Wi-Fi invité : comment le sécuriser

Un Wi-Fi invité permet à vos visiteurs (clients, prestataires) d'accéder à Internet sans accéder à votre réseau interne. Pour que ce soit vrai, il faut une séparation réelle : un nom de réseau Wi-Fi (SSID) à part, rattaché à un VLAN et à un sous-réseau dédiés, et des règles de pare-feu qui interdisent tout accès au réseau interne. Sans cela, un « réseau invité » n'est qu'un second nom de Wi-Fi sur le même réseau. Voici comment le mettre en place.

Pourquoi isoler le Wi-Fi invité ?

Sans isolation, les appareils des invités sont sur le même réseau que les vôtres. Un invité peut alors :

• Voir les imprimantes, serveurs et enregistreurs de votre réseau.
• Tenter de s'y connecter, ce qui réussit si un mot de passe est faible ou si un service n'est pas à jour.
• Introduire un appareil infecté à côté de vos postes.
• Consommer toute la bande passante en téléchargements ou en streaming.

Avec un SSID et un VLAN séparés et les bonnes règles, l'invité n'a accès qu'à Internet. Cela ne protège pas l'appareil de l'invité lui-même, mais cela empêche son appareil d'atteindre vos ressources.

Architecture d'un Wi-Fi invité sécurisé

`` Internet | Pare-feu : une adresse de passerelle par VLAN | trunk 802.1Q (VLAN 10, 20, 30, 40) Switch administrable |-- ports d'accès : postes (VLAN 10), serveur (VLAN 20), caméras (VLAN 30) '-- trunk : point d'accès Wi-Fi SSID « MaSociete » -> VLAN 10 (réseau interne) SSID « MaSociete-Invites » -> VLAN 40 (invités) ``

Le point d'accès émet deux SSID, chacun rattaché à son VLAN. Chaque SSID a sa propre phrase de passe et son propre sous-réseau. Le plan d'adressage complet est détaillé dans VLAN : segmenter son réseau.

Configuration étape par étape

Étape 1 : vérifier le matériel

• La borne doit gérer plusieurs SSID et rattacher chacun à un VLAN. Beaucoup de routeurs Wi-Fi grand public n'offrent qu'une option « réseau invité » isolée du réseau principal, sans VLAN ni réglage fin. Elle peut suffire pour un très petit local, mais pas pour une PME qui a un serveur ou des caméras.
• Le switch doit être administrable et offrir un port trunk vers la borne. Le pare-feu doit gérer les VLAN et fixer des règles par VLAN.
• Si la borne ne gère qu'un SSID, ajoutez une seconde borne dédiée aux invités, branchée sur un port d'accès du VLAN 40.
• Pour le nombre de bornes, voir combien de bornes Wi-Fi prévoir. Une borne se câble en réseau et s'alimente souvent en PoE : voir Cat6 ou Cat6A et le prix d'un point RJ45.

Étape 2 : créer le VLAN invité

1. Créer le VLAN 40.
2. Lui attribuer un sous-réseau, par exemple 192.168.40.0/24, avec la passerelle 192.168.40.1 portée par le pare-feu.
3. Activer un serveur DHCP sur le pare-feu pour ce VLAN. Il distribue l'adresse, la passerelle et le DNS : le DNS du pare-feu ou un résolveur public, jamais un serveur DNS interne.
4. Configurer le port de la borne en trunk, avec le VLAN 40 étiqueté.

Étape 3 : configurer le SSID invité

Sur la borne, créez un SSID :

• Nom : distinct et explicite, par exemple « MaSociete-Invites ».
• Sécurité : WPA3-Personal (SAE) si les appareils des invités le gèrent, sinon le mode mixte WPA2/WPA3 ou WPA2-Personal avec chiffrement AES. N'utilisez ni WEP ni WPA avec TKIP. Le WPA3 est obligatoire pour les appareils certifiés Wi-Fi depuis juillet 2020 ; beaucoup d'appareils plus anciens ne gèrent que le WPA2.
• Sans phrase de passe : le mode Enhanced Open (OWE) chiffre séparément chaque client sans mot de passe, si la borne et les appareils le prennent en charge. Un SSID ouvert sans OWE n'est pas chiffré : à éviter.
• Phrase de passe : au moins 12 caractères (le WPA2 et le WPA3 acceptent de 8 à 63 caractères). Changez-la quand elle a circulé hors du cercle voulu.
• Isolation des clients (client isolation) : activée. Deux invités ne se voient plus entre eux.
• Bandes : 2,4 GHz et 5 GHz, selon les appareils à servir.

Étape 4 : écrire les règles de pare-feu

Deux types de trafic sont à contrôler : celui qui traverse le pare-feu (du VLAN 40 vers les autres réseaux) et celui qui lui est destiné (administration, DNS, DHCP). Les règles sont lues dans l'ordre.

