Intégration du firmware personnalisé OpenWrt avec Purple WiFi

Résumé exécutif

OpenWrt est le firmware de choix pour les équipes informatiques qui ont besoin d'une indépendance matérielle sans sacrifier le contrôle de niveau entreprise. Déployé dans les secteurs de l'hôtellerie, de la vente au détail et du secteur public, il fournit une pile réseau basée sur Linux entièrement configurable. Mais par défaut, OpenWrt est une page blanche. Sans couche d'identité structurée, les réseaux invités deviennent ingérables, les réseaux du personnel restent non sécurisés et les environnements multi-tenant s'effondrent en un seul réseau plat.

Ce guide fournit le guide d'intégration définitif pour connecter OpenWrt à la plateforme de Captive Portal et de RADIUS cloud de Purple. Nous couvrons quatre scénarios de déploiement distincts : la redirection vers le Captive Portal invité à l'aide de CoovaChilli, la configuration du walled garden via iptables, le WiFi sécurisé pour le personnel à l'aide de hostapd avec IEEE 802.1X, et la segmentation multi-tenant à l'aide de clés privées pré-partagées (PPSK) avec attribution dynamique de VLAN. À la fin, vous disposerez des paramètres de configuration exacts, des modes de défaillance courants et des cadres de décision nécessaires pour déployer un réseau basé sur l'identité, prêt pour la production et conforme au GDPR, sur n'importe quel matériel compatible OpenWrt.

Purple est présent dans plus de 80 000 sites actifs et a traité 440 millions de connexions en 2024 (données internes de Purple, 2024). L'architecture décrite ici est la même que celle déployée à grande échelle dans les chaînes hôtelières, les parcs de vente au détail et les hubs de transport.

Analyse technique approfondie

L'architecture du Captive Portal CoovaChilli

Lors du déploiement du WiFi invité sur OpenWrt, CoovaChilli est le contrôleur d'accès standard de l'industrie. Il fonctionne comme un démon de Captive Portal qui intercepte le trafic des clients non authentifiés, attribue des adresses IP via son serveur DHCP interne sur l'interface virtuelle tun0, et applique les politiques de walled garden à l'aide de règles iptables qu'il gère directement.

Le flux d'authentification fonctionne comme suit. Un appareil invité s'associe au SSID ouvert. CoovaChilli lui attribue une adresse IP à partir de son pool interne (généralement 10.1.0.0/24). Lorsque l'appareil envoie sa première requête HTTP, CoovaChilli l'intercepte et émet une redirection HTTP 302 vers l'URL de la splash page de Purple. Pendant cette phase de pré-authentification, l'appareil est isolé - il ne peut atteindre que les domaines explicitement répertoriés dans le walled garden.

Une fois que l'invité s'est authentifié sur le portail Purple, le serveur RADIUS cloud de Purple envoie un message Access-Accept à CoovaChilli sur le port UDP 1812. CoovaChilli met ensuite à jour ses règles iptables pour autoriser l'accès à internet pour cette adresse MAC spécifique et commence à transmettre les données de comptabilité (durée de la session, octets transférés) au serveur de comptabilité RADIUS de Purple sur le port UDP 1813. La comptabilité n'est pas facultative - c'est le mécanisme par lequel Purple alimente votre tableau de bord d' Analyses WiFi avec les données de session.

Walled garden : iptables et listes d'autorisation de domaines

Le walled garden est l'élément de configuration le plus critique sur le plan opérationnel dans tout déploiement de Captive Portal. CoovaChilli gère le walled garden via deux mécanismes : le paramètre uamallowed pour les adresses IP individuelles et le paramètre uamdomains pour l'autorisation basée sur les domaines avec inspection DNS.

Pour une intégration Purple, les entrées minimales requises pour le walled garden sont :

Note sur la gestion du CNA d'Apple : Si vous incluez captive.apple.com dans le walled garden, les appareils iOS détecteront la connectivité internet avant l'authentification et supprimeront la fenêtre contextuelle du Captive Network Assistant. La plupart des déploiements dans l'hôtellerie excluent délibérément ce domaine pour déclencher l'invite automatique du portail. Le choix correct dépend de la conception de votre expérience client.

