Intégration d'Alta Labs avec Purple WiFi : Configuration et paramétrage du Captive Portal

SCRIPT DE PODCAST : Intégration d'Alta Labs avec Purple WiFi : Configuration et paramétrage du Captive Portal Plateforme d'intelligence Purple WiFi - Série de briefings techniques Durée : Environ 10 minutes Voix : Français, ton de consultant senior - confiant, conversationnel, autoritaire --- [INTRO - 1 MINUTE] Bienvenue dans la série de briefings techniques de Purple. Je suis votre hôte, et aujourd'hui nous décortiquons l'intégration entre les points d'accès Alta Labs et la plateforme d'intelligence Purple WiFi. Si vous êtes responsable informatique, architecte réseau ou directeur de l'exploitation d'un site et que vous cherchez à déployer une solution WiFi invité robuste et évolutive, ce briefing est pour vous. Nous allons couvrir la configuration spécifique des Alta Labs AP6 et AP6 Pro, la manière de configurer la redirection externe du captive portal, ainsi que les paramètres critiques de walled garden requis pour que les connexions via les réseaux sociaux fonctionnent réellement dans le monde réel. Nous aborderons également AltaPass - l'implémentation par Alta Labs des clés pré-partagées privées, ou PPSK - et la façon dont vous pouvez l'utiliser pour segmenter des environnements multi-tenant sans détruire vos performances RF avec une prolifération de SSIDs. C'est parti. --- [DEEP-DIVE TECHNIQUE - 5 MINUTES] L'intégration entre Alta Labs et Purple repose sur deux concepts réseau fondamentaux : la redirection HTTP pour le captive portal, et RADIUS pour l'authentification et la comptabilisation. Lorsqu'un client entre dans votre établissement - par exemple, un magasin de détail ou le hall d'un hôtel - et se connecte à votre réseau invité ouvert ou WPA3-OWE, l'AP Alta Labs agit comme un gardien. Il intercepte les requêtes HTTP initiales du client et les redirige vers votre splash page personnalisée Purple. Pour configurer cela dans la plateforme Alta Labs Cloud Management, accédez à vos paramètres WiFi, sélectionnez votre SSID invité et, sous les paramètres avancés (Advanced Settings), définissez le type de réseau sur Invité (Guest). C'est crucial car cela applique automatiquement l'isolation des clients, empêchant les appareils de communiquer latéralement sur le réseau. Ensuite, sous la section Hotspot, sélectionnez Externe (External) et insérez l'URL de redirection Purple fournie dans les paramètres de votre site, ainsi que votre secret d'autorisation (Authorisation Secret). Mais c'est là que la plupart des déploiements rencontrent un problème : le walled garden. Le walled garden est la liste des domaines et des adresses IP auxquels un appareil est autorisé à accéder avant de s'être authentifié. Si vous souhaitez que les clients se connectent à l'aide de Google, Facebook ou Apple, leurs appareils doivent pouvoir atteindre ces serveurs OAuth alors qu'ils sont encore dans un état pré-authentifié. Vous devez explicitement mettre sur liste blanche les domaines d'infrastructure de Purple - comme region1.purpleportal.net et cloudfront.net. Ensuite, vous devez ajouter les sondes de captive portal des OS : captive.apple.com pour iOS, et connectivitycheck.gstatic.com for Android. Si vous les bloquez, le téléphone ne sait pas qu'il se trouve derrière un captive portal, et la splash page ne s'affiche jamais. Enfin, vous ajoutez les domaines de connexion sociale. Pour Google, il s'agit de accounts.google.com, oauth2.googleapis.com et gstatic.com. Pour Facebook, il s'agit de facebook.com, graph.facebook.com et des domaines fbcdn.net. Une liste blanche d'IP statiques ne fonctionnera pas ici car ces fournisseurs utilisent des réseaux de diffusion de contenu (CDN) dynamiques. Vous devez utiliser des noms de domaine et vous assurer que votre contrôleur effectue une résolution DNS dynamique. Une fois que l'utilisateur a terminé sa connexion sur la splash page de Purple, le serveur RADIUS de Purple renvoie un message Access-Accept à l'AP Alta Labs. L'AP supprime alors la restriction du walled garden et accorde à l'appareil un accès complet à Internet. C'est un flux propre et sécurisé qui capture des données de première partie tout en maintenant l'intégrité du réseau. Parlons maintenant de la segmentation multi-tenant. Dans des environnements tels que les bureaux