Guide complet de configuration du portail captif sur le pare-feu Untangle
Les invités rejoignent votre WiFi et Internet fonctionne tout simplement : pas de nom, pas de conditions acceptées, pas d'enregistrement. Un portail captif corrige ce problème : chaque invité atterrit d'abord sur votre page de connexion, accepte vos conditions d'utilisation ou se connecte, et touche ensuite Internet seulement. Voici la configuration complète du pare-feu Untangle.
✍️ Technical Anshu📶 Guest WiFi on Untangle⏱️ 10 minute read
🎥 La configuration complète du portail captif Untangle, en direct à l'écran — regardez la vidéo à côté de ce guide
Un portail captif est une porte, pas une décoration. Sur Untangle (maintenant vendu sous le nom d'Arista Edge Threat Management), l'application Captive Portal retient le trafic d'un invité au niveau du pare-feu jusqu'à ce que cet invité complète votre page : un bouton indiquant qu'il accepte vos conditions ou une véritable connexion vérifiée par rapport aux comptes Local Directory, RADIUS ou Active Directory. Ce n’est qu’alors que le pare-feu laisse passer leur trafic. Ce guide le construit dans le bon ordre : le réseau invité isolé d'abord, le portail ensuite, le test en dernier. Un avertissement honnête avant de commencer : un portail identifie les invités et enregistre leur acceptation — il ne crypte rien quoi que ce soit. Votre mot de passe WiFi fait toujours ce travail.
Status: ON
Capture Rules: [ Guest interface traffic → CAPTURE ]
Captive Page: Basic Login
Authentication: Local Directory
Passed Hosts: 2 server addresses, 1 client address
Active Sessions: 3 guests signed in
[ Test the portal from a phone before real guests arrive ]
À quoi ressemble une application Captive Portal fonctionnelle sur Untangle : des règles de capture du côté invité uniquement, une méthode de connexion claire et une courte liste d'hôtes transmis. Panneau dessiné à titre d'illustration.
1
Ce que fait réellement le portail, en une minute
Lorsqu'un appareil invité se joint, les règles de capture d'Untangle décident si cette machine est « capturée ». Une machine capturée ne peut presque rien atteindre : le pare-feu répond à sa première requête Web avec votre page de portail. L'invité complète la page, le pare-feu marque la machine comme passée et l'accès normal à Internet commence jusqu'à la fin de la session.
Il s'agit d'une couche d'identité : vous saurez quel compte (ou au moins quel appareil et quand) a utilisé votre connexion.
Il s'agit d'une couche de conditions : le client accepte activement votre politique d'utilisation avant d'obtenir l'accès, ce qui est important pour les hôtels, les cafés et les bureaux.
Il ne s'agit pas d'une limite de sécurité en soi : l'isolation entre le réseau invité et le réseau local de votre bureau est une tâche distincte, abordée à l'étape 2 et dans le guide d'isolation de cette série.
2
Planifiez d'abord : le réseau d'invités, puis le portail
N'activez jamais le portail sur le réseau local de votre bureau principal comme première expérience : chaque ordinateur portable et imprimante du personnel devient un « invité » et le travail s'arrête. La forme sûre est :
Un SSID invité distinct sur sa propre interface ou VLAN, avec son propre sous-réseau : le pare-feu se situe entre les invités et tout le reste.
Règles de pare-feu qui permettent au sous-réseau invité d'accéder à Internet, mais pas aux PC de bureau, aux serveurs ou aux boîtiers NAS.
L'application Captive Portal capturant le trafic uniquement du côté invité.
Une décision prise à l'avance : page réservée aux conditions générales ou comptes réels ? L'étape 4 couvre le choix.
Si votre réseau invité n'existe pas encore, construisez-le d'abord — le guide séparé sur l'isolation WiFi invité de cette série le décrit.
3
Installez l'application et rédigez les règles de capture
Sur la console Untangle, le portail est l'une des applications du rack :
Ouvrez les Applications et installez Captive Portal (sur les systèmes actuels, la même plate-forme s'appelle Arista Edge Threat Management – l'application et la présentation sont les mêmes).
Ouvrez les Paramètres de l'application et recherchez les Règles de capture.
Activez l'exemple de modèle de règle qui capture le trafic arrivant sur votre interface invité : la règle correspond à l'interface source, de sorte que le trafic du bureau n'est jamais capturé.
Laissez le portail désactivé jusqu'à ce que la page et l'authentification à l'étape 4 soient prêtes, puis activez l'application.
