Trois SSIDs pour régner sur tous : guide de configuration WiFi pour invités, Passpoint et IoT

Bienvenue dans la série de briefings techniques Purple. Aujourd'hui, nous abordons la conception WiFi à trois SSID - une architecture réseau qui regroupe l'accès invité, l'intégration automatisée sécurisée et la gestion des appareils IoT sous trois réseaux sans fil dédiés. Si vous gérez du WiFi dans un hôtel, un parc commercial, un stade ou un centre de conférences, c'est la conception que vous devriez déployer en 2025 et au-delà. [medium pause] Permettez-moi d'abord de situer le contexte. La plupart des sites que nous rencontrons utilisent encore au mieux deux SSID : un réseau invité et ce que l'on appelle vaguement un réseau pour le personnel. Le problème est que ces deux réseaux finissent par tout supporter. Les terminaux de paiement par carte se trouvent sur le même segment que les smartphones des invités. Les sous-traitants se connectent au même SSID que votre signalisation numérique. Les capteurs IoT partagent la bande passante avec des visiteurs qui diffusent des vidéos en continu. Ce n'est pas une posture de sécurité. C'est un risque majeur. La conception à trois SSID résout ce problème en attribuant à chaque classe d'appareil et d'utilisateur son propre réseau dédié, son propre VLAN et sa propre méthode d'authentification. Trois SSID. Trois VLAN. Une architecture de sécurité cohérente. [medium pause] Passons en revue chacun d'entre eux. Le SSID numéro un est votre WiFi invité ouvert. Il s'agit du réseau traditionnel avec Captive Portal - celui que vos visiteurs voient lorsqu'ils ouvrent leur téléphone et se connectent. Il est ouvert, ce qui signifie qu'il n'y a pas de clé pré-partagée, car vous voulez zéro friction au moment de la connexion. L'authentification se fait au niveau du portail. Le visiteur se connecte, est redirigé vers une page d'accueil, accepte vos conditions d'utilisation et fournit éventuellement une adresse e-mail ou un numéro de téléphone. C'est votre consentement explicite pour la conformité GDPR. La plateforme de Purple gère cela de manière native : le portail capture les données de première partie, enregistre l'horodatage du consentement et associe la session au VLAN 10, qui est votre segment invité. Le VLAN 10 bénéficie uniquement d'un accès internet. Il ne peut pas accéder à vos systèmes de point de vente (POS), à vos serveurs back-office ou à toute autre ressource interne. Les règles de pare-feu appliquent cette restriction à la périphérie. Du point de vue de la conformité, ce SSID fait le plus gros du travail. Le GDPR exige que vous enregistriez le consentement, la base légale du traitement et l'horodatage. Purple enregistre tout cela automatiquement. Si vous vous trouvez dans un établissement soumis à la norme PCI DSS - un hôtel équipé de terminaux de paiement en chambre, par exemple - le SSID invité doit être complètement isolé de tout environnement de données de cartes de paiement. La segmentation VLAN avec une politique de pare-feu inter-VLAN permet d'y parvenir. [medium pause] Le SSID numéro deux est votre réseau Passpoint, également connu sous le nom de Hotspot 2.0. C'est là que la conception devient véritablement intéressante. Passpoint est une norme IEEE 802.11u qui permet à un appareil de découvrir, de s'authentifier et de se connecter automatiquement à un réseau WiFi sans aucune interaction de l'utilisateur. Pas de portail. Pas de demande de mot de passe. L'appareil négocie l'authentification en arrière-plan à l'aide d'EAP - Extensible Authentication Protocol - et se connecte de manière chiffrée dès le premier paquet. Comment un appareil sait-il qu'il doit se connecter ? Il dispose d'un profil Passpoint installé. Avec Purple, ce profil est transmis via l'application Purple ou via un SDK que vous intégrez dans votre propre application de marque. Lorsqu'un visiteur récurrent entre dans votre établissement, son appareil détecte votre SSID Passpoint qui diffuse une réponse ANQP, la compare au profil installé et se connecte automatiquement. Tout le processus prend moins de deux secondes. L'utilisateur ne touche jamais à son téléphone. Le flux d'authentification utilise EAP-TLS ou EAP-TTLS avec PEAP, selon votre configuration. L'appareil présente un identifiant à votre serveur RADIUS - Purple agit en tant que serveur