intelligents, les résidences étudiantes ou les immeubles collectifs, vous devez souvent fournir des réseaux sécurisés et isolés pour différents groupes. Historiquement, les équipes informatiques diffusaient un SSID distinct pour chaque locataire. C'est une très mauvaise pratique. Cela génère une surcharge de gestion massive et détruit vos performances sans fil en raison de la surcharge des trames balises (beacons). Alta Labs résout ce problème avec AltaPass, leur version des clés pré-partagées privées (PPSK). Avec AltaPass, vous diffusez un seul et unique SSID - appelons-le BuildingWiFi. Mais vous générez des mots de passe uniques pour différents utilisateurs ou appareils. Lorsque le locataire A saisit son mot de passe spécifique, l'AP l'attribue dynamiquement au VLAN 101 avec une limite de bande passante de 100 mégabits. Lorsque l'équipe de gestion saisit son mot de passe sur le même SSID, elle est placée sur le VLAN 200 avec une bande passante illimitée. Vous pouvez même créer un mot de passe pour les appareils IoT, comme les thermostats intelligents, qui les attribue à un VLAN isolé et contourne entièrement le captive portal. Un seul SSID. Des mots de passe illimités. Une isolation complète. C'est de l'Identity-Based Networking à la périphérie, et c'est une solution véritablement élégante à un problème qui perturbe les déploiements multi-tenant depuis des années. Laissez-moi vous donner un exemple concret de la façon dont cela fonctionne en pratique. Prenons un complexe résidentiel de 72 appartements - un type de déploiement réel pour lequel le matériel Alta Labs est largement utilisé. Au lieu de diffuser 72 SSIDs distincts, l'administrateur réseau crée un seul SSID et génère un mot de passe unique pour chaque appartement. Chaque mot de passe est associé à un VLAN et à un sous-réseau dédiés. Les résidents de l'offre de base bénéficient de 100 mégabits. Les résidents ayant souscrit à l'offre premium bénéficient de 300 mégabits. L'équipe de gestion de l'immeuble bénéficie d'un accès illimité. Le système d'automatisation du bâtiment (serrures de portes, CVC, ascenseurs) dispose de son propre VLAN isolé avec inspection approfondie des paquets (DPI) activée. Tout cela à partir d'un seul SSID. L'environnement RF est plus propre, les performances sont plus élevées et la gestion est considérablement simplifiée. Passons maintenant à la configuration 802.1X pour le WiFi sécurisé du personnel. Pour le réseau de votre personnel, vous ne devriez pas utiliser de clé pré-partagée du tout. Vous devriez utiliser le WPA2 ou le WPA3 Entreprise avec authentification 802.1X. Dans la plateforme Alta Labs, vous configurez cela en sélectionnant le SSID de votre personnel, en définissant le mode de sécurité sur WPA2-Enterprise ou WPA3-Enterprise, et en orientant l'AP vers votre serveur RADIUS. Si vous intégrez le produit SecurePass de Purple, Purple agit comme intermédiaire RADIUS, se connectant à votre fournisseur d'identité - qu'il s'agisse de Microsoft Entra ID, Okta ou Google Workspace - et renvoyant l'attribution de VLAN appropriée dans le message Access-Accept. L'AP Alta Labs lit l'attribut Tunnel-Private-Group-Id de la réponse RADIUS et place automatiquement l'appareil sur le bon VLAN. Une note importante concernant l'attribution dynamique de VLAN avec Alta Labs : lors de la configuration de VLANs attribués par RADIUS, définissez le VLAN par défaut sur le SSID sur le VLAN 1 ou laissez-le non étiqueté. Il existe un comportement connu selon lequel si le VLAN par défaut est défini sur une valeur spécifique, l'AP peut remplacer le VLAN attribué par RADIUS par le VLAN par défaut configuré. Définir le paramètre par défaut sur le VLAN 1 garantit que l'attribution RADIUS est prioritaire. --- [RECOMMANDATIONS DE DÉPLOIEMENT ET PIÈGES À ÉVITER - 2 MINUTES] Lorsque vous déployez cette solution, je souhaite mettre en évidence quelques recommandations clés. Premièrement, testez toujours le flux de votre captive portal with un appareil neuf. N'utilisez pas votre propre téléphone si vous vous êtes déjà connecté au réseau pendant les tests. Votre appareil se souvient de l'autorisation de l'adresse MAC ou possède des entrées DNS en cache, ce qui masquera les échecs de walled garden. Prenez une tablette qui n'a jamais vu le réseau, connectez-la et vérifiez que l'assistant de