Intégration de Cisco WLC et Catalyst avec Purple WiFi : Guide étape par étape de l'accès invité

Résumé exécutif

Les réseaux sans fil d'entreprise doivent servir simultanément différents groupes d'utilisateurs : les invités qui ont besoin d'un accès internet fluide, le personnel qui requiert un accès sécurisé aux ressources de l'entreprise, et les appareils sans tête ou locataires qui nécessitent d'être isolés les uns des autres. S'appuyer sur une clé pré-partagée unique pour l'un de ces groupes constitue une faille de sécurité. Un seul identifiant compromis expose l'ensemble du segment, et révoquer l'accès nécessite de modifier un mot de passe global, ce qui perturbe tous les appareils du réseau.

Ce guide détaille l'intégration des contrôleurs LAN sans fil Cisco (WLC) et du matériel de la série Catalyst 9800 avec la solution cloud de Purple. Nous fournissons la configuration étape par étape pour trois niveaux d'authentification distincts : un réseau Guest WiFi ouvert avec redirection vers un Captive Portal propulsé par Purple, un réseau Secure Staff WiFi utilisant l'authentification par certificat 802.1X EAP-TLS, et un environnement Multi-Tenant WiFi utilisant les clés pré-partagées d'identité Cisco (iPSK) avec attribution dynamique de VLAN. En déployant cette architecture, vous isolez les ressources de l'entreprise du trafic des visiteurs, automatisez le contrôle d'accès basé sur l'identité et capturez des données de première main grâce à la plateforme WiFi Analytics de Purple. Purple opère sur plus de 80 000 sites actifs et a enregistré 440 millions de connexions en 2024 (données internes de Purple), ce qui en fait une solution cloud éprouvée pour l'infrastructure Cisco à grande échelle.

Analyse technique approfondie : l'architecture à trois niveaux

Un déploiement sans fil d'entreprise moderne sur du matériel Cisco doit répondre à différents profils d'utilisateurs ayant des exigences de sécurité et d'accès distinctes. L'intégration entre le WLC Cisco et Purple permet à une infrastructure matérielle unifiée de servir ces profils via des mécanismes d'authentification distincts, le tout géré à partir d'un seul contrôleur Catalyst 9800.

Niveau 1 : Guest WiFi - Authentification Web Centrale (CWA)

Pour les visiteurs dans les environnements de l' Hôtellerie et du Commerce de détail , l'objectif est une intégration fluide combinée à une capture de données conforme au GDPR. Ceci est réalisé en utilisant un SSID ouvert couplé à l'authentification web centrale (CWA). Lorsqu'un invité se connecte, le WLC Cisco applique une liste de contrôle d'accès (ACL) de pré-authentification - le jardin d'enfants (walled garden). Cette ACL bloque le trafic internet général tout en autorisant le trafic vers les domaines du Captive Portal de Purple, le DNS et les points de terminaison de connexion sociale.Lorsque l'invité tente de naviguer, le WLC intercepte la requête HTTP et émet une redirection vers la splash page Purple. L'invité s'authentifie via la méthode de son choix (connexion sociale, inscription par e-mail ou code coupon). Purple agit ensuite en tant que serveur RADIUS, renvoyant un message RADIUS Change of Authorization (CoA) au WLC. Le CoA ordonne au WLC de faire passer le client de l'état de pré-authentification à un état de post-authentification sur un VLAN invité isolé, lui accordant ainsi l'accès à Internet. Chaque connexion est enregistrée dans la plateforme d'analyse de Purple, capturant des données de première partie en conformité avec le GDPR et la CCPA.

