Hotspot Sophos Firewall avec voucher ou mot de passe quotidien

Un hotspot Sophos Firewall n’autorise l’accès Internet des invités qu’après leur connexion. Pour des accès individuels limités, il faut utiliser des vouchers. Un mot de passe quotidien est plus simple, mais il est partagé par tous les invités.

Un réseau Wi-Fi invité séparé avec Client traffic: Separate zone est requis. Le hotspot ne remplace ni la séparation des réseaux ni des règles de pare-feu correctement limitées.

Selon le pays, les hotspots proposés au public peuvent être soumis à des obligations d’enregistrement, de filtrage, de protection des données ou de conservation. Ces exigences légales doivent être vérifiées pour le site concerné avant le déploiement ; la configuration SFOS ne permet pas à elle seule d’y répondre.

Les chemins de menus et les noms de champs de ce guide correspondent à SFOS 22.0. Avec une version antérieure, comparer l’écran à l’aide Sophos correspondante avant toute modification.

⚠️ Important : Cette procédure s’applique uniquement au matériel Wi-Fi géré directement par SFOS. Les points d’accès AP6 ne sont pas gérés par Sophos Firewall. Le hotspot est donc surtout pertinent pour les installations APX existantes, le LocalWiFi intégré des modèles de bureau W et les modules Wi-Fi pris en charge dans Sophos Firewall ou SD-RED. Configurer le Wi-Fi directement sur Sophos Firewall explique les restrictions matérielles et le réseau invité.

La procédure complète est la suivante :

Vérifier le réseau Wi-Fi invité séparé et l’interface Wi-Fi.
Choisir une définition de voucher ou un mot de passe quotidien.
Affecter le hotspot à l’interface invitée.
Contrôler la règle de pare-feu créée automatiquement.
Créer des vouchers et tester l’accès avec un nouveau client.

Voucher, mot de passe quotidien ou simple acceptation des conditions d’utilisation ?

Les trois types de hotspots répondent à des besoins différents :

Voucher : Chaque invité reçoit son propre code. La validité, le temps de connexion, le volume de données et le nombre d’appareils autorisés peuvent être limités. Cette méthode convient aux visiteurs, aux techniciens externes, aux hôtels ou aux événements.
Password of the day : Tous les invités utilisent le même mot de passe. Il est facile à distribuer sur les petits sites, mais ne permet aucune attribution individuelle.
Terms of use acceptance : Les invités doivent uniquement accepter les conditions d’utilisation. Session expires détermine quand ils doivent les accepter à nouveau. Ce type présente le moins d’obstacles à l’accès, mais ne permet pas de contrôler qui utilise la connexion.

Pour l’exemple suivant, Voucher est le choix le plus pertinent. Il associe une distribution simple à la réception à des limites techniques claires.

Un utilisateur invité sur Sophos Firewall est en revanche un compte local temporaire avec Username, mot de passe, groupe et connexion au Captive Portal. Ce modèle convient lorsqu’une identité avec Access Time ou des quotas est nécessaire pour chaque personne ; ce n’est pas un autre type de hotspot.

Le mot de passe quotidien a un effet secondaire important : dès qu’un nouveau mot de passe est généré, SFOS ferme les sessions hotspot existantes. Les invités doivent se reconnecter. L’option Override wireless networks’ passphrase modifie en plus la clé prépartagée Wi-Fi et reconfigure ou redémarre les points d’accès associés. Cette option ne doit donc être utilisée que délibérément et avec une interruption planifiée.

Vérifier les conditions préalables

Cet article part d’un réseau Wi-Fi invité déjà diffusé. Avant de configurer le hotspot, les points suivants doivent fonctionner :

Le réseau sans fil utilise Separate zone et possède sa propre interface.
Un client de test reçoit une adresse, une passerelle et des serveurs DNS par DHCP.
L’heure système, le fuseau horaire et le NTP du pare-feu sont corrects. Ils influencent notamment la validité des vouchers et le changement du mot de passe quotidien.
Le réseau invité ne chevauche pas le LAN, le VPN, RED ou d’autres VLAN.
Les réseaux internes et l’administration du pare-feu sont inaccessibles aux invités.
Des stratégies Web, Application, IPS et Traffic Shaping adaptées ont été définies pour le hotspot.
Un utilisateur ou un groupe est prévu pour la distribution des vouchers.
Pour Redirect to HTTPS, un nom de portail, un DNS et un certificat de confiance adaptés sont disponibles.

