Expirations de session WiFi invité : Équilibrer UX et sécurité

[Musique d'introduction - Électronique d'entreprise, professionnelle et rythmée] Animateur : Bienvenue dans ce point technique Purple. Je suis votre hôte et aujourd'hui, nous abordons un sujet qui se situe précisément à l'intersection de l'ingénierie réseau et de l'expérience client : les délais d'expiration des sessions WiFi invité. Si vous êtes responsable informatique, architecte réseau ou directeur de l'exploitation d'un site, vous connaissez ce dilemme. L'équipe marketing souhaite que les invités se connectent une fois et ne revoient plus jamais d'écran de connexion. Les équipes de sécurité et d'infrastructure, quant à elles, surveillent l'épuisement de la plage DHCP et s'inquiètent des sessions obsolètes et non authentifiées. Aujourd'hui, nous allons concilier ces deux approches. Nous allons voir comment configurer des délais d'expiration qui maintiennent les utilisateurs connectés sans compromettre votre niveau de sécurité ni la disponibilité de vos adresses IP. [Son de transition] Animateur : Plongeons dans les aspects techniques. Lorsque nous parlons de « délai d'expiration de session », nous parlons en réalité de deux minuteries distinctes qui fonctionnent sur votre contrôleur réseau : le délai d'inactivité (Idle Timeout) et le délai absolu (Absolute Timeout). Considérez le délai d'inactivité comme votre moniteur d'inactivité. Il surveille la transmission active des données. Si un appareil client n'envoie ou ne reçoit absolument rien pendant une durée spécifiée, le contrôleur met fin à la session. L'objectif principal ici est la récupération des ressources. Cela libère les baux DHCP et la mémoire des points d'accès alloués aux appareils qui ont physiquement quitté votre site sans se déconnecter formellement. Cependant, il y a un piège. Les smartphones modernes sont incroyablement agressifs en matière de mise en veille pour économiser la batterie. Lorsqu'ils dorment, ils cessent de transmettre. Si vous réglez votre délai d'inactivité de manière trop agressive - disons cinq minutes - vous allez déconnecter les appareils en veille. Lorsque l'utilisateur sortira son téléphone de sa poche pour consulter un e-mail, il sera redirigé vers le Captive Portal. C'est une expérience utilisateur dégradée. Pour des environnements classiques, un délai d'inactivité compris entre 30 et 60 minutes constitue le juste milieu. Examinons maintenant le délai absolu. Il s'agit d'une minuterie stricte. Elle détermine la durée totale maximale d'une session, que l'appareil transmette activement des données ou non. Dès que cette minuterie atteint zéro, la session est interrompue et l'utilisateur doit se réauthentifier. Pourquoi en avons-nous besoin ? Elle impose des limites d'utilisation quotidienne, garantit que les utilisateurs réacceptent périodiquement vos conditions générales et impose une revalidation de sécurité. Le défi est que cette mesure est perturbatrice. Elle interrompra les sessions actives - même les appels VoIP. Par conséquent, votre délai absolu doit s'aligner sur la durée de visite typique de votre établissement. [Son de transition] Animateur : Examinons quelques recommandations de mise en œuvre concrètes. Il n'existe pas de solution universelle ici. Prenons l'exemple d'un commerce de détail à forte rotation. Les clients se déplacent rapidement. Votre objectif est de capturer des analyses de fréquentation précises et éventuellement de diffuser du marketing ciblé, tout en évitant le flânage. Dans ce scénario, une expiration pour inactivité de 15 à 30 minutes est parfaite. Si un appareil reste silencieux pendant une demi-heure, c'est que le client a quitté le magasin. Votre expiration absolue devrait se situer autour de 2 à 4 heures, couvrant la plus longue virée shopping typique. Et vous voudrez utiliser le contournement de l'authentification MAC - ou MAB - pour une ré-authentification transparente sur 7 à 14 jours afin de suivre les clients réguliers. Comparez maintenant cela à un environnement d'accueil d'entreprise - un hôtel. Les clients s'attendent à une expérience comme à la maison. Si vous les forcez à se connecter toutes les quatre heures, votre réception sera inondée de plaintes. Ici, votre expiration pour inactivité doit être beaucoup plus longue - 4 à 8 heures. Les clients laissent leurs appareils dans leur chambre lorsqu'ils vont à la piscine ; ces appareils ne doivent pas être déconnectés. L'expiration