Dépannage du Captive Portal Ruckus : liste de contrôle pour la redirection WISPr, le hotspot et le walled garden

La plupart des pannes de Captive Portal Ruckus proviennent de cinq éléments : l'URL de connexion et la page de démarrage du hotspot (WISPr), des entrées de walled garden manquantes pour le portail et ses ressources, un mot de passe d'interface de portail Northbound incorrect, des échecs d'authentification ou de comptabilité RADIUS, et des avertissements de certificat de redirection HTTPS. Vérifiez-les dans cet ordre, en utilisant l'historique des événements du client sur SmartZone, Ruckus One ou Unleashed.

À quoi ressemble un Captive Portal Ruckus en panne ?

Un service de hotspot Ruckus utilise WISPr (Wireless Internet Service Provider roaming). Il s'agit d'un framework dans lequel le contrôleur maintient un invité non authentifié derrière un Captive Portal jusqu'à ce qu'un système externe l'approuve. Un Captive Portal est la page d'accueil qu'un invité remplit avant d'accéder à internet. Lorsque la chaîne est rompue, l'invité constate l'un des six symptômes suivants :

• Aucune redirection. L'appareil rejoint le SSID et reçoit une adresse IP, mais aucune invite de connexion n'apparaît et le navigateur expire.
• Une page d'accueil vide ou partiellement chargée. L'invite s'ouvre, mais les logos, les polices, les scripts ou les boutons de connexion sociale ne se chargent pas.
• Un avertissement de certificat avant le portail. Le navigateur affiche « Votre connexion n'est pas privée » ou un message similaire, et l'invité doit cliquer pour continuer.
• Une boucle de connexion. L'invité remplit le formulaire et se retrouve à nouveau sur la page d'accueil, toujours hors ligne.
• Pas d'invite, mais pas d'internet. L'appareil indique qu'il est en ligne, de sorte que l'assistant de réseau captif ne s'ouvre jamais.
• En ligne, mais aucune donnée de session. Les invités naviguent normalement, mais les connexions et les durées de session ne remontent jamais dans vos rapports.

Les deux derniers symptômes sont faciles à ignorer, car personne n'appelle le service d'assistance. Vous les remarquez plus tard, lorsque vos données clients cessent de croître.

Qu'est-ce qui cause généralement les pannes de Captive Portal Ruckus ?

Il est utile de connaître d'abord la séquence. L'article de support Purple sur le Captive Portal la décrit en détail. Le contrôleur gère l'interaction WiFi avec les serveurs de la page d'accueil de Purple. Ces serveurs collectent les informations de l'invité et émettent une connexion unique. Le contrôleur transmet ensuite cette connexion au serveur RADIUS de Purple pour finaliser l'accès. RADIUS (Remote Authentication Dial-In User Service, RFC 2865) est le protocole qui authentifie la session. La comptabilité RADIUS (RFC 2866) enregistre la session par la suite.

Chaque étape a son propre mode de défaillance.

Paramètres de redirection et de page de démarrage du service hotspot

Le service hotspot contient l'URL de connexion externe et la page de démarrage. L'URL de connexion est l'endroit où les invités non authentifiés sont redirigés. La page de démarrage est l'endroit où ils atterrissent après la connexion. Une faute de frappe, une URL obsolète après une modification du portail ou un mauvais service de hotspot associé au WLAN bloquent la redirection. Une page de démarrage pointant vers une URL bloquée ou retirée fait passer une connexion réussie pour un échec.

Lacunes du walled garden

Le walled garden est la liste des destinations qu'un visiteur non authentifié peut atteindre avant de se connecter. Il doit inclure le nom d'hôte du portail et chaque hôte à partir duquel la page de connexion charge des ressources. Il doit également inclure les domaines de tout fournisseur d'identité social ou d'authentification unique que vous proposez. Si vous ajoutez une option de connexion, lisez comment activer l'authentification unique et ajoutez les domaines de ce fournisseur. Une seule ressource manquante d'un hôte peut produire une page partiellement chargée.

L'erreur inverse cause également des problèmes. Les appareils testent la connectivité en vérifiant un nom de domaine prédéfini, selon l'article de support de Purple. Si ce domaine de test se trouve dans le walled garden, l'appareil croit qu'il est en ligne. L'invite de connexion n'apparaît jamais et le visiteur se retrouve bloqué.