Avec un module Wi-Fi dans un SD-RED, la connexion RED, le DHCP, le DNS, le NTP et les ports RED nécessaires doivent également fonctionner. Configurer et tester Sophos SD-RED explique le chemin de données complet et les différences entre les modes de fonctionnement.

L’exemple utilise les valeurs suivantes :

SSID : Company Guest
Réseau invité : 10.30.40.0/24
Passerelle : 10.30.40.1
Hotspot : Guest WiFi Reception
Définition de voucher : Guest-8h-2GB
un appareil par voucher
huit heures de connexion
un volume de données de 2 Go
un jour de validité à partir de la première connexion

Ces valeurs ne constituent pas une recommandation générale. Le hall d’un hôtel, un événement d’une journée et un accès pour des techniciens externes nécessitent des limites différentes.

Conserver la configuration existante

Avant de modifier un hotspot en production, consigner ou photographier ses interfaces, stratégies, type, utilisateurs administratifs, redirections, personnalisations et la position de sa règle de pare-feu créée automatiquement. Un changement de type, d’interface ou de mot de passe quotidien peut affecter immédiatement les accès actifs. Effectuer donc l’opération dans une fenêtre de maintenance avec un client de test disponible.

Pour revenir en arrière, rétablir ces valeurs et la position initiale de la règle, enregistrer, puis tester avec un nouveau client. Pour Voucher, créer un nouveau code de test. Pour Password of the day, ne pas oublier qu’un nouveau changement de mot de passe ferme à nouveau les sessions actives.

Configurer un hotspot avec vouchers

1. Créer une définition de voucher

Sous Wireless > Hotspot voucher definition > Add, il faut définir les limites d’un voucher :

Name: Guest-8h-2GB
Validity period: 1 day
Time quota: 8 hours
Data volume: 2 GB

Ces trois valeurs n’ont pas le même effet :

Validity period commence lors de la première connexion. Dans l’exemple, le voucher expire au plus tard un jour après, même si le quota de temps ou de données n’est pas encore épuisé.
Time quota comptabilise le temps de connexion effectif depuis la connexion et s’arrête lors de la déconnexion. Le décompte s’arrête également après cinq minutes d’inactivité.
Data volume limite le volume total transféré avec ce voucher.

Un invité peut ainsi se connecter plusieurs fois pendant la période de validité d’un jour qui commence à la première connexion, mais pendant huit heures au maximum et jusqu’à 2 Go. Dès que l’une de ces trois limites est atteinte, le voucher ne peut plus être utilisé.

Après l’enregistrement, la définition peut être sélectionnée pour les hotspots avec vouchers nouveaux ou existants.

2. Créer le hotspot

Sous Wireless > Hotspots > Add, il faut créer l’accès proprement dit :

Saisir Name: Guest WiFi Reception.
Sous Interfaces, cliquer sur Add new item, sélectionner l’interface de Company Guest et valider avec Apply selected items.
Choisir les Application filter policy, Web policy, IPS policy et Traffic shaping policy appropriées.
Définir Hotspot type: sur Voucher.
Sous Voucher definitions, sélectionner Guest-8h-2GB.
Définir Devices per voucher: sur 1.
Sous Administrative users, saisir les utilisateurs responsables de la distribution des vouchers ou le groupe approprié.
Activer Users have to accept terms of use et saisir les conditions si une acceptation supplémentaire est requise.
Activer Redirect to HTTPS. Un Hostname personnalisé ne peut contenir que des lettres, chiffres et tirets ; il n’est pas sensible à la casse.
Activer éventuellement Redirect to URL after login et saisir une URL de destination complète.
Activer éventuellement Enable customization, puis choisir Basic ou Full dans le champ distinct Customization type.
Enregistrer avec Save.

L’affectation d’une interface transforme tous les points d’accès qui lui sont associés en hotspots. Avant d’enregistrer, vérifier donc quels points d’accès fournissent le réseau Wi-Fi invité via cette interface ; l’effet ne se limite pas au point d’accès de la réception. La limitation mentionnée ci-dessus au matériel Wi-Fi géré directement par SFOS reste applicable.

