TP-Link Omada et Purple WiFi pour les déploiements PME

TP-Link Omada and Purple WiFi for SMB Deployments - Podcast Script Approximate runtime: 10 minutes | UK English voice | Consultant briefing tone --- [INTRO & CONTEXT - approximately 1 minute] Bienvenue. Si vous évaluez l'infrastructure WiFi pour une petite ou moyenne entreprise - qu'il s'agisse d'un hôtel-boutique, d'une chaîne de magasins, d'un centre de conférence ou d'un site du secteur public - ce briefing est pour vous. Aujourd'hui, nous abordons les points d'accès TP-Link Omada intégrés à la plateforme de guest WiFi de Purple. Plus précisément : est-ce que cela fonctionne, comment le configurer, quand cela a-t-il plus de sens que UniFi, et quelles sont les limites à connaître avant de s'engager. Je vais rester concis et pratique. Pas de blabla. C'est parti. --- [TECHNICAL DEEP-DIVE - approximately 5 minutes] Tout d'abord, l'information principale : oui, Purple prend entièrement en charge TP-Link Omada. Il figure sur la liste officielle du matériel compatible de Purple, et il existe un parcours de configuration documenté pour Omada Controller v3 et v4 plus. Si vous utilisez le logiciel actuel - ce que vous devriez faire - vous travaillez avec la version v4 plus. Maintenant, comment l'intégration fonctionne-t-elle concrètement ? Purple utilise un modèle de RADIUS externe combiné à un portail web externe. C'est le point d'architecture clé. Le contrôleur Omada ne gère pas l'authentification lui-même - il la délègue entièrement à l'infrastructure RADIUS cloud de Purple. C'est en fait une force, pas une limite, car cela signifie que Purple gère toute la gestion des identités, la capture des données, la conformité GDPR et les analyses de son côté, tandis qu'Omada s'occupe de ce qu'il fait de mieux : la gestion radio, le roaming et le contrôle du réseau. Laissez-moi vous guider à travers les trois étapes de configuration. L'étape un concerne les paramètres sans fil. Vous créez un nouveau SSID - appelez-le Guest WiFi ou selon l'identité de votre site. Vous activez le mode réseau invité, définissez la sécurité sur "Aucune" - car l'authentification est gérée au niveau de la couche portail, pas de la couche sans fil - et appliquez le double bande sur 2,4 et 5 gigahertz. L'étape deux est la configuration du portail invité. C'est là que réside l'intégration. Dans l'onglet de contrôle sans fil, vous ajoutez un nouveau portail et définissez le type d'authentification sur RADIUS externe. Vous saisissez ensuite l'adresse IP et le secret du serveur RADIUS de Purple, que vous obtenez depuis votre tableau de bord Purple. Le port 1812 pour l'authentification, le port 1813 pour l'accounting. Vous définissez le mode d'authentification sur PAP, activez RADIUS Accounting avec un intervalle de mise à jour intermédiaire de 120 secondes, et surtout, vous définissez la personnalisation du portail sur Portail Web Externe et collez l'URL d'accès de Purple. Cette URL est ce qui redirige l'invité vers la page d'accueil personnalisée de Purple. La troisième étape est le walled garden (jardin de contrôle). C'est un aspect souvent négligé et c'est là que les déploiements échouent. Avant qu'un visiteur ne s'authentifie, son appareil doit pouvoir atteindre les serveurs de Purple pour charger la page d'accueil (splash page). Pour ce faire, vous devez ajouter les domaines de Purple à la liste d'accès de pré-authentification (Pre-Authentication Access List) sous Access Control. Purple maintient une liste publiée de ces domaines - vous devez tous les ajouter, et pas seulement les plus évidents. Pour les établissements qui souhaitent aller plus loin - plus précisément, en activant les fonctionnalités SecurePass ou Passpoint de Purple pour une reconnexon fluide - il y a une étape de configuration supplémentaire. Vous devez créer un profil RADIUS distinct pointant vers les serveurs WiFi sécurisés de Purple, créer un SSID WPA-Enterprise appelé PurpleConnex, activer Hotspot 2.0 et configurer le domaine NAI en tant que securewifi.purple.ai avec une authentification