Identifiants de l'interface du portail Northbound

Sur SmartZone, l'interface du portail northbound permet à un portail externe de signaler au contrôleur qu'un visiteur s'est connecté. Le portail s'authentifie auprès de cette interface avec un mot de passe configuré sur le contrôleur. Si ce mot de passe est modifié d'un seul côté, le portail ne peut autoriser personne. Le visiteur remplit le formulaire et revient en boucle sur la page de connexion.

Authentification et comptabilisation RADIUS

Le contrôleur transmet la connexion unique à RADIUS. L'authentification échoue si le secret partagé diffère, si le serveur RADIUS est injoignable ou si les requêtes proviennent d'une adresse que le serveur ne reconnaît pas. Les échecs de comptabilisation sont plus discrets. Les visiteurs accèdent à internet, mais les enregistrements de début et de fin de session n'arrivent jamais.

Comportement de la redirection HTTPS

Les navigateurs modernes s'attendent à une page de connexion via HTTPS. L'article de Purple sur le certificat Cisco WLC décrit cet effet sur les contrôleurs Cisco. Une redirection HTTP vers une adresse de contrôleur déclenche un avertissement de sécurité, et le visiteur doit cliquer pour continuer. La solution consiste à utiliser un certificat publiquement approuvé dont le Common Name correspond au nom d'hôte d'authentification web du contrôleur. Le même principe s'applique lorsque vous activez la redirection HTTPS sur un contrôleur Ruckus. Un certificat expiré, ou une non-correspondance de nom, fait réapparaître l'avertissement.

Comment identifier la cause de votre problème ?

Partez du symptôme, pas de la configuration. Le tableau associe chaque symptôme à sa cause la plus probable et au premier endroit où vous devriez chercher.

Symptôme	Cause la plus probable	Où regarder en premier	Première vérification
Pas d'invite de connexion, le navigateur expire	URL de connexion du point d'accès incorrecte, ou mauvais service de point d'accès sur le WLAN	Paramètres du service de point d'accès (WISPr) et du WLAN	Ouvrez neverssl.com sur un appareil de test et voyez où il aboutit
La page de connexion se charge sans images ni boutons	Ressource ou hôte du fournisseur d'identité manquant dans le walled garden	Liste du walled garden	Chargez le portail sur un ordinateur portable et listez chaque hôte bloqué dans les outils de développement du navigateur
L'appareil indique qu'il est en ligne, pas d'invite, pas d'accès internet	Domaine de test de connectivité présent dans le walled garden	Liste du walled garden	Supprimez les entrées génériques trop larges et testez à nouveau
Formulaire rempli, l'invité revient en boucle	Incompatibilité du mot de passe de l'interface du portail Northbound	Paramètres de l'interface Northbound et intégration du portail	Confirmer que le mot de passe correspond des deux côtés
Connexion rejetée après le formulaire	Incohérence du secret partagé RADIUS ou de l'adresse source	Service d'authentification RADIUS et événements clients	Rechercher des expirations de délai ou des rejets d'authentification
Invités en ligne, aucune donnée de session	RADIUS accounting mal configuré ou non rattaché	Service RADIUS accounting sur le WLAN	Confirmer que l'accounting est activé et pointe vers le bon serveur

Reproduire le problème sur un appareil propre

Oubliez le SSID sur un téléphone de test et un ordinateur portable de test, puis reconnectez-vous. Si l'invite ne s'ouvre pas, l'article d'assistance de Purple recommande de naviguer vers neverssl.com. Ce site évite les problèmes de redirection SSL, ce qui permet de voir si la redirection elle-même fonctionne.

Lire les événements du client

Chaque plateforme Ruckus conserve un historique des événements clients. Sur SmartZone, utilisez les journaux d'événements et d'alarmes ainsi que l'historique de connexion du client. Sur Ruckus One, ouvrez le client et examinez ses événements. Sur Unleashed, vérifiez le journal des événements pour l'adresse MAC du client. Recherchez trois éléments : si le client s'est associé, s'il a été redirigé, et si le RADIUS l'a accepté ou rejeté. Cette séquence vous indique quel maillon de la chaîne s'est brisé.

Comment résoudre le problème sur SmartZone, Ruckus One et Unleashed ?

Les correctifs suivent le même ordre sur les trois plateformes. Les menus diffèrent, veuillez donc suivre la documentation Ruckus pour votre version et l'article d'assistance Captive Portal support article pour les valeurs de Purple.