Niveau 2 : WiFi du personnel - 802.1X EAP-TLS

Les appareils de l'entreprise exigent le plus haut niveau de sécurité. La norme IEEE 802.1X définit le contrôle d'accès réseau basé sur les ports (PNAC), et lorsqu'elle est combinée avec EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), elle fournit une authentification basée sur des certificats qui élimine totalement les mots de passe. Les certificats numériques sont déployés sur les appareils de l'entreprise via une gestion des appareils mobiles (MDM) - Microsoft Intune, Jamf ou équivalent. Le Cisco WLC agit en tant qu'authentificateur, transmettant les messages EAP entre le suppliant (l'appareil) et le serveur RADIUS. Le serveur RADIUS valide le certificat et renvoie un Access-Accept avec des attributs d'attribution de VLAN facultatifs.

L'authentification reposant sur des certificats plutôt que sur des mots de passe, il n'y a pas d'identifiants à voler. Si un appareil est perdu ou si un employé s'en va, vous révoquez le certificat. L'accès prend fin instantanément sans perturber aucun autre utilisateur. Pour un traitement complet des normes de sécurité d'entreprise, y compris le WPA3 et le Zero Trust, consultez notre guide sur la Sécurité WiFi d'entreprise : Un guide complet pour 2026 .

Niveau 3 : WiFi multi-locataire - Cisco iPSK et attribution dynamique de VLAN

Dans des environnements tels que les résidences étudiantes, les espaces de coworking ou les centres commerciaux, vous avez besoin de réseaux privés et segmentés pour différents locataires sans diffuser des dizaines de SSID. Cisco Identity PSK (iPSK) résout ce problème. Tous les locataires se connectent à un seul SSID. Le WLC envoie une demande d'authentification MAC au serveur RADIUS pour chaque appareil qui se connecte. Le serveur RADIUS renvoie la clé PSK spécifique pour ce locataire sous forme d'attribut cisco-av-pair, ainsi que les attributs RADIUS standard de l'IETF pour attribuer dynamiquement le client au bon VLAN.

Les trois attributs RADIUS de l'IETF qui gèrent l'attribution dynamique de VLAN sont :

Le Tunnel-Private-Group-ID est encodé sous forme de chaîne de caractères, comme défini dans la RFC 2868. L'ID du VLAN doit exister sur le WLC pour que l'attribution réussisse.

Guide de mise en œuvre : Configuration du Cisco Catalyst 9800 WLC

Les étapes suivantes détaillent la configuration d'un Cisco Catalyst 9800 WLC sous IOS-XE pour s'intégrer à Purple pour la redirection du WiFi invité. Pour les déploiements de WLC AireOS existants, les paramètres équivalents sont disponibles sur le portail d'assistance Purple.

Étape 1 : Configurer l'authentification et la comptabilisation RADIUS

Vous devez pointer le WLC vers les serveurs RADIUS de Purple pour gérer l'authentification des invités et la comptabilisation des sessions.

1. Accédez à Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add.
2. Saisissez l'adresse IP du serveur RADIUS Purple principal, définissez le port d'authentification (auth-port) sur 1812, le port de comptabilisation (acct-port) sur 1813, et saisissez le secret partagé fourni sur le portail Purple.
3. Activez Support for CoA - ceci est obligatoire pour la redirection vers le Captive Portal.
4. Répétez l'opération pour le serveur RADIUS Purple secondaire.
5. Accédez à RADIUS > Server Groups > + Add et créez un groupe contenant les deux serveurs.
6. Accédez à AAA Method List > Authorization > + Add, définissez le Type sur network, et pointez-le vers le groupe de serveurs RADIUS.
7. Accédez à AAA Method List > Accounting > + Add, définissez le Type sur identity, et pointez-le vers ce même groupe.

Les commandes CLI équivalentes sur IOS-XE sont :

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Étape 2 : Définir l'ACL de pré-authentification (walled garden)

L'ACL de pré-authentification autorise le trafic vers la page de connexion de Purple et les services essentiels avant que l'utilisateur ne s'authentifie. Il s'agit du walled garden.

