Trois SSIDs pour régner sur tous : guide de configuration WiFi pour invités, personnel et IoT

SCRIPT DE PODCAST : « Trois SSID pour régner sur tous : guide de configuration WiFi pour les invités, le personnel et l'IoT » [INTRO & CONTEXTE - 1 min] Vous êtes un consultant réseau senior qui présente un briefing confiant et faisant autorité à un client. S'exprimer avec un ton clair, mesuré et professionnel. Une autorité calme, pas académique. Conversationnel mais précis. Le rythme est régulier et délibéré : Bienvenue dans la série de briefings techniques Purple WiFi Intelligence. Aujourd'hui, nous abordons la conception WiFi à trois SSID - l'architecture qui sépare le trafic des invités, du personnel et de l'IoT sur des réseaux distincts et isolés à l'aide d'une seule infrastructure sans fil. Si vous gérez le WiFi pour un hôtel, un espace de vente au détail, un centre de conférences, un stade ou tout autre lieu où vous exploitez à la fois des réseaux publics et opérationnels, ce briefing vous concerne directement. [PLONGÉE TECHNIQUE - 5 min] Permettez-moi d'abord de situer le contexte. Aujourd'hui, la plupart des sites d'entreprise exploitent au moins cinq ou six SSID. Il y en a un pour les invités, un pour le personnel, un pour les terminaux de point de vente, un pour les appareils IoT, peut-être un masqué pour les sous-traitants, et souvent un ancien dont personne ne sait plus vraiment pourquoi il existe. Chacun de ces SSID diffuse une trame beacon toutes les 100 millisecondes au débit de données le plus bas de la radio. Dans un site dense comptant 50 points d'accès sur le même canal, cela représente des centaines de trames de gestion par seconde qui consomment du temps d'antenne avant même qu'un seul octet de données utilisateur ne soit transmis. Le consensus de l'industrie est clair : ne pas diffuser plus de trois SSID par radio. Trois est le nombre qui équilibre la segmentation de la sécurité et les performances sans fil. La conception à trois SSID est donc la suivante. SSID un : un réseau WiFi invité ouvert avec un Captive Portal pour l'accès des visiteurs. SSID deux : un réseau WPA2 ou WPA3-Enterprise pour le personnel et les invités sécurisés, utilisant l'authentification 802.1X et RADIUS. SSID trois : un réseau xPSK pour les appareils IoT, les terminaux de paiement, l'affichage dynamique et les imprimantes, utilisant des clés pré-partagées par appareil pour attribuer dynamiquement des VLAN en fonction de l'identité de l'appareil. Trois SSID. Trois segments de réseau complètement isolés. Une seule infrastructure sans fil physique. Examinons chacun d'eux en détail. Examinons chacun d'eux en détail. Le SSID un est votre WiFi invité. Vous le configurez comme un réseau ouvert - pas de clé pré-partagée, pas de mot de passe WPA2-Personal. Le point d'accès diffuse le SSID sans chiffrement au niveau de la couche d'association. Lorsqu'un visiteur se connecte, son appareil obtient une adresse IP à partir d'un serveur DHCP sur votre VLAN invité - généralement le VLAN 10. Chaque requête DNS et requête HTTP est interceptée par le contrôleur sans fil ou un équipement Captive Portal dédié, qui redirige le navigateur du visiteur vers votre page de portail. C'est ici que la plateforme de Purple s'intègre. Le Captive Portal gère l'authentification du visiteur, qu'il s'agisse d'une connexion via les réseaux sociaux, d'une inscription par e-mail, d'une vérification par SMS ou d'un code coupon. Il recueille le consentement conformément au GDPR, enregistre les coordonnées du visiteur en tant que données de première partie, puis signale au contrôleur d'accorder l'accès à internet. La session du visiteur est marquée sur le VLAN 10, et votre pare-feu applique une politique stricte : accès internet uniquement, avec une règle de refus global explicite bloquant toute route vers votre espace d'adressage interne RFC 1918. Le « walled garden » (jardin d'enfants) est une étape de configuration cruciale ici. Avant qu'un visiteur ne finalise sa connexion au portail, son appareil doit pouvoir atteindre la page du portail elle-même. Vous configurez un « walled garden » — une liste blanche d'adresses IP et de domaines accessibles sans authentification. Celle-ci doit inclure l'IP ou le nom d'hôte de votre serveur de Captive Portal, tous les points de terminaison CDN qu'il utilise, ainsi que les points de terminaison des fournisseurs de connexion sociale, tels que les serveurs OAuth de Facebook ou les points de terminaison d'authentification de Google. Le deuxième SSID est votre Wi-Fi personnel. Celui-ci utilise WPA2-Enterprise ou WPA3-Enterprise, ce qui implique une authentification 802.1X. Lorsqu'un membre du personnel se connecte, son appareil lance un échange EAP avec le point d'accès, qui agit en tant qu'authentificateur et transmet les identifiants à votre serveur RADIUS. Le serveur RADIUS valide l'identité auprès de votre fournisseur d'identité et renvoie un message Access-Accept. La clé de l'attribution dynamique de VLAN réside dans trois attributs RADIUS spécifiques présents dans ce message Access-Accept. L'attribut 64 (Tunnel-Type) doit être configuré sur la valeur 13, qui signifie VLAN. L'attribut 65 (Tunnel-Medium-Type) doit être configuré sur la valeur 6, qui signifie IEEE 802. Et l'attribut 81 (Tunnel-Private-Group-ID) contient l'ID du VLAN réel sous forme de chaîne de caractères. Lorsque le point d'accès reçoit ces attributs, il marque dynamiquement cette session avec le VLAN spécifié. Un membre de l'équipe financière s'authentifie et se retrouve sur le VLAN 20. Un prestataire s'authentifie avec des identifiants différents et se retrouve sur le VLAN 30 avec un accès plus restreint. Même SSID, même réseau physique, mais segments logiques totalement différents. Le service RADIUS cloud de Purple gère la couche d'authentification RADIUS pour le Wi-Fi personnel, en s'intégrant à votre fournisseur d'identité et en renvoyant les attributs de VLAN dynamiques appropriés pour chaque utilisateur. Le troisième SSID est votre Wi-Fi IoT. Le xPSK résout un problème que ni les réseaux ouverts ni le 802.1X ne peuvent traiter correctement. Les appareils IoT, les terminaux de paiement, les lecteurs de signalisation numérique et les imprimantes ne peuvent pas s'authentifier avec le 802.1X. Cependant, vous ne pouvez pas les placer sur un réseau WPA2-Personal classique avec un mot de passe partagé unique, car un appareil compromis aurait alors accès à tous les autres appareils de ce segment. xPSK gère une base de données de mots de passe uniques, à raison d'un par appareil ou groupe d'appareils. L'appareil se connecte à l'aide de sa clé unique. Le contrôleur valide la clé et renvoie les attributs VLAN dynamiques. Un terminal de paiement se connecte et est dirigé vers le VLAN 50, votre réseau de paiement isolé et conforme PCI DSS. Un thermostat intelligent se connecte et est dirigé vers le VLAN 40, votre réseau IoT au routage restreint. La terminologie des fournisseurs varie. Cisco Meraki l'appelle iPSK. HPE Aruba l'appelle MPSK. Ruckus l'appelle DPSK. Juniper Mist et Ubiquiti UniFi l'appellent tous deux PPSK. L'architecture sous-jacente est identique pour les cinq fournisseurs. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES - 2 min] Vous êtes un consultant réseau senior qui présente un briefing confiant et faisant autorité à un client. S'exprimer dans un ton clair, mesuré et professionnel. Une autorité calme, pas académique. Conversationnel mais précis. Le rythme est régulier et délibéré : Parlons maintenant des pièges de mise en œuvre et des scénarios réels. Le premier piège est la mauvaise configuration des ports de trunk. Vos ports de commutateur transportant plusieurs VLAN doivent être configurés comme des ports de trunk 802.1Q, et non comme des ports d'accès. Si un port de trunk est accidentellement configuré comme un port d'accès, tout le trafic est regroupé sur un seul VLAN et votre segmentation disparaît discrètement. Inspectez toujours la configuration de vos commutateurs après chaque modification. Le deuxième piège est un « walled garden » incomplet. Si votre page de Captive Portal ne parvient pas à se charger parce que vous n'avez pas mis sur liste blanche les bons points de terminaison, les visiteurs verront un écran vide et supposeront que le WiFi ne fonctionne pas. Testez votre « walled garden » à partir d'un nouvel appareil sans cache DNS avant la mise en service. Le troisième piège est la randomisation des adresses MAC. Les appareils iOS et Android modernes utilisent une adresse MAC aléatoire pour chaque réseau auquel ils se connectent. Si votre système xPSK repose sur l'association de l'adresse MAC pour lier un appareil à sa clé unique, vous rencontrerez des échecs d'authentification lorsqu'un appareil renouvellera son adresse. Utilisez les implémentations des fournisseurs qui lient la session à