SmartZone

Confirmez que le WLAN utilise le service de point d'accès (WISPr) attendu et que son URL de connexion correspond à l'intégration. Reconstruisez le walled garden à partir de la liste actuelle, et non de mémoire. Vérifiez que le mot de passe de l'interface du portail Northbound correspond à celui configuré pour le portail. Confirmez ensuite que les services d'authentification et de comptabilité RADIUS pointent tous deux vers les bons serveurs avec le bon secret partagé.

Ruckus One

Ruckus One gère les mêmes éléments WISPr de manière centralisée. Vérifiez les paramètres du fournisseur de portail du réseau invité, le walled garden et les services RADIUS. Les surcharges au niveau du site méritent une attention particulière, car un site peut différer du modèle appliqué partout ailleurs.

Unleashed

Unleashed exécute la fonction de contrôleur sur un point d'accès, vérifiez donc le service de point d'accès sur ce point d'accès maître. Portez une attention particulière aux paramètres de walled garden et RADIUS, et confirmez que le service de point d'accès est rattaché au WLAN invité.

Exclure les pannes similaires

Certaines plaintes ressemblent à des dysfonctionnements de portail mais n'en sont pas. Si les visiteurs reçoivent à nouveau une invitation de connexion lorsqu'ils se déplacent d'un point d'accès à un autre, lisez résoudre les problèmes de roaming dans les WLAN d'entreprise. Si les sessions s'interrompent de manière aléatoire sur les canaux 5GHz, la liste de contrôle des diagnostics d'événements radar DFS est un meilleur point de départ.

À quoi cela ressemble-t-il dans un site physique réel ?

Les deux scénarios ci-dessous sont présentés à titre illustratif. Ils démontrent la méthode plutôt que de décrire un déploiement spécifique.

Scénario 1 : un hôtel de 200 chambres après la refonte d'une splash page

Situation. L'équipe marketing a relancé la splash page de l'hôtel. Le lendemain matin, la réception a signalé que les clients voyaient une page blanche contenant un unique champ de formulaire.

Ce qui a été fait. L'ingénieur a chargé le portail sur un ordinateur portable et a listé les requêtes bloquées dans les outils de développement du navigateur. Le nouveau design importait des polices et des images depuis un hôte qui n'était pas inclus dans le walled garden SmartZone. L'ingénieur a ajouté cet hôte, a reconnecté un téléphone et un ordinateur portable de test, puis a confirmé que les deux appareils affichaient la page complète.

Résultat. La splash page complète s'est affichée sur les deux appareils de test dès le premier test de vérification. La correction a consisté en l'ajout d'une seule entrée dans le walled garden, et les événements clients ont montré que les visiteurs passaient à nouveau la redirection et l'acceptation RADIUS. Pour en savoir plus sur l'expérience visiteur dans ce secteur d'activité, découvrez Purple pour les Hôtels.

Scénario 2 : une chaîne de vente au détail de 40 magasins après la migration d'un contrôleur

Situation. Un distributeur a migré ses magasins vers un nouveau cluster SmartZone. Les clients pouvaient toujours se connecter à internet, mais les rapports d'activité des visiteurs affichaient zéro nouvelle session sur l'ensemble des 40 magasins.

Ce qui a été fait. Les événements clients montraient des acceptations d'authentification RADIUS mais aucun enregistrement d'accounting. Le service d'accounting n'avait pas été rattaché au WLAN visiteur sur le nouveau cluster. L'ingénieur l'a rattaché et a confirmé que le secret partagé correspondait.

Résultat. Les enregistrements de session sont réapparus pour les 40 magasins. Les clients n'ont subi aucune interruption de service, car seuls les rapports étaient impactés. Consultez Purple pour le Retail pour découvrir comment ces données de session alimentent la connaissance client.

Comment éviter que les dysfonctionnements du Captive Portal Ruckus ne se reproduisent ?

