Qu'est-ce qu'un portail captif ?

Un portail captif est une page Web vers laquelle le trafic Internet d'un utilisateur est redirigé – afin de lui demander de s'authentifier, d'afficher un message d'information, de justification ou de contournement du code PIN – avant que l'accès au réseau ou à Internet ne soit accordé ou refusé. Il s'agit d'une mesure courante dans le cadre de l'application des politiques de filtrage d'URL.

Points clés à retenir

• Redirige les utilisateurs vers une page Web avant d'autoriser ou de refuser l'accès.
• Les actions principales sont : demander, bloquer, justifier, passer outre et informer les pages.
• Appliqué dans le cadre d'un profil de filtrage d'URL sur les appareils NGFW.
• Solution de secours recommandée pour les appareils non affiliés à un domaine et les appareils BYOD.
• Les pages peuvent utiliser les paramètres par défaut de la plateforme ou opter pour un téléchargement entièrement personnalisé.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Portail captif et Versa · FAQ

Pourquoi un portail captif est-il important ?

Tous les appareils d'un réseau ne peuvent pas bénéficier du même niveau de confiance. Un ordinateur portable rattaché au domaine peut être identifié de manière passive grâce aux événements de connexion, mais le téléphone d'un prestataire externe ou un nouvel appareil BYOD ne laisse aucune trace de ce type. Un portail captif résout ce problème en interceptant la requête elle-même : au lieu d'autoriser ou de bloquer une page en silence, il affiche à l'utilisateur une page qui lui demande d'abord son accord.

Cette interruption constitue un véritable outil de gestion des politiques. Elle permet à une organisation d’autoriser un site « à la limite » uniquement après une justification consignée et vérifiable. Elle permet aux administrateurs de bloquer une catégorie en fournissant une explication claire, plutôt que de provoquer un échec silencieux générant des tickets d’assistance. Et elle offre au détenteur d’un code PIN de dérogation un moyen contrôlé de contourner un blocage sans assouplir la politique pour tous les autres utilisateurs. Pour les appareils BYOD et ceux non rattachés à un domaine, qui ne peuvent pas exécuter d’agents d’identité passifs, c’est souvent le seul moyen pratique disponible pour appliquer la politique.

Qu'est-ce qu'un portail captif ?

Un portail captif est configuré en tant qu’action au sein d’un profil de filtrage d’URL : lorsqu’une session correspond à une catégorie d’URL ou à une règle de réputation, l’appareil redirige la requête du navigateur vers une page de portail au lieu du site demandé. Cette page peut être une page par défaut de la plateforme ou un fichier entièrement personnalisé – une archive .zip contenant un index.htm fichier contenant son propre code HTML, CSS et ses propres images, pouvant éventuellement inclure des variables de session telles que l'URL demandée.

La redirection via HTTPS repose sur le déchiffrement SSL, car l'appareil doit déchiffrer la session pour y insérer la réponse du portail, et peut, s'il le souhaite, éviter tout déchiffrement supplémentaire une fois l'action terminée. Afin d'éviter de demander à nouveau l'autorisation à chaque requête, l'appareil met en cache la décision – associée à l'adresse IP source, à l'adresse MAC ou aux deux – pendant une durée d'expiration configurable.

Types d'actions du portail captif

Les actions du portail captif diffèrent selon ce qu'elles demandent à l'utilisateur de faire. L'option « Demander » affiche une page d'information comportant les boutons « Annuler » et « Continuer ». L'option « Bloquer » refuse purement et simplement l'accès à la page et enregistre la tentative, sans possibilité de poursuivre. L ’ action « Justifier » demande à l’utilisateur de saisir un motif avant de continuer ; ce texte est enregistré à des fins d’audit. L’action « Remplacer » demande un code PIN de 4 à 6 chiffres ; seul un code PIN valide autorise l’accès à l’utilisateur, et chaque tentative est enregistrée. L’action « Informer » affiche simplement un message et permet à l’utilisateur de continuer après l’avoir pris en compte. L’ action « Redirection personnalisée » transfère entièrement la session à un serveur web externe, en lui transmettant des informations telles que l’URL demandée afin qu’il la gère.

Portail captif & Versa

Les appareils VOS mettent en œuvre le portail captif dans le cadre du filtrage d’URL et du filtrage d’URL sur le NGFW: la carte d’actions par catégorie ou par réputation d’un profil de filtrage d’URL peut pointer vers une action de portail captif prédéfinie ou personnalisée, appliquée chaque fois que ce profil est associé à une règle de politique d’accès de sécurité. Les administrateurs configurent le portail captif sous « Configurer > Paramètres > Portail captif », en choisissant une page VOS par défaut pour chaque action ou en téléchargeant une page personnalisée à l'image de la marque, et peuvent associer un certificat CA afin que le portail fonctionne via SSL.

Les déploiements nécessitant une application par instance de routage peuvent définir des points de terminaison de service avec des ports HTTP et HTTPS dédiés (44990 et 44991 par défaut). Les paramètres globaux déterminent la durée de mise en cache d’une décision de redirection – 30 minutes par défaut – et précisent si la clé de cache correspond à l’adresse IP source, à l’adresse MAC ou aux deux.

Questions fréquentes

Quelles actions un portail captif peut-il entreprendre ?

Les actions principales sont « Demander », « Bloquer », « Justifier », « Passer outre » et « Informer », auxquelles s'ajoute la « Redirection personnalisée » vers un serveur externe. Chacune correspond à une expérience utilisateur différente, allant d’une simple confirmation à une annulation nécessitant un code PIN, et chacune peut générer une entrée de journal dans l’ Versa Analytics.

Un portail captif nécessite-t-il un décryptage SSL ?

Oui, pour le trafic HTTPS. Si le déchiffrement SSL n'est pas activé, une session HTTPS passe soit telle quelle (pour l'action « Informer »), soit elle est réinitialisée (pour les actions « Bloquer », « Demander », « Justifier » ou « Remplacer »), car l'appareil ne peut pas remplacer la page du portail au sein d'une session chiffrée qu'il ne peut pas lire.

Est-il possible de personnaliser une page de portail captif ?

Oui. Les administrateurs peuvent modifier le message affiché sur une page par défaut ou mettre en ligne une page entièrement personnalisée sous forme d'archive .zip contenant un index.htm fichier contenant son propre code HTML, ses propres feuilles de style CSS, ses images et son logo, remplaçant ainsi entièrement l'apparence par défaut de la plateforme par un contenu à l'image de la marque.

À quoi sert le code PIN de dérogation ?

L'action « Contournement » demande à l'utilisateur de saisir un code PIN de 4 à 6 chiffres avant de lui accorder l'accès à une catégorie bloquée. Elle est destinée aux exceptions supervisées : une personne connaissant le code PIN peut accorder un accès temporaire sans modifier la politique sous-jacente pour les autres utilisateurs.

Combien de temps une décision relative au portail captif reste-t-elle en cache ?

Par défaut, 30 minutes. Dès qu'un utilisateur répond au portail pour une catégorie d'URL, l'appareil met en cache cette décision en fonction de l'adresse IP source, de l'adresse MAC ou des deux, afin que le même utilisateur ne soit pas invité à répondre à chaque requête jusqu'à l'expiration de l'entrée de cache.

En savoir plus sur les portails captifs

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux portails captifs, voici quelques liens qui pourraient vous intéresser.