Quelle est la différence entre un réseau WiFi invité et votre réseau principal ?

SCRIPT DE PODCAST : "Quelle est la différence entre un réseau WiFi invité et votre réseau principal ?" DURÉE : ~10 minutes | VOIX : Anglais britannique, Homme, Ton de consultant senior --- [INTRO - 1 MINUTE] Bienvenue. Je vais aller droit au but aujourd'hui, car c'est l'un de ces sujets qui semblent d'une simplicité trompeuse - mais qui causent de graves ennuis aux organisations lorsqu'ils ne sont pas gérés correctement. La question est la suivante : quelle est réellement la différence entre un réseau WiFi invité et votre réseau d'entreprise principal, et pourquoi cette distinction est-elle extrêmement importante du point de vue de la sécurité, de la conformité et des opérations ? Que vous gériez une chaîne d'hôtels, un parc de points de vente, un centre de conférences ou un établissement du secteur public, dès l'instant où vous offrez du WiFi à des visiteurs, vous introduisez un vecteur de risque sur votre infrastructure. La manière dont vous gérez cette séparation - au niveau du SSID, au niveau du VLAN et via votre architecture d'authentification - déterminera si votre WiFi invité est un atout commercial ou un fardeau. Entrons dans le vif du sujet. --- [ANALYSE TECHNIQUE APPROFONDIE - 5 MINUTES] Commençons par les fondamentaux. Votre réseau d'entreprise - ce que nous appellerions votre réseau principal - est l'environnement où résident vos systèmes critiques. Il s'agit de vos contrôleurs de domaine, de vos serveurs de fichiers, de vos terminaux POS, de votre infrastructure de vidéosurveillance, de vos systèmes ERP, de vos bases de données RH. L'accès à ces ressources doit être étroitement contrôlé, authentifié via la norme 802.1X avec des certificats ou des identifiants, et restreint aux appareils connus et gérés. Votre réseau sans fil invité, en revanche, est un environnement partagé, uniquement connecté à Internet, destiné aux visiteurs, clients et prestataires qui ont besoin de connectivité mais n'ont absolument aucune raison d'accéder à vos ressources internes. Dès qu'un invité se connecte, il doit atterrir dans un segment de réseau complètement isolé, sans aucune visibilité sur - et aucune route vers - quoi que ce soit du côté de votre entreprise. C'est là que de nombreuses organisations commettent une erreur. Elles pensent qu'avoir simplement un SSID distinct - un nom de réseau différent - constitue une isolation suffisante. Ce n'est pas le cas. Un SSID n'est qu'une étiquette. Sans un marquage VLAN approprié au niveau du commutateur et du point d'accès, le trafic provenant des deux SSID peut toujours traverser le même domaine de diffusion de niveau 2. Cela signifie qu'un appareil connecté à votre SSID "GuestWiFi" pourrait, en théorie, voir le trafic de votre SSID d'entreprise si l'infrastructure de commutation sous-jacente n'est pas correctement configurée. La bonne architecture est le mappage SSID-vers-VLAN. Votre SSID invité est associé à un VLAN dédié - disons le VLAN 10 - qui est acheminé via vos commutateurs gérés et se termine au niveau d'une interface de pare-feu distincte ou d'une zone DMZ. Ce VLAN dispose d'une route vers Internet et rien d'autre. Votre SSID d'entreprise est associé au VLAN 20, qui est routé via votre pare-feu principal avec un accès complet aux ressources internes. Les deux VLAN n'échangent jamais de trafic, sauf si vous avez explicitement configuré un routage inter-VLAN avec des ACL appropriées - ce que vous ne devriez pas faire pour le trafic invité. Du côté des points d'accès, la plupart des contrôleurs sans fil de classe entreprise - que vous utilisiez Cisco Meraki, Aruba, Juniper Mist ou Ruckus - prennent en charge plusieurs SSIDs par puce radio avec attribution de VLAN par SSID. Il s'agit d'une fonctionnalité standard. Ce que vous devez vous assurer, c'est que vos points d'accès sont connectés