RADIUS dans le cloud - et le serveur renvoie un message RADIUS Access-Accept avec un attribut d'attribution de VLAN. Cet attribut indique au point d'accès sur quel VLAN placer cette session. Ainsi, l'utilisateur d'une application de fidélité peut se retrouver sur le VLAN 20, qui a accès à votre plateforme de fidélité et à un contenu plus riche. Un membre du personnel utilisant le même SSID Passpoint avec un identifiant différent se retrouve sur le VLAN 30, qui a accès aux systèmes internes. Un seul SSID. Attribution dynamique de VLAN. Politique appliquée par identité. [medium pause] Le SSID numéro trois est votre réseau xPSK. xPSK est un terme générique qui englobe iPSK, PPSK, DPSK et MPSK - autant de variantes du même concept de clés pré-partagées par appareil ou par groupe. L'idée est simple : au lieu d'avoir un seul mot de passe partagé pour vos appareils IoT et vos prestataires, chaque appareil ou groupe obtient sa propre clé unique. Cette clé est associée à un VLAN spécifique. Lorsqu'un terminal de paiement se connecte avec sa clé, il se retrouve sur le VLAN 40, qui est votre réseau de paiement soumis à la norme PCI. Lorsqu'un lecteur d'affichage dynamique se connecte avec sa clé, il se retrouve sur le VLAN 50, qui a accès à votre serveur de gestion de contenu mais à rien d'autre. Lorsqu'un prestataire se connecte avec une clé temporaire, il se retrouve sur le VLAN 60, qui a un accès Internet et à rien d'interne. Lorsque vous révoquez la clé de ce prestataire, il est immédiatement déconnecté du réseau. Aucun changement de mot de passe n'est requis sur l'ensemble des appareils. Le mécanisme derrière xPSK varie selon le fournisseur. Sur Cisco Meraki, il s'appelle iPSK - Identity PSK - et fonctionne via RADIUS. Sur HPE Aruba, l'équivalent est MPSK, également géré par RADIUS. Ruckus l'appelle DPSK - Dynamic PSK. Juniper Mist utilise le PPSK avec attribution dynamique de VLAN via le tableau de bord cloud de Mist. Ubiquiti UniFi prend en charge le contrôle d'accès réseau avec attribution de VLAN par client dans ses versions de firmware récentes. Purple s'intègre à ces cinq plateformes en tant que fournisseur RADIUS cloud. [medium pause] Parlons maintenant de l'ordre d'implémentation. L'ordre est important. Commencez par la conception de vos VLAN avant de toucher à la configuration du réseau sans fil. Définissez d'abord vos VLAN au niveau de la couche de commutation. Configurez votre politique de routage inter-VLAN et verrouillez-la au niveau du pare-feu avant qu'aucun appareil ne se connecte. C'est l'erreur la plus courante que nous constatons : les équipes configurent d'abord le réseau sans fil, puis essaient d'adapter la segmentation VLAN après coup. Faites l'inverse. Deuxièmement, configurez votre serveur RADIUS. Dans la plateforme de Purple, accédez à la section de configuration RADIUS, générez vos identifiants de serveur et notez les adresses IP primaire et secondaire, le port d'authentification (généralement 1812) et le secret partagé. Troisièmement, configurez vos SSIDs. Pour le SSID invité, définissez la sécurité sur ouverte, activez la redirection vers le Captive Portal et dirigez l'URL de redirection vers votre portail Purple. Pour le SSID Passpoint, activez la norme 802.11u et configurez vos éléments ANQP (votre domaine NAI, l'OI de votre Roaming Consortium si vous participez à OpenRoaming, et les informations sur votre site). Définissez le type de sécurité sur WPA2-Enterprise ou WPA3-Enterprise. Pour le SSID xPSK, configurez les paramètres MPSK ou DPSK spécifiques au fournisseur et dirigez l'authentification vers votre point de terminaison RADIUS Purple. Quatrièmement, configurez votre walled garden (environnement sécurisé) pour le SSID invité. Incluez les domaines du portail de Purple, votre résolveur DNS et les points de terminaison de détection de Captive Portal utilisés par iOS et Android : captivedetect.apple.com d'Apple et connectivitycheck.gstatic.com de Google. [medium pause] Deux exemples concrets. Un hôtel de 350 chambres dans le centre de Londres a déployé cette architecture sur 28 points d'accès équipés de matériel HPE Aruba. Avant le déploiement, les terminaux de paiement partageaient un segment réseau avec les appareils des invités, ce qui constituait un manquement à la conformité PCI. La refonte autour de trois SSIDs a permis