EAP-TTLS. C'est la voie à suivre pour une reconnexon sans mot de passe et basée sur un profil pour les visiteurs de retour - aucun portail captif (splash page) lors des visites suivantes. À présent, un mot sur le contrôleur Omada lui-même. Vous disposez de trois options de déploiement : un contrôleur logiciel fonctionnant sur un serveur local ou une machine virtuelle, le contrôleur matériel OC200 ou OC300, ou Omada Cloud - qui est la plateforme de gestion cloud hébergée gratuite de TP-Link. Pour la plupart des déploiements de PME, l'option cloud est le bon choix. Elle élimine le point de défaillance unique d'un contrôleur local et ne coûte rien. La seule raison d'opter pour une solution locale est si vous avez des exigences strictes en matière de résidence des données ou une connexion internet instable sur le site. Une note d'architecture importante : le contrôleur Omada doit rester joignable pour la gestion continue du réseau, mais le chemin d'authentification RADIUS va directement de la borne d'accès aux serveurs cloud de Purple. Ainsi, si votre contrôleur se déconnecte temporairement, les sessions authentifiées existantes restent actives - seules les nouvelles authentifications et les modifications du réseau sont affectées. - [OMADA VS UNIFI - partie de l'analyse technique approfondie] Abordons directement la question Omada par rapport à UniFi, car elle revient constamment. Le coût du matériel est la différence la plus évidente. Les bornes d'accès Omada sont systématiquement 15 à 30 pour cent moins chères que le matériel UniFi comparable. Un point d'accès de plafond WiFi 6 d'Omada - l'EAP670, par exemple - se vend environ 130 à 150 dollars américains. L'équivalent UniFi U6 Pro se situe à 179 dollars. Multipliez cela par 20 ou 30 bornes d'accès dans un établissement de taille moyenne et vous parlez d'une différence budgétaire significative. La gestion cloud est un autre facteur de différenciation. Omada Cloud est gratuit, de manière permanente. La gestion cloud d'UniFi - UniFi Cloud - nécessite un abonnement de 29 dollars américains par site et par mois, ou vous devez héberger vous-même l'application réseau. Pour les MSP qui gèrent plusieurs sites de PME, ce coût d'abonnement s'additionne rapidement.Là où UniFi l'emporte, c'est sur la maturité de son écosystème et la profondeur de ses fonctionnalités. UniFi dispose d'une interface de gestion plus soignée, d'une gamme de matériel plus large comprenant des caméras et du contrôle d'accès, et d'une communauté plus importante produisant de la documentation et des intégrations. Si votre client est déjà profondément ancré dans l'écosystème UniFi, il n'y a aucune raison impérieuse de migrer. Pour un déploiement initial au sein d'une PME où le budget est la principale contrainte, Omada est le bon choix. Pour un site qui a besoin d'une plateforme unifiée de sécurité et de réseau avec caméras, contrôle d'accès aux portes et VoIP sur un seul écran, l'avantage de l'écosystème UniFi devient pertinent. La bonne nouvelle : Purple fonctionne aussi bien sur l'un que sur l'autre. Le parcours d'intégration RADIUS est identique. Votre investissement Purple est donc indépendant du matériel. - [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes] Voici quelques erreurs courantes que je constate lors des déploiements combinant Omada et Purple. Le problème le plus fréquent est un walled garden (espace de navigation autorisé) incomplet. Si vous ne mettez pas sur liste blanche tous les domaines requis par Purple, les invités utilisant des appareils iOS verront un Captive Portal défaillant - le Captive Network Assistant sur iOS est particulièrement intransigeant sur ce point. Référez-vous toujours à la liste de walled garden publiée par Purple et testez avec un iPhone avant de valider un déploiement. Le deuxième piège est la redirection HTTPS. Laissez-la désactivée. Le flux du portail de Purple nécessite une redirection HTTP pour intercepter la connexion initiale. L'activation de la redirection HTTPS sur le portail Omada interrompt la chaîne de