Intégration des points d'accès Grandstream GWN avec Purple WiFi

Bienvenue dans la série des Briefings Techniques de Purple. Je suis votre hôte, et nous abordons aujourd'hui un modèle de déploiement de plus en plus courant dans les secteurs de l'hôtellerie, de la vente au détail et des propriétés multi-locataires : l'intégration des points d'accès Grandstream GWN avec la plateforme de WiFi invité de Purple. Si vous êtes un MSP, une équipe informatique interne ou un architecte réseau à qui l'on a confié un déploiement Grandstream GWN et demandé d'y greffer un Captive Portal personnalisé avec des outils d'analyse, cet épisode est fait pour vous. Nous couvrirons l'ensemble de la structure : la redirection de la splash page invité, la configuration du walled garden, la sécurisation du WiFi du personnel via 802.1X, et la segmentation multi-locataire grâce à la fonctionnalité Private Pre-Shared Key de Grandstream. C'est parti. --- Tout d'abord, un peu de contexte. La série GWN de Grandstream est une gamme solide de points d'accès destinés au milieu de gamme. Vous disposez des GWN7600 et GWN7630 pour les déploiements en intérieur, des GWN7660 et GWN7664 pour les environnements Wi-Fi 6, et du GWN7610 comme option de montage au plafond pour les espaces à plus forte densité. Ils sont gérés soit via GWN Manager, un contrôleur sur site que vous installez sur un serveur Linux ou Windows, soit via GWN dot Cloud, la plateforme de gestion hébergée dans le cloud de Grandstream, désormais rebaptisée GDMS Networking. La bonne nouvelle pour les MSP est que ces deux plateformes de gestion prennent en charge nativement la configuration du Captive Portal. Vous pouvez concevoir la politique du portail, personnaliser la splash page et l'associer à un SSID entièrement au sein de GWN Manager ou de GWN dot Cloud. Cependant, pour les déploiements d'entreprise où vous avez besoin d'une collecte de données conforme au GDPR, d'automatisation marketing et d'analyses en temps réel, vous allez remplacer ce portail natif par une plateforme externe. C'est là que Purple intervient. Purple fonctionne comme une surcouche cloud. Elle se positionne au-dessus de votre matériel et fournit le Captive Portal, la couche d'authentification RADIUS, le moteur d'analyse et les outils marketing. Purple prend en charge 80 000 sites actifs et a traité 440 millions de connexions rien qu'en 2024, ce qui prouve la robustesse de la plateforme à grande échelle. L'intégration avec Grandstream GWN suit la même approche basée sur les standards que Purple utilise pour Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi. --- Passons à l'architecture technique. Le flux WiFi invité sur Grandstream GWN avec Purple fonctionne de la manière suivante. Un invité se connecte à votre SSID invité. Son appareil envoie une requête HTTP vers n'importe quel site web. Le point d'accès GWN intercepte cette requête et émet une redirection HTTP 302 vers l'URL du portail Purple. L'invité arrive sur votre splash page personnalisée, hébergée par Purple. Il s'authentifie, que ce soit par e-mail, via un réseau social, par validation SMS ou via un formulaire personnalisé. La plateforme de Purple valide cette authentification, enregistre le consentement et les données conformément au GDPR, puis renvoie un message RADIUS Access-Accept au point d'accès GWN. L'AP accorde alors l'accès à internet. L'ensemble du flux prend environ trois à cinq secondes, de la connexion à l'accès internet.