Intégration de Huawei AirEngine et CloudCampus avec Purple WiFi

Bienvenue dans la série technique de Purple. Je suis votre hôte, et aujourd'hui nous allons passer en revue l'une des intégrations WiFi d'entreprise les plus nuancées que nous rencontrons sur le terrain : les points d'accès Huawei AirEngine et le contrôleur CloudCampus iMaster NCE-Campus, intégrés à Purple pour le WiFi invité, l'authentification du personnel et la segmentation réseau multi-locataire. Si vous êtes un architecte réseau ou un responsable informatique gérant un parc Huawei - qu'il s'agisse d'un groupe hôtelier, d'une chaîne de magasins, d'un centre de conférences ou d'un campus du secteur public - cet épisode est pour vous. Nous allons couvrir l'ensemble de la pile : la redirection vers le Captive Portal, les ACL de pré-authentification, le WiFi sécurisé pour le personnel via 802.1X, et la fonctionnalité Private Pre-Shared Key de Huawei pour le routage VLAN dynamique à travers plusieurs locataires. C'est parti. Première section : Contexte et architecture. La gamme AirEngine de Huawei - qui comprend les séries 5700, 6700, 8700 et 9700 - fonctionne sur WiFi 6 et WiFi 6E, la série haut de gamme 9700 prenant en charge le WiFi 7. Ce sont de véritables points d'accès d'entreprise. La couche de gestion est iMaster NCE-Campus, le contrôleur réseau basé sur le cloud de Huawei, qui gère tout, du provisionnement des SSID et du relais RADIUS à l'application des politiques et au transfert syslog. Purple se positionne au-dessus de cela en tant qu'overlay cloud. Nous opérons sur 80 000 sites actifs et avons traité 440 millions de connexions rien qu'en 2024. Nous sommes agnostiques en matière de matériel - ce qui signifie que nous nous intégrons à Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, et bien sûr, Huawei AirEngine - en utilisant les mêmes standards RADIUS et de Captive Portal que tous les contrôleurs d'entreprise prennent en charge. Le modèle d'intégration ici est simple. iMaster NCE-Campus agit comme le relais RADIUS, transmettant les demandes d'authentification des points d'accès aux serveurs RADIUS de Purple. Purple gère la logique d'authentification - qu'il s'agisse d'une page d'accueil pour les invités, d'une vérification d'identifiants 802.1X ou d'une recherche PPSK - et renvoie la réponse RADIUS appropriée, y compris tous les attributs d'attribution dynamique de VLAN. Deuxième section : Configuration du WiFi invité et du Captive Portal. Commençons par le déploiement le plus courant : le WiFi invité avec un Captive Portal Purple. Dans iMaster NCE-Campus, vous naviguez vers Design, puis Network Design, puis Template Management. Vous créez un modèle de serveur de relais RADIUS. Les paramètres clés sont : définir le service d'authentification sur Portal authentication, ajouter les adresses IP du serveur RADIUS de Purple sur le port UDP 1812 pour l'authentification et 1813 pour l'accounting, définir le NAS identifier sur Device MAC, et configurer le secret partagé. Purple fournit ces identifiants RADIUS depuis l'écran de configuration du site dans le tableau de bord Purple. Ensuite, vous créez une ACL - il s'agit de votre Walled Garden. Avant qu'un invité ne s'authentifie, il doit pouvoir accéder à la splash page de Purple et à tous les domaines associés. Vos règles ACL doivent autoriser le DNS sur le port UDP 53, autoriser le HTTPS vers le domaine du Captive Portal de Purple, et autoriser tous les fournisseurs de connexion sociale que vous avez activés - par exemple, les points de terminaison de l'API Graph de Facebook si vous utilisez la connexion via les réseaux sociaux. Tout le reste est bloqué avant l'authentification. Ensuite, vous configurez l'SSID. Définissez le type de réseau sur Open, sélectionnez l'authentification Open plus Portal, configurez le type d'authentification sur Relay authentication by cloud platform, et choisissez RADIUS relay comme mode d'interconnexion. Définissez le protocole de redirection de page sur HTTPS. Dans les paramètres d'authentification du portail tiers, collez l'URL de redirection Purple - il s'agit de l'URL de la splash page que vous copiez depuis le tableau de bord de l'établissement Purple, avec le suffixe modifié pour inclure les paramètres spécifiques à Huawei : ap-mac, uaddress, umac, ssid et redirect-url. Enfin, créez un modèle d'URL dans iMaster NCE-Campus qui associe ces noms de paramètres aux valeurs que Huawei transmet lors de la redirection. Le mappage des paramètres est le suivant : redirect-url vers redirect-url, loginurl vers login-url, device-mac vers ap-mac, user-ip vers uaddress, user-mac vers umac, et ssid vers ssid. Une fois cette configuration terminée, un invité se connecte à l'SSID, obtient une adresse DHCP, et son trafic HTTP est intercepté par le