Pour séparer le Wi-Fi invité du réseau de l’entreprise, un deuxième nom de réseau ne suffit pas. Il faut associer l’accès visiteurs à un réseau dédié, filtrer ses communications vers les réseaux internes et vérifier le résultat sur le terrain. Ce guide distingue SSID, VLAN, pare-feu et isolation des clients, puis donne les contrôles à préparer avant de confier une installation ou un audit Wi-Fi.
Votre réseau invité existe déjà, mais vous ignorez ce qu’il autorise ? Découvrez notre offre d’audit et d’installation Wi-Fi pour entreprise ou demandez un devis d’audit Wi-Fi en décrivant vos locaux et vos usages.
Pourquoi séparer le Wi-Fi invité du réseau professionnel ?
Un visiteur a généralement besoin d’Internet, pas d’un accès aux dossiers partagés, aux imprimantes internes ou à l’administration des équipements. La séparation vise à limiter ces communications et à gérer l’accueil sans transmettre les identifiants du personnel.
Le risque dépend des droits réellement ouverts et de la configuration : le nom du Wi-Fi ne permet pas de les connaître. Un appareil personnel compromis peut chercher des ressources accessibles ; plusieurs invités peuvent aussi consommer une part importante de la connexion Internet ou de la capacité radio.
La segmentation et la gestion de capacité répondent à deux besoins différents. Bloquer l’accès au serveur de fichiers ne réserve pas automatiquement du débit aux appels ou aux applications métier.
SSID, VLAN, pare-feu et isolation des clients : quatre rôles différents
- SSID : le nom affiché sur le téléphone, par exemple « Entreprise-Invites ». Il aide à choisir le bon accès ; deux SSID peuvent toutefois déboucher sur le même réseau.
- Réseau ou VLAN dédié : il sépare logiquement le trafic des visiteurs. Son transport doit être cohérent entre bornes, commutateurs et passerelle. Un VLAN seul n’interdit pas les communications routées vers les autres réseaux.
- Pare-feu ou règles de filtrage : ils définissent les destinations autorisées et bloquent notamment les accès internes et les interfaces d’administration. Il faut prévoir les services nécessaires à la connexion, comme l’attribution d’adresse et la résolution des noms, selon l’architecture.
- Isolation entre clients : elle limite les échanges entre appareils invités. Sa portée varie selon les équipements, leur version et la topologie ; elle complète le filtrage vers le réseau professionnel.
Ces distinctions sont décrites dans les documentations Ubiquiti sur l’isolation des réseaux et des clients et Cisco Meraki sur l’isolation des clients Wi-Fi. Les réglages exacts dépendent du matériel installé.
Préparer la séparation du Wi-Fi invité en cinq étapes
- Inventorier l’existant. Relever les modèles et versions des bornes, commutateurs et routeur ou pare-feu, ainsi que les sites, liaisons et réseaux existants. Une option « Guest Wi-Fi » dans une interface ne suffit pas à valider toute la chaîne.
- Définir les usages. Préciser qui se connecte, dans quelles zones, avec combien d’appareils simultanés et pour quelles applications. Identifier les éventuelles exceptions, par exemple un écran de présentation dédié.
- Préparer le réseau et les règles. Associer le SSID invité au réseau prévu, configurer son adressage et son accès Internet, puis refuser les destinations internes et d’administration. Examiner aussi IPv6 s’il est actif, les VPN et les autres sites joignables.
- Organiser l’accueil. Choisir le mode d’accès adapté : code renouvelé, accès temporaire ou portail, selon les fonctionnalités disponibles. Définir qui remet et renouvelle les accès. Un portail captif ne remplace pas les règles de séparation.
- Tester et documenter. Prévoir une sauvegarde de configuration, une fenêtre de changement adaptée et un retour arrière. Exécuter les contrôles ci-dessous depuis plusieurs zones, puis conserver les résultats et les exceptions.
Comment vérifier que le Wi-Fi invité est bien séparé ?