WiFi sécurisé pour le personnel : hostapd et IEEE 802.1X

Les réseaux invités exigent une intégration sans friction. Les réseaux du personnel exigent une sécurité absolue. Pour les utilisateurs internes, OpenWrt utilise hostapd pour faciliter l'authentification IEEE 802.1X. Dans cette architecture, le point d'accès OpenWrt agit comme l'authentificateur, transmettant les messages EAP (Extensible Authentication Protocol) entre l'appareil client (demandeur) et le serveur RADIUS de Purple.

Pour les appareils d'entreprise, l'EAP-TLS est la norme obligatoire. Il repose sur une authentification mutuelle par certificat - le serveur et l'appareil client présentent tous deux des certificats numériques - éliminant complètement les mots de passe et les risques associés de vol d'identifiants ou de phishing. Pour les environnements qui ne sont pas encore prêts pour une infrastructure à clé publique (PKI) complète, PEAP-MSCHAPv2 constitue une option intermédiaire raisonnable, utilisant un tunnel chiffré pour protéger les identifiants de l'utilisateur.

Lorsqu'un membre du personnel s'authentifie avec succès, le serveur RADIUS renvoie des attributs d'autorisation. L'attribut clé pour la segmentation du réseau est Tunnel-Private-Group-ID, qui demande à OpenWrt d'attribuer dynamiquement l'utilisateur au bon VLAN. C'est le mécanisme qui sous-tend les réseaux basés sur l'identité : l'identité de l'utilisateur, et non son emplacement physique, détermine son accès au réseau.

Segmentation multi-tenant : PPSK OpenWrt configuration

Dans les environnements multi-locataires - espaces de coworking, propriétés résidentielles locatives (BTR), centres commerciaux multi-enseignes ou stades avec des zones de sponsors distinctes - la diffusion de plusieurs SSID est coûteuse sur le plan opérationnel et inefficace en termes de radiofréquences (RF). Chaque SSID supplémentaire ajoute une surcharge de trames de gestion, réduisant le temps d'antenne disponible pour le trafic de données.

Les clés pré-partagées privées (PPSK), parfois appelées PSK dynamiques, résolvent ce problème. Vous diffusez un seul SSID. Lorsqu'un appareil tente de se connecter, hostapd envoie l'adresse MAC de l'appareil au serveur RADIUS via une requête Access-Request standard. Le serveur RADIUS valide l'adresse MAC par rapport à sa base de données et renvoie un Access-Accept contenant deux attributs critiques : l'attribut Tunnel-Password (le mot de passe unique pour cet appareil) et l'attribut Tunnel-Private-Group-ID (l'attribution du VLAN). L'appareil se connecte à l'aide de son mot de passe unique et est placé directement sur le VLAN qui lui est attribué.

Cela signifie qu'un responsable de magasin et un participant à un événement peuvent se connecter au même SSID mais être redirigés vers des réseaux entièrement distincts et isolés en fonction de leur identité unique.

Guide d'implémentation

Étape 1 : Récupérer les identifiants RADIUS Purple

Avant de modifier la configuration d'OpenWrt, récupérez les éléments suivants depuis la console d'administration du portail Purple :

• Adresse IP du serveur RADIUS principal
• Adresse IP du serveur RADIUS secondaire (pour le basculement)
• Secret partagé RADIUS
• URL de la page d'accueil (Splash Page) du Captive Portal
• URL de redirection post-authentification

Étape 2 : Installer et configurer CoovaChilli pour le WiFi invité

Installez le paquet coova-chilli via opkg :

opkg update && opkg install coova-chilli

Le fichier de configuration principal est /etc/chilli/defaults. Définissez les paramètres réseau de base :

# Interfaces réseau
HS_WANIF=eth0           # Interface internet amont
HS_LANIF=wlan0          # L'interface WiFi invité (ou une sous-interface VLAN)

# Sous-réseau invité
HS_NETWORK=10.10.20.0
HS_NETMASK=255.255.255.0
HS_UAMLISTEN=10.10.20.1 # IP de CoovaChilli sur le réseau invité
HS_UAMPORT=3990