contrôleur puis redirigé vers la splash page de Purple. Il s'authentifie - via e-mail, connexion sociale ou vérification par SMS - et le serveur RADIUS de Purple renvoie un message Access-Accept à iMaster NCE-Campus, qui accorde à l'invité un accès complet à Internet. Du point de vue des données, Purple capture à ce stade les données de consentement de première partie. Chaque connexion est une adhésion volontaire et consciente, conforme au GDPR et à la CCPA. Ces données alimentent la plateforme d'analyse de Purple, vous fournissant la durée des sessions, le type d'appareil, le taux de visiteurs récurrents et le temps de présence - le tout sans aucun suivi tiers. Section trois : Sécuriser le WiFi du personnel avec le 802.1X. Parlons maintenant du WiFi du personnel. Il s'agit d'une posture de sécurité totalement différente. Vous ne voulez pas que le personnel se trouve sur le même segment de réseau que les invités, et vous voulez éviter les mots de passe PSK partagés qui quittent l'entreprise dès que quelqu'un s'en va. La solution est l'authentification 802.1X, définie par la norme IEEE 802.1X-2020, utilisant EAP-TLS ou EAP-PEAP. Dans iMaster NCE-Campus, vous créez un SSID distinct pour le personnel - appelons-le CorpNet. Dans le profil d'authentification de cet SSID, vous définissez le mode d'authentification sur 802.1X, vous le pointez vers le serveur RADIUS de Purple, et vous configurez le profil de sécurité sur WPA2-Enterprise ou WPA3-Enterprise avec un chiffrement AES-CCMP. Purple agit également en tant que serveur RADIUS ici, mais valide désormais les identifiants par rapport à votre fournisseur d'identité. Purple s'intègre nativement avec Microsoft Entra ID, Okta et Google Workspace. Lorsqu'un membre du personnel se connecte à CorpNet, son appareil envoie les identifiants EAP au point d'accès, qui les transmet via RADIUS à Purple, qui les valide ensuite par rapport à Entra ID à l'aide de SCIM ou SAML. Si les identifiants sont valides, Purple renvoie un Access-Accept avec un attribut RADIUS spécifiant le VLAN du personnel - par exemple le VLAN 20. iMaster NCE-Campus oriente automatiquement le client vers ce VLAN. Les attributs RADIUS clés pour l'attribution dynamique de VLAN sont : Tunnel-Type défini sur VLAN ou la valeur 13, Tunnel-Medium-Type défini sur 802 ou la valeur 6, et Tunnel-Private-Group-ID défini sur l'ID du VLAN. Ces trois attributs indiquent ensemble au contrôleur Huawei exactement quel VLAN attribuer au client authentifié. Pour l'EAP-TLS spécifiquement - qui est la référence absolue pour l'authentification du personnel - vous avez besoin de certificats clients. L'extension SecurePass de Purple gère la délivrance et le cycle de vie des certificats, en s'intégrant à votre PKI existante ou en agissant comme une autorité de certification légère. Cela élimine complètement les attaques basées sur les mots de passe. Pas de mot de passe, pas de vecteur de phishing. Section quatre : Segmentation multi-locataire avec le PPSK de Huawei. C'est là que cela devient vraiment intéressant. Si vous gérez un espace à usage mixte - un centre commercial avec plusieurs locataires de vente au détail, un espace de co-working avec plusieurs entreprises membres, ou un centre de conférence accueillant des événements simultanés - vous avez besoin d'une isolation réseau entre les locataires sans déployer un SSID distinct pour chacun d'eux. La fonctionnalité PPSK de Huawei - Private Pre-Shared Key - résout ce problème. Elle est parfois appelée iPSK dans d'autres écosystèmes de constructeurs. Le concept est le suivant : un seul SSID, plusieurs mots de passe uniques, chaque mot de passe étant associé à un VLAN spécifique. Le locataire A obtient le mot de passe Alpha, qui correspond au VLAN 30. Le locataire B obtient le mot de passe Beta, qui correspond au VLAN 40. Les deux locataires voient le même SSID, mais ils sont complètement isolés au niveau de la couche 2. Dans la CLI de Huawei, vous configurez cela dans la vue WLAN à l'aide de la commande ppsk-user. Pour chaque locataire, vous exécutez : ppsk-user psk pass-phrase, suivi de la phrase secrète unique, puis user-name, l'identifiant du locataire, puis vlan, l'ID du VLAN, puis ssid, le nom du SSID. Vous pouvez également définir une date d'expiration, un nombre maximal d'appareils et lier le tout à une adresse MAC spécifique si vous avez besoin d'un contrôle plus strict. Dans iMaster NCE-Campus, la recherche PPSK peut être gérée localement sur le contrôleur ou - pour les déploiements à grande échelle - via RADIUS. Lorsque le PPSK basé sur RADIUS est utilisé, Purple devient la source faisant autorité pour les mappages PPSK-vers-VLAN. L'appareil d'un locataire se connecte avec sa phrase secrète unique, le contrôleur envoie une requête RADIUS Access-Request