Devices per voucher: 1 signifie que le même code ne peut pas être utilisé pour d’autres appareils. Si un visiteur doit, par exemple, connecter un ordinateur portable et un smartphone, il faut délibérément augmenter le nombre d’appareils ou distribuer un second voucher.

Les stratégies de protection s’appliquent au trafic autorisé par la règle de hotspot créée automatiquement. Il ne faut pas simplement reprendre pour les invités les mêmes autorisations que pour les utilisateurs internes. Un accès Web limité, Application Control, IPS et une limitation de bande passante adaptée constituent généralement une meilleure base.

Avec Basic, choisir directement le logo, Title et Custom text. SFOS accepte .jpg, .jpeg, .png et .gif pour le logo. Sophos recommande au maximum 300 × 100 pixels et propose Scale logo to recommended size pour les images plus grandes. N’utiliser Full que si la page de connexion complète, sa feuille de style et ses fichiers peuvent être maintenus de manière contrôlée et retestés après les mises à jour.

Custom text peut, par exemple, mentionner le SSID Company Guest et prend en charge un balisage HTML simple ainsi que des liens hypertextes. Pour un logo, un titre et un court message, Basic est la variante recommandée, plus facile à maintenir ; l’obligation de maintenance et de test pour Full reste applicable.

L’URL de destination facultative n’est utilisée qu’après une connexion réussie. Elle ne remplace ni le DNS ni la redirection du Captive Portal. Pour la validation, choisir donc une page HTTPS réellement autorisée par la règle du hotspot.

3. Définir HTTPS, le certificat et le Walled Garden

Sous Wireless > Hotspot settings se trouvent trois paramètres globaux. Ils ne s’appliquent pas uniquement au hotspot qui vient d’être créé et doivent donc être vérifiés par rapport à tous les hotspots existants :

Login page certificate : Sélectionner le certificat pour la page de connexion HTTPS. Le nom ou l’adresse IP utilisé doit être couvert par le certificat, se résoudre entièrement vers le pare-feu et être fourni avec une chaîne de certificats approuvée par les appareils invités. Sinon, le navigateur affiche un avertissement malgré HTTPS. Let’s Encrypt sur Sophos Firewall explique l’émission et le renouvellement. Le certificat est sélectionné dans la liste déroulante Login page certificate, puis appliqué avec Apply. SFOS propose les certificats valides présents sur le pare-feu ; toutefois, un certificat valide sur le pare-feu n’est pas automatiquement reconnu comme fiable par les appareils des invités.
Walled garden : Saisir uniquement les destinations qui doivent être accessibles avant la connexion, par exemple une seule page contenant les conditions d’utilisation. Chaque réseau et chaque domaine supplémentaire étendent l’accès sans voucher. Pour le Walled garden, cliquer sur Add new item et sélectionner le réseau ou l’hôte requis. Si l’objet cible n’existe pas, créer un nouvel hôte ou un domaine avec Add. Appliquer ensuite avec Apply et vérifier depuis le client de test non encore connecté que seules les destinations prévues sont accessibles.
Delete expired vouchers : Supprimer automatiquement les vouchers expirés après un intervalle choisi entre 1 et 365 jours. Cela facilite l’administration, mais ne remplace pas une règle opérationnelle pour la distribution et la révocation. Le nettoyage automatique s’active en cochant Delete expired vouchers, en saisissant l’intervalle et en cliquant sur Apply. Définir au préalable l’intervalle de conservation souhaité ; le nettoyage supprime les vouchers expirés de la base de données.

La page de connexion peut également être personnalisée. Une adaptation simple avec un logo, un titre et une brève indication est plus facile à maintenir qu’un modèle HTML entièrement personnalisé. Les codes de vouchers réels, les noms d’hôtes internes ou les identifiants d’assistance ne doivent figurer ni dans le modèle ni dans les captures d’écran.