À présent, les composants clés de la configuration côté Grandstream sont : la politique de Captive Portal, les paramètres de la splash page, le walled garden et l'association du SSID. Laissez-moi vous guider à travers chacune de ces étapes. --- Étape une : configurez la politique de Captive Portal dans GWN Manager ou GWN.Cloud. Naviguez vers Captive Portal, puis Policy List, et créez une nouvelle politique. Donnez-lui un nom descriptif, comme "Purple-Guest-Portal". Définissez le Authentication Type sur RADIUS Server. Vous verrez alors des champs pour RADIUS Server Address, RADIUS Server Port et RADIUS Server Secret. Saisissez l'adresse IP du serveur RADIUS de Purple et le port 1812 pour l'authentification. Votre secret partagé provient de la console d'administration du portail Purple, sous la section de configuration matérielle de l'établissement. Définissez la RADIUS Authentication Method sur PAP, qui est la méthode utilisée par le flux du Captive Portal de Purple. Sous Landing Page, définissez cette option sur Redirect to External Page, et saisissez l'URL de redirection de votre portail Purple. C'est l'URL vers laquelle les invités seront redirigés lors de leur première connexion. Encore une fois, celle-ci provient de votre console d'administration Purple. Définissez le temps d'expiration (Expiration time) pour qu'il corresponde à la politique de session de votre établissement. Pour un hôtel, 24 heures est une valeur classique. Pour un lieu de conférence, vous pouvez définir cette durée sur celle de l'événement. Pour un commerce de détail, deux à quatre heures sont courantes. Activez le Failsafe Mode. C'est important. Si le point d'accès GWN ne peut pas joindre le serveur RADIUS de Purple, le mode failsafe accorde tout de même l'accès à Internet plutôt que de bloquer tous les invités. Pour la plupart des déploiements dans l'hôtellerie et le commerce de détail, une brève panne RADIUS ne doit pas priver tous les invités de leur connexion. --- Étape deux : configurez le walled garden. Le walled garden est la liste des domaines et des adresses IP auxquels les invités peuvent accéder avant de s'être authentifiés via le portail. Si vous vous trompez ici, les invités verront une page blanche ou un portail défectueux, et ils rejetteront la faute sur le WiFi. Dans GWN Manager, le walled garden se configure sous la politique de Captive Portal en tant que Pre-Authentication Rules. Ajoutez les domaines suivants comme règles d'autorisation : le domaine du portail Purple, qui est portal.purple.ai ; tous les domaines CDN à partir desquels la splash page de Purple charge des ressources, y compris cloudfront.net en utilisant une entrée générique (wildcard) ; le point de terminaison de détection de Captive Portal d'Apple, captive.apple.com ; et le point de terminaison de vérification de connectivité de Google, connectivitycheck.gstatic.com. Le portail d'assistance de Purple propose un générateur de walled garden dynamique à l'adresse support.purple.ai. Sélectionnez Grandstream dans la liste de matériel, choisissez vos méthodes d'authentification, et il générera la liste exacte de domaines dont vous avez besoin. Utilisez cette liste. N'essayez pas de la construire manuellement de toutes pièces. Une décision s'impose : devez-vous inclure captive dot apple dot com dans le walled garden (jardin secret) ou non ? Si vous l'incluez, les appareils iOS n'afficheront pas automatiquement le mini-navigateur Captive Network Assistant. Les clients devront alors ouvrir manuellement un navigateur pour accéder au portail. Si vous l'excluez, iOS lance automatiquement le mini-navigateur dès que l'appareil se connecte. Pour la plupart des déploiements dans le secteur de l'hôtellerie, vous souhaitez que ce mini-navigateur s'affiche, laissez donc captive dot apple dot com en dehors du walled garden. --- Étape trois : configurer l'SSID. Dans GWN Manager, accédez à SSID et modifiez l'SSID de vos invités. Activez le Captive Portal et sélectionnez la politique que vous venez de créer. Configurez l'SSID en WPA2-Personal avec un mot de passe simple et ouvert, ou configurez-le en tant qu'SSID ouvert si votre établissement préfère cette approche. La sécurité de ce flux provient de l'authentification du portail, et non du mot de passe WiFi. Activez l'option Client Isolation. Cela empêche les invités de voir les appareils des autres utilisateurs sur le réseau. Il s'agit d'une exigence de sécurité de base et d'un point d'attention PCI DSS si votre établissement traite des paiements par carte sur la même infrastructure. Attribuez l'SSID à votre VLAN invité. Le VLAN 10 est une convention courante pour le trafic