Comment segmenter de manière sécurisée les réseaux WiFi du personnel et des invités : meilleures pratiques pour les LAN d'entreprise

Adoptez un ton britannique confiant et conversationnel - comme un consultant senior briefant un client. Un rythme mesuré, autoritaire mais accessible. Pas de fioritures. --- INTRODUCTION ET CONTEXTE (environ 1 minute) --- Très bien, entrons dans le vif du sujet. Si vous êtes responsable du réseau d'un établissement - qu'il s'agisse d'un hôtel, d'une chaîne de magasins, d'un stade ou d'un bâtiment public - il y a une question qui revient plus que presque toutes les autres : comment offrir aux clients un WiFi décent sans mettre en danger votre réseau d'entreprise ? La réponse courte est la segmentation. Mais la réponse longue - celle qui vous permet d'obtenir un réseau sécurisé, conforme et gérable - implique l'authentification 802.1X, l'isolation VLAN, le cloud RADIUS et un cycle de vie des identifiants qui ne repose pas sur le fait que quelqu'un se souvienne de modifier un mot de passe partagé lorsqu'un membre du personnel s'en va. Dans les dix prochaines minutes, je vais vous expliquer exactement comment concevoir et déployer un réseau correctement segmenté. Nous aborderons les bases techniques, les étapes de configuration spécifiques aux fournisseurs pour Cisco Meraki et Juniper Mist, deux scénarios d'implémentation réels et les pièges dans lesquels la plupart des équipes tombent. C'est parti. --- ANALYSE TECHNIQUE APPROFONDIE (environ 5 minutes) --- Commençons par les fondamentaux. La segmentation réseau consiste à séparer physiquement ou logiquement le trafic de votre personnel et celui de vos visiteurs, de sorte qu'un appareil invité - ou un appareil invité compromis - ne puisse pas accéder à vos systèmes de point de vente, à votre ERP, à votre infrastructure de vidéosurveillance ou à tout autre élément de votre LAN d'entreprise. La méthode standard pour y parvenir au niveau de la couche 2 consiste à utiliser des VLAN - Virtual Local Area Networks. Vous attribuez le SSID de votre personnel à un VLAN, disons le VLAN 10, et le SSID de vos invités à un autre, disons le VLAN 20. Vos commutateurs et points d'accès managés appliquent cette séparation au niveau matériel. Un invité sur le VLAN 20 est dirigé vers Internet et rien d'autre. Un membre du personnel sur le VLAN 10 est dirigé vers le LAN d'entreprise et Internet, selon les règles de pare-feu que vous avez définies. C'est le modèle de base. Mais c'est là que la plupart des établissements échouent : ils utilisent une clé partagée - un PSK - pour le réseau du personnel. Tout le monde la connaît. Elle est écrite sur un Post-it. Elle ne change jamais. Quand quelqu'un s'en va, l'identifiant reste actif. Ce n'est pas de la segmentation. C'est un faux sentiment de sécurité. La bonne approche pour le personnel est le 802.1X - qui est la norme IEEE pour le contrôle d'accès réseau basé sur les ports. Au lieu d'une clé partagée, chaque membre du personnel s'authentifie avec son propre identifiant - généralement son compte d'annuaire d'entreprise issu de Microsoft Entra ID, Okta ou Google Workspace. Le point d'accès envoie cette demande d'authentification à un serveur RADIUS, qui la valide auprès de votre fournisseur d'identité et autorise ou refuse l'accès. Pas de secret partagé. Pas d'identifiant qui survit au départ d'un collaborateur. La méthode d'authentification la plus efficace dans la plupart des déploiements d'entreprise est EAP-TTLS - Extensible Authentication Protocol Tunnelled Transport Layer Security. Elle crée un tunnel chiffré entre l'appareil et le serveur RADIUS, puis s'authentifie à l'intérieur de ce tunnel en utilisant PAP. Cela signifie que les identifiants ne sont jamais exposés sur le réseau hertzien. Désormais, le serveur RADIUS lui-même est un composant essentiel. Traditionnellement, vous gériez votre propre serveur RADIUS sur site - un Cisco ISE, une machine FreeRADIUS, ou autre. Mais de plus en plus, les organisations se tournent vers un RADIUS natif dans le cloud, ce qui élimine la dépendance vis-à-vis des infrastructures sur site, améliore la résilience et simplifie la gestion. Le produit SecurePass de Purple fait exactement cela - il fournit un service RADIUS dans le cloud auquel vos points d'accès s'authentifient via RadSec, c'est-à-dire RADIUS sur TLS via le port 2083. Cela vous permet d'obtenir un trafic RADIUS chiffré, contrairement au RADIUS traditionnel basé sur UDP qui envoie les attributs en clair. Pour la partie invités, le modèle est différent. Les invités ne