Utiliser en toute sécurité des modèles de connexion et de voucher personnalisés

Sous Wireless > Hotspot settings > Download templates, cliquer sur Login page template pour télécharger le modèle de connexion, ou sur Voucher template pour le modèle de voucher. Conserver le modèle initial téléchargé et les fichiers actuellement utilisés avant toute modification. La page de connexion peut utiliser des variables telles que <?login_form?>, <?error?>, <?terms?> et <?asset_path?> ; les blocs conditionnels n’affichent leur contenu que pour le type de hotspot ou l’état de connexion correspondant. Si un formulaire personnalisé remplace <?login_form?>, conserver l’action et la méthode attendues par SFOS :

<form action="?action=login" method="POST">
  ...
</form>

Dans ce formulaire, le champ de saisie dépend du type de hotspot. Pour Terms of use acceptance, il faut inclure une case à cocher avec name="accept" et value="true" :

<input type="checkbox" name="accept" value="true">

Pour Password of the day ou Voucher, utiliser à la place un champ texte avec name="token". Les exemples n’exigent pas systématiquement les deux champs de saisie pour chaque type de hotspot :

<input type="text" name="token">

Un bouton d’envoi soumet le formulaire. Le bouton suivant est un exemple ; son libellé n’est pas une valeur imposée par le produit :

<input type="submit" name="sign-in" value="Sign in">

Si des conditions d’utilisation supplémentaires sont activées, vérifier également leur affichage et leur acceptation dans l’exemple téléchargé correspondant. Après chaque modification, tester la connexion, le message d’erreur, les conditions d’utilisation, la redirection et la déconnexion avec un nouveau client. Les fichiers pouvant être téléversés pour la personnalisation complète sont .jpg, .jpeg, .png, .ico, .css et .js ; les scripts tiers et les contenus actifs inutiles n’ont pas leur place sur une page de connexion.

Associer les espaces réservés de la page de connexion

Les variables sont remplacées lors de la génération de la page. Pour les utiliser, reprendre la structure du modèle d’exemple téléchargé au lieu d’inventer une syntaxe pour les blocs conditionnels :

<?admin_message?> fournit l’indication d’un contact administratif ; <?admin_contact?> utilise l’adresse Send notifications to email address définie sous Administration > Notification settings.
<?asset_path?> désigne le répertoire des images et des feuilles de style pour Full. Un logo est par exemple intégré avec <img src="<?asset_path?>/logo.png"> ; logo.png doit être fourni comme fichier de ressource correspondant.
<?company_logo?> et <?company_text?> utilisent respectivement le logo et le texte de l’entreprise de la personnalisation simple sous Wireless > Hotspots.
<?location?> est l’URL demandée par l’invité ; <?location_host?> est son nom d’hôte. Ne pas confondre ces valeurs avec l’URL de destination configurée pour la redirection après la connexion.
<?maclimit?> correspond à Devices per voucher sous Wireless > Hotspots, <?numdevices?> au nombre d’appareils défini dans le modèle et <?redirect_host?> à l’URL de redirection configurée sous Wireless > Hotspots.
<?time_total?>, <?timeend?> et <?traffic_total?> proviennent de Wireless > Hotspot voucher definition et indiquent le quota de temps total, la durée de validité et le volume de données total du voucher.

Les conditions suivantes déterminent quand une section est visible ; leurs noms ne sont pas interchangeables avec les valeurs de sortie ci-dessus :

<?if_loggedin?> : connexion réussie ; <?if_notloggedin?> : pas encore connecté, par exemple en cas d’acceptation en attente ou d’erreur.
<?if_authtype_password?> : Password of the day ; <?if_authtype_disclaimer?> : Terms of use acceptance ; <?if_authtype_token?> : Voucher.
<?if_location?> : l’utilisateur est redirigé ; <?if_redirect_url?> et <?if_not_redirect_url?> : Redirect to URL after login est respectivement activé ou désactivé.
<?if_timelimit?> : une durée de validité est définie ; <?if_trafficlimit?> : une limite de données est définie ; <?if_timequota?> : un quota de temps est défini.
<?if_maclimit?> : Devices per voucher est défini ; <?if_terms?> : les conditions d’utilisation sont activées et définies ; <?if_error?> : erreur de connexion.

Après toute modification, tester méthodiquement les états concernés : avant et après la connexion, avec et sans redirection, ainsi qu’avec un code incorrect et les conditions d’utilisation appropriées. Cela ne garantit pas que chaque variable fournisse une valeur pour chaque type de hotspot.