des invités. Assurez-vous que votre commutateur et votre routeur en amont sont configurés pour acheminer ce VLAN vers Internet avec les règles de pare-feu appropriées. --- Parlons maintenant du WiFi du personnel via 802.1X. L'IEEE 802.1X est la norme pour le contrôle d'accès réseau basé sur les ports. Pour le WiFi du personnel, il remplace la clé pré-partagée commune par des identifiants par utilisateur, validés auprès d'un fournisseur d'identité. Lorsqu'un membre du personnel se connecte, le point d'accès GWN agit en tant qu'authentificateur, son appareil est le demandeur (supplicant), et le serveur RADIUS de Purple sert de serveur d'authentification. Dans GWN Manager, créez un SSID distinct pour le personnel. Définissez le mode de sécurité sur WPA2-Enterprise, ce qui active la norme 802.1X. Configurez les paramètres du serveur RADIUS avec l'IP RADIUS de Purple, le port 1812 et votre secret partagé. Activez le RADIUS Accounting sur le port 1813 afin de disposer d'une piste d'audit complète indiquant qui s'est connecté, quand et pendant combien de temps. Cette piste d'audit est indispensable pour la conformité au GDPR et pour répondre à tout incident de sécurité. Pour la méthode EAP, vous disposez de deux options principales. L'EAP-TLS utilise des certificats numériques sur le serveur ainsi que sur l'appareil client. C'est l'option la plus sécurisée, mais elle nécessite une plateforme de gestion des appareils mobiles (MDM) pour déployer les certificats sur les appareils du personnel. Si vous utilisez Microsoft Intune ou Jamf, l'EAP-TLS est le choix idéal. Le PEAP (Protected EAP) utilise quant à lui un identifiant et un mot de passe au sein d'un tunnel TLS chiffré. Il est plus simple à déployer, notamment dans les environnements BYOD, mais vous devez vous assurer que le personnel est formé pour ne pas accepter les avertissements de certificat. Un point d'accès malveillant peut en effet intercepter les identifiants PEAP si les utilisateurs cliquent et ignorent les erreurs de certificat. Activez l'affectation VLAN dynamique dans les paramètres du SSID. Lorsque cette option est activée, le serveur RADIUS peut renvoyer un ID VLAN dans le paquet Access-Accept, et l'AP GWN placera l'appareil de connexion sur ce VLAN. Cela signifie que vous pouvez avoir un seul SSID pour le personnel mais segmenter automatiquement l'équipe informatique sur le VLAN 20, la direction sur le VLAN 21 et les terminaux de point de vente sur le VLAN 40, le tout basé sur l'identité de l'utilisateur dans l'annuaire de Purple. Les attributs RADIUS pour le VLAN dynamique sont : Tunnel-Type configuré sur VLAN (valeur d'attribut 13), Tunnel-Medium-Type configuré sur IEEE-802 (valeur d'attribut 6) et Tunnel-Private-Group-ID configuré sur le numéro de VLAN sous forme de chaîne. Ces trois attributs dans le paquet Access-Accept sont tout ce dont l'AP GWN a besoin pour orienter l'appareil vers le bon VLAN. --- Passons maintenant à la fonctionnalité particulièrement pertinente pour les propriétés multi-locataires : les clés pré-partagées privées Grandstream, ou PPSK. Le PPSK est un mécanisme qui permet à un seul SSID de prendre en charge plusieurs mots de passe uniques, chacun étant associé à un VLAN ou à une politique réseau différente. Pensez à un immeuble résidentiel locatif, un espace de coworking ou un bâtiment de bureaux équipés. Vous souhaitez qu'un seul SSID soit visible par tous, mais chaque locataire reçoit son propre mot de passe qui le place sur son propre segment de réseau isolé. Dans GWN Manager, le PPSK est configuré sous les paramètres du SSID. Définissez le mode de sécurité sur WPA2-Personal, puis activez le PPSK. Vous pouvez ensuite créer des entrées PSK individuelles, chacune avec un mot de passe unique et un ID VLAN associé. Lorsqu'un appareil se connecte en utilisant le mot de passe du locataire A, l'AP le place sur le VLAN 31. Lorsqu'un appareil utilise le mot de passe du locataire B, il arrive sur le VLAN 32. Les locataires partagent le même SSID mais sont complètement isolés les uns des autres au niveau