disposent pas de comptes dans l'annuaire d'entreprise. Ils se connectent à un SSID distinct - généralement sécurisé par un Captive Portal qui recueille une connexion basée sur le consentement, ou via Passpoint, qui est la norme Hotspot 2.0 de la Wi-Fi Alliance permettant une authentification automatique et fluide sans page de redirection. La plateforme de Purple prend en charge ces deux solutions. Le SSID invité se trouve sur son propre VLAN, n'est routé que vers Internet et est complètement isolé du réseau du personnel et du LAN de l'entreprise. Permettez-moi de parler de Passpoint un instant, car son importance est croissante. Passpoint - également connu sous le nom de Hotspot 2.0 ou OpenRoaming - permet à un appareil de se connecter automatiquement à un réseau de confiance à l'aide d'un identifiant qu'il détient déjà, comme un identifiant d'opérateur mobile ou une identité provenant de l'application Purple. L'appareil et le réseau négocient l'authentification en utilisant EAP-TTLS ou EAP-TLS sans que l'utilisateur n'ait à interagir avec une page de redirection. Pour les lieux à forte fréquentation - aéroports, stades, centres commerciaux - cela améliore considérablement l'expérience de connexion tout en maintenant la sécurité. Parlons maintenant de deux plateformes matérielles spécifiques : Cisco Meraki et Juniper Mist, car ce sont les deux plateformes d'entreprise les plus courantes que nous rencontrons dans ces lieux. Sur Cisco Meraki, vous configurez votre SSID personnel sous Wireless, Access Control. Vous définissez la sécurité sur Enterprise avec mon serveur RADIUS, WPA2 uniquement, sans page de redirection. Vous ajoutez ensuite vos serveurs RADIUS - dans le cas de Purple, rad1-secure.purple.ai et rad2-secure.purple.ai, tous deux sur le port 2083, avec RadSec activé. Vous configurez également Hotspot 2.0 sous Wireless, Hotspot 2.0 - en l'activant, en définissant le nom de l'opérateur, la liste des domaines et le domaine NAI avec EAP-TTLS comme méthode. Tous les détails étape par étape se trouvent dans la documentation d'assistance de Purple, que je mentionnerai à la fin. Sur Juniper Mist, vous allez dans Network, WLANs, ajoutez un nouveau WLAN, définissez le type de sécurité sur WPA2 Enterprise 802.1X, activez Passpoint et configurez vos serveurs d'authentification en tant que RadSec pointant vers l'infrastructure de Purple. Vous devez également installer le certificat RadSec dans Organisation Settings. Là encore, les valeurs de configuration exactes et les étapes se trouvent dans l'article d'assistance de Purple - je vous recommande toujours de suivre la documentation en direct plutôt que de coder en dur des valeurs issues d'un podcast. La gestion du cycle de vie des identifiants est l'aspect où les réseaux basés sur l'identité (Identity-Based Networks) se révèlent particulièrement précieux. Lorsqu'un collaborateur arrive, son compte dans Microsoft Entra ID ou Okta est provisionné, et il obtient automatiquement un accès WiFi. Lorsqu'il change de poste, son profil d'accès est mis à jour. Lorsqu'il s'en va - et c'est le point critique - son compte est déprovisionné, et Purple révoque son accès WiFi en temps réel. Pas de mot de passe partagé à modifier. Pas de processus manuel. Pas de faille de sécurité temporaire. C'est ce que Purple appelle le workflow d'arrivée, de transfert et de départ (JML), et c'est ce qui fait la différence entre un réseau réellement sécurisé et un autre qui en a seulement l'apparence. --- RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER (environ 2 minutes) --- Voyons maintenant ce qui pose problème en pratique, car il y a quelques types de pannes que je constate régulièrement. Le premier est la mauvaise configuration des VLAN. Vous configurez correctement les SSID, mais les ports trunk de vos commutateurs ne transportent pas les deux VLAN, ou vos règles de routage inter-VLAN sont trop permissives. Un invité sur le VLAN 20 finit par pouvoir interroger des appareils sur le VLAN 10. Testez toujours avec un appareil invité après le déploiement - essayez d'atteindre une adresse IP interne. Si vous y parvenez, vous devez resserrer vos règles de pare-feu. Le deuxième est le basculement RADIUS. Si vous ne configurez qu'un seul serveur RADIUS et qu'il devient inaccessible, le personnel ne peut plus s'authentifier. Configurez toujours rad1-secure et rad2-secure comme serveurs principal et secondaire. L'infrastructure RADIUS-as-a-Service dans le cloud de Purple est conçue pour une haute disponibilité, mais votre point d'accès doit connaître les deux