TP-Link Omada et Purple WiFi pour les déploiements PME

TP-Link Omada et Purple WiFi pour les déploiements PME — Script de podcast Durée approximative : 10 minutes | Voix en anglais britannique | Ton de briefing de consultant --- [INTRO & CONTEXTE — environ 1 minute] Bienvenue. Si vous évaluez l'infrastructure WiFi pour une petite ou moyenne entreprise — qu'il s'agisse d'un hôtel de charme, d'une chaîne de magasins, d'un centre de conférence ou d'un espace public —, ce briefing est pour vous. Aujourd'hui, nous abordons les points d'accès TP-Link Omada intégrés à la plateforme de WiFi invité de Purple. Plus précisément : est-ce que cela fonctionne, comment le configurer, dans quels cas cela s'avère plus pertinent qu'UniFi, et quelles sont les limites à connaître avant de vous lancer. Je vais rester concis et pratique. Pas de fioritures. Allons-y. --- [ZOOM TECHNIQUE — environ 5 minutes] Tout d'abord, l'information principale : oui, Purple prend entièrement en charge TP-Link Omada. Il figure sur la liste officielle des matériels compatibles de Purple, et un parcours de configuration documenté existe pour le contrôleur Omada v3 ainsi que pour la version v4 plus. Si vous utilisez le logiciel actuel — ce qui devrait être le cas —, vous travaillez avec la version v4 plus. À présent, comment fonctionne concrètement l'intégration ? Purple utilise un modèle de serveur RADIUS externe associé à un portail web externe. C'est le point clé de l'architecture. Le contrôleur Omada ne gère pas l'authentification lui-même — il la délègue entièrement à l'infrastructure RADIUS cloud de Purple. C'est en fait une force, pas une limitation, car cela signifie que Purple gère l'ensemble de la gestion des identités, de la collecte de données, de la conformité GDPR et des analyses de son côté, tandis qu'Omada s'occupe de ce qu'il fait de mieux : la gestion des fréquences radio, l'itinérance et le contrôle du réseau. Laissez-moi vous guider à travers les trois étapes de configuration. La première étape concerne les paramètres sans fil. Vous créez un nouveau SSID — nommez-le "Guest WiFi" ou selon l'identité de votre établissement. Vous activez le mode Guest Network, définissez la sécurité sur "None" — car l'authentification est gérée au niveau de la couche portail et non de la couche sans fil — et appliquez le double bande sur 2,4 et 5 gigahertz. La deuxième étape est la configuration du portail invité. C'est là que réside l'intégration. Dans l'onglet Wireless Control, vous ajoutez un nouveau portail et définissez l'Authentication Type sur "External RADIUS Server". Vous saisissez ensuite l'adresse IP et le secret du serveur RADIUS de Purple, que vous obtenez depuis votre tableau de bord Purple. Port 1812 pour l'authentification, port 1813 pour l'accounting. Vous configurez l'Authentication Mode sur "PAP", activez l'accounting RADIUS avec un intervalle de mise à jour intermédiaire de 120 secondes, et, point crucial, vous définissez Portal Customisation sur "External Web Portal" et y collez l'URL d'accès de Purple. C'est cette URL qui redirige l'invité vers la page d'accueil personnalisée de Purple. La troisième étape est le walled garden. C'est un aspect souvent négligé, et c'est là que les déploiements échouent. Avant qu'un utilisateur invité ne s'authentifie, son appareil doit pouvoir accéder aux serveurs de Purple pour charger la page de connexion. Pour ce faire, ajoutez les domaines de Purple à la liste d'accès de pré-authentification (Pre-Authentication Access List) sous le menu Contrôle d'accès (Access Control). Purple maintient une liste publiée de ces domaines — vous devez tous les ajouter, et pas seulement les plus évidents. Pour les établissements qui souhaitent aller plus loin — notamment en activant la fonctionnalité SecurePass ou Passpoint de Purple pour une reconnexon fluide — une étape de configuration supplémentaire est requise. Vous devez créer un profil RADIUS distinct pointant vers les serveurs WiFi sécurisés de Purple, créer un SSID WPA-Enterprise nommé PurpleConnex, activer Hotspot 2.0 et