Les tests se préparent avec le responsable du réseau, sur des ressources autorisées. Un accès refusé à une seule adresse IP, ou un ping sans réponse, ne prouve pas l’isolation complète et ne constitue pas un test de pénétration.
| Contrôle | Résultat à rechercher |
|---|---|
| Connexion et navigation | Obtention d’une adresse, résolution DNS et usages Internet prévus fonctionnels. |
| Ressources professionnelles | Serveurs, partages et équipements internes inaccessibles, hors exceptions explicitement autorisées. |
| Administration | Interfaces du pare-feu, des bornes, des commutateurs et du contrôleur inaccessibles aux invités. |
| Deux appareils invités | Isolation conforme au besoin, sur une même borne puis sur des bornes différentes. |
| IPv4 et IPv6 | Restrictions vérifiées pour chaque protocole actif, sans chemin parallèle oublié. |
| Zones et autres sites | Règles vérifiées depuis plusieurs zones et vers les réseaux distants concernés. |
| Charge et usages métier | Mesures avec des usages simultanés représentatifs ; limites ajustées selon les résultats. |
Pour une salle de réunion, testez aussi l’accès de présentation prévu sans ouvrir tout le réseau interne. Dans un commerce ou un site accueillant des événements, vérifiez la capacité lors des pics de fréquentation. Sur plusieurs sites, contrôlez les règles locales et les liaisons entre sites : une configuration commune ne remplace pas une recette sur chaque implantation.
Les erreurs qui laissent un réseau invité trop ouvert
- Créer seulement un nouveau SSID et le raccorder au réseau du personnel.
- Supposer qu’un VLAN ou l’option « isoler les clients » bloque toutes les destinations internes.
- Oublier IPv6, les interfaces d’administration, les réseaux distants ou les prises Ethernet accessibles aux visiteurs.
- Partager le mot de passe professionnel avec les invités ou conserver indéfiniment un accès temporaire.
- Présenter une limite de débit comme une garantie : la connexion Internet, le temps radio, la couverture et les appareils influencent aussi la qualité.
- Modifier la configuration sans sauvegarde, documentation ni contrôle après mise à jour.
Que prévoir pour un audit et un devis Wi-Fi invité ?
Le périmètre peut porter sur la vérification d’un accès existant, sa reconfiguration ou une installation. Les livrables se définissent dans le devis : inventaire et schéma des réseaux, règles et exceptions retenues, résultats des contrôles, corrections proposées, sauvegarde et procédure de gestion des accès visiteurs.
Pour préparer l’échange avec Expertis’IT, indiquez le nombre de sites, les surfaces et étages, les zones d’accueil, les modèles d’équipements connus, les appareils simultanés et les difficultés observées. Précisez votre échéance et les contraintes d’intervention. Ne transmettez pas de mot de passe dans le formulaire.
Faire vérifier ou installer votre Wi-Fi invité
Vous souhaitez isoler les visiteurs du réseau de travail ou vérifier une configuration existante ? Décrivez votre projet pour cadrer un audit et les éventuels travaux. Le périmètre et le budget seront précisés dans le devis.
Demander un devis d’audit Wi-Fi Appeler le 0805.69.52.69
Pour une création ou une extension, consultez nos prestations Wi-Fi pour entreprise.
Questions fréquentes sur le Wi-Fi invité séparé
Un deuxième nom de Wi-Fi suffit-il à séparer les invités ?
Non. Deux SSID peuvent utiliser le même réseau. Il faut vérifier le réseau associé à l’accès invité, le filtrage vers les destinations internes et les règles d’administration.
Un VLAN invité suffit-il sans pare-feu ?
Un VLAN sépare logiquement les flux, mais le routage peut permettre des échanges avec d’autres réseaux. Les règles de filtrage à la passerelle ou les contrôles adaptés à l’architecture doivent restreindre ces échanges.
L’isolation des clients protège-t-elle aussi les serveurs internes ?
Elle vise les communications entre clients ; son périmètre dépend du matériel et de sa configuration. Elle ne remplace pas le contrôle des accès vers les serveurs, les autres réseaux et l’administration.
Faut-il un portail captif pour isoler le Wi-Fi invité ?
Un portail peut organiser l’accueil ou la durée des accès. La séparation repose sur la configuration réseau et les règles de filtrage, pas sur la seule présence d’une page de connexion.
Le Wi-Fi invité peut-il ralentir les usages professionnels ?
Oui, les visiteurs peuvent partager la connexion Internet et les ressources radio avec les collaborateurs. Des limites adaptées peuvent réduire cet impact ; leur efficacité se vérifie avec une charge représentative.
Faut-il remplacer les bornes pour créer un accès invité ?
Pas systématiquement. Il faut examiner les capacités et les versions de toute la chaîne : bornes, commutateurs et routeur ou pare-feu. L’audit permet de distinguer reconfiguration, mise à jour et remplacement nécessaire.
Quelles informations fournir pour un devis d’audit Wi-Fi ?
Indiquez les sites et surfaces, les zones visiteurs, le matériel connu, le nombre d’appareils simultanés, les usages, les symptômes et l’échéance. Ces éléments permettent de préciser le périmètre sans transmettre d’identifiants d’accès.