redirection de la page de connexion. Troisièmement : le NAS ID. Définissez-le avec une valeur significative - généralement le nom du site ou le nom du SSID. Cette valeur apparaît dans les journaux de comptabilité RADIUS de Purple et facilite considérablement le dépannage lorsque vous essayez d'identifier de quel site ou de quel SSID provient une session. Quatrièmement : l'intervalle de mise à jour intermédiaire. Réglez-le sur 120 secondes pour le Captive Portal standard, et sur 240 secondes pour le profil RADIUS SecurePass. Cela contrôle la fréquence d'envoi des données de comptabilité de session à Purple. Si l'intervalle est trop long, vous perdez en précision dans les analyses. S'il est trop court, vous générez du trafic RADIUS inutile. Enfin : l'accessibilité du contrôleur. Si vous utilisez le contrôleur matériel OC200 sur site, assurez-vous qu'il est branché sur un onduleur. Un redémarrage du contrôleur pendant les heures de pointe n'interrompra pas les sessions existantes, mais empêchera les nouvelles authentifications jusqu'à ce qu'il soit de nouveau opérationnel. - [QUESTIONS-RÉPONSES RAPIDES - environ 1 minute] Est-ce que Purple fonctionne avec TP-Link Omada ? Oui. Configuration entièrement prise en charge et documentée disponible. Ai-je besoin d'un forfait Purple payant ? Non. Le forfait Connect est gratuit et prend en charge l'intégration complète du Captive Portal RADIUS avec Omada. Vous bénéficiez de pages de connexion personnalisées, d'analyses réseau et d'une gestion des données conforme au GDPR à coût nul. Puis-je exécuter plusieurs SSIDs - un pour les invités et un pour le personnel - sur le même déploiement Omada ? Oui. Créez des SSIDs distincts : un SSID invité utilisant le portail RADIUS externe de Purple, et un SSID personnel utilisant le WPA2 ou le WPA3-Enterprise connecté à votre Active Directory ou Microsoft Entra ID via le connecteur SAML de Purple.Quel est le nombre maximal d'utilisateurs simultanés pris en charge par les AP Omada ? Cela varie selon le modèle. L'EAP670 prend en charge jusqu'à 574 clients simultanés. Pour les sites à haute densité comme les centres de conférence ou les stades, optez pour l'EAP660 HD, spécialement conçu pour les déploiements denses. L'intégration est-elle conforme à la norme PCI-DSS ? L'isolation du réseau invités - appliquée par le mode Réseau Invités d'Omada - combinée à la gestion des données de Purple conforme au GDPR vous offre une base de conformité solide. Pour une conformité PCI-DSS totale, vous devrez vous assurer que le VLAN invités est correctement segmenté de tout environnement de données de titulaires de carte. - [RÉSUMÉ ET ÉTAPES SUIVANTES - environ 1 minute] Pour résumer : TP-Link Omada et Purple constituent une combinaison économique et parfaitement prise en charge pour les déploiements de WiFi invités pour les PME. L'avantage du coût du matériel par rapport à UniFi est réel et significatif à grande échelle. L'intégration est simple si vous suivez la configuration en trois étapes - SSID, portail avec RADIUS externe et walled garden. Les points de défaillance les plus courants sont le walled garden et les paramètres de redirection HTTPS, deux éléments faciles à configurer correctement si vous savez quoi chercher. Pour les étapes suivantes : si vous évaluez cette solution pour un client, commencez par l'offre gratuite Purple Connect - il n'y a aucun risque financier. Créez un compte Omada Cloud, déployez un unique EAP650 ou EAP670 en tant que preuve de concept et effectuez la configuration. Vous disposerez d'un Captive Portal fonctionnel en moins d'une heure. Si vous êtes prêt à aller plus loin - capture de données, intégration CRM, analyses comportementales - c'est là que les offres Purple Capture et Purple Engage interviennent. Mais commencez par Connect, prouvez la valeur et évoluez à partir de là. Merci pour votre écoute. Si vous avez trouvé cela utile, un guide écrit complet avec des tableaux de configuration, des diagrammes d'architecture et des exemples concrets est disponible sur purple.ai. - FIN DU SCRIPT