Gestion de la bande passante pour le WiFi du personnel : lissage, QoS et réduction du trafic

Gérer la bande passante pour le WiFi du personnel : lissage, QoS et réduction du trafic. Un document technique de Purple. Bienvenue. Si vous écoutez ceci, vous êtes probablement confronté à l'une des plaintes les plus courantes de l'informatique d'entreprise : le personnel qui se plaint de la lenteur du WiFi. Il s'agit peut-être de l'équipe de réception d'un hôtel qui peine à enregistrer les clients. Peut-être d'une chaîne de magasins où les terminaux de point de vente expirent. Ou encore d'un centre de conférence où l'équipe audiovisuelle n'arrive pas à obtenir une connexion stable lors d'un événement en direct. Quel que soit le contexte, la cause profonde est presque toujours la même : vous avez plus de trafic que votre réseau n'est conçu pour en gérer, et le mauvais trafic est prioritaire. Dans ce document technique, nous allons aborder trois aspects : le fonctionnement réel du lissage de trafic et de la QoS dans un environnement WiFi pour le personnel, ce à quoi ressemble un déploiement pratique dans différents types de sites, et comment le déploiement de Purple Shield pour le blocage des publicités peut réduire de manière significative la charge globale de votre réseau - sans toucher à votre débit de ligne ni dépenser dans des mises à niveau d'infrastructure. Entrons dans le vif du sujet. Première section : Comprendre le problème. La plupart des sites d'entreprise partagent une connexion internet unique. Le WiFi du personnel, le WiFi des invités, les systèmes administratifs, la vidéosurveillance, les systèmes de gestion technique du bâtiment - ils partagent tous le même tuyau ascendant. Lorsque ce tuyau est encombré, tout se dégrade. Mais tous les trafics ne se valent pas. Une interruption de communication VoIP en pleine phrase est catastrophique. Une mise à jour logicielle qui prend deux minutes de plus est insignifiante. Le problème est que sans gestion active, votre réseau ne fait pas la différence. Le lissage de trafic est le mécanisme que vous utilisez pour indiquer au réseau quel trafic est important. La qualité de service, ou QoS, est le cadre qui définit les règles. Ensemble, ils vous permettent de garantir de la bande passante aux applications critiques et de limiter tout le reste. La norme IEEE 802.11e a introduit la QoS dans les réseaux sans fil via un mécanisme appelé WMM - Wireless Multimedia. Le WMM définit quatre catégories d'accès : la voix, la vidéo, le service optimal (best effort) et l'arrière-plan. Tous les points d'accès modernes de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi prennent en charge le WMM. La question est de savoir si vous l'utilisez correctement. Du côté filaire, la QoS est implémentée à l'aide des marquages DSCP - Differentiated Services Code Point - dans l'en-tête IP. Le DSCP EF, qui signifie Expedited Forwarding, est utilisé pour le trafic vocal. Le DSCP AF41 est utilisé pour la visioconférence. Le DSCP CS1 correspond à la classe d'arrière-plan - mises à jour logicielles, transferts volumineux, toutes les transactions qui peuvent attendre. Lorsque vous associez le trafic de vos applications aux bons marquages DSCP et que vous configurez vos commutateurs et points d'accès pour les respecter, vous obtenez des performances prévisibles pour les applications qui comptent. Deuxième section : Architecture et segmentation. Avant de configurer la QoS, vous devez segmenter correctement votre réseau. Le WiFi du personnel doit être placé sur son propre VLAN - un Virtual Local Area Network - complètement isolé du WiFi invité et des appareils IoT. Ce n'est pas seulement une exigence de sécurité dans le cadre de la norme PCI-DSS et du GDPR ; c'est un prérequis pour une QoS efficace, car vous pouvez appliquer des politiques différentes à différents VLANs. Une architecture d'entreprise typique se présente ainsi. Vous disposez d'un commutateur central connecté à votre passerelle internet. À partir de ce commutateur, vous configurez plusieurs VLANs : un pour les appareils du personnel, un pour l'accès invité, un pour les points de vente (POS) et les systèmes de paiement, et un pour la gestion du bâtiment. Chaque VLAN possède sa propre politique de QoS. Le VLAN du personnel bénéficie de l'allocation de bande passante garantie la plus élevée. Le VLAN invité reçoit une limite de débit par utilisateur - généralement deux à cinq mégabits par seconde en débit descendant - afin qu'aucun visiteur ne puisse saturer la connexion. Sur le VLAN du personnel, vous appliquez une QoS orientée applicatif. Les transactions POS et le trafic d'authentification RADIUS reçoivent la classification DSCP EF - la priorité absolue. Votre système ERP et vos outils de visioconférence reçoivent la classification DSCP AF41. La navigation web générale bénéficie du traitement au mieux ("best effort"). Les mises à jour logicielles et les téléchargements de correctifs système reçoivent la classification DSCP CS1 - ils s'exécutent en arrière-plan et n'entrent pas en compétition avec le trafic opérationnel. Pour l'authentification, les appareils du personnel doivent s'authentifier via 802.1X en utilisant soit EAP-TLS - basé sur des certificats - soit PEAP avec MSCHAPv2 auprès de votre serveur RADIUS. Si vous utilisez Microsoft Entra ID, Okta ou Google Workspace, Purple s'intègre directement avec ces trois solutions via SAML et SCIM, de sorte que votre fournisseur d'identité devienne la source unique de vérité pour l'accès réseau. Lorsqu'un collaborateur quitte l'entreprise, vous révoquez ses accès dans Entra ID et son accès réseau est automatiquement supprimé. Section trois : La consommation invisible de bande passante - et comment Shield résout le problème. Voici un élément auquel la plupart des équipes informatiques ne pensent pas. Une partie importante du trafic sur le WiFi de votre personnel n'a aucun rapport avec votre activité. Chaque page web consultée par un membre du personnel charge des dizaines de réseaux publicitaires tiers, des pixels de suivi, des scripts d'analyse et des points de collecte de télémétrie. Les recherches de Ghostery et d'outils similaires de blocage publicitaire montrent systématiquement que les requêtes publicitaires et de suivi représentent entre 25 % et 40 % du total des requêtes HTTP lors d'une session de navigation classique. Ce trafic consomme une réelle bande passante. Il sature la capacité des requêtes DNS. Il ajoute de la latence à chaque chargement de page. Et il introduit un risque de sécurité - la publicité malveillante ("malvertising"), les téléchargements furtifs et l'exfiltration de données via les pixels de suivi sont autant de vecteurs d'attaque bien réels. Purple Shield traite ce problème au niveau du réseau. Plutôt que de s'appuyer sur des extensions de navigateur que le personnel peut avoir installées ou non, Shield fonctionne comme un filtre au niveau de la couche DNS. Chaque requête DNS provenant du VLAN du personnel passe par la liste de blocage de Shield avant d'être résolue. Les domaines des réseaux publicitaires, les serveurs de suivi connus et les domaines malveillants sont bloqués avant même qu'un seul octet de contenu ne soit téléchargé. L'appareil n'établit jamais la connexion. La bande passante n'est jamais consommée. En pratique, les établissements qui déploient Shield sur leur WiFi personnel signalent une réduction du volume total de requêtes DNS d'environ 30 %. C'est de la bande passante qui était auparavant gaspillée pour les publicités et les traceurs, désormais disponible pour votre système ERP, vos appels vidéo et vos terminaux de point de vente. Vous bénéficiez de l'équivalent d'une mise à niveau de 30 % de votre bande passante sans payer pour une ligne plus rapide. Shield réduit également votre exposition aux risques de sécurité. En bloquant les domaines malveillants connus au niveau de la couche DNS, vous éliminez une catégorie de menaces que les antivirus de point d'accès manquent souvent - en particulier pour les appareils IoT et les terminaux partagés qui n'exécutent pas de logiciels de sécurité traditionnels. Section quatre : Implémentation en conditions réelles. Laissez-moi vous présenter deux scénarios. Premier scénario : un hôtel de 200 chambres. L'équipe administrative utilise un logiciel de gestion d'établissement, un système de téléphonie VoIP et une plateforme de vidéosurveillance sur le même réseau. Le WiFi invités se trouve sur un VLAN distinct avec une limite de cinq mégabits par utilisateur, mais le VLAN du personnel n'a pas de politique de QoS. Pendant les périodes de pointe de check-in, le système de gestion d'établissement ralentit considérablement car le personnel écoute de la musique en streaming et le système de surveillance télécharge des séquences vidéo. La solution : appliquer DSCP EF au trafic du système de gestion d'établissement et au système VoIP. Appliquer DSCP AF41 au trafic de téléchargement de la surveillance - c'est important, mais pas sensible à la latence. Appliquer DSCP CS1 à tout le reste. Déployer Shield sur le VLAN du personnel pour éliminer le trafic publicitaire et de traceurs. Résultat : les temps de réponse du système de gestion d'établissement diminuent de plus de 40 % pendant les périodes de pointe. La qualité des appels VoIP s'améliore de manière mesurable sur l'échelle Mean Opinion Score utilisée pour évaluer la qualité de la voix. Second scénario : une chaîne de vente au détail de 50 magasins. Chaque magasin dispose d'une seule connexion haut débit de 100 mégabits partagée entre le WiFi du personnel, le WiFi invités et les terminaux de point de vente. Pendant les périodes d'activité intense, la navigation du personnel sur leurs appareils personnels sature la connexion et les transactions sur les terminaux de point de vente commencent à expirer. La chaîne envisage de passer à des lignes de 200 mégabits, pour un coût d'environ 18 000 livres par an sur l'ensemble du parc. La solution : segmenter les terminaux de point de vente sur un VLAN dédié avec une bande passante garantie. Appliquer des limites de débit par utilisateur sur le VLAN WiFi du personnel - 10 mégabits par utilisateur en aval, deux mégabits en amont. Déployer Shield pour éliminer le trafic publicitaire. Cette combinaison réduit l'utilisation de pointe de 35 %, les expirations de transactions sur les terminaux de point de vente tombent à zéro, et la mise à niveau de la ligne est reportée indéfiniment. L'économie annuelle sur les coûts de ligne à elle seule s'élève à 18 000 livres. La configuration de Shield et de la QoS ne coûte qu'une fraction de cette somme. Section cinq : Pièges de l'implémentation. Quelques points de vigilance. Le re-marquage DSCP. De nombreux FAI et certains commutateurs d'entreprise suppriment ou re-marquent les valeurs DSCP à la limite du réseau. Vérifiez que vos marquages QoS survivent à l'intégralité du trajet, de l'appareil à l'application. Utilisez une capture de paquets au niveau de la passerelle pour le vérifier.WMM et anciens appareils. Certains appareils plus anciens - en particulier les terminaux partagés et les capteurs IoT - ne prennent pas correctement en charge le WMM. Ils peuvent ignorer les marquages QoS ou générer du trafic avec des valeurs DSCP incorrectes. Auditez votre inventaire d'appareils avant de déployer des politiques QoS. Limitation du débit et trafic en rafale. Une limite de débit stricte de 10 mégabits par utilisateur semble raisonnable, mais si 20 membres du personnel lancent simultanément des mises à jour logicielles, vous atteindrez la limite globale. Utilisez un lissage de trafic par seau à jetons (token bucket shaping) avec une tolérance aux rafales plutôt qu'un contrôle strict du trafic. Cela permet de brèves rafales tout en limitant l'utilisation prolongée d'une bande passante élevée. Shield et DNS-over-HTTPS. Si les appareils du personnel utilisent le DNS-over-HTTPS pour contourner votre résolveur DNS, le filtrage de Shield ne s'appliquera pas. Vous devez soit bloquer le DNS-over-HTTPS au niveau du pare-feu, soit configurer vos appareils via un outil de MDM pour qu'ils utilisent votre résolveur DNS interne. Il s'agit d'une étape de configuration unique, et non d'une charge de gestion continue. Section six : Questions-réponses rapides. Ai-je besoin de la QoS si je dispose d'une bande passante abondante ? Oui. La bande passante n'est pas synonyme de performance. Une connexion de 1 gigabit sans QoS offrira toujours une mauvaise qualité VoIP si un seul appareil exécute un transfert de fichiers volumineux. La QoS garantit que le trafic sensible à la latence obtient la priorité de file d'attente dont il a besoin, quel que soit le débit global. Puis-je déployer Shield sans modifier mon matériel existant ? Oui. Shield fonctionne comme une surcouche DNS. Il vous suffit de pointer votre serveur DHCP vers les résolveurs DNS de Purple et Shield s'applique immédiatement. Cela fonctionne avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet - aucun changement de matériel n'est requis. Comment mesurer l'impact ? Suivez trois indicateurs avant et après le déploiement : le pourcentage d'utilisation maximal sur votre liaison montante, le volume de requêtes DNS par heure et les temps de réponse des applications pour vos systèmes critiques. Le tableau de bord de Purple affiche ces trois indicateurs en temps réel. Section sept : Résumé et prochaines étapes. En résumé. La gestion de la bande passante pour le WiFi du personnel ne consiste pas à acheter plus de bande passante. Il s'agit de s'assurer que la bande passante dont vous disposez va aux bons endroits. Le lissage du trafic et la QoS vous donnent le contrôle. Purple Shield vous apporte la réduction du trafic. Ensemble, ils offrent des améliorations mesurables des performances applicatives sans investissement d'infrastructure supplémentaire. Vos prochaines étapes : auditez votre structure VLAN actuelle et confirmez que le WiFi du personnel est isolé du trafic des invités et de l'IoT. Associez vos applications critiques à des classes DSCP. Déployez Shield sur votre VLAN personnel et mesurez la réduction des requêtes DNS. Examinez vos limites de débit par utilisateur chaque trimestre en fonction de l'évolution du nombre d'appareils. Si vous souhaitez approfondir l'un de ces sujets, le guide écrit complet est disponible sur purple.ai. Il présente l'architecture technique en détail, propose des exemples de configuration pour les principales plateformes matérielles et détaille le calcul du ROI pour le déploiement de Shield. Merci pour votre écoute. C'était un briefing technique Purple.