Guide complet de l'iPSK : un guide complet pour les entreprises

Résumé exécutif

La sécurité WiFi traditionnelle impose un choix entre deux options inadéquates. Le WPA2-Personal standard est simple mais n'offre aucune responsabilité individuelle. Un seul mot de passe divulgué compromet l'ensemble du réseau, et révoquer l'accès pour un seul résident implique de changer le mot de passe pour tout le monde. Le WPA2-Enterprise ou WPA3-Enterprise utilisant la norme IEEE 802.1X offre un contrôle par utilisateur mais rompt la connectivité des consoles de jeux, des téléviseurs intelligents et des appareils IoT qui ne peuvent pas traiter les certificats numériques.

La technologie Identity Pre-Shared Key (iPSK) résout cette tension. Elle attribue un mot de passe unique à chaque utilisateur ou appareil individuel sur un seul SSID, permettant une attribution dynamique de VLAN et une isolation de couche 2 via un serveur RADIUS central. Pour les opérateurs de Build-to-Rent (BTR), les promoteurs immobiliers et les bailleurs, l'iPSK est la norme définitive pour la connectivité multi-locataires. Elle prend en charge 100 % des appareils des résidents, crée un réseau de zone privée pour chaque unité et s'adapte grâce à une gestion automatisée du cycle de vie intégrée aux fournisseurs d'identité tels que Microsoft Entra ID, Okta ou Google Workspace. Purple automatise l'ensemble de ce flux de travail sur plus de 80 000 sites actifs, s'intégrant avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet.

Analyse technique approfondie

Le fonctionnement de l'Identity PSK

L'iPSK modifie la poignée de main EAPOL standard à quatre voies du WPA2. Lorsqu'un appareil client s'associe à un point d'accès à l'aide d'une clé prépartagée spécifique, le point d'accès n'accorde pas immédiatement l'accès. Au lieu de cela, il envoie un message de demande RADIUS au serveur d'authentification central. Cette demande contient des attributs spécifiques au fournisseur. Pour Cisco Meraki, il s'agit des attributs Meraki-IPSK. Le serveur RADIUS effectue une vérification par dictionnaire dans sa base de données d'iPSKs configurées. Si une correspondance est trouvée, il répond par un message d'acceptation d'accès contenant la phrase de passe et, surtout, une attribution dynamique de VLAN via l'attribut Tunnel-Private-Group-Id.

Cette architecture ne nécessite aucune infrastructure de certificats. L'appareil client voit un réseau WPA2-Personal standard et se connecte avec un mot de passe. La complexité est entièrement gérée entre le point d'accès et le serveur RADIUS. C'est pourquoi l'iPSK prend en charge 100 % des appareils grand public - les consoles de jeux, les téléviseurs intelligents, les imprimantes sans fil et les capteurs IoT se connectent tous en utilisant la même expérience simple de mot de passe qu'à la maison.

Isolation de couche 2 et réseaux de zone privée

Dans un environnement multi-tenant, un SSID unique pour des centaines d'appartements est efficace pour la planification RF mais crée de graves risques de sécurité sans une segmentation appropriée. L'iPSK permet de créer un réseau local privé (PAN) pour chaque résident.

Lorsqu'un résident s'authentifie avec son iPSK unique, le serveur RADIUS attribue ses appareils à un VLAN spécifique. L'infrastructure réseau impose une isolation de couche 2 entre ces VLAN. L'iPhone d'un résident peut voir sa propre imprimante ou son Chromecast, mais le résident de l'appartement voisin ne peut pas découvrir ces appareils ni interagir avec eux. Cette micro-segmentation est essentielle pour la conformité au GDPR et pour maintenir la confiance des résidents.

Comme chaque résident dispose de son propre VLAN isolé, vous pouvez activer la réflexion mDNS au sein de ce VLAN spécifique. Le mDNS est le protocole qui permet l'utilisation d'AirPlay, la diffusion Chromecast et l'impression sans fil. L'activation de la réflexion mDNS au sein du VLAN privé de chaque résident permet à ses propres appareils de communiquer entre eux, tout en restant totalement isolés de tous les autres résidents. Le résultat est une expérience comme à la maison sur une infrastructure partagée.