absolue devrait être de 24 heures, ou idéalement, liée directement à la date de départ via une intégration avec le système de gestion hôtelière. Et enfin, considérez un hub de transport massif comme un aéroport ou un stade. Les temps de séjour sont très variables, et l'épuisement des adresses IP est un risque critique et immédiat. Vous avez des dizaines de milliers d'appareils transitoires. Dans cet environnement, la conservation des ressources l'emporte sur l'UX fluide. Vous avez besoin d'une expiration pour inactivité agressive - 15 minutes - pour récupérer rapidement les IP. Votre expiration absolue pourrait être de 4 heures, et vous aurez généralement besoin d'une ré-authentification manuelle pour gérer les utilisateurs gourmands en bande passante. [Son de transition] Animateur : Avant de passer aux questions-réponses, je souhaite souligner quelques pièges critiques à éviter. Premier piège : Les baux DHCP mal alignés. C'est l'erreur de configuration numéro un que nous constatons. Ne définissez pas une expiration de session de 2 heures avec un bail DHCP de 8 heures. Si une session est morte, l'IP doit être libre. La durée de votre bail DHCP doit correspondre étroitement ou dépasser de très peu votre expiration de session absolue. Deuxième piège : Ignorer la randomisation MAC. iOS et Android utilisent désormais des adresses MAC privées par défaut. Si votre réseau s'appuie fortement sur la ré-authentification basée sur l'adresse MAC pour cette expérience de retour fluide, vous devez informer les utilisateurs. Utilisez votre splash page pour leur indiquer de désactiver la randomisation MAC pour votre SSID spécifique s'ils souhaitent une connexion fluide sur plusieurs jours. Troisième piège : Opérer dans le noir. Utilisez vos analyses WiFi. Regardez la durée de vos sessions. Si 90 % de vos utilisateurs partent naturellement dans les 45 minutes, définir une expiration absolue de 12 heures ne fait que générer un risque inutile. Basez vos minuteries sur les données réelles de temps de séjour. [Son de transition] Animateur : Faisons une courte session de questions-réponses rapide basée sur les questions courantes des clients. Question 1 : "Les utilisateurs se plaignent de devoir se connecter à chaque fois qu'ils reviennent de déjeuner. Comment résoudre ce problème ?" Réponse : Augmentez votre expiration pour inactivité. Si le déjeuner dure une heure, une expiration pour inactivité de 30 minutes les déconnectera. Passez-la à 90 minutes. Question 2 : "Nous manquons d'adresses IP chaque après-midi, mais notre site n'est pas complet. Pourquoi ?" Réponse : Les sessions fantômes. Votre délai d'expiration d'inactivité est soit désactivé, soit configuré sur une durée beaucoup trop longue, ce qui signifie que des appareils partis depuis des heures conservent toujours des baux IP. Réduisez votre délai d'expiration d'inactivité à 30 minutes et raccourcissez la durée de votre bail DHCP. Question 3 : "Quel est l'impact de l'Opportunistic Wireless Encryption, ou OWE, sur les délais d'expiration ?" Réponse : L'OWE fournit un chiffrement individualisé pour les réseaux ouverts sans mot de passe. Il ne modifie pas directement le fonctionnement des délais d'expiration, mais il améliore considérablement votre niveau de sécurité pendant la session, ce qui rend les délais d'expiration absolus plus longs légèrement moins risqués du point de vue de l'interception passive. [Son de transition] Animateur : Pour résumer : Les délais d'expiration de session constituent le point d'équilibre entre l'expérience utilisateur et la sécurité du réseau. Utilisez votre délai d'expiration d'inactivité pour gérer le comportement des appareils et les ressources réseau. Utilisez votre délai d'expiration absolu pour gérer le comportement humain et la conformité. Adaptez ces paramètres à votre secteur d'activité spécifique - le secteur de l'hôtellerie a besoin de minuteurs longs, le commerce de détail de minuteurs moyens et les transports à forte densité de minuteurs agressifs. Alignez vos baux DHCP, tenez compte de la randomisation MAC et laissez vos analyses guider votre configuration. En configurant cela correctement, vous réduirez les tickets d'assistance, sécuriserez votre réseau et offrirez la connectivité fluide que vos clients attendent. Merci d'avoir suivi ce briefing technique Purple. À la prochaine, gardez vos réseaux sécurisés et vos clients connectés. [Musique de fin - Diminution progressive]