Ces règles se saisissent sur le pare-feu, par exemple un MikroTik ou un Fortinet FortiGate, les deux marques que nous fournissons et installons. Les réponses aux connexions autorisées reviennent d'elles-mêmes (pare-feu à état). N'autorisez pas seulement les ports 80 et 443 : sans DNS rien ne fonctionne, et beaucoup d'applications (messagerie instantanée, visioconférence) utilisent d'autres ports. La règle 2 est souvent oubliée : bloquer le trafic vers les autres VLAN ne protège pas l'interface d'administration du pare-feu lui-même. La règle 4 empêche un appareil infecté de servir de relais de courrier indésirable.

Étape 5 : limiter le débit

Limitez le débit du VLAN invité avec un plafond global et, si l'équipement le permet, un plafond par client. Le plafond global compte le plus : il garantit une part de la ligne à vos équipes. Exemple, à adapter : sur une ligne de 20 Mb/s, un plafond global de 5 Mb/s pour les invités laisse 20 − 5 = 15 Mb/s aux autres réseaux, même si plusieurs invités téléchargent en même temps. Le plafond par client répartit ensuite ces 5 Mb/s entre eux. Mesurez d'abord le débit réel de votre ligne : c'est lui qui fixe les valeurs.

Étape 6 : portail captif (facultatif)

Un portail captif est une page web affichée à la première connexion. L'invité y accepte des conditions d'usage ou y saisit un code ou un ticket. Avant la validation, seul le trafic nécessaire au portail (DHCP, DNS, page du portail) est autorisé.

Avantages

• Un ticket ou un code peut avoir une durée limitée, sans changer la phrase de passe du Wi-Fi.
• Vous affichez des conditions d'usage.
• Vous disposez d'un journal des connexions.

Limites

• Un portail captif ne chiffre pas le Wi-Fi : associez-le à une phrase de passe WPA2/WPA3 ou à l'OWE, et testez ce montage sur vos appareils.
• Il faut un équipement qui le propose : par exemple le Hotspot de RouterOS (MikroTik), le portail captif de pfSense ou d'OPNsense, ou une borne avec portail intégré. Un serveur RADIUS n'est utile que pour gérer des comptes nominatifs dans un annuaire externe.
• Si le portail collecte des e-mails ou des numéros de téléphone, ou si vous conservez les journaux de connexion, ce sont des données à caractère personnel, couvertes par la loi n° 18-07 : collectez le minimum et protégez-les. AsloTech peut vous aider à préparer les démarches auprès de l'ANPDP ; cet accompagnement n'a pas valeur de conseil juridique.

Problèmes courants et solutions

La page du portail ne s'affiche pas

Les téléphones détectent un portail captif en testant une adresse en HTTP clair. Si le DNS est bloqué avant la connexion, la détection échoue. Si l'invité tape directement une adresse en HTTPS, le navigateur ne peut pas être redirigé. Autorisez le DNS avant la connexion, vérifiez que le portail a un certificat valide s'il est servi en HTTPS, et conseillez d'ouvrir une adresse en HTTP simple.

Les invités se connectent au mauvais Wi-Fi

C'est un risque humain. Donnez des noms clairs et affichez un QR code qui contient le nom et la phrase de passe du Wi-Fi invité. Ne masquez pas le SSID : cela n'apporte aucune sécurité et gêne certains appareils.

Trop de clients ralentissent le Wi-Fi

Une borne a une capacité limitée, qui dépend du modèle, de la bande utilisée et des usages. Si le Wi-Fi invité est souvent utilisé par beaucoup de personnes, ajoutez une borne plutôt que de réduire les plafonds : voir combien de bornes Wi-Fi prévoir.

Les invités ne voient pas l'imprimante

C'est le but de l'isolation. Pour qu'un visiteur imprime, passez par un autre moyen (envoi de fichier par e-mail, par exemple) plutôt que d'ouvrir le réseau interne.

Changer la phrase de passe

Modifiez-la dans l'interface d'administration de la borne ou du contrôleur Wi-Fi, puis mettez à jour le QR code et l'affichage. Tenez le micrologiciel (firmware) de la borne à jour : un contrat de maintenance permet de ne pas l'oublier.

Sécurité versus commodité

Un Wi-Fi invité sécurisé demande un équilibre :

• Trop strict : phrase de passe illisible, portail compliqué, débit trop bas. Les invités renoncent.
• Trop permissif : phrase de passe courte, débit illimité, pas d'isolation. Les risques reviennent.

Notre recommandation pour une PME :

• Un SSID distinct, avec une phrase de passe d'au moins 12 caractères, ou l'OWE, ou un portail captif.
• Un VLAN isolé, avec des règles qui bloquent le réseau interne et l'administration du pare-feu.
• Un plafond de débit global pour le VLAN invité.
• L'isolation des clients activée.
• Le matériel (pare-feu, switch, borne) alimenté par un onduleur pour que le Wi-Fi survive aux micro-coupures.

Prochaines étapes

Consultez notre page sécurité réseau et pare-feu pour étudier votre configuration Wi-Fi actuelle, et notre page réseaux informatiques pour le câblage et les bornes. Vous pouvez aussi lire comment segmenter votre réseau avec des VLAN pour mettre en place l'isolation, ou comment relier vos sites par VPN si vos équipes travaillent à distance. Pour ranger le matériel, voir baie de brassage.

Questions fréquentes

À lire aussi