Implémentations des fournisseurs de matériel

Tous les principaux fournisseurs de matériel WiFi d'entreprise prennent en charge le PSK par appareil, mais sous des noms de produits différents. Le tableau ci-dessous associe la terminologie des fournisseurs à la technologie sous-jacente.

Purple est agnostique vis-à-vis du matériel et fournit une couche de gestion unifiée sur toutes ces plateformes. Vous n'êtes pas lié à un seul fournisseur et vous pouvez migrer votre matériel sans reconstruire votre infrastructure d'authentification.

Guide d'implémentation

Le déploiement de l'iPSK nécessite une coordination entre votre infrastructure sans fil, votre serveur RADIUS et votre fournisseur d'identité. Suivez cette séquence pour déployer correctement.

Étape 1 - Planifiez votre architecture VLAN. Allouez un VLAN par unité résidentielle. Dans un complexe de 300 logements, vous avez besoin de 300 VLAN. La norme standard 802.1Q prend en charge 4 094 VLAN, ce qui est suffisant pour la plupart des projets BTR. Pour les déploiements plus importants, prévoyez des superpositions VXLAN.

Étape 2 - Déployez votre serveur RADIUS. Purple fournit un service RADIUS hébergé dans le cloud avec une disponibilité de 99,999 %. Pointez vos contrôleurs sans fil vers le point de terminaison RADIUS de Purple. Configurez le secret partagé entre vos points d'accès et le serveur RADIUS.

Étape 3 - Configurez votre contrôleur sans fil. Créez un seul SSID avec une sécurité WPA2-PSK. Activez le bouton iPSK ou PPSK spécifique au constructeur. Activez la dérogation AAA afin que la réponse RADIUS puisse attribuer dynamiquement les VLAN. Désactivez l'isolation des clients au niveau du SSID - l'isolation est gérée par VLAN.

Étape 4 - Intégrez votre fournisseur d'identité. Connectez Purple à Microsoft Entra ID, Okta ou Google Workspace. Purple lit l'annuaire des résidents et attribue automatiquement un iPSK et un VLAN uniques à chaque résident.

Étape 5 - Configurez le changement d'autorisation (CoA). Configurez le CoA entre Purple et vos contrôleurs sans fil. Cela permet à Purple d'envoyer un message de déconnexion à la fin du bail d'un résident, forçant l'arrêt immédiat de la session.

Étape 6 - Activez la réflexion mDNS par VLAN. Configurez vos commutateurs réseau et vos contrôleurs sans fil pour refléter le trafic mDNS dans les limites de chaque VLAN. Cela permet d'activer AirPlay, Chromecast et l'impression sans fil dans chaque appartement sans fuite de trafic de découverte dans tout le bâtiment.

Pour en savoir plus sur la conception de votre architecture globale WiFi, consultez notre guide sur les trois SSID indispensables : WiFi invité, Passpoint et IoT .

Bonnes pratiques

Évitez les échecs liés à la randomisation des adresses MAC. Les smartphones modernes randomisent leur adresse MAC pour protéger la vie privée des utilisateurs. Si votre implémentation iPSK repose sur le contournement d'adresse MAC (MAB), la randomisation bloquera l'authentification. Assurez-vous que votre infrastructure utilise une vérification iPSK moderne basée sur EAPOL, où le mot de passe lui-même sert d'authentificateur plutôt que l'adresse MAC.

Planifiez les performances RADIUS. L'iPSK impose une charge de calcul plus lourde sur le serveur RADIUS que le PSK standard en raison des vérifications de dictionnaire requises lors du handshake EAPOL. Utilisez un service RADIUS hébergé dans le cloud et hautement performant. L'infrastructure RADIUS de Purple est conçue pour cette charge de travail et maintient une disponibilité de 99,999 % sur plus de 80 000 sites.

Anticipez la compatibilité WPA3. L'iPSK fonctionne actuellement sur WPA2. Si vous déployez des points d'accès WiFi 6E ou WiFi 7 sur la bande 6 GHz, vous devez adopter une stratégie WPA3-Enterprise distincte pour ces clients. La bande 6 GHz impose la sécurité WPA3, qui ne prend pas actuellement en charge l'iPSK de la même manière. Prévoyez une stratégie bi-bande : WPA2 iPSK sur 2,4 GHz et 5 GHz, WPA3-Enterprise sur 6 GHz.