configurer le domaine NAI sur securewifi.purple.ai avec l'authentification EAP-TTLS. C'est la solution pour offrir une reconnexion sans mot de passe et basée sur un profil pour les clients de retour — sans page de connexion lors des visites suivantes. Un mot maintenant sur le contrôleur Omada lui-même. Vous disposez de trois options de déploiement : un contrôleur logiciel fonctionnant sur un serveur local ou une machine virtuelle, le contrôleur matériel OC200 ou OC300, ou Omada Cloud — la plateforme de gestion cloud hébergée et gratuite de TP-Link. Pour la plupart des déploiements de PME, l'option cloud est le choix idéal. Elle élimine le point de défaillance unique d'un contrôleur local et ne coûte rien. La seule raison de choisir une installation locale est si vous avez des exigences strictes en matière de résidence des données ou une connexion internet instable sur le site. Une remarque importante concernant l'architecture : le contrôleur Omada doit rester accessible pour la gestion continue du réseau, mais le chemin d'authentification RADIUS va directement du point d'accès aux serveurs cloud de Purple. Ainsi, si votre contrôleur se déconnecte temporairement, les sessions authentifiées existantes restent actives — seules les nouvelles authentifications et les modifications réseau sont impactées. --- [OMADA VS UNIFI — partie de l'analyse technique approfondie] Abordons directement la question Omada versus UniFi, car elle revient constamment. Le coût du matériel est la différence la plus évidente. Les points d'accès Omada sont systématiquement 15 à 30 % moins chers que le matériel UniFi équivalent. Un point d'accès WiFi 6 plafonnier d'Omada — l'EAP670, par exemple — se vend environ 130 à 150 dollars américains. L'équivalent UniFi U6 Pro s'affiche à 179 dollars. Multipliez cela par 20 ou 30 points d'accès dans un établissement de taille moyenne, et vous obtenez une différence budgétaire significative. La gestion cloud est un autre facteur de différenciation. Omada Cloud est gratuit, de manière permanente. La gestion cloud de UniFi — UniFi Cloud — nécessite un abonnement de 29 dollars américains par site et par mois, à moins de gérer vous-même l'hébergement de l'application réseau. Pour les MSP qui gèrent plusieurs sites de PME, ce coût d'abonnement s'accumule rapidement. Là où UniFi l'emporte, c'est sur la maturité de l'écosystème et la profondeur des fonctionnalités. UniFi dispose d'une interface de gestion plus soignée, d'une gamme de matériel plus large comprenant des caméras et du contrôle d'accès, et d'une communauté plus vaste produisant de la documentation et des intégrations. Si votre client est déjà profondément ancré dans l'écosystème UniFi, il n'y a aucune raison convaincante de migrer. Pour un nouveau déploiement en PME où le budget est la principale contrainte, Omada est le bon choix. Pour un site qui a besoin d'une plateforme unifiée de sécurité et de réseau avec caméras, contrôle d'accès aux portes et VoIP dans une interface unique, l'avantage de l'écosystème d'UniFi devient pertinent. La bonne nouvelle : Purple fonctionne tout aussi bien sur les deux. Le parcours d'intégration RADIUS est identique. Votre investissement dans Purple est donc indépendant du matériel. --- [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — environ 2 minutes] Quelques erreurs que je vois régulièrement dans les déploiements Omada plus Purple. Le problème le plus courant est un « walled garden » (espace restreint) incomplet. Si vous n'ajoutez pas tous les domaines requis par Purple à la liste blanche, les clients sur les appareils iOS verront un captive portal dysfonctionnel — le Captive Network Assistant sur iOS est particulièrement intransigeant à ce sujet. Comparez toujours votre configuration avec la liste de « walled garden » publiée par Purple et testez avec un iPhone avant de valider un déploiement. Le deuxième piège est la redirection HTTPS. Laissez-la désactivée. Le flux du portail de Purple nécessite une redirection HTTP pour intercepter la connexion initiale. Activer la redirection