R.68 · Redondance, WAN et architecture
Wi-Fi : principes, architectures et sécurité
Leçon théorique · questionnaire de validation · gratuit, dans le navigateur
Dans la plupart des bureaux, le Wi-Fi est devenu le premier réseau : ordinateurs portables, téléphones, objets connectés. Il obéit à d'autres règles que le filaire : un média partagé où un seul appareil parle à la fois, des canaux qui se gênent, et des ondes que n'importe qui peut écouter depuis le parking. Cette leçon donne les bases pour comprendre, concevoir et sécuriser un réseau sans fil.
Ce que vous saurez à la fin : citer les normes Wi-Fi et leurs bandes, choisir des canaux qui ne se recouvrent pas, distinguer bornes autonomes et contrôleur, et choisir la bonne sécurité (WPA2, WPA3, 802.1X).
1. Les normes et les bandes
| Nom commercial | Norme IEEE | Bandes | Remarque |
|---|---|---|---|
| Wi-Fi 4 | 802.11n | 2,4 et 5 GHz | MIMO, encore très répandu |
| Wi-Fi 5 | 802.11ac | 5 GHz | Débits de plusieurs centaines de Mbit/s |
| Wi-Fi 6 / 6E | 802.11ax | 2,4, 5 (et 6 GHz pour 6E) | OFDMA : bien plus efficace avec beaucoup d'appareils |
| Wi-Fi 7 | 802.11be | 2,4, 5 et 6 GHz | Canaux de 320 MHz, plusieurs bandes à la fois (MLO) |
- 2,4 GHz : porte loin, traverse mieux les murs, mais seulement 3 canaux qui ne se recouvrent pas (1, 6, 11) et beaucoup d'interférences (Bluetooth, micro-ondes) ;
- 5 GHz : bien plus de canaux, plus de débit, portée plus courte ;
- 6 GHz (Wi-Fi 6E et 7) : une bande neuve, très peu encombrée.
2. Un média partagé
Sur un switch, chaque port est un lien dédié. En Wi-Fi, tous les appareils d'un même canal partagent la même onde : un seul parle à la fois. Avant d'émettre, chacun écoute si le canal est libre (CSMA/CA, évitement de collision). Conséquences :
- le débit annoncé est partagé entre tous les clients de la borne ;
- un appareil lent, loin de la borne, ralentit tout le monde (il occupe l'onde plus longtemps) ;
- deux bornes voisines sur le même canal se gênent comme si elles étaient une seule.
On conçoit donc un réseau Wi-Fi en capacité (combien d'appareils par borne) plus qu'en couverture, avec des canaux alternés d'une borne à l'autre.
3. Les vocabulaires
| Terme | Sens |
|---|---|
| SSID | Le nom du réseau ; une borