Wi-Fi invité en entreprise en Belgique : isoler les visiteurs sans compliquer l’accès

Quel est le véritable objectif d’un Wi-Fi invité ?

Le but n’est pas seulement de donner Internet : il faut contenir un appareil inconnu dans une zone où une erreur, une infection ou une tentative d’exploration ne peut pas atteindre l’activité interne. Un visiteur peut arriver avec un téléphone parfaitement sain, un ordinateur professionnel mal configuré ou un appareil déjà compromis. L’organisation ne contrôle ni ses mises à jour, ni ses applications, ni son utilisateur. La confiance doit donc être minimale par défaut.

The guide NIST SP 800-153 rappelle que la sécurité d’un WLAN dépend de la conception, de la configuration et de la surveillance de l’ensemble de son cycle de vie, et pas uniquement du chiffrement radio. C’est une distinction utile : WPA2 ou WPA3 protège la liaison sans fil, tandis que la segmentation décide ce que l’appareil peut atteindre une fois connecté. Ces deux protections répondent à des problèmes différents.

Avant de configurer un contrôleur Wi-Fi, formulez la politique en une phrase testable : « un invité peut résoudre les noms, obtenir l’heure et accéder à Internet, mais ne peut joindre aucun réseau privé, aucun autre invité ni aucune administration d’équipement ». Cette phrase devient ensuite une liste de règles et de tests. Pour cadrer la couverture, la capacité et les équipements, la page réseaux et Wi-Fi professionnels de GVISION présente le service principal lié à cette architecture.

L’architecture recommandée : SSID, VLAN, pare-feu et isolation

Une architecture robuste comporte quatre barrières successives : un SSID réservé aux visiteurs, un VLAN et un sous-réseau propres, un pare-feu entre ce réseau et le reste de l’organisation, puis l’isolation des clients sur le Wi-Fi. Aucune barrière ne doit être considérée comme suffisante à elle seule.

Le SSID identifie l’usage

Le nom du réseau aide l’utilisateur à choisir la bonne connexion et permet d’associer une politique dans le contrôleur. Il ne crée pas automatiquement une frontière. Deux SSID peuvent encore aboutir au même VLAN si le mappage est incorrect. Un audit visuel du contrôleur ne suffit donc pas : il faut vérifier l’adresse IP reçue, la passerelle et le chemin réellement suivi.

Le VLAN sépare les domaines réseau

Le VLAN invité doit posséder son propre plan d’adressage et ne pas être utilisé par les postes, imprimantes, caméras, téléphones ou équipements industriels. Sur un réseau multi-switch, le VLAN doit être transporté uniquement sur les trunks nécessaires. Un port d’accès oublié ou un « VLAN natif » mal choisi peut créer un raccourci inattendu. Documentez l’identifiant, le sous-réseau, le DHCP, la passerelle et les sites concernés.

Le pare-feu décide, l’isolation locale complète

Le routage inter-VLAN doit passer par un équipement appliquant une politique. La règle fondamentale est un refus explicite vers les plages internes, suivi d’autorisations limitées vers les services requis. L’isolation des clients, parfois nommée client isolation ou peer-to-peer blocking, empêche en plus deux appareils invités associés à la même borne de se joindre directement. Selon le fabricant et l’architecture, cette option doit être validée entre deux bornes, pas seulement sur une seule.

Comparer quatre façons de fournir un accès invité

Le meilleur choix dépend du risque, du nombre de visiteurs et de la maturité du réseau, mais le même LAN que le personnel ne constitue pas un modèle invité acceptable. Un petit site peut fonctionner avec un VLAN et des règles simples ; un campus ou un environnement multi-sites peut nécessiter des identités temporaires, un NAC ou des politiques dynamiques.

Quelles règles pare-feu faut-il appliquer ?

Partez d’un refus par défaut vers l’interne, puis autorisez uniquement les flux nécessaires au fonctionnement du service invité. L’ordre des règles compte. Une large règle « LAN vers any » placée avant le blocage peut annuler toute l’architecture. Nommez les objets et règles de manière compréhensible, avec un propriétaire et une justification.

Le réseau invité a généralement besoin de DHCP pour recevoir une configuration, de DNS pour résoudre les noms et de NTP pour l’heure. Selon l’architecture, ces services peuvent être fournis par le pare-feu, un résolveur dédié ou des services externes. Si le DNS interne est utilisé, évitez qu’il ne révèle inutilement les noms internes et interdisez les requêtes vers d’autres serveurs DNS lorsque la politique l’exige. L’accès Web sortant peut être filtré selon les règles de l’organisation.