la clé elle-même plutôt qu'à l'adresse MAC. Laissez-moi vous présenter deux scénarios réels. Scénario un : un hôtel de 200 chambres. L'hôtel doit fournir un WiFi invité dans toutes les chambres et les espaces publics, un WiFi personnel pour la réception, le ménage et la direction, et une connectivité IoT pour les thermostats intelligents, les systèmes IPTV et les contrôleurs de verrouillage de porte. Ils déploient trois SSIDs sur leurs points d'accès Cisco Meraki. Le premier SSID, le réseau invité, utilise le Captive Portal de Purple avec inscription par e-mail et capture de consentement conforme au GDPR. Les invités s'authentifient, arrivent sur le VLAN 10 et obtiennent un accès uniquement Internet avec une limite de débit de 20 mégabits par seconde par client. Le deuxième SSID, le réseau du personnel, utilise WPA3-Enterprise avec authentification RADIUS via Microsoft Entra ID. Le personnel de la réception arrive sur le VLAN 20 avec accès au système de gestion de l'établissement. Le personnel de ménage arrive sur le VLAN 21 avec un accès uniquement à l'application de ménage. Le troisième SSID, le réseau IoT, utilise Meraki iPSK. Chaque thermostat intelligent dispose d'une clé unique mappée sur le VLAN 40. Chaque contrôleur de verrouillage de porte dispose d'une clé unique mappée sur le VLAN 41. Les systèmes IPTV ont des clés mappées sur le VLAN 42. Tous les VLANs IoT n'ont pas d'accès Internet et des règles de pare-feu strictes limitent les communications à leurs serveurs de gestion spécifiques. [Q&R RAPIDE - 1 min] Passons maintenant à quelques questions rapides. Ai-je besoin d'un serveur RADIUS distinct pour xPSK ? Cela dépend du fournisseur et de l'échelle. Pour les petits déploiements, Cisco Meraki iPSK et HPE Aruba MPSK-Local peuvent stocker les clés directement sur le contrôleur sans serveur RADIUS. Pour une échelle d'entreprise, vous avez besoin d'un serveur RADIUS central - soit votre propre instance FreeRADIUS ou NPS, soit un service RADIUS cloud comme celui de Purple. Le WPA3-Enterprise est-il obligatoire ? Pas encore, mais déployez-le là où vos appareils clients le prennent en charge. Le mode de sécurité 192 bits du WPA3 et les trames de gestion protégées (PMF) éliminent plusieurs vecteurs d'attaque présents dans le WPA2. Exécutez le WPA3 en mode de transition pour maintenir la compatibilité descendante. Comment gérer le BYOD sur le SSID du personnel ? Utilisez PEAP-MSCHAPv2 pour l'authentification basée sur les identifiants, ce qui fonctionne avec les appareils personnels sans nécessiter le déploiement de certificats. Si vous avez besoin d'une sécurité plus forte, déployez EAP-TLS avec des certificats poussés via votre MDM. Quelle est la configuration minimale viable pour un petit site ? Trois SSIDs, trois VLANs, un pare-feu avec des règles inter-VLAN et un Captive Portal pour les invités. C'est votre base de départ. Vous pourrez ajouter RADIUS et xPSK à mesure que votre parc d'appareils s'agrandit. [RÉSUMÉ ET PROCHAINES ÉTAPES - 1 min] En résumé : la conception à trois SSIDs vous offre la segmentation dont vous avez besoin sans la surcharge de bande passante liée à l'exploitation de cinq ou six réseaux distincts. Le WiFi invité avec un Captive Portal gère l'accès des visiteurs et la conformité au GDPR. Le WiFi du personnel avec 802.1X et l'attribution dynamique de VLAN gère le contrôle d'accès basé sur l'identité. Le WiFi IoT avec xPSK gère les appareils sans écran avec une isolation par appareil. Vos prochaines étapes : auditez votre nombre de SSID actuel. Si vous en diffusez plus de trois, planifiez une consolidation. Examinez la conception de vos VLAN et les règles de pare-feu inter-VLAN. Et si vous n'utilisez pas encore un Captive Portal géré avec capture de données conforme au GDPR, c'est le changement à plus forte valeur ajoutée que vous puissiez apporter à votre réseau invité aujourd'hui. La plateforme de Purple prend en charge cette architecture à trois SSID dans plus de 80 000 sites actifs à travers le monde. Nous fournissons le Captive Portal Guest WiFi, le RADIUS cloud pour le Staff WiFi, ainsi que les intégrations avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi pour faire fonctionner l'ensemble de cette architecture comme un système managé unique. Merci d'avoir écouté ce briefing technique de Purple. Les liens vers le guide écrit complet et les schémas d'architecture se trouvent dans les notes de l'émission.