de la couche réseau. Pour les déploiements plus importants, Grandstream prend également en charge le PPSK avec un backend RADIUS. Dans ce mode, l'AP envoie la PSK en tant qu'attribut RADIUS au serveur d'authentification, qui la valide et renvoie l'affectation de VLAN appropriée. C'est ici que la fonctionnalité de réseaux basés sur l'identité de Purple s'intègre directement. Purple peut gérer la base de données PPSK, valider les clés par rapport à son annuaire et renvoyer des affectations de VLAN dynamiques, vous offrant une gestion centralisée de centaines d'identifiants de locataires à partir d'une seule plateforme. L'attribut RADIUS utilisé pour la validation PPSK est généralement l'attribut Tunnel-Password, ou un attribut spécifique au fournisseur selon la version du firmware. Vérifiez les notes de version de Grandstream pour votre firmware spécifique, car le mappage d'attributs a évolué au fil des versions de GWN Manager. --- Laissez-moi aborder les deux modes de défaillance les plus courants que je constate dans les déploiements Grandstream avec des portails externes. Le premier cas est l'absence de redirection. Un invité se connecte au SSID, ouvre un navigateur et obtient une erreur « site inaccessible » au lieu de la page du Captive Portal. La cause la plus probable est une mauvaise configuration du walled garden. La page du portail elle-même est bloquée avant l'authentification. Ouvrez les outils de développement de votre navigateur sur un appareil de test connecté au SSID invité, consultez l'onglet réseau et identifiez les requêtes qui échouent. Ajoutez ces domaines à vos règles de pré-authentification. Le deuxième mode de défaillance est le dépassement de délai (timeout) RADIUS. L'AP envoie une requête Access-Request au serveur RADIUS de Purple et ne reçoit aucune réponse. Cela signifie généralement qu'un pare-feu bloque le port UDP 1812 en sortie depuis le VLAN de gestion de l'AP vers la plage IP du RADIUS de Purple. Vérifiez les règles de votre pare-feu. Les adresses IP du RADIUS de Purple sont documentées dans la console d'administration Purple sous les paramètres du site. Assurez-vous que les IP RADIUS primaire et secondaire sont toutes deux autorisées. Un troisième point mérite d'être mentionné : le VLAN dynamique qui ne fonctionne pas. Le personnel se connecte et se retrouve sur le mauvais VLAN. La cause la plus fréquente est que l'option « Activer le VLAN dynamique » n'est pas cochée dans les paramètres du SSID au sein du GWN Manager. C'est une simple case à cocher qu'il est facile de rater. La deuxième cause est une non-concordance du secret partagé. Si le secret partagé sur l'AP ne correspond pas à celui configuré dans Purple, l'AP rejette silencieusement la réponse RADIUS et se rabat sur le VLAN par défaut. --- Laissez-moi vous présenter deux scénarios réels pour concrétiser cela. Scénario un : un hôtel de 120 chambres. L'hôtel utilise des points d'accès GWN7660 gérés via GWN dot Cloud. Ils ont besoin d'un Captive Portal personnalisé pour les invités, d'un réseau sécurisé pour le personnel de la réception et du ménage, et d'un VLAN de gestion distinct pour le système de gestion de l'établissement. La configuration utilise trois SSIDs : Guest WiFi sur le VLAN 10 avec la politique de Captive Portal de Purple ; Staff WiFi sur le VLAN 20 avec authentification WPA2-Enterprise et PEAP via le RADIUS de Purple ; et un SSID de gestion masqué sur le VLAN 30 pour les terminaux du PMS. L'attribution dynamique de VLAN sur le SSID du personnel permet aux appareils du service de ménage de se connecter au VLAN 21 avec un accès internet restreint, tandis que les appareils de la réception se connectent au VLAN 20 avec un accès complet. Le tableau de bord analytique de Purple affiche pour l'exploitant de l'hôtel le nombre quotidien d'invités, la durée des sessions et les taux d'acceptation (opt-in) pour le marketing, fournissant ainsi à l'équipe marketing les données nécessaires pour mener des campagnes ciblées. Deuxième scénario : un immeuble de 40 appartements en build-to-rent (construction destinée à la location). L'opérateur utilise des points d'accès GWN7630 avec GWN Manager sur site. Chaque appartement a besoin de son propre réseau isolé. L'opérateur utilise PPSK avec un serveur RADIUS. Purple gère 40 identifiants de locataires uniques, chacun associé à un VLAN dédié. Les résidents se connectent à l'unique SSID "BuildingConnect" en utilisant le mot de passe de leur logement. Le Captive Portal de Purple gère le flux d'intégration initial, recueille le consentement des résidents et fournit à l'opérateur des analyses d'occupation ainsi que des données d'engagement. Lorsqu'un résident déménage, l'opérateur révoque son identifiant PPSK dans la console d'administration de Purple, et l'accès est immédiatement interrompu. Pas besoin de changer le mot de passe du SSID ou de reconfigurer les points d'accès. --- Questions-réponses rapides. Trois questions qui me sont constamment posées sur les déploiements Grandstream. Question une : Puis-je utiliser GWN dot Cloud au lieu de GWN Manager pour l'intégration de Purple ? Oui. La configuration du Captive Portal dans GWN dot Cloud est fonctionnellement identique à celle de GWN Manager. Les chemins d'accès aux menus sont les mêmes. Les paramètres RADIUS et de walled garden se trouvent aux mêmes emplacements. GWN dot Cloud est le meilleur choix pour les MSP qui gèrent plusieurs sites, car vous bénéficiez d'une interface unique pour tous les déploiements. Question deux : Purple prend-il en charge les analyses natives de Grandstream en plus des siennes ? Purple remplace les analyses natives du Captive Portal par son propre ensemble de données plus détaillées. Vous obtenez le nombre de sessions, les temps de séjour, les taux d'adhésion, des données démographiques issues des champs de formulaire et l'intégration avec des plateformes marketing. Les analyses GWN natives pour les performances RF, l'état des points d'accès et le nombre de clients restent disponibles dans GWN Manager ou GWN dot Cloud, aux côtés des analyses du portail de Purple. Question trois : Quelle version de firmware ai-je besoin sur les points d'accès GWN pour le PPSK avec RADIUS ? Le PPSK avec serveur RADIUS nécessite le firmware GWN 1.0.19 ou supérieur sur la série GWN76xx. Vérifiez les notes de version de Grandstream avant le déploiement. L'utilisation d'un firmware obsolète est la cause la plus fréquente de comportements inattendus dans les déploiements PPSK. --- Pour conclure. L'intégration des points d'accès Grandstream GWN avec Purple est un déploiement simple lorsque vous suivez la bonne séquence. Configurez d'abord les paramètres de votre serveur RADIUS dans la politique du Captive Portal. Créez votre walled garden à l'aide de l'outil générateur de domaine de Purple. Associez la politique à votre SSID invité et activez l'isolation des clients. Pour le Wi-Fi du personnel, activez le WPA2-Enterprise avec attribution dynamique de VLAN. Pour les propriétés multi-locataires, utilisez le PPSK avec serveur RADIUS et gérez les identifiants de manière centralisée via Purple. Les cinq points essentiels à respecter : RADIUS sur le port UDP 1812 avec un secret partagé correspondant ; le walled garden couvrant tous les domaines de ressources du portail ; l'isolation des clients activée sur le SSID invité ; le VLAN dynamique activé dans les paramètres du SSID ; et le firmware PPSK en version 1.0.19 ou supérieure.Réussissez ces cinq étapes, et vous disposerez d'un déploiement solide et évolutif qui servira votre établissement pendant des années. L'équipe d'onboarding de Purple peut valider votre configuration avant la mise en service, et la disponibilité de 99,999 % de la plateforme vous évitera d'avoir à expliquer des pannes de Captive Portal à des clients de l'hôtel à deux heures du matin. Merci pour votre écoute. Pour plus de guides techniques sur les intégrations WiFi d'entreprise, visitez purple dot ai. Dans le prochain épisode, nous aborderons l'attribution dynamique de VLAN avec Microsoft Entra ID et la fonctionnalité SecurePass de Purple. D'ici là.