Accueil / Conseils
Wi-Fi invité : séparer avant d'ouvrir la porte
Un réseau invité qui partage le réseau des serveurs n'est pas un réseau invité. La séparation tient à trois réglages, et se vérifie depuis un téléphone.
À retenir
- Sans VLAN distinct, le mot de passe invité protège l'accès, pas le réseau.
- L'isolation des clients empêche les invités de se voir entre eux, pas de voir vos serveurs.
- Ce qui compte : aucune route vers l'administration, le NAS et les imprimantes.
Trois réglages, dans cet ordre
D'abord un VLAN dédié, avec son propre sous-réseau et son propre serveur DHCP. Ensuite un SSID rattaché à ce VLAN — pas au réseau principal. Enfin des règles de filtrage : interdiction d'atteindre les plages internes, autorisation vers l'extérieur, et un serveur DNS explicite pour éviter les fuites par résolution.
L'isolation des clients, ou client isolation, est un réglage distinct : elle empêche deux invités de communiquer entre eux. Utile, mais elle ne protège en rien votre réseau interne. Les deux réglages se cumulent, ils ne se remplacent pas.
Décider de ce que l'invité doit joindre
Une salle de réunion avec un écran sans fil, une imprimante partagée, une borne de commande : chaque exception est une règle à écrire, avec le port et le sens du flux. Un réseau invité qui autorise tout à l'intérieur du réseau local n'a de séparation que le nom.
Le même raisonnement pour les objets connectés
Caméras, imprimantes, téléviseurs, thermostat : ces appareils reçoivent rarement des correctifs et parlent parfois à des serveurs lointains. Les placer sur un réseau séparé, sans accès à vos fichiers, réduit leur surface d'exposition sans rien changer à leur usage.
Vérifier, ne pas supposer
Un test simple depuis un téléphone connecté au SSID invité : tenter d'ouvrir l'interface d'administration du routeur, l'adresse du NAS, celle d'une imprimante. Tout ce qui répond n'est pas séparé. Ce contrôle prend deux minutes et vaut mieux qu'une case cochée dans un devis.