Les règles de capture peuvent également correspondre à des adresses et à d'autres conditions, ce qui permet de capturer, par exemple, uniquement le réseau de la salle de conférence. Pour une première configuration, une règle (interface invité entrée, capture activée) est la portée honnête.
4
Choisissez comment les invités entrent
Dans l'onglet Page captive, choisissez le style de page – commencez par Connexion de base. Définissez ensuite la méthode dans l'onglet Authentification utilisateur :
Accusé de réception uniquement : l'invité lit votre message et appuie sur OK. Aucune identité, mais les termes ont été montrés et acceptés ; parfait pour un petit café.
Répertoire local : comptes que vous créez dans Untangle lui-même. La réception fait un compte à un invité ; l'invité se connecte avec. Idéal pour les bureaux et les hôtels qui souhaitent attacher un nom.
RADIUS ou Active Directory : le pare-feu demande à votre serveur existant. Cela nécessite également l'application Directory Connector, et c'est ainsi que les grands bureaux donnent une identité de niveau personnel sur les réseaux invités ou BYOD.
Écrivez le texte de la page comme un avis, pas comme un essai contractuel : qui gère ce réseau, ce qui est enregistré, combien de temps dure une session et une ligne de conditions claires. Les invités lisent en fait de courtes pages.
5
Ajoutez des hôtes passés, puis testez comme un invité
Deux courtes listes dans l'onglet Hôtes passés terminent la construction :
Transmettre les adresses de serveur répertoriées : serveurs qu'un invité peut atteindre avant de se connecter, comme votre propre page de réservation ou de paiement. Gardez cette liste aussi courte que possible.
Transmettre les adresses client répertoriées : appareils qui ignorent complètement le portail, comme votre propre téléphone ou un ordinateur de réception.
Maintenant, testez honnêtement : sur un téléphone, oubliez le réseau invité, rejoignez-le et attendez que le portail apparaisse tout seul. Connectez-vous, parcourez deux ou trois sites, puis cochez Sessions actives dans l'application : votre téléphone devrait être répertorié.
Testez également le chemin d'échec : un mot de passe erroné devrait échouer proprement et un périphérique invité ne devrait pas pouvoir ouvrir une imprimante de bureau ou un partage de fichiers.
Si la page ne s'affiche pas sur le téléphone, ne commencez pas à modifier des paramètres aléatoires - ce problème précis a son propre guide dans cette série, et il ne s'agit presque jamais du portail lui-même.
⚠️ La seule erreur qui fait mal : activer le portail avec la mauvaise interface. Si la règle de capture détecte le réseau local de votre bureau, chaque ordinateur du personnel est maintenu sur une page de connexion et les téléphones commencent à sonner. Capturez uniquement l'interface invité et testez depuis un téléphone avant d'annoncer le réseau à qui que ce soit.
🎥 Regardez la configuration complète dans la vidéo
Chaque clic de ce guide (installation de l'application, de la règle de capture, de la page et du test) est affiché en direct sur la console Untangle.
L'application Captive Portal est-elle gratuite sur Untangle ?
Captive Portal est l'une des applications de longue date de l'ensemble d'applications NG Firewall, et la plate-forme Untangle maintient un groupe d'applications principales disponibles sans forfait payant. Untangle est désormais vendu sous le nom d'Arista Edge Threat Management et l'emballage change au fil du temps, alors vérifiez l'écran Applications sur votre propre boîte - si Captive Portal s'installe et s'exécute, vous avez ce dont ce guide a besoin. Des fonctionnalités telles que l'authentification Active Directory nécessitent également l'application Directory Connector.
Un portail captif sécurise-t-il le WiFi de mes invités ?
Pas tout seul. Un portail captif identifie les invités et enregistre qu'ils ont accepté vos conditions. Il ne crypte pas leur trafic et ne les isole pas du réseau de votre bureau. Le cryptage est le travail du mot de passe WiFi (WPA2 ou WPA3) et l'isolation est le travail d'un réseau invité distinct avec des règles de pare-feu, que ce guide traite comme la première étape.
Les invités peuvent-ils entrer sans créer de compte ?
Oui. Le mode le plus simple est une page d'accusé de réception : l'invité lit votre message et appuie sur OK pour continuer, sans aucun nom d'utilisateur. Vous ne savez plus exactement de qui il s’agit – le pare-feu enregistre toujours l’appareil et l’heure – mais pour un petit café ou une salle d’attente, ce commerce est souvent le bon choix.
Ce guide est basé sur la vidéo du portail captif Technical Anshu. • Coincé sur une marche ? Demandez dans les commentaires de la vidéo – vous obtiendrez une réponse 🙏