Gestion de la bande passante pour le WiFi du personnel : lissage, QoS et réduction du trafic

Gestion de la bande passante pour le WiFi du personnel : lissage, QoS et réduction du trafic. Un briefing technique Purple. Bienvenue. Si vous écoutez ceci, vous êtes probablement confronté à l'une des plaintes les plus courantes dans l'informatique d'entreprise : le personnel qui se plaint de la lenteur du WiFi. C'est peut-être l'équipe d'arrière-boutique de l'hôtel qui a du mal à traiter les arrivées. C'est peut-être une chaîne de magasins où les terminaux POS subissent des interruptions de connexion. Ou c'est peut-être un centre de conférences où l'équipe audiovisuelle ne parvient pas à obtenir une connexion stable lors d'un événement en direct. Quel que soit le contexte, la cause profonde est presque toujours la même : vous avez plus de trafic que ce pour quoi votre réseau a été conçu, et le mauvais trafic est prioritaire. Dans ce briefing, nous allons aborder trois points : comment le lissage du trafic et la QoS fonctionnent réellement dans un environnement WiFi pour le personnel, à quoi ressemble un déploiement pratique dans différents types d'établissements, et comment le déploiement de Purple Shield pour le blocage des publicités peut réduire de manière significative votre charge réseau globale, sans toucher à la vitesse de votre ligne ni dépenser dans des mises à niveau d'infrastructure. Entrons dans le vif du sujet. Section un : Comprendre le problème. La plupart des établissements d'entreprise utilisent une connexion Internet partagée. Le WiFi du personnel, le WiFi invité, les systèmes de back-office, la vidéosurveillance, les systèmes de gestion technique du bâtiment - ils partagent tous le même canal ascendant. Lorsque ce canal est encombré, tout se dégrade. Mais tous les trafics ne se valent pas. Un appel VoIP qui coupe au milieu d'une phrase est catastrophique. Une mise à jour logicielle qui prend deux minutes de plus est sans importance. Le problème est que sans gestion active, votre réseau ne fait pas la différence. Le lissage du trafic (traffic shaping) est le mécanisme que vous utilisez pour indiquer au réseau quel trafic est important. La qualité de service, ou QoS, est le cadre qui définit les règles. Ensemble, ils vous permettent de garantir de la bande passante aux applications critiques et de limiter tout le reste. La norme IEEE 802.11e a introduit la QoS dans les réseaux sans fil grâce à un mécanisme appelé WMM - Wireless Multimedia. Le WMM définit quatre catégories d'accès : voix, vidéo, best effort (au mieux) et arrière-plan. Chaque point d'accès moderne de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi prend en charge le WMM. La question est de savoir si vous l'utilisez correctement. Du côté filaire, la QoS est implémentée à l'aide de marquages DSCP (Differentiated Services Code Point) dans l'en-tête IP. Le DSCP EF, qui signifie Expedited Forwarding, est utilisé pour le trafic vocal. Le DSCP AF41 est utilisé pour la visioconférence. Le DSCP CS1 est la classe d'arrière-plan : mises à jour logicielles, transferts de masse, tout ce qui peut attendre. Lorsque vous associez le trafic de vos applications aux bons marquages DSCP et configurez vos commutateurs et points d'accès pour les respecter, vous obtenez des performances prévisibles pour les applications qui comptent. Section deux : Architecture et segmentation. Avant de configurer la QoS, vous devez segmenter correctement votre réseau. Le WiFi du personnel doit se trouver sur son propre VLAN (Virtual Local Area Network), complètement isolé du WiFi invité et des appareils IoT. Ce n'est pas seulement une exigence de sécurité dans le cadre de PCI DSS et du GDPR ; c'est un prérequis pour une QoS efficace, car vous pouvez appliquer des politiques différentes à différents VLAN. Une architecture d'établissement d'entreprise typique ressemble à ceci. Vous disposez d'un commutateur central connecté à votre passerelle Internet. À partir de ce commutateur, vous avez plusieurs VLAN : un pour les appareils du personnel, un pour l'accès invité, un pour les systèmes POS et de paiement, un pour la gestion du bâtiment. Chaque VLAN a sa propre politique de QoS. Le VLAN du personnel bénéficie de l'allocation de bande passante garantie la plus élevée. Le VLAN invité reçoit une limite de débit par utilisateur (généralement de deux à cinq mégabits par seconde en aval) afin qu'aucun visiteur ne puisse saturer la connexion à lui seul. Sur le VLAN du personnel lui-même, vous appliquez une QoS sensible aux applications. Les transactions POS et le trafic d'authentification RADIUS reçoivent le DSCP EF (la priorité la plus élevée). Votre système ERP et vos outils de visioconférence reçoivent le DSCP AF41. La navigation web générale obtient le best