# Intégration RADIUS Purple
HS_RADIUS=
HS_RADIUS2=
HS_RADSECRET=
HS_NASID=venue-openwrt-01

# Page d'accueil Purple
HS_UAMSERVER=

# Walled garden - liste d'autorisation basée sur le domaine
HS_UAMDOMAINS=".purple.ai,.googleapis.com,.gstatic.com,.facebook.com,.fbcdn.net"

Activez et démarrez le service :

/etc/init.d/chilli enable
/etc/init.d/chilli start

Étape 3 : Configurer l'interface sans fil OpenWrt pour le SSID invité

Dans /etc/config/wireless, définissez le SSID invité comme un réseau ouvert lié à l'interface que CoovaChilli va gérer :

config wifi-iface 'guest_wifi'
    option device 'radio0'
    option network 'guest'
    option mode 'ap'
    option ssid 'Venue_Guest'
    option encryption 'none'
    option isolate '1'

L'isolation des clients (isolate '1') empêche les appareils invités de communiquer entre eux - un contrôle de sécurité obligatoire pour tout réseau partagé.

Étape 4 : Configurer hostapd pour le WiFi personnel 802.1X

Pour le SSID du personnel, configurez WPA2-Enterprise dans /etc/config/wireless :

config wifi-iface 'staff_wifi'
    option device 'radio0'
    option network 'staff_vlan10'
    option mode 'ap'
    option ssid 'Venue_Staff'
    option encryption 'wpa2'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option vlan_bridge 'br-vlan'
    option vlan_naming '0'

Le paramètre dynamic_vlan '2' indique à hostapd d'appliquer l'attribution de VLAN renvoyée par le serveur RADIUS, et de rejeter l'authentification si aucun VLAN n'est renvoyé.

Prérequis du paquet : Le paquet standard wpad-mini ne prend pas en charge WPA2-Enterprise. Vous devez installer wpad ou wpad-openssl :

opkg remove wpad-mini && opkg install wpad-openssl

Étape 5 : Configurer le PPSK pour la segmentation multi-locataire

Le PPSK nécessite que hostapd effectue une authentification par adresse MAC auprès du serveur RADIUS, qui renvoie ensuite le mot de passe par appareil. Dans /etc/config/wireless :

config wifi-iface 'ppsk_ssid'
    option device 'radio0'
    option mode 'ap'
    option ssid 'Venue_Connect'
    option encryption 'psk2'
    option key 'default_fallback_key'
    option macfilter 'radius'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option wpa_psk_radius '2'

Le paramètre wpa_psk_radius '2' indique à hostapd d'exiger l'attribut Tunnel-Password de la réponse RADIUS. Si le serveur RADIUS ne renvoie pas de mot de passe, l'authentification est rejetée.

Du côté de RADIUS Purple, la section authorize de votre configuration FreeRADIUS (ou équivalent) associe les adresses MAC aux mots de passe et aux identifiants de VLAN :

# Exemple d'entrée d'autorisation RADIUS pour PPSK
AA:BB:CC:DD:EE:FF   Auth-Type := Accept
    Tunnel-Password = "GuestPass2024",
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-ID = "20"

Étape 6 : Configurer l'attribution dynamique de VLAN

Pour que l'attribution dynamique de VLAN fonctionne, votre commutateur OpenWrt doit être configuré pour acheminer les VLAN concernés en tant que trafic balisé (tagged) sur le port trunk connecté à votre commutateur principal. Dans /etc/config/network :

config interface 'vlan10'
    option ifname 'eth0.10'
    option proto 'dhcp'

config interface 'vlan20'
    option ifname 'eth0.20'
    option proto 'dhcp'

config interface 'vlan30'
    option ifname 'eth0.30'
    option proto 'dhcp'

Assurez-vous que le port de votre commutateur principal est configuré en mode trunk, transmettant les VLAN 10, 20 et 30 balisés (tagged).

Bonnes pratiques

Ségrégation absolue du réseau. Ne pontez jamais gles interfaces invités avec les réseaux internes. Le trafic invité doit être isolé sur un VLAN dédié et routé directement vers le pare-feu Internet. Il s'agit d'une exigence non négociable pour la conformité PCI DSS 4.0, qui impose que les réseaux WiFi invités soient complètement isolés de tout segment de réseau traitant des données de titulaires de cartes.