captive portal de l'OS se lance automatiquement. Deuxièmement, attention à l'excès de mise sur liste blanche. Je vois des ingénieurs s'agacer des erreurs de connexion sociale et mettre sur liste blanche des domaines génériques entiers ou d'immenses blocs d'adresses IP. Cela crée une faille de sécurité permettant à des utilisateurs avertis de contourner entièrement votre captive portal. Limitez-vous aux domaines spécifiques requis pour le flux OAuth. Troisièmement, lors du déploiement d'AltaPass PPSK avec des VLANs dynamiques, assurez-vous que l'ensemble de votre infrastructure de commutation est correctement configurée. Les ports de commutateur connectés à vos APs Alta Labs doivent être configurés en trunks, permettant à tous les VLANs étiquetés de passer vers la passerelle. Si l'AP étiquette le trafic pour le VLAN 101, mais que le port du commutateur est configuré en mode d'accès sur le VLAN 1, le trafic est abandonné et le client n'obtient pas d'adresse IP. Quatrièmement, mettez en œuvre une révision trimestrielle de la configuration de votre walled garden. Les fournisseurs OAuth et les réseaux de diffusion de contenu modifient leurs structures de domaine. Apple a mis à jour ses domaines de connexion (Sign In) à deux reprises en 2023. Un walled garden qui était correct lors du déploiement finira par se désaligner sans maintenance active. --- [QUESTIONS-RÉPONSES RAPIDES - 1 MINUTE] Passons en revue quelques questions rapides que nous entendons sur le terrain. Question un : Puis-je utiliser le WPA3 avec le captive portal de Purple sur le matériel Alta Labs ? Oui. Vous devez utiliser le WPA3-OWE, qui signifie Opportunistic Wireless Encryption. Cela chiffre les données sur les ondes, protégeant la confidentialité des clients, tout en fonctionnant comme un réseau ouvert qui déclenche la redirection vers le captive portal. C'est le bon choix pour tout nouveau déploiement de WiFi invité en 2026. Question deux : Quels ports dois-je ouvrir sur mon pare-feu pour le trafic RADIUS ? Les serveurs RADIUS de Purple communiquent via le port UDP 1812 pour l'authentification et le port UDP 1813 pour la comptabilisation. Assurez-vous que votre pare-feu périphérique autorise le trafic sortant sur ces ports depuis les APs Alta Labs vers l'infrastructure Purple. Question trois : Puis-je utiliser AltaPass PPSK aux côtés du captive portal de Purple sur le même SSID ? Oui, et c'est en fait une configuration très utile. Vous pouvez créer un mot de passe AltaPass qui contourne le captive portal pour les appareils connus - comme vos terminaux de point de vente ou votre signalisation numérique - tandis que les connexions standard au même SSID passent toujours par la splash page de Purple. Cela vous donne un SSID unique et propre qui gère à la fois les appareils authentifiés et les utilisateurs invités. --- [RÉSUMÉ ET PROCHAINES ÉTAPES - 1 MINUTE] Pour résumer : l'intégration d'Alta Labs avec Purple WiFi vous offre une plateforme sécurisée et évolutive pour capturer des données de première partie et offrir une expérience client personnalisée. Gardez à l'esprit les trois piliers d'un déploiement réussi. Premièrement, configurez avec précision la redirection externe du hotspot et les paramètres RADIUS dans la plateforme Alta Labs Cloud Management. Deuxièmement, définissez méticuleusement vos domaines de walled garden pour garantir le bon fonctionnement des sondes d'OS et des connexions via les réseaux sociaux. Et troisièmement, exploitez AltaPass PPSK pour implémenter l'Identity-Based Networking, en segmentant votre trafic sans polluer votre espace hertzien avec des SSIDs inutiles. Purple est présent dans 80 000 sites actifs et a traité 440 millions de connexions en 2024. La plateforme est certifiée ISO 27001, conforme au GDPR et conçue pour s'adapter aussi bien à un hôtel-boutique unique qu'à un parc national de commerces de détail. En associant cela aux performances et à la flexibilité du matériel Alta Labs, vous disposez d'une suite WiFi d'entreprise particulièrement attractive. Si vous suivez ce guide, vous offrirez une expérience WiFi fluide et conforme, qui satisfera à la fois votre équipe marketing et votre équipe de sécurité. Merci d'avoir écouté la série de briefings techniques de Purple. À la prochaine, gardez vos réseaux sécurisés et vos données exploitables.