effort. Les mises à jour logicielles et les téléchargements de correctifs du système d'exploitation reçoivent le DSCP CS1 : ils s'exécutent en arrière-plan et n'entrent pas en concurrence avec le trafic opérationnel. Pour l'authentification, les appareils du personnel doivent s'authentifier en utilisant le 802.1X avec EAP-TLS (basé sur des certificats) ou PEAP avec MSCHAPv2 auprès de votre serveur RADIUS. Si vous utilisez Microsoft Entra ID, Okta ou Google Workspace, Purple s'intègre directement avec ces trois solutions via SAML et SCIM, de sorte que votre fournisseur d'identité devient la source unique de vérité pour l'accès au réseau. Lorsqu'un membre du personnel s'en va, vous révoquez son accès dans Entra ID et son accès au réseau disparaît automatiquement. Section trois : La fuite de bande passante cachée - et comment Shield la résout. Voici une chose à laquelle la plupart des équipes informatiques ne pensent pas. Une partie importante du trafic sur le WiFi de votre personnel n'a rien à voir avec votre activité. Chaque page web visitée par un membre du personnel charge des dizaines de réseaux publicitaires tiers, de pixels de suivi, de scripts d'analyse et de points de terminaison de télémétrie. Les recherches de Ghostery et d'analyses similaires de blocage des publicités montrent systématiquement que les requêtes de publicités et de trackers représentent entre 25 % et 40 % du total des requêtes HTTP lors d'une session de navigation typique. Ce trafic consomme de la bande passante réelle. Il consomme de la capacité de requêtes DNS. Il ajoute de la latence à chaque chargement de page. Et il introduit un risque de sécurité : la publicité malveillante (malvertising), les téléchargements furtifs et l'exfiltration de données via des pixels de suivi sont autant de vecteurs d'attaque bien réels. Purple Shield résout ce problème au niveau du réseau. Plutôt que de s'appuyer sur des extensions de navigateur que le personnel a pu ou non installer, Shield fonctionne comme un filtre au niveau de la couche DNS. Chaque requête DNS du VLAN du personnel passe par la liste de blocage de Shield avant d'être résolue. Les domaines de réseaux publicitaires, les points de terminaison de trackers connus et les domaines malveillants sont bloqués avant même qu'un seul octet de contenu ne soit téléchargé. L'appareil n'établit jamais la connexion. La bande passante n'est jamais consommée. En pratique, les établissements qui déploient Shield sur le WiFi de leur personnel signalent une réduction du volume total de requêtes DNS d'environ 30 %. C'est de la bande passante qui était auparavant gaspillée en publicités et trackers, désormais disponible pour votre système ERP, vos appels vidéo, vos terminaux POS. Vous obtenez l'équivalent d'une mise à niveau de 30 % de la bande passante sans payer pour une ligne plus rapide. Shield réduit également votre exposition aux risques de sécurité. En bloquant les domaines malveillants connus au niveau de la couche DNS, vous éliminez une catégorie de menaces que les antivirus de points de terminaison ignorent souvent, en particulier pour les appareils IoT et les terminaux partagés qui n'exécutent pas de logiciels de sécurité traditionnels. Section quatre : Implémentation en conditions réelles. Laissez-moi vous présenter deux scénarios. Premier cas : un hôtel de 200 chambres. L'équipe d'arrière-boutique fait fonctionner un logiciel de gestion d'établissement, un système de téléphonie VoIP et une plateforme de vidéosurveillance sur le même réseau. Le WiFi invité est sur un VLAN séparé avec une limite de cinq mégabits par utilisateur, mais le VLAN du personnel n'a pas de politique de QoS. Pendant les périodes de pointe des arrivées, le système de gestion d'établissement ralentit considérablement parce que le personnel écoute de la musique en streaming et que le système de surveillance téléverse des images. La solution : appliquez le DSCP EF au trafic du système de gestion d'établissement et au système VoIP. Appliquez le DSCP AF41 au trafic de téléversement de la surveillance (il est important mais non sensible à la latence). Appliquez le DSCP CS1 à tout le reste. Déployez Shield sur le VLAN du personnel pour éliminer le trafic de publicités et de trackers. Résultat : les temps de réponse du système de gestion d'établissement diminuent de plus de 40 % pendant les périodes de pointe. La qualité des appels VoIP s'améliore de manière mesurable sur l'échelle Mean Opinion Score utilisée pour évaluer la qualité de la voix. Deuxième cas : une chaîne de magasins de 50 points de vente. Chaque magasin dispose d'une seule connexion haut débit de 100 mégabits partagée entre le WiFi du personnel, le WiFi invité et les terminaux POS. Pendant les périodes de forte activité commerciale, la navigation du personnel