de déplacer les terminaux de paiement vers un VLAN dédié, avec des règles de pare-feu autorisant uniquement le trafic HTTPS sortant vers le processeur de paiement. L'audit PCI a été validé lors du cycle suivant. La collecte de données clients a augmenté de 34 % au cours des trois premiers mois, le portail étant plus rapide et le parcours d'inscription plus fluide. Une chaîne de magasins comptant 80 points de vente à travers le Royaume-Uni a réduit le nombre de SSIDs par magasin, passant d'une moyenne de 4,2 à trois. Les terminaux de point de vente électroniques (EPOS) et l'affichage dynamique ont été transférés sur le SSID xPSK, avec des clés par appareil gérées de manière centralisée via Purple. Le personnel est passé à un SSID Passpoint en utilisant ses identifiants Microsoft Entra ID via EAP-TTLS. L'équipe informatique a enregistré une réduction de 60 % des tickets d'assistance liés au WiFi au cours du premier trimestre suivant le déploiement. [medium pause] Quelques pièges à éviter lors du déploiement. Configuration du délai d'attente (timeout) RADIUS : si vos points d'accès ne parviennent pas à joindre le serveur RADIUS de Purple dans le délai configuré, ils refuseront la connexion. Configurez toujours les adresses des serveurs RADIUS primaire et secondaire. Marquage VLAN sur les ports trunk : chaque port de liaison montante (uplink) d'un point d'accès doit être configuré comme un trunk acheminant tous les VLANs utilisés par vos SSIDs. Une erreur courante consiste à configurer le VLAN sur le contrôleur mais à oublier de l'ajouter au trunk sur le port du commutateur (switch). Configuration Passpoint ANQP : la liste des domaines NAI doit correspondre exactement à celle du profil Passpoint installé sur l'appareil. En cas d'incohérence, les appareils ignoreront votre réseau lors de la phase de détection. Testez la configuration avec un appareil de référence avant le déploiement en production. Rotation des clés xPSK : les clés des prestataires doivent avoir une date d'expiration définie lors de l'attribution. Le tableau de bord de Purple vous permet de révoquer des clés individuelles sans affecter les autres appareils du réseau. [medium pause] Questions rapides. Puis-je exécuter les trois SSIDs sur le même point d'accès ? Oui. Limitez le nombre total de SSIDs par point d'accès à six ou moins pour minimiser la surcharge de balisage. Passpoint nécessite-t-il une application spécifique ? Avec Purple, il nécessite soit l'application Purple, soit un SDK intégré à votre propre application de marque. Le SDK gère l'attribution des profils en arrière-plan et de manière silencieuse. L'xPSK est-il conforme à la norme PCI pour les terminaux de paiement ? Oui, à condition que le VLAN acheminant le trafic des appareils de paiement soit correctement segmenté et que les règles de pare-feu limitent le trafic à ce qui est strictement requis par le processeur de paiement. Que se passe-t-il si un portail SSID invité tombe en panne ? Configurez une redirection de secours ou une splash page locale sur le contrôleur du point d'accès. La plateforme de Purple fonctionne avec une disponibilité de 99,999 %, mais une configuration de sécurité redondante reste une bonne pratique. [medium pause] En résumé. L'architecture à trois SSIDs vous offre un réseau invité avec un Captive Portal conforme pour la collecte de données, un réseau Passpoint pour un accueil sécurisé et automatisé via l'application Purple ou le SDK avec attribution dynamique de VLAN, et un réseau xPSK qui regroupe les appareils IoT, les terminaux de paiement, l'affichage dynamique, les prestataires et le BYOD sous des clés par appareil associées à des VLAN spécifiques. Le résultat est une posture de sécurité plus claire, une meilleure expérience visiteur et un réseau véritablement gérable à grande échelle. Commencez par la conception de vos VLAN, configurez RADIUS, créez vos SSIDs et définissez votre walled garden. L'équipe d'intégration de Purple peut vous accompagner dans la configuration de votre plateforme matérielle spécifique. Le guide écrit complet est disponible sur purple.ai. Recherchez "three SSIDs to rule them all" pour obtenir la référence de configuration étape par étape avec les détails spécifiques aux fournisseurs pour Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi. Merci pour votre écoute.