à Purple avec la phrase secrète comme identifiant, Purple recherche le mappage et renvoie un Access-Accept avec les trois attributs de tunnel VLAN. Le contrôleur oriente le client vers le bon VLAN. Cette architecture s'adapte à des centaines de locataires sur un seul SSID. Cela signifie également que vous pouvez provisionner, renouveler et révoquer les identifiants des locataires depuis le tableau de bord Purple sans toucher à la configuration du contrôleur. Section cinq : Pièges de mise en œuvre et comment les éviter. Laissez-moi vous présenter les trois modes de défaillance que je rencontre le plus souvent dans les déploiements Huawei et Purple. Premier piège : le Walled Garden est incomplet. Les invités se connectent au SSID, sont redirigés vers la page d'accueil (splash page), mais la page ne se charge pas car un domaine requis - souvent un point de terminaison CDN ou une API de connexion sociale - est bloqué par l'ACL de pré-authentification. La solution consiste à tester le flux de la page d'accueil depuis un nouvel appareil avant la mise en service, à capturer les requêtes DNS et les connexions HTTPS qu'il effectue, et à ajouter chaque domaine requis à l'ACL. Purple publie une liste des domaines requis dans la documentation d'intégration. Deuxième piège : non-concordance du secret partagé RADIUS. Le secret configuré dans iMaster NCE-Campus doit correspondre exactement au secret du tableau de bord Purple. Une différence d'un seul caractère entraîne des échecs d'authentification silencieux - les journaux du contrôleur affichent un message Access-Reject sans aucun message d'erreur utile. Copiez-collez toujours le secret, ne le saisissez jamais manuellement. Troisième piège : mauvaise configuration du trunk VLAN. L'attribution dynamique de VLAN via RADIUS ne fonctionne que si le VLAN est déjà trunké sur le port de liaison montante (uplink) entre le point d'accès et le commutateur d'agrégation. Si le VLAN 20 ne figure pas dans la liste d'autorisation du trunk sur l'interface du commutateur, les clients du personnel authentifiés subiront un dépassement de délai DHCP et sembleront échouer à l'authentification. Auditez vos configurations de trunk avant de tester les VLAN attribués par RADIUS. Section six : Questions-réponses rapides. Question : Puis-je utiliser le RADIUS intégré de Purple avec le déploiement sur site d'iMaster NCE-Campus de Huawei, et non la version cloud ? Oui. Les serveurs RADIUS de Purple sont hébergés dans le cloud et accessibles via Internet. Votre contrôleur iMaster NCE-Campus sur site a besoin des ports sortants UDP 1812 et 1813 vers les plages d'adresses IP RADIUS de Purple. Purple publie ces plages d'adresses IP dans le tableau de bord sous les paramètres du site. Question : Est-ce que le PPSK de Huawei prend en charge le WPA3-SAE ? Depuis la version de firmware AirEngine V600R025, le WPA3-SAE-PPSK est pris en charge sur les séries 6700 et 9700. Vérifiez votre version de firmware avant d'activer le WPA3 sur les SSIDs PPSK. Question : Comment Purple gère-t-il le consentement GDPR pour le WiFi invité sur le matériel Huawei ? La page d'accueil de Purple recueille le consentement au moment de l'authentification. L'enregistrement du consentement - comprenant l'horodatage, l'adresse IP et les conditions spécifiques acceptées - est stocké dans la plateforme de Purple et peut être exporté pour les audits de conformité. Cela s'applique quel que soit le fournisseur de matériel sous-jacent. Section sept : Résumé et prochaines étapes. Pour résumer : Huawei AirEngine et iMaster NCE-Campus s'intègrent à Purple via un relais RADIUS pour le Captive Portal invité, le 802.1X pour le WiFi du personnel, et le PPSK pour la segmentation VLAN multi-tenant. La configuration s'effectue dans iMaster NCE-Campus sous Design, Network Design, Template Management pour la configuration RADIUS et ACL, et sous Provision, Device Configuration, Site Configuration pour l'association du SSID et du profil d'authentification. Vos prochaines étapes : récupérez les identifiants RADIUS Purple depuis votre tableau de bord de site, configurez le modèle de serveur de relais RADIUS dans iMaster NCE-Campus, créez votre ACL Walled Garden, configurez le SSID invité avec une authentification Open plus Portal, et testez de bout en bout avec un nouvel appareil avant le déploiement global. Si vous déployez le PPSK pour l'isolation multi-tenant, planifiez d'abord votre schéma de VLAN - assurez-vous que chaque VLAN tenant est acheminé en trunk de bout en bout avant de configurer le moindre utilisateur PPSK. Pour obtenir le guide de configuration complet étape par étape, incluant des exemples de CLI et des schémas d'architecture, consultez le guide écrit complet sur le site web de Purple. Merci pour votre écoute.