sur des appareils personnels sature la connexion et les transactions POS commencent à subir des interruptions de connexion. La chaîne envisage de passer à des lignes de 200 mégabits pour un coût d'environ 18 000 livres par an sur l'ensemble du parc. La solution : segmentez les terminaux POS sur un VLAN dédié avec une bande passante garantie. Appliquez des limites de débit par utilisateur sur le VLAN WiFi du personnel (10 mégabits par utilisateur en aval, deux mégabits en amont). Déployez Shield pour éliminer le trafic publicitaire. Cette combinaison réduit l'utilisation de pointe de 35 %, les interruptions de connexion des POS tombent à zéro et la mise à niveau de la ligne est différée indéfiniment. L'économie annuelle sur les seuls coûts de ligne s'élève à 18 000 livres. Le coût de configuration de Shield et de la QoS ne représente qu'une fraction de cette somme. Section five: Les pièges de l'implémentation. Quelques points à surveiller. Le remarquage DSCP. De nombreux FAI et certains commutateurs d'entreprise suppriment ou remarquent les valeurs DSCP à la frontière du réseau. Vérifiez que vos marquages QoS survivent à l'ensemble du parcours, de l'appareil à l'application. Utilisez une capture de paquets au niveau de la passerelle pour le vérifier. Le WMM et les appareils obsolètes. Certains appareils plus anciens, en particulier les terminaux partagés et les capteurs IoT, ne prennent pas correctement en charge le WMM. Ils peuvent ignorer les marquages QoS ou générer du trafic avec des valeurs DSCP incorrectes. Auditez votre inventaire d'appareils avant de déployer des politiques de QoS. Limitation du débit et trafic en rafale. Une limite de débit stricte de 10 mégabits par utilisateur semble raisonnable, mais si 20 membres du personnel déclenchent simultanément des mises à jour logicielles, vous atteindrez le plafond global. Utilisez le lissage par seau à jetons (token bucket shaping) avec une tolérance de rafale plutôt qu'un régulateur strict. Cela permet de courtes rafales tout en limitant l'utilisation prolongée d'une bande passante élevée. Shield et le DNS-over-HTTPS. Si les appareils du personnel utilisent le DNS-over-HTTPS pour contourner votre résolveur DNS, le filtrage de Shield ne s'appliquera pas. Vous devez soit bloquer le DNS-over-HTTPS au niveau du pare-feu, soit configurer vos appareils via un MDM pour qu'ils utilisent votre résolveur DNS interne. Il s'agit d'une étape de configuration unique, et non d'une charge de gestion continue. Section six : Questions-réponses rapides. Ai-je besoin de QoS si je dispose de beaucoup de bande passante ? Oui. La bande passante n'est pas synonyme de performance. Une connexion de 1 gigabit sans QoS offrira toujours une mauvaise qualité VoIP si un seul appareil effectue un transfert de fichiers volumineux. La QoS garantit que le trafic sensible à la latence obtient la priorité de file d'attente dont il a besoin, quel que soit le débit total. Puis-je déployer Shield sans modifier mon matériel existant ? Oui. Shield fonctionne comme une superposition DNS. Vous pointez votre serveur DHCP vers les résolveurs DNS de Purple et Shield s'applique immédiatement. Il fonctionne avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet, sans aucune modification matérielle. Comment mesurer l'impact ? Suivez trois indicateurs avant et après le déploiement : le pourcentage d'utilisation de pointe sur votre liaison montante, le volume de requêtes DNS par heure et les temps de réponse des applications pour vos systèmes critiques. Le tableau de bord de Purple affiche ces trois indicateurs en temps réel. Section sept : Résumé et prochaines étapes. En résumé. Gérer la bande passante pour le WiFi du personnel ne consiste pas à acheter plus de bande passante. Il s'agit de s'assurer que la bande passante dont vous disposez va aux bons endroits. Le lissage du trafic et la QoS vous donnent le contrôle. Purple Shield vous apporte la réduction. Ensemble, ils offrent des améliorations mesurables des performances des applications sans dépenses d'infrastructure. Vos prochaines étapes : auditez votre structure VLAN actuelle et confirmez que le WiFi du personnel est isolé du trafic invité et IoT. Associez vos applications critiques aux classes DSCP. Déployez Shield sur votre VLAN du personnel et mesurez la réduction des requêtes DNS. Examinez vos limites de débit par utilisateur chaque trimestre en fonction de l'évolution du nombre d'appareils. Si vous souhaitez approfondir le sujet, le guide écrit complet est disponible sur purple.ai. Il couvre en détail l'architecture technique, comprend des exemples de configuration pour les principales plateformes matérielles et détaille le calcul du ROI pour le déploiement de Shield. Merci pour votre écoute. C'était un briefing technique Purple.