Bloquez toutes les plages privées utilisées par l’entreprise, les interfaces de gestion, les contrôleurs Wi-Fi, les switchs, hyperviseurs, NAS, imprimantes, caméras, téléphones IP et équipements techniques. Ne vous contentez pas d’une seule plage RFC 1918 si plusieurs réseaux privés, liaisons VPN ou routes cloud existent. Contrôlez aussi IPv6 : un filtrage IPv4 parfait n’empêche pas une route IPv6 oubliée.

Une politique peut aussi limiter les ports sortants, le débit par client, le volume total, la durée de session ou le nombre d’appareils. Ces limites sont des mesures de disponibilité et de qualité, pas des substituts à l’isolation. Pour concevoir les règles, les VPN de gestion et les frontières entre zones, la page pare-feu, VPN et ZTNA approfondit la couche de contrôle complémentaire.

Le portail captif est-il obligatoire ?

Non : le portail captif est une décision d’accueil, d’identification et de conditions d’utilisation ; la sécurité fondamentale reste assurée par la segmentation. Une organisation peut proposer un mot de passe renouvelé, des codes temporaires, un accès sponsorisé ou un portail. Le choix dépend de la fréquence des visiteurs, du niveau de support acceptable et du besoin de rattacher une session à une personne.

Un portail peut afficher les règles d’usage, une durée de validité et un contact de support. Évitez de demander une adresse e-mail, un numéro de téléphone ou une identité complète « parce que l’option existe ». Dès que des données personnelles sont collectées ou conservées, les principes du RGPD s’appliquent, notamment finalité, minimisation, durée de conservation, transparence et sécurité. L’article 5 du RGPD constitue la référence primaire ; les besoins juridiques spécifiques doivent être validés avec le DPO ou le conseil de l’organisation.

Les portails captifs peuvent également provoquer des difficultés pratiques : fenêtre qui ne s’ouvre pas, certificat mal présenté, redirection bloquée, VPN déjà actif, appareil sans navigateur ou traduction absente. Prévoyez un chemin de secours clair. Un QR code peut simplifier la connexion, mais il doit renvoyer vers le bon SSID et être remplacé lorsque le secret change. Ne placez jamais sur l’affiche un mot de passe donnant accès au réseau interne.

Comment éviter que les invités saturent le réseau ?

Dimensionnez la capacité radio et Internet pour les pics réels, puis appliquez des limites équitables plutôt qu’un débit arbitrairement faible qui rend le service inutilisable. Cent téléphones connectés pendant une réunion ne consomment pas comme dix consultants en visioconférence. Le nombre d’appareils, la concurrence radio, la qualité du signal et la bande passante WAN doivent être observés séparément.

Réservez une part de la connexion aux applications métier et à la VoIP grâce à la qualité de service. Limitez éventuellement le débit par appareil et les catégories manifestement incompatibles avec l’usage prévu. Une école lors d’une journée portes ouvertes, un hôtel, une salle d’attente et un bureau de conseil n’ont pas le même profil. Mesurez les heures de pointe avant de modifier la radio ou d’ajouter des bornes.

Déployer un Wi-Fi invité en dix étapes

Le déploiement réussi commence par une politique et se termine par des preuves de test, pas par la simple création du SSID. Utilisez une fenêtre contrôlée et conservez un retour arrière si l’infrastructure existante transporte déjà la voix, les caméras ou d’autres services sensibles.

1. Inventorier : bornes, contrôleur, switchs, trunks, pare-feu, DHCP, DNS, routes cloud et VPN.
2. Définir les usages : visiteurs occasionnels, prestataires récurrents, événements, appareils sans navigateur et besoins de réunion.
3. Écrire la politique : destinations autorisées, destinations interdites, durée, débit et responsabilité opérationnelle.
4. Réserver le réseau : VLAN, sous-réseau, plage DHCP, passerelle et conventions de nommage.
5. Configurer le transport : mappage SSID-VLAN, trunks strictement nécessaires et absence de VLAN invité sur les ports inutiles.
6. Créer les règles : refus vers l’interne, autorisations techniques minimales, Internet filtré et traitement IPv6.
7. Configurer l’accès : WPA2/WPA3 selon compatibilité, isolation des clients, secret ou portail et durée de session.
8. Protéger la capacité : limites par client, priorités métier, supervision de la bande passante et seuils d’alerte.
9. Tester : plusieurs appareils, plusieurs bornes, renouvellement DHCP, itinérance, DNS, VPN utilisateur et tentatives vers le LAN.
10. Documenter : schéma, règles, procédure d’accueil, propriétaire, date de révision et preuve de validation.