terminaux. Le troisième - et c'est celui qui cause le plus de soucis opérationnels - est de ne pas s'intégrer à votre fournisseur d'identité dès le premier jour. Les équipes commencent souvent par des comptes RADIUS locaux, avec l'intention de migrer vers Entra ID ou Okta plus tard. Cette migration est fastidieuse. Faites-le correctement dès le départ. L'automatisation du JML justifie à elle seule cet effort. Le quatrième piège consiste à traiter le réseau invité comme une considération secondaire. Votre SSID invité nécessite une collecte de consentement conforme au GDPR, une gestion de la bande passante pour éviter qu'un seul invité ne sature la liaison, et une isolation des clients pour que les invités ne puissent pas voir les appareils des autres. La plateforme de Purple gère la partie consentement et analyses. Votre point d'accès gère l'isolation des clients - assurez-vous qu'elle est activée.Sur le plan de la conformité : si vous traitez des paiements par carte n'importe où sur la même infrastructure réseau physique, le périmètre PCI-DSS est une réelle préoccupation. Une segmentation VLAN appropriée, combinée à un pare-feu qui interdit tout trafic inter-VLAN entre le réseau invités et le réseau de paiement, constitue la base de référence. Votre QSA voudra des preuves de cette segmentation. Documentez vos attributions de VLAN, vos règles de pare-feu et la configuration de vos points d'accès. --- QUESTIONS-RÉPONSES RAPIDES (environ 1 minute) --- Quelques questions que l'on me pose régulièrement. Puis-je faire fonctionner le personnel et les invités sur le même point d'accès ? Oui - les points d'accès d'entreprise modernes de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et d'autres prennent en charge plusieurs SSIDs avec marquage VLAN sur une seule radio. Vous n'avez pas besoin de matériel distinct. Ai-je besoin du WPA3 ? Le WPA3 est préférable pour les nouveaux déploiements, en particulier pour le réseau invités, car il offre une confidentialité persistante et protège contre les attaques par dictionnaire hors ligne. Mais le WPA2 Enterprise avec 802.1X reste solide pour le personnel, et la plupart des matériels d'entreprise le prennent en charge. Si votre matériel prend en charge le WPA3, activez-le. Qu'en est-il du BYOD - le personnel utilisant des appareils personnels ? C'est là que l'authentification par certificat, ou EAP-TLS, devient précieuse. Vous pouvez délivrer des certificats d'appareil via votre MDM aux appareils gérés, et limiter le WiFi du personnel aux seuls appareils authentifiés par certificat. Les appareils personnels non gérés sont redirigés vers un SSID BYOD distinct avec un accès plus restreint. Comment la plateforme d'analyse de Purple fonctionne-t-elle avec la segmentation ? Purple collecte des données de première partie à partir des connexions WiFi des invités - avec leur consentement - et les présente via la plateforme d'analyse WiFi. Le trafic du personnel est séparé et n'est pas soumis à la même collecte d'analyses. Les deux réseaux sont architecturalement distincts, ce qui est exactement comme il se doit. --- RÉSUMÉ ET PROCHAINES ÉTAPES (environ 1 minute) --- En résumé. La segmentation sécurisée du WiFi pour le personnel et les invités repose sur cinq éléments. Premièrement : des VLAN séparés pour le trafic du personnel et des invités, appliqués au niveau du commutateur et du point d'accès. Deuxièmement : le 802.1X avec EAP-TTLS pour l'authentification du personnel - pas de phrases de passe partagées. Troisièmement : un cloud RADIUS avec RadSec pour une infrastructure d'authentification chiffrée et résiliente. Quatrièmement : Passpoint ou un Captive Portal pour les invités, avec une collecte de consentement conforme au GDPR. Cinquièmement : l'intégration d'un fournisseur d'identité pour un processus JML automatisé - ainsi, les personnes qui quittent l'entreprise perdent leur accès dès que leur compte est déprovisionné. Si vous déployez sur Cisco Meraki ou Juniper Mist, la documentation d'assistance de Purple contient les étapes de configuration exactes. Si vous évaluez la plateforme plus large - y compris SecurePass pour l'identité du personnel, l'analyse WiFi pour les informations sur les invités et l'application Purple pour une connectivité Passpoint transparente - le point de départ est purple.ai. C'est tout pour aujourd'hui. Si vous avez trouvé cela utile, partagez-le avec votre architecte réseau ou votre directeur des opérations du site. Et si vous avez un scénario de déploiement spécifique que vous aimeriez que nous abordions, contactez-nous.