Un modèle de voucher personnalisé est créé au format PDF version 1.5 ou ultérieure. Les variables telles que <?ssid#?>, <?psk#?>, <?code?>, <?validity?>, <?datalimit?>, <?timelimit?>, <?comment?> et <?qr0?> sont placées chacune sur une ligne distincte. Pour #, suivre la correspondance du modèle d’exemple Sophos téléchargé. Si le modèle contient <?psk#?>, la clé Wi-Fi fait aussi partie du document d’accès et doit être traitée comme un mot de passe. Utiliser uniquement des polices standard, sans gras, italique ou mise en forme similaire, puis placer sur la dernière ligne du PDF la déclaration de jeu de caractères indiquée dans l’exemple Sophos. Avant le déploiement, générer un vrai voucher, imprimer ou ouvrir le PDF, puis tester le code et la connexion par QR.

Dans le modèle de voucher, <?ssid#?> correspond au SSID défini sous Wireless networks et <?code?> au code du voucher. <?validity?>, <?datalimit?> et <?timelimit?> utilisent Validity period, Data volume et Time quota de Hotspot voucher definition. L’indication du jeu de caractères dans la dernière ligne du PDF n’est pas imprimée sur le voucher. Pour <?comment?>, vérifier avant le déploiement quel texte descriptif apparaît réellement sur le voucher de test généré ; ce guide n’ajoute aucun champ de saisie non attesté à cet effet.

Téléverser les fichiers personnalisés sur le hotspot

Ne remplacer le modèle en production qu’après la sauvegarde et la préparation décrites ci-dessus :

Sous Wireless > Hotspots, ouvrir le hotspot souhaité, dans cet exemple Guest WiFi Reception.
Activer Enable customization et définir Customization type sur Full.
Dans Login page template, sélectionner le modèle de connexion personnalisé via Choose File.
Dans Images/stylesheet, sélectionner et téléverser la feuille de style associée ou les fichiers de ressources pris en charge via Choose File.
Pour une sortie de voucher personnalisée, sélectionner le modèle PDF préparé dans Voucher template via Choose File ; fournir toute feuille de style nécessaire via Images/stylesheet.
Enregistrer avec Save. Vérifier ensuite la nouvelle page de connexion avec un nouveau client et la sortie du voucher avec un nouveau code de test. En cas d’erreur, rétablir les fichiers sauvegardés et les paramètres de personnalisation, enregistrer et tester à nouveau.

La sélection de fichier peut apparaître dans le navigateur sous le libellé Browse au lieu de Choose File. L’essentiel est l’association au champ de téléversement correspondant, et non le libellé local de la boîte de dialogue de sélection de fichier.

4. Vérifier la règle de pare-feu créée automatiquement

Lors de l’enregistrement, SFOS crée une règle de pare-feu associée et la place en haut de la liste des règles. C’est pratique, mais sensible du point de vue de la sécurité : une règle placée en haut est évaluée avant les règles situées en dessous et peut intercepter du trafic de manière inattendue si son périmètre est trop large.

Sous Rules and policies > Firewall rules, contrôler les points suivants :

L’interface source et la zone source appartiennent uniquement au réseau Wi-Fi invité.
La zone de destination et les réseaux de destination n’autorisent aucun accès aux réseaux LAN, serveur, d’administration ou VPN.
Les services ne sont pas plus larges que nécessaire.
Les stratégies Web, Application, IPS et Traffic Shaping correspondent au profil invité.
Log firewall traffic est activé pour la validation.
La position n’entre pas en conflit avec les règles MTA, IPsec ou d’autres hotspots créées automatiquement.
Une règle MASQ/SNAT appropriée couvre le réseau invité.

Les accès au pare-feu lui-même sont gérés séparément sous Administration > Device access. Pour la zone WiFi, HTTPS, SSH et les autres services locaux non nécessaires doivent être fermés. DNS ne reste ouvert que si les invités utilisent effectivement le pare-feu comme résolveur. Planifier correctement les règles de pare-feu et Configurer Device Access de manière sécurisée expliquent ces interactions.

