complètement séparés du trafic des invités et du personnel. Deuxième scénario : un espace de coworking avec 15 entreprises locataires. C'est là que le DPSK prend tout son sens. L'opérateur utilise Ruckus Unleashed sur trois étages. Chaque entreprise locataire reçoit un DPSK unique lié à son propre VLAN. Les 20 membres du personnel du locataire A utilisent tous la même phrase de passe DPSK-A, mais cette phrase de passe est unique au locataire A et ne correspond qu'au VLAN 101. Le locataire B utilise le DPSK-B, correspondant au VLAN 102. Les locataires sont complètement isolés les uns des autres au niveau de la couche réseau. Lorsqu'un locataire s'en va, l'opérateur révoque son DPSK dans SmartZone – ou via l'interface de gestion de Purple – et c'est tout. Aucun autre locataire n'est affecté, aucun changement de SSID n'est requis, aucune réinitialisation de mot de passe dans tout le bâtiment. La couche de gestion multi-locataire de Purple chapeaute le tout, offrant à l'opérateur de coworking un tableau de bord unique pour gérer l'intégration, la révocation des accès et les analyses d'utilisation pour les 15 locataires. Laissez-moi maintenant aborder les modes de défaillance les plus courants et comment les éviter. Numéro un : mauvaise configuration du Walled Garden. Si la page de votre portail ne se charge pas après la redirection, la première chose à vérifier est si tous les domaines auxquels votre page de portail fait référence figurent dans le Walled Garden. Les pages de portail modernes chargent des ressources à partir de plusieurs domaines de CDN, de scripts d'analyse et de SDK de connexion sociale. Si l'un d'entre eux est bloqué avant l'authentification, la page ne se chargera pas ou s'affichera de manière incorrecte. Utilisez les outils de développement de votre navigateur sur un appareil de test connecté au SSID invité pour identifier les requêtes bloquées. Purple fournit une liste de Walled Garden documentée pour SmartZone et Unleashed – utilisez-la comme base et ajoutez-y les domaines spécifiques à votre site. Numéro deux : le problème de connectivité NBI. Si les invités peuvent voir le portail et s'authentifier, mais n'obtiennent jamais d'accès à Internet, la cause probable est que SmartZone ne peut pas recevoir le rappel NBI de Purple. Vérifiez que les ports 9080 et 9443 sont ouverts en entrée vers l'adresse IP de gestion de SmartZone depuis la plage IP de Purple. Vérifiez également que les identifiants NBI que vous avez configurés correspondent à ceux enregistrés par Purple. Numéro trois : la commande manquante no encrypt-mac-ip. C'est le piège le plus courant spécifique à SmartZone. Si Purple reçoit des requêtes de redirection mais ne parvient pas à associer la session à une adresse MAC, c'est presque certainement la cause. C'est une correction d'une seule ligne en CLI, mais elle est facile à manquer car elle n'apparaît pas dans l'interface graphique. Numéro quatre : AAA Override non activé pour le VLAN dynamique. Si le personnel s'authentifie avec succès sur le 802.1X mais se retrouve sur le même VLAN par défaut plutôt que sur son VLAN spécifique à son rôle, vérifiez que l'option AAA Override est activée dans les paramètres avancés du WLAN. C'est le commutateur qui indique à SmartZone de respecter les attributs de VLAN renvoyés par le serveur RADIUS. Numéro cinq : le VLAN DPSK ne se propage pas. Si les utilisateurs de DPSK s'authentifient mais n'arrivent pas sur le bon VLAN, vérifiez que l'attribution de VLAN par DPSK est activée dans les paramètres du WLAN, et que les ports de commutateur connectés à vos points d'accès sont configurés comme des ports trunk acheminant tous les VLAN DPSK. Si le port du commutateur est un port d'accès, le marquage VLAN sera supprimé. Maintenant, trois questions rapides que l'on me pose lors de chaque déploiement Ruckus-Purple. Ai-je besoin d'un VLAN dédié pour le WiFi invité ? Oui, toujours. Isolez le trafic des invités sur un VLAN dédié. Il s'agit à la fois d'une exigence de sécurité et d'une considération de conformité PCI DSS si votre établissement traite des paiements par carte sur le même réseau. Activez l'isolation des clients sur le WLAN invité pour empêcher les appareils des invités de communiquer entre eux. Puis-je utiliser Purple avec Ruckus One – la plateforme gérée dans le cloud – au lieu de SmartZone ? Oui. Le chemin de configuration est différent – cela se trouve sous Réseaux WiFi, paramètres d'accès invité dans le portail Ruckus One – mais les principes de configuration du Walled Garden et du RADIUS sont identiques. Purple prend-il en charge les déploiements multi-zones de SmartZone ? Oui. L'intégration de Purple gère les environnements SmartZone multi-zones, et vous pouvez cibler les configurations de portail sur des zones individuelles pour différents sites ou étages au sein d'une seule instance SmartZone. Pour résumer. L'intégration de Ruckus et Purple couvre trois cas d'usage distincts, chacun ayant son propre modèle de configuration. Le WiFi invité utilise le flux de Captive Portal WISPr – cinq points de configuration clés : RADIUS sur les ports 1812 et 1813 avec un serveur de secours, le profil Hotspot WISPr avec une URL de connexion externe, un Walled Garden correctement dimensionné utilisant des entrées génériques, la commande CLI no encrypt-mac-ip, et l'interface Northbound activée avec les bons identifiants. Le WiFi personnel sécurisé utilise le 802.1X EAP avec orientation dynamique des VLAN via les attributs RADIUS – l'élément déclencheur essentiel est l'option AAA Override dans les paramètres avancés du WLAN. L'isolation multi-locataire utilise Ruckus Dynamic PSK – des clés uniques par locataire, chacune liée à un VLAN dédié, avec une révocation instantanée et aucun risque lié au mot de passe partagé. Maîtrisez ces trois modèles et vous obtiendrez une architecture réseau qui s'adapte aussi bien à un hôtel indépendant de 50 chambres sur Unleashed qu'à un stade de 5 000 places sur SmartZone, avec la même plateforme Purple chapeautant le tout pour fournir des analyses unifiées, une capture de données conforme au GDPR et une gestion centralisée des accès. Si vous planifiez un déploiement Ruckus avec Purple, l'équipe d'intégration technique peut vous guider à travers une liste de contrôle avant lancement et valider votre configuration avant la mise en service. La plateforme Purple fournit également des analyses en temps réel sur les temps de chargement du portail, les taux de réussite d'authentification et les données de session – vous offrant la visibilité nécessaire pour détecter les problèmes avant vos invités. Merci pour votre écoute. À la prochaine.