1. Accédez à Configuration > Security > ACL > + Add.
2. Créez une ACL IPv4 étendue nommée Purple_Guest_Walled_Garden.
3. Ajoutez des règles pour refuser (deny) le trafic vers l'IP de gestion du WLC et les IP des serveurs RADIUS.
4. Ajoutez des règles pour autoriser (permit) le DNS (port UDP 53) vers vos serveurs DNS.
5. Ajoutez des règles pour autoriser (permit) le trafic vers les plages d'adresses IP et les domaines du walled garden de Purple (obtenez la liste actuelle sur le portail d'assistance Purple pour votre type de matériel spécifique).
6. Ajoutez une règle finale permit ip any any - le WLC redirigera le trafic autorisé vers le CPU pour le traitement du portail.

Étape 3 : Configurer le WLAN invité

1. Accédez à Configuration > Tags & Profiles > WLANs > + Add.
2. Créez un WLAN nommé Guest-WiFi avec l'SSID de votre choix.
3. Sous Security > Layer 2, définissez la sécurité sur None (Open).
4. Sous Security > Layer 3, activez Web Policy et définissez le type de Web Auth sur External.
5. Saisissez votre URL d'accès Purple dans le champ de redirection.
6. Appliquez l'ACL Purple_Guest_Walled_Garden.
7. Sous Security > AAA Servers, attribuez les serveurs RADIUS Purple à la fois pour l'authentification et la comptabilisation.

Étape 4 : Configurer le profil de politique (Policy Profile)

1. Naviguez vers Configuration > Tags & Profiles > Policy > + Add.
2. Sous Access Policies, attribuez le VLAN 20 (ou votre VLAN invité dédié).
3. Sous Advanced, activez Allow AAA Override et NAC State.
4. Attribuez la liste de méthodes de comptabilisation Purple.

L'équivalent en CLI :

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

Étape 5 : Configurer l'iPSK pour les déploiements multi-locataires ou IoT

Pour l'iPSK, la configuration du WLAN diffère de celle de l'accès invité. Le WLAN utilise le WPA2-PSK avec le filtrage MAC activé, et le profil de politique a l'option AAA Override active pour accepter la clé PSK par client et le VLAN renvoyés par le serveur RADIUS.

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

Le serveur RADIUS (configuré dans Purple ou sur votre plateforme RADIUS) renvoie les attributs suivants par groupe de locataires :

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID = 

Bonnes pratiques

Le respect des normes établies garantit la stabilité, la sécurité et la conformité réglementaire de votre déploiement.

Imposez une validation stricte des certificats. Lors du déploiement du 802.1X, configurez les appareils clients via MDM pour qu'ils fassent explicitement confiance à l'autorité de certification de votre serveur RADIUS et spécifiez le nom de serveur attendu. Ne pas imposer cette validation rend les clients vulnérables aux attaques par point d'accès pirate, où un attaquant présente un faux certificat pour capturer les identifiants. Il s'agit d'une exigence absolue, et non d'une simple recommandation.

Isolez le trafic invité au niveau de la couche réseau. Le WiFi invité doit se terminer sur un VLAN dédié, protégé par un pare-feu de toutes les ressources de l'entreprise. La norme PCI DSS 4.0 exige que les environnements de données de titulaires de cartes soient isolés des réseaux publics. Un invité sur le VLAN 20 ne doit avoir aucune route vers le réseau de l'entreprise sur le VLAN 10.

Utilisez l'iPSK pour les appareils IoT, et non le MAC Authentication Bypass. Les adresses MAC sont diffusées en clair et sont faciles à usurper. L'iPSK offre une sécurité cryptographique pour les appareils sans interface utilisateur. Pour savoir comment les écrans et les appareils IoT interagissent avec les protocoles sans fil, consultez What Is Wireless Display: Protocols & Best Practices 2026 .

Définissez des conditions d'utilisation claires. Votre Captive Portal doit présenter des conditions d'utilisation avant d'accorder l'accès. Il s'agit d'une obligation RGPD pour la collecte de données et d'une nécessité juridique pour les politiques d'utilisation du réseau. Pour les réseaux internes destinés au personnel, consultez Staff WiFi Terms and Conditions: Legal and Compliance Essentials . Déployez la redondance RADIUS. Configurez toujours un serveur RADIUS principal et un secondaire. Purple fournit deux adresses IP de serveur à cet effet. Une seule défaillance de serveur RADIUS empêchera toutes les connexions des invités.

