Intégration des points d'accès Allied Telesis avec Purple WiFi

Vous êtes un consultant réseau senior s'adressant au directeur informatique d'un client lors d'un briefing privé. Exprimez-vous avec un ton confiant, autoritaire et conversationnel. Adoptez un rythme mesuré, avec une diction claire. Pas de mots de remplissage. Faites des pauses naturelles occasionnelles pour marquer l'accent : Bienvenue dans ce briefing technique sur l'intégration des points d'accès Allied Telesis de la série TQ avec Purple WiFi. Je vais vous présenter l'ensemble du processus de déploiement, de la redirection vers le Captive Portal pour les invités jusqu'à l'isolation PPSK multi-tenant. À la fin de cette présentation, vous disposerez d'une feuille de route de mise en œuvre claire. [pause moyenne] Commençons par le contexte. Allied Telesis produit la série TQ, notamment les points d'accès Wi-Fi 6 TQ5403 et TQ6702 GEN2. Ce sont des AP de classe entreprise équipés du firmware AlliedWare Plus, largement déployés dans les secteurs de l'hôtellerie, de la distribution et du secteur public. Purple est une plateforme cloud overlay agnostique vis-à-vis du matériel, opérant sur 80 000 sites et gérant 440 millions de connexions en 2024. L'intégration entre ces deux plateformes est propre, basée sur des standards ouverts et prête pour la production. [pause moyenne] À présent, la première chose que la plupart des équipes informatiques doivent configurer est la redirection vers le Captive Portal invité. L'AP Allied Telesis prend en charge trois modes de Captive Portal : le clic unique, l'authentification RADIUS et la redirection vers une page externe. Pour l'intégration de Purple, vous utiliserez le mode Redirection de page externe (External Page Redirect). Voici comment cela fonctionne en pratique. Vous vous connectez à l'interface graphique du point d'accès, accédez à Wireless, sélectionnez le VAP concerné, allez dans Advanced Settings, puis dans l'onglet Security. Configurez le Captive Portal sur External Page Redirect. Dans le champ External Page URL, saisissez l'URL de la splash page Purple fournie dans votre tableau de bord Purple. C'est l'URL sur laquelle vos invités arriveront lors de leur première connexion. [courte pause] Désormais, l'AP intercepte le premier paquet HTTP ou HTTPS de chaque nouveau client et redirige ce trafic vers votre splash page Purple. L'invité s'authentifie via Purple, et le serveur RADIUS de Purple renvoie un message Access-Accept à l'AP. L'AP accorde ensuite l'accès au réseau. [pause moyenne] Pour la configuration RADIUS, Purple vous fournit une adresse IP de serveur RADIUS, un secret partagé et le port d'authentification, qui est le port UDP 1812. L'accounting s'effectue sur le port UDP 1813. Vous configurez ces paramètres sous Network Services, puis RADIUS dans l'interface graphique de l'AP. L'identifiant NAS doit être configuré sur l'IP de gestion de l'AP ou sur un nom d'hôte descriptif. Le service RADIUS as a Service de Purple gère le backend d'authentification, vous n'avez donc pas besoin de gérer votre propre infrastructure RADIUS. [courte pause]Une chose essentielle à configurer correctement est le Walled Garden. Avant qu'un utilisateur invité ne s'authentifie, l'AP bloque tout le trafic, à l'exception des destinations sur liste blanche. Vous devez ajouter les domaines de la plateforme Purple à votre walled garden pour que la page de splash charge correctement. Au minimum, autorisez le domaine de la page de splash de Purple, tous les endpoints CDN utilisés par Purple pour les ressources, ainsi que les fournisseurs de connexion sociale que vous avez activés, comme Google ou Facebook. Vous configurez cela dans le même panneau VAP Advanced Settings sous l'onglet Walled Garden. [medium pause] Passons maintenant au WiFi du personnel utilisant le protocole 802.1X. C'est ici que vous configurez le WPA Enterprise sur un VAP distinct. Dans l'interface graphique de l'AP, sélectionnez WPA Enterprise dans le menu déroulant Security, puis pointez le RADIUS Authentication