La checklist de validation avant ouverture

Un test est concluant uniquement s’il prouve à la fois ce qui fonctionne et ce qui reste inaccessible. Une page Web qui s’ouvre confirme Internet, mais ne prouve pas que les serveurs sont isolés. Documentez l’appareil, la borne, l’adresse reçue, l’heure et le résultat attendu.

• Connexion et déconnexion avec un nouvel appareil, puis avec un appareil déjà connu.
• Obtention d’une adresse appartenant exclusivement au sous-réseau invité.
• Résolution DNS et accès HTTPS vers plusieurs services Internet légitimes.
• Blocage des passerelles, serveurs, NAS, imprimantes, caméras et interfaces réseau internes.
• Blocage entre deux clients invités, y compris lorsqu’ils utilisent deux bornes différentes.
• Vérification d’IPv6, des routes VPN et des réseaux privés accessibles via le cloud.
• Fonctionnement du portail sur iOS, Android, Windows et macOS si ces appareils sont attendus.
• Expiration du code ou de la session, renouvellement DHCP et révocation anticipée.
• Limite de débit, maintien de la VoIP et absence de dégradation des applications prioritaires.
• Présence des événements utiles dans les journaux, sans collecte excessive.

Réalisez enfin un test négatif depuis un site secondaire. Les configurations centralisées peuvent masquer une différence de trunk, de firmware ou de règle locale. Dans un groupe multi-sites, une matrice « site × SSID × VLAN × passerelle × politique » est plus fiable qu’une supposition selon laquelle tous les sites sont identiques.

Exemples concrets pour les organisations belges

La base technique reste la même, mais les parcours et exceptions doivent suivre la réalité de chaque organisation. Dans une école, le réseau invité peut être ouvert lors des réunions de parents et événements, sans rejoindre le réseau pédagogique, administratif ou celui des écrans. Les intervenants réguliers peuvent recevoir des codes plus longs, tandis que les appareils gérés du personnel utilisent une authentification distincte.

Dans un établissement de santé ou un cabinet, les visiteurs doivent rester séparés des dossiers, dispositifs, imprimantes et postes du personnel. Le portail ne doit pas demander de données de santé. La salle d’attente exige une connexion stable, mais les flux cliniques conservent la priorité. Les prestataires techniques ne doivent pas utiliser le Wi-Fi invité pour administrer un équipement : un accès de maintenance séparé, limité et journalisé est plus approprié.

Les erreurs fréquentes à éviter

Les incidents viennent rarement du nom du SSID ; ils proviennent d’une règle trop large, d’un mappage incohérent ou d’un changement non testé. La première erreur est de créer « Guest » dans le contrôleur sans contrôler le VLAN réellement attribué. La deuxième est de bloquer un seul sous-réseau interne alors que des routes vers d’autres sites, Azure, un datacenter ou un VPN restent accessibles.

La troisième consiste à considérer le portail comme un pare-feu. Accepter des conditions ne limite aucun paquet. La quatrième est d’oublier IPv6 ou l’isolation entre clients. La cinquième est de réutiliser un secret pendant des années, partagé sur des photos et dans des e-mails. La sixième est d’imposer une authentification lourde à tous les visiteurs alors qu’elle ne répond à aucun besoin défini, ce qui augmente le support sans améliorer la frontière réseau.

Maintenir le Wi-Fi invité dans la durée

Un réseau invité reste sûr si les règles, firmwares, certificats, secrets et preuves de test sont revus selon un cycle défini. Surveillez les pics de clients, échecs DHCP, saturation radio, volume inhabituel et changements de configuration. Les alertes doivent mener à une action claire, pas seulement remplir une boîte e-mail.

Revoyez l’accès lorsqu’un site ouvre, déménage ou reçoit un nouveau service : téléphonie IP, affichage, caméra, imprimante, salle Teams, borne de paiement ou objet connecté. Chaque nouveau VLAN ou nouveau VPN peut créer une destination que l’ancien blocage ne couvre pas. Une règle utilisant un groupe d’objets « réseaux internes » maintenu centralement est souvent plus robuste qu’une série d’adresses copiées à la main.