Dépannage et atténuation des risques

Même avec une configuration minutieuse, des problèmes d'intégration peuvent survenir. Traitez les modes de défaillance les plus courants de manière systématique avant de remonter le problème.

Problème : Les invités se connectent mais la splash page n'apparaît pas.

C'est le problème le plus courant. L'ACL de pré-authentification bloque le DNS. Sans DNS, le client ne peut pas résoudre la requête HTTP initiale, et le système d'exploitation ne déclenchera pas le mini-navigateur du Captive Portal. Vérifiez que le port UDP 53 est autorisé vers vos serveurs DNS dans l'ACL du walled garden. Sur le WLC, exécutez show wireless client summary pour confirmer que le client est dans un état Webauth Pending plutôt que Run.

Problème : Les clients iPSK ne parviennent pas à se connecter ou se retrouvent sur le mauvais VLAN.

Le VLAN spécifié dans Tunnel-Private-Group-ID n'existe pas sur le WLC, ou les attributs cisco-av-pair sont mal formés. Exécutez debug radius all sur le WLC pour inspecter la réponse RADIUS brute. Vérifiez que l'ID de VLAN est créé sous Configuration > Layer 2 > VLAN > VLAN List.

Problème : Les clients du personnel en 802.1X ne parviennent pas à s'authentifier par intermittence.

Il s'agit généralement d'un délai d'attente dépassé (timeout) du serveur RADIUS ou d'un problème de confiance de certificat sur le client. Vérifiez les journaux du serveur RADIUS pour les messages Access-Reject. Sur les clients Windows, vérifiez que le profil WiFi est configuré pour valider le certificat du serveur et spécifie la CA de confiance correcte.

Problème : Le CoA de Purple n'est pas traité par le WLC.

Le secret partagé CoA doit correspondre au secret partagé RADIUS configuré sur le WLC. Sur IOS-XE 17.4 et versions ultérieures, la clé CoA est configurée séparément du secret partagé. Vérifiez que les deux correspondent aux valeurs du portail Purple.

ROI et impact commercial

La transition de réseaux PSK basiques vers une architecture structurée basée sur l'identité avec Purple offre des résultats commerciaux mesurables dans les secteurs de l' Hôtellerie , du Commerce de détail , de la Santé et des Transports .

Premièrement, l'architecture élimine le coût opérationnel lié à la gestion des mots de passe partagés. Lorsqu'un membre du personnel s'en va, vous révoquez son certificat. Vous n'avez pas à modifier un mot de passe global et à mettre à jour chaque appareil du parc. Deuxièmement, l'intégration avec le Captive Portal de Purple transforme un centre de coûts informatiques en un moteur de revenus. La plateforme de Purple capture des données de première partie conformes à chaque connexion, permettant des campagnes marketing automatisées et des analyses de visiteurs. Avec 29 milliards de points de données collectés sur le réseau Purple (données internes de Purple), la plateforme fournit des informations exploitables sur le comportement des visiteurs, le temps de séjour et les taux de retour.

Pour les exploitants de sites qui réalisent des enquêtes afin de mesurer la satisfaction des visiteurs, la plateforme Purple s'intègre directement aux flux de travail de recherche. Consultez le guide Design of a Survey: A Practical Guide for Venues pour obtenir des conseils sur la structuration d'enquêtes de site efficaces diffusées via le Captive Portal.

En intégrant le matériel de classe entreprise de Cisco à la solution cloud de Purple, vous obtenez un réseau sécurisé et évolutif qui contribue activement aux objectifs commerciaux du site. Purple est certifié ISO 27001, conforme au GDPR et à la CCPA, certifié Cyber Essentials et certifié B Corp, répondant ainsi aux exigences de conformité des équipes d'achats des entreprises.