Group vers votre serveur RADIUS externe — qui, dans ce cas, est le service SecurePass de Purple ou votre propre serveur RADIUS s'appuyant sur Microsoft Entra ID ou Okta. Les appareils du personnel s'authentifient en utilisant EAP-PEAP avec MSCHAPv2, ou EAP-TLS avec des certificats pour les environnements à sécurité renforcée. L'AP agit comme authentificateur 802.1X, transmettant les identifiants au serveur RADIUS et appliquant la réponse. [short pause] Pour l'attribution dynamique de VLAN sur le réseau du personnel, vous devez activer l'option Dynamic VLAN dans les paramètres Advanced Security du VAP. Lorsque le serveur RADIUS renvoie un message Access-Accept, il inclut trois attributs standards : Tunnel-Type défini sur VLAN, Tunnel-Medium-Type défini sur IEEE 802, et Tunnel-Private-Group-Id défini sur l'ID du VLAN. L'AP lit ces attributs et place automatiquement l'appareil authentifié sur le bon VLAN. Il s'agit du mécanisme défini dans la norme RFC 3580, et il fonctionne de manière constante sur l'ensemble du matériel Allied Telesis. [medium pause] Parlons maintenant de la fonctionnalité la plus intéressante pour les déploiements multi-locataires : le PPSK de Allied Telesis, ou Private Pre-Shared Key. Cette fonction est parfois appelée iPSK sur d'autres plateformes. Le concept est simple. Vous disposez d'un seul SSID, mais chaque locataire ou groupe d'utilisateurs reçoit une clé de chiffrement unique. Lorsqu'un appareil se connecte, l'AP envoie cette clé au serveur RADIUS dans le champ du mot de passe d'une requête RADIUS Access-Request. Le serveur RADIUS associe la clé à une fiche utilisateur et renvoie un message Access-Accept contenant un attribut Tunnel-Private-Group-Id qui spécifie le VLAN de ce locataire. [short pause] Ainsi, dans un bâtiment à usage mixte, le locataire A de l'espace commercial se connecte avec sa clé et atterrit sur le VLAN 100. Le restaurant du rez-de-chaussée utilise une clé différente et se retrouve sur le VLAN 300. Le WiFi invité du bâtiment utilise une troisième clé et atterrit sur le VLAN 400 où le Captive Portal de Purple est actif. Tout cela fonctionne sur un seul SSID. Pas de prolifération de SSID. Une solution propre, évolutive et facile à gérer. [medium pause] Du côté de Purple, vous configurez les enregistrements d'utilisateurs PPSK dans le tableau de bord Purple ou via l'interface RADIUS as a Service. Chaque locataire obtient une phrase secrète unique associée à un ID de VLAN. Le serveur RADIUS de Purple gère la correspondance et renvoie le bon Tunnel-Private-Group-Id. Lorsque vous devez révoquer l'accès d'un locataire, il vous suffit de supprimer ou de désactiver son enregistrement PPSK dans Purple. L'AP applique le changement lors de la tentative d'authentification suivante. [medium pause] Permettez-moi de vous présenter deux scénarios réels où cela prend tout son sens. Premièrement, un hôtel de conférence de 250 chambres. L'hôtel exploite trois réseaux : un WiFi invité avec Captive Portal Purple et connexion via les réseaux sociaux, un WiFi personnel sous 802.1X lié à l'Active Directory via Microsoft Entra ID, et un réseau de délégués de conférence pour les événements. Les AP Allied Telesis TQ6702 GEN2 gèrent ces trois réseaux sur des VAP distincts avec des VLAN distincts. Purple gère le Captive Portal invité, collecte des données de première partie pour le CRM de l'hôtel et fournit des analyses sur les périodes de pointe d'utilisation. L'équipe informatique de l'hôtel gère le réseau du personnel via le SecurePass de Purple sans maintenir de serveur RADIUS distinct sur site. [short pause] Deuxième scénario : un parc commercial regroupant 12 locataires indépendants. Le propriétaire souhaite offrir du WiFi as a service à chaque locataire sans leur donner accès au trafic des autres. Ils déploient des AP Allied Telesis sur l'ensemble du site avec un seul SSID. Chaque locataire reçoit une clé PPSK unique. Le serveur RADIUS de Purple associe chaque PPSK à un VLAN dédié. Le propriétaire peut intégrer un nouveau locataire en moins