La plupart des pannes récurrentes proviennent de modifications et non de défaillances matérielles. Cinq bonnes habitudes permettent de les prévenir :

1. Gérez le walled garden comme un document contrôlé. Enregistrez chaque entrée, son propriétaire et la raison de son existence. Examinez-le dès que la splash page subit des modifications.
2. Renouvelez les secrets simultanément des deux côtés. Modifiez le mot de passe de l'interface du portail northbound et le secret partagé RADIUS au cours d'une seule et même fenêtre de maintenance, jamais de manière isolée.
3. Suivez l'expiration des certificats. Planifiez le renouvellement bien avant l'expiration du certificat de redirection HTTPS, et vérifiez la correspondance des noms après l'opération.
4. Testez après chaque modification. Effectuez la même vérification sur un iPhone, un téléphone Android, un ordinateur portable Windows et un ordinateur portable macOS. Les différents systèmes d'exploitation gèrent le Captive Network Assistant de manières différentes.
5. Surveillez quotidiennement le nombre de sessions. Une chute soudaine à zéro dans vos analyses WiFi indique un problème de comptabilisation des données (accounting) avant même qu'un client ne se plaigne.

Laissez le réseau invité ouvert, comme le recommande l'article d'assistance de Purple. Un réseau ouvert est la convention standard, et un comportement familier réduit les frictions lors de la connexion. Pour les opérateurs de transport, où les passagers se connectent en déplacement, les mêmes vérifications s'appliquent ; voir Purple pour les Trains.

Questions fréquemment posées

Est-ce que Purple fonctionne avec Ruckus SmartZone, Ruckus One et Unleashed ?

Oui, Purple Guest WiFi fonctionne sur les services de point d'accès Ruckus (WISPr) en tant que Captive Portal externe. Purple est indépendant du matériel et fonctionne également avec Cisco Meraki, HPE Aruba, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks et Fortinet. Le contrôleur gère la redirection et le RADIUS, tandis que Purple héberge la page de connexion et authentifie l'invité. Les valeurs de configuration et les étapes se trouvent dans l'article d'assistance du Captive Portal de Purple.

Devons-nous installer de nouveaux points d'accès pour ajouter Purple à un réseau Ruckus existant ?

Non, Purple fonctionne comme une surcouche cloud sur les points d'accès et le contrôleur Ruckus que vous possédez déjà. Vous configurez un service de point d'accès, un walled garden et les paramètres RADIUS sur le contrôleur, puis vous dirigez le WLAN invité vers Purple. Rien n'est remplacé sur site. L'essentiel de l'effort réside dans le test de la redirection sur les appareils iOS, Android, Windows et macOS avant la mise en production.

Pouvons-nous passer du portail invité Ruckus intégré à Purple sans perturber les utilisateurs ?

Oui, si vous construisez d'abord la configuration Purple sur un WLAN de test distinct. Configurez le service de point d'accès, le walled garden et les services RADIUS en parallèle de votre réseau invité actif, et validez le processus complet de connexion sur des appareils de test. Une fois que cela fonctionne, associez le nouveau service de point d'accès au WLAN actif pendant une période creuse. Les invités verront une nouvelle page de connexion, sans subir d'interruption de service.

Comment Purple traite-t-il les données des invités collectées via un Captive Portal Ruckus ?

Purple collecte des données de première partie (first-party) via des consentements explicites et volontaires sur la page de connexion. Purple est certifié ISO 27001 et Cyber Essentials, et opère conformément au GDPR et à la CCPA. Le contrôleur Ruckus ne conserve aucune donnée marketing. Il transmet une connexion unique au serveur RADIUS de Purple, de sorte que les informations des invités restent au sein de la plateforme certifiée de Purple plutôt que de s'éparpiller sur les différents contrôleurs de site.

Combien de temps prend un déploiement de Captive Portal Ruckus avec Purple ?

Un site unique est généralement configuré en une seule session de travail, car aucun changement de matériel n'est requis. Le contrôleur nécessite un service de point d'accès, un walled garden ainsi que l'authentification et la comptabilisation (accounting) RADIUS. Les parcs multisites prennent plus de temps, principalement pour les phases de test et de contrôle des changements plutôt que pour la configuration elle-même. Sur Ruckus One ou SmartZone, un modèle appliqué de manière centralisée garantit la cohérence de chaque site et réduit le risque de dérives entre les sites.

À quelle échelle la plateforme de WiFi invité de Purple a-t-elle fait ses preuves ?

Purple est déployé dans plus de 80 000 sites actifs et a enregistré 440 millions de connexions en 2024, selon les données internes de l'entreprise Purple. Ces sites couvrent l'hôtellerie, le commerce de détail, les transports, l'éducation et le secteur public. Purple opère depuis 2012, et chaque déploiement utilise la même page de portail captif et le même flux RADIUS décrit dans ce guide, quel que soit le fournisseur de matériel pris en charge qui gère le réseau sous-jacent.