à des ports trunk sur vos commutateurs, et non à des ports d'accès, afin que les balises VLAN soient préservées tout au long du trajet jusqu'à votre couche de distribution. Parlons maintenant de l'authentification. Pour votre réseau d'entreprise, la référence absolue est la norme IEEE 802.1X avec un serveur RADIUS en arrière-plan - idéalement avec une méthode EAP-TLS basée sur des certificats plutôt qu'avec des identifiants et mots de passe. Cela garantit que seuls les appareils joints au domaine ou dotés d'un certificat peuvent s'authentifier. Si vous utilisez une infrastructure RADIUS, il est intéressant de s'intéresser à RadSec - c'est-à-dire RADIUS sur TLS - qui chiffre le trafic d'authentification entre vos points d'accès et votre serveur RADIUS. Il existe un guide détaillé à ce sujet sur [RadSec: Securing RADIUS Authentication Traffic with TLS](/guides/radsec-radius-over-tls) si vous souhaitez approfondir le sujet. Pour votre réseau invités, le modèle d'authentification est fondamentalement différent. Vous ne gérez pas des appareils managés. Vous traitez avec des smartphones, des tablettes et des ordinateurs portables personnels appartenant à des personnes que vous n'avez jamais rencontrées. L'approche standard consiste ici à utiliser un Captive Portal - une page de connexion web qui intercepte la première requête HTTP ou HTTPS de l'invité et le redirige vers une page d'inscription ou de conditions d'utilisation. C'est là que les plateformes comme la solution de guest WiFi de Purple apportent une valeur ajoutée significative : plutôt que de simplement présenter une page d'accueil basique, vous collectez des données de première partie - nom, e-mail, informations démographiques - avec un consentement explicite et conforme au GDPR, qui alimentent directement votre CRM et vos flux d'automatisation marketing. Du côté du chiffrement, le WPA3 est désormais la norme recommandée pour les deux réseaux. Pour votre réseau invités, WPA3-SAE - Simultaneous Authentication of Equals - offre une confidentialité persistante, ce qui signifie que même si la clé prépartagée est compromise, le trafic des sessions passées ne peut pas être déchiffré. Pour votre réseau d'entreprise, WPA3-Enterprise avec le mode 192 bits offre le plus haut niveau de protection pour les environnements sensibles. Un dernier point sur l'aspect technique : l'isolation des clients. Sur votre VLAN invités, vous devez activer l'isolation des clients sans fil - parfois appelée isolation AP - qui empêche les appareils des invités de communiquer entre eux sur le même SSID. Sans cela, un appareil invité pourrait tenter de sonder ou d'attaquer d'autres appareils invités sur le même réseau. Cela est particulièrement important dans les environnements à forte densité tels que les halls d'hôtel, les centres de conférence et les magasins de détail où des centaines d'appareils peuvent être connectés simultanément. --- [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - 2 MINUTES] Très bien, parlons maintenant de ce qui pose problème en pratique. L'erreur la plus courante que je constate est le déploiement par les entreprises d'un réseau WiFi invités sur du matériel grand public ou non managé qui ne prend pas en charge le marquage VLAN approprié. Si vos points d'accès ne peuvent pas acheminer les VLAN en mode trunk, vous ne pouvez pas obtenir une segmentation réseau adéquate. Point final. Il s'agit d'une exigence d'infrastructure non négociable. Le deuxième piège est la saturation de la bande passante. Sans politiques de QoS, un seul invité regardant une vidéo 4K peut saturer votre liaison montante et dégrader les performances de vos utilisateurs d'entreprise. Vous devez appliquer une limitation de débit sur le VLAN invités - généralement un plafond de téléchargement par client compris entre 5 et 20 mégabits par seconde selon la capacité de votre liaison montante - et une hiérarchisation du trafic qui garantit que le trafic d'entreprise est toujours prioritaire. Troisièmement : le DNS et le DHCP. Votre VLAN invités doit avoir sa propre plage DHCP avec une plage d'adresses IP distincte - par exemple 192.168.100.0/24 - et doit utiliser un résolveur DNS public tel que 8.8.8.8 ou 1.1.1.1, et non votre serveur DNS interne. Si les invités résolvent le DNS via votre serveur interne, vous créez un vecteur de fuite d'informations et potentiellement une surface d'attaque par rebond DNS. Quatrièmement, et c'est un point critique pour l'hôtellerie et le commerce de détail : la conformité PCI-DSS. Si votre infrastructure de cartes de paiement - vos terminaux de point de vente, vos passerelles de paiement - partage un quelconque segment de réseau avec votre WiFi invités, vous êtes presque certainement en infraction avec les exigences PCI-DSS. L'environnement des données des titulaires de cartes doit être totalement isolé. Un VLAN invités correctement segmenté, sans routage inter-VLAN vers votre réseau de points de vente, est une condition fondamentale pour la conformité PCI. Enfin, la journalisation et la surveillance. Votre réseau invités doit disposer de son propre flux NetFlow ou syslog intégré à votre SIEM. Vous devez être en mesure de démontrer, à des fins de RGPD et d'interception légale, qui était connecté, quand, et quel trafic a été généré. La plateforme d'analyse de Purple capture les événements de connexion, le temps de séjour et les données de fréquence de visite qui alimentent directement cette piste d'audit. - [Q&R RAPIDES - 1 MINUTE] Questions rapides que l'on me pose régulièrement : "Puis-je utiliser les mêmes points d'accès physiques pour les deux réseaux ?" - Oui, absolument. C'est tout l'intérêt du multi-SSID avec marquage VLAN. Un seul point d'accès, plusieurs réseaux logiques. "Ai-je besoin de connexions internet distinctes pour les invités et l'entreprise ?" - Non, mais vous avez besoin de politiques de pare-feu distinctes et, idéalement, d'interfaces ou de sous-interfaces WAN distinctes pour appliquer la QoS et la mise en forme du trafic de manière indépendante. "Qu'en est-il des appareils IoT - où vont-ils ?" - Ils bénéficient de leur propre VLAN, séparé à la fois du réseau invités et de celui de l'entreprise. L'IoT est un troisième segment de réseau, et non un sous-ensemble de l'un ou l'autre. "Le WPA2 est-il toujours acceptable pour les réseaux invités ?" - Il est fonctionnel mais le WPA3 est fortement recommandé. Le WPA2 avec TKIP est obsolète. Si vous utilisez encore TKIP quelque part, corrigez cela dès aujourd'hui. - [RÉSUMÉ ET PROCHAINES ÉTAPES - 1 MINUTE] En résumé : la différence entre un réseau WiFi invité et votre réseau principal n'est pas seulement une question de mot de passe différent ou de nom d'SSID différent. Il s'agit d'une séparation architecturale fondamentale mise en œuvre au niveau du VLAN, appliquée par votre infrastructure de commutation et de pare-feu, avec des modèles d'authentification, des politiques de QoS et des exigences de surveillance distincts pour chacun. Faites-le correctement et vous disposerez d'un déploiement WiFi invité sécurisé, conforme et - avec la bonne plateforme par-dessus - d'un véritable actif de données propriétaires pour vos équipes marketing et opérationnelles. Faites une erreur et vous vous retrouverez avec un risque de déplacement latéral installé dans votre hall d'accueil, diffusant sur les fréquences 2,4 et 5 gigahertz. Si vous souhaitez approfondir la partie authentification, consultez le guide RadSec. Et si vous évaluez des plateformes de WiFi invité, la solution de Purple sur purple.ai couvre l'ensemble des besoins - du Captive Portal et de la capture de données conforme au GDPR jusqu'à l'analyse WiFi et l'intelligence de site. Merci pour votre écoute. On se retrouve au prochain épisode. - FIN DU SCRIPT