Précision du walled garden. Un walled garden incomplet est la cause principale des échecs de Captive Portal. Utilisez les outils de développement de votre navigateur sur un appareil de test connecté au SSID invité pour identifier les requêtes bloquées avant l'authentification. Chaque domaine bloqué est un échec potentiel du portail.

Intervalles de comptabilité RADIUS. Configurez l'intervalle intermédiaire de comptabilité CoovaChilli sur 120 secondes. Cela fournit des données de session en temps quasi réel dans le tableau de bord analytique de Purple sans générer de trafic RADIUS excessif.

Serveur RADIUS secondaire. Configurez toujours HS_RADIUS2 dans votre configuration CoovaChilli. Si le serveur RADIUS Purple principal est injoignable, CoovaChilli ne parviendra pas à authentifier les nouvelles sessions. Le serveur secondaire assure un basculement automatique sans qu'aucune modification de configuration ne soit requise au niveau du point d'accès.

Sélection des packages. Le package wpad-mini inclus dans de nombreuses versions d'OpenWrt ne prend pas en charge le WPA2-Enterprise ou l'attribution dynamique de VLAN. Installez toujours wpad-openssl pour tout déploiement nécessitant le 802.1X ou le PPSK.

Pour obtenir plus de conseils sur l'architecture de sécurité WiFi d'entreprise, consultez notre guide Sécurité WiFi d'entreprise : un guide complet pour 2026 .

Dépannage et atténuation des risques

Note sur la conformité GDPR : CoovaChilli lui-même ne capture ni ne stocke de données personnelles. Tous les mécanismes de capture de consentement, de traitement des données et de conformité GDPR sont gérés par la plateforme Purple au niveau de la couche du portail. Assurez-vous que votre portail Purple est configuré avec les conditions générales de votre établissement et l'avis de traitement des données avant la mise en service.

Pour les schémas d'intégration de matériel associés, consultez nos guides sur l'intégration des points d'accès EnGenius Cloud avec Purple WiFi et l'intégration des routeurs et points d'accès DrayTek Vigor avec Purple WiFi .

ROI et impact commercial

La transition de réseaux PSK de base vers une architecture OpenWrt gérée par Purple produit un impact mesurable sur trois dimensions.

Capture de données et marketing. En imposant l'authentification par Captive Portal, les établissements capturent des données démographiques de première partie conformes — noms, adresses e-mail, profils sociaux — au point de connexion WiFi. Ces données alimentent directement les plateformes de CRM et d'e-mail marketing, stimulant les inscriptions aux programmes de fidélité et permettant des campagnes ciblées. Purple a traité 440 millions de connexions en 2024 (données internes de Purple), démontrant l'ampleur de la capture de données de première partie possible à la périphérie du réseau.

Efficacité opérationnelle. L'implémentation du PPSK réduit la surcharge liée au SSID, améliorant ainsi les performances WiFi dans les environnements denses. Pour une chaîne de vente au détail de 200 points de vente, la gestion centralisée des identités via le RADIUS cloud de Purple — plutôt que la mise à jour des configurations de routeurs locaux sur chaque site — permet d'économiser des centaines d'heures d'ingénierie par an. Une seule modification de politique RADIUS se propage instantanément aux 200 sites.

Sécurité et conformité. L'attribution dynamique de VLAN applique un accès de moindre privilège à la périphérie. Le personnel est isolé des invités. Les appareils IoT sont isolés du personnel. Les terminaux de point de vente (POS) sont isolés de tout autre trafic. Cette segmentation répond aux exigences d'isolation réseau de la norme PCI DSS 4.0 et fournit une topologie réseau claire et auditable pour les examens de conformité GDPR.

Pour des modèles de déploiement spécifiques à chaque secteur, consultez nos guides pour les environnements du Commerce de détail , de l'Hôtellerie , de la Santé et des Transports . Vous pouvez également trouver notre guide sur Qu'est-ce que l'affichage sans fil : protocoles et meilleures pratiques 2026 utile pour comprendre les technologies sans fil complémentaires dans les déploiements sur site.