HTTPS sur le portail Omada interrompt la chaîne de redirection de la page d'accueil. Troisièmement : l'identifiant NAS (NAS ID). Définissez-le de manière explicite — généralement le nom du site ou le nom du SSID. Cette valeur apparaît dans les journaux de comptabilité RADIUS de Purple et facilite grandement le dépannage lorsque vous essayez d'identifier de quel site ou SSID provient une session. Quatrièmement : l'intervalle de mise à jour intermédiaire. Réglez-le sur 120 secondes pour le captive portal standard, et sur 240 secondes pour le profil RADIUS SecurePass. Cela contrôle la fréquence d'envoi des données de comptabilité de session à Purple. Un intervalle trop long vous fait perdre en précision dans les analyses. Un intervalle trop court génère un trafic RADIUS inutile. Enfin : l'accessibilité du contrôleur. Si vous utilisez le contrôleur matériel OC200 sur site, assurez-vous qu'il est branché sur un onduleur (UPS). Un redémarrage du contrôleur pendant les heures de pointe n'interrompra pas les sessions existantes, mais empêchera les nouvelles authentifications jusqu'à son redémarrage complet. --- [QUESTIONS-RÉPONSES RAPIDES — environ 1 minute] Est-ce que Purple fonctionne avec TP-Link Omada ? Oui. Configuration entièrement prise en charge et documentée disponible. Ai-je besoin d'un forfait Purple payant ? Non. Le forfait Connect est gratuit et prend en charge l'intégration complète du captive portal RADIUS avec Omada. Vous bénéficiez de pages d'accueil personnalisées, d'analyses réseau et d'un traitement des données conforme au GDPR, sans aucun coût. Puis-je exécuter plusieurs SSID — un pour les invités et un pour le personnel — sur le même déploiement Omada ? Oui. Créez des SSID distincts : un SSID invité utilisant le portail RADIUS externe de Purple, et un SSID personnel utilisant le WPA2 ou le WPA3-Enterprise connecté à votre Active Directory ou Entra ID via le connecteur SAML de Purple. Quel est le nombre maximal d'utilisateurs simultanés pris en charge par les AP Omada ? Cela varie selon le modèle. L'EAP670 prend en charge jusqu'à 574 clients simultanés. Pour les sites à haute densité comme les centres de conférences ou les stades, tournez-vous vers l'EAP660 HD, spécialement conçu pour les déploiements denses. L'intégration est-elle conforme à la norme PCI DSS ? L'isolation du réseau invité — appliquée par le mode Guest Network d'Omada — combinée au traitement des données de Purple conforme au GDPR vous offre une base de conformité solide. Pour un périmètre PCI DSS complet, vous devrez vous assurer que le VLAN invité est correctement segmenté de tout environnement de données de titulaires de carte. --- [RÉSUMÉ & PROCHAINES ÉTAPES — environ 1 minute] Pour résumer : TP-Link Omada et Purple forment une combinaison économique et parfaitement prise en charge pour les déploiements de WiFi invité des PME. L'avantage du coût matériel par rapport à UniFi est réel et significatif à grande échelle. L'intégration est simple si vous suivez la configuration en trois étapes — SSID, portail avec RADIUS externe et walled garden. Les points de défaillance les plus courants sont le walled garden et les paramètres de redirection HTTPS, deux aspects faciles à configurer correctement si vous savez où regarder. Pour les prochaines étapes : si vous évaluez cela pour un client, commencez par le forfait gratuit Connect de Purple — il n'y a aucun risque financier. Créez un compte Omada Cloud, déployez un seul EAP650 ou EAP670 comme preuve de concept et effectuez la configuration. Vous aurez un Captive Portal fonctionnel en moins d'une heure. Si vous êtes prêt à aller plus loin — capture de données, intégration CRM, analyses comportementales —, c'est là que les forfaits Capture et Engage de Purple entrent en jeu. Mais commencez par Connect, prouvez la valeur, puis évoluez à partir de là. Merci pour votre écoute. Si vous avez trouvé cela utile, un guide écrit complet avec des tableaux de configuration, des schémas d'architecture et des exemples concrets est disponible sur purple.ai. --- FIN DU SCRIPT