Créer des vouchers dans le User Portal

Les personnes affectées sous Administrative users peuvent gérer les vouchers dans le User Portal sans obtenir d’accès à WebAdmin. L’onglet Hotspots n’est visible que pour ces utilisateurs. Le User Portal utilise par défaut le port 4443. Autoriser l’accès depuis la zone d’administration sous Administration > Device access, puis tester https://<IP-ou-FQDN-du-pare-feu>:4443. Ne pas l’ouvrir globalement depuis le WAN à cette fin. Un accès ciblé depuis un réseau d’administration interne de confiance est plus sûr. Vue d’ensemble des portails Sophos le distingue de WebAdmin, du VPN Portal et du Captive Portal. Sous Hotspots, sélectionner les valeurs suivantes :

Hotspot: Guest WiFi Reception
Hotspot Voucher Definition: Guest-8h-2GB
Amount: nombre souhaité, avec un maximum de 50 par opération
Description: par exemple Visitors 2026-08-07
Sélectionner éventuellement Print, le format de page, le nombre de vouchers par page et Add QR Code.
Cliquer sur Create Vouchers.

Le code QR ouvre la page de connexion du hotspot et préremplit les informations nécessaires. Il contient donc des données d’accès et doit être protégé de la même manière que le code de voucher écrit.

La distribution nécessite un processus simple : qui peut créer des vouchers, comment un code est-il attribué à un invité et quand un code encore valide est-il supprimé ? Un stock important de vouchers imprimés dans une réception accessible au public affaiblit les limites techniques.

Les vouchers sélectionnés peuvent être supprimés manuellement dans le User Portal ou exportés au format PDF ou CSV. Pour un export CSV, le séparateur doit correspondre au système cible, sinon les codes et les limites sont répartis dans de mauvaises colonnes à l’ouverture. La suppression automatique des vouchers expirés suit uniquement l’intervalle global configuré dans Wireless > Hotspot settings et ne révoque pas un code encore valide.

Tester intégralement l’accès invité

La validation doit être effectuée avec un appareil qui ne possède pas encore de session hotspot active. Une fenêtre de navigation privée évite en outre que d’anciens cookies ne faussent le résultat.

Se connecter à Company Guest.
Vérifier que le client reçoit une adresse du réseau 10.30.40.0/24, la passerelle 10.30.40.1 et les serveurs DNS prévus.
Avant la connexion, vérifier qu’aucune destination interne ou externe n’est accessible, à l’exception des destinations volontairement inscrites dans le Walled Garden.
Ouvrir une page HTTP normale et vérifier la redirection vers la page de connexion du hotspot.
Contrôler le nom du certificat, la chaîne de certificats et l’état affiché par le navigateur.
Saisir d’abord un code de voucher incorrect, puis le code correct.
Tester le DNS et une page HTTPS autorisée.
Accéder volontairement à une destination interne et à l’adresse WebAdmin ; les deux doivent rester bloquées.
Dans le Log Viewer, filtrer sur l’adresse IP du client et contrôler la Firewall Rule ID et la NAT Rule ID attendues.
Avec un voucher de test, atteindre volontairement au moins une limite configurée et vérifier que l’accès prend ensuite fin.

Un accès à Internet ne suffit pas à valider la configuration. Le client doit se trouver dans le bon réseau, passer par la règle attendue et rester séparé des systèmes internes ainsi que de l’administration du pare-feu.

Le mot de passe quotidien comme alternative plus simple

Pour utiliser un mot de passe quotidien commun, il faut sélectionner Password of the day au lieu de Voucher dans le hotspot. Il faut ensuite définir l’heure de génération, les adresses des destinataires et les utilisateurs administratifs responsables.

Dans les paramètres du hotspot, seuls les Administrative users et les destinataires figurant sous Send password by email to peuvent accéder au mot de passe du jour. Cela restreint la gestion et la distribution du mot de passe, mais n’empêche pas un destinataire de le communiquer à un invité. Si une acceptation est également requise, activer Users have to accept terms of use même avec Password of the day, saisir les Terms of use et enregistrer avec Save. Vérifier ensuite avec un nouveau client que le mot de passe seul, sans l’acceptation requise, ne suffit pas.

Un groupe de messagerie interne est plus pratique que de nombreux destinataires individuels. Pour cela, les notifications par e-mail de Sophos Firewall doivent fonctionner. Le mot de passe ne doit pas rester affiché en permanence dans un lieu public et doit être testé avec un nouveau client après chaque changement automatique ou manuel.

Un utilisateur administratif affecté peut voir et modifier le mot de passe actuel dans Hotspots du User Portal :

Sélectionner le hotspot dans la liste.
Saisir un mot de passe ou conserver celui généré automatiquement, puis cliquer sur Generate.
Activer éventuellement Send Mail. Cette option n’apparaît que si des adresses de destinataires sont configurées sur le hotspot.
Cliquer sur Save.