Automatisez la distribution des identifiants. N'envoyez pas de mots de passe par e-mail en texte brut. Purple transmet les identifiants aux résidents via un portail sécurisé et personnalisé ou via l'application Purple. Cela crée un historique vérifiable de la distribution des identifiants et garantit que les résidents peuvent réinitialiser eux-mêmes leur mot de passe sans contacter le service d'assistance.

Testez la réflexion mDNS avant la mise en service. La plainte la plus fréquente des résidents après un déploiement iPSK est que leur Chromecast ou AirPlay ne fonctionne pas. Testez la réflexion mDNS dans chaque VLAN lors de la mise en service. Utilisez un ordinateur portable et un Chromecast sur le même VLAN résident et vérifiez que la diffusion fonctionne avant la livraison.Pour obtenir des conseils sur la façon dont votre réseau WiFi crée une première impression pour les résidents, consultez comment faire une excellente première impression avec votre WiFi invité .

Dépannage et atténuation des risques

Sessions obsolètes après révocation de clé. C'est le mode de défaillance le plus courant dans un déploiement iPSK. La révocation d'une clé dans la base de données RADIUS empêche les connexions futures mais n'interrompt pas les sessions actives. Configurez CoA sur vos contrôleurs sans fil et assurez-vous que Purple envoie un message de déconnexion CoA à chaque événement de révocation de clé.

Épuisement des VLAN. Dans les très grands déploiements multi-locataires, vous pouvez épuiser la limite de 4 094 VLAN. Atténuez ce risque en utilisant des superpositions VXLAN ou en partageant des VLAN entre des unités non adjacentes où le risque de contamination croisée est négligeable.

Indisponibilité du serveur RADIUS. Si votre serveur RADIUS est hors ligne, aucun nouvel appareil ne peut se connecter. Configurez le basculement RADIUS avec un serveur secondaire. Le service cloud RADIUS de Purple intègre une redondance intégrée et un SLA de disponibilité de 99,999 %.

Délais de synchronisation des clés. Lorsqu'un nouveau résident emménage, il peut y avoir un délai entre la signature du bail dans le système de gestion immobilière et la configuration de l'iPSK dans RADIUS. Intégrez votre système de gestion immobilière directement à l'API de Purple pour automatiser la configuration et éliminer ce décalage.

ROI et impact commercial

L'élimination des routeurs grand public par unité transforme l'économie du WiFi multi-locataire. Un développement BTR typique de 300 unités peut dépenser entre 150 et 200 £ par unité pour des routeurs grand public, totalisant jusqu'à 60 000 £ en matériel qui doit être remplacé tous les trois à cinq ans. Des points d'accès d'entreprise centralisés dans les couloirs et les espaces communs réduisent les coûts de matériel et éliminent les frais opérationnels liés au remplacement des routeurs grand public en panne dans les appartements occupés.

Plus important encore, vous offrez une expérience résident connectée instantanément. Les résidents se connectent au WiFi dès qu'ils franchissent la porte, à l'aide d'identifiants fournis en toute sécurité avant le jour de l'emménagement. Cet équipement haut de gamme augmente la satisfaction des locataires et favorise des rendements locatifs plus élevés. Selon les études du secteur immobilier, le WiFi géré est désormais cité par les résidents comme l'un des trois principaux équipements qu'ils attendent dans un développement BTR.

La solution Multi-Tenant WiFi de Purple isole le trafic en toute sécurité et prend en charge les appareils intelligents des résidents, s'appuyant sur 29 milliards de points de données collectés sur notre réseau mondial. Notre plateforme WiFi Analytics donne aux gestionnaires immobiliers une visibilité sur l'utilisation du réseau, vous aidant à dimensionner au mieux votre investissement d'infrastructure et à démontrer la valeur du service WiFi géré aux investisseurs.

Pour les opérateurs BTR souhaitant étendre l'engagement des résidents au-delà de la connectivité, la plateforme Guest WiFi de Purple s'intègre aux systèmes de gestion immobilière pour proposer des communications ciblées et des programmes de fidélité. Consultez également notre guide sur comment utiliser les SMS en masse pour le marketing afin d'augmenter les visites répétées pour découvrir des tactiques pratiques de fidélisation des résidents.