de dix minutes en créant un nouvel enregistrement PPSK dans Purple et en remettant la phrase secrète au locataire. Aucune reconfiguration d'AP n'est requise. [medium pause] À présent, voici quelques pièges à éviter. Le problème le plus courant que nous constatons est la mauvaise configuration des walled gardens. Si vous oubliez d'autoriser un point de terminaison CDN Purple, le Captive Portal se chargera partiellement ou échouera sur certains appareils. Effectuez vos tests avec un appareil neuf sans DNS mis en cache avant de passer en production. Deuxièmement, les incompatibilités de secret partagé RADIUS. Le secret configuré sur l'AP doit correspondre exactement au secret configuré dans le serveur RADIUS de Purple. Une différence d'un seul caractère provoque des échecs d'authentification silencieux. Utilisez un gestionnaire de mots de passe pour générer et stocker ce secret. Troisièmement, le VLAN dynamique qui ne s'active pas. Sur les AP Allied Telesis, le VLAN dynamique est désactivé par défaut, même lorsque le WPA Enterprise est actif. Vous devez l'activer explicitement dans les paramètres de sécurité avancés du VAP. C'est un oubli très fréquent. Quatrièmement, le conflit d'authentification entre PPSK et MAC. Si l'authentification MAC est activée sur le même VAP que la PPSK, l'ordre d'authentification est crucial. Consultez la documentation de l'AP correspondant à votre version de firmware pour confirmer quelle méthode est prioritaire. [medium pause] Questions rapides fréquemment posées par les équipes informatiques. Puis-je utiliser le serveur RADIUS de Purple à la fois pour le Captive Portal invité et pour le 802.1X du personnel sur le même déploiement ? Oui. Le RADIUS as a Service de Purple prend en charge ces deux flux d'authentification. Vous configurez des groupes ou des politiques RADIUS distincts dans Purple pour chaque cas d'usage. Les AP Allied Telesis prennent-ils en charge le WPA3 avec un captive portal ? Le TQ6702 GEN2 fonctionnant avec le firmware 5.5.4-2.3 ou supérieur prend en charge le chiffrement WPA3 CCMP. Cependant, un captive portal avec redirection externe s'exécute généralement sur un SSID ouvert ou WPA2 Personal. Le personnel en 802.1X peut utiliser le WPA3 Enterprise. Que se passe-t-il si le serveur RADIUS de Purple est injoignable ? L'AP refusera les nouvelles tentatives d'authentification. Les sessions existantes se poursuivent jusqu'à leur expiration. Vous devez configurer un serveur RADIUS secondaire dans le groupe RADIUS de l'AP pour assurer la redondance. La plateforme de Purple maintient un taux de disponibilité de 99,999 %, mais la défense en profondeur reste une bonne pratique. [medium pause] En résumé, les AP de la série TQ d'Allied Telesis s'intègrent à Purple via trois mécanismes principaux : la redirection externe vers un captive portal pour le WiFi invité, le WPA Enterprise avec RADIUS pour le 802.1X du personnel, et le PPSK avec VLAN dynamique pour l'isolation multi-locataire. Les attributs RADIUS requis sont Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802 et Tunnel-Private-Group-Id contenant l'ID du VLAN. Purple fournit le backend RADIUS en tant que SaaS, la plateforme de splash page et la couche d'analytics. [short pause] Vos prochaines étapes : récupérez les identifiants RADIUS de Purple depuis votre tableau de bord, configurez la redirection de page externe sur votre VAP invité, ajoutez les entrées du walled garden, activez le VLAN dynamique sur votre VAP personnel et effectuez un test d'authentification pour chaque segment de réseau avant la mise en production. Si vous déployez le PPSK pour du multi-locataire, planifiez votre schéma de numérotation VLAN avant de commencer, car la modification des ID de VLAN après la mise en service des locataires nécessite une coordination. [medium pause] Voilà pour ce briefing. Pour consulter la référence de configuration complète étape par étape, le diagramme d'architecture Mermaid et le tableau des attributs RADIUS, reportez-vous au guide écrit. Merci pour votre temps.