Après Save, le nouveau mot de passe est immédiatement valable. L’ancien devient invalide et les sessions actives sont fermées. Un changement manuel n’est donc pas un contrôle fonctionnel sans effet secondaire.

Override wireless networks’ passphrase est uniquement nécessaire si le mot de passe du hotspot et la clé prépartagée Wi-Fi doivent être identiques. Sans cette option, la clé du réseau Wi-Fi reste inchangée et seul le hotspot utilise le mot de passe quotidien pour la connexion. Avec cette option, les points d’accès associés sont reconfigurés et redémarrés ; les clients connectés sont interrompus.

Annuler la modification

Si la validation échoue, rétablir les interfaces, stratégies, type d’authentification, redirections et personnalisations consignés, puis replacer la règle créée automatiquement à sa position initiale. Tester ensuite avec un nouveau client l’accès Internet autorisé et le blocage des destinations internes. Un ancien cookie ou une session existante ne constitue pas un test de retour arrière valable.

Identifier les erreurs courantes

La page de connexion ne s’affiche pas

Vérifier d’abord que le client se trouve dans le bon réseau invité et que l’interface est affectée au hotspot. Contrôler ensuite le DHCP, la passerelle et le DNS, puis ouvrir volontairement une page HTTP normale. Une session hotspot déjà active, des protocoles DNS chiffrés ou un navigateur qui accède directement et uniquement à des pages HTTPS peuvent masquer la redirection attendue.

Le voucher est refusé

Vérifier que le voucher appartient au hotspot sélectionné et si la durée de validité, le Time quota, le volume de données ou le nombre d’appareils autorisés ont déjà été atteints. Pour un code QR, contrôler également que le code actuel et entièrement lisible est bien utilisé.

HTTPS affiche un avertissement de certificat ou la page cible ne s’ouvre pas

En cas d’avertissement, le nom de redirection réellement utilisé, la résolution DNS, Login page certificate et la chaîne de confiance complète doivent correspondre. Si la connexion fonctionne mais pas Redirect to URL after login, tester directement l’URL cible et vérifier dans Log Viewer si le DNS, la règle de pare-feu et les stratégies autorisent la requête.

La connexion réussit, mais pas l’accès à Internet

Cela confirme le fonctionnement de la connexion au hotspot et du voucher ; l’erreur se situe dans le chemin des données en aval. Vérifier la règle de pare-feu créée automatiquement, sa position, le DNS, le routage, MASQ/SNAT et les stratégies de protection sélectionnées. Le Log Viewer indique si la Rule ID attendue correspond ou si une autre règle prend en charge le trafic.

Les systèmes internes sont accessibles

Il ne s’agit pas d’une erreur du hotspot, mais d’une autorisation trop large. Restreindre les zones et les réseaux de destination de la règle de hotspot ainsi que les règles WiFi-to-LAN ou Any existantes. Tester ensuite à nouveau les destinations internes.

Les responsables ne peuvent pas créer de vouchers

L’utilisateur ou son groupe approprié doit être renseigné sous Administrative users du hotspot et pouvoir se connecter au User Portal. La définition de voucher nécessaire doit également être affectée au hotspot ; sinon, elle n’y apparaît pas dans la liste.

L’erreur reste reproductible

Documenter l’adresse IP du client, l’heure, le SSID, le nom du hotspot et l’état du voucher. Consulter ensuite le Log Viewer et, si nécessaire, hotspotd.log. Selon le matériel, awed.log, wc_remote.log ou hostapd.log s’ajoutent pour le chemin radio ; dhcpd.log, firewall_rule.log, cschelper.log ainsi que, pour SD-RED, red.log et red-<serial>.log permettent d’isoler davantage la partie concernée de la procédure. Journaux des services de Sophos Firewall explique comment lire ces fichiers sans redémarrages incontrôlés des services.

Le hotspot ne doit pas être mis en production tant que Separate zone, le DHCP, le DNS, l’heure système, le certificat, le Walled Garden ou la règle créée automatiquement n’ont pas été correctement vérifiés. Il en va de même pour un mot de passe quotidien envoyé par e-mail ou modifiant la clé prépartagée Wi-Fi si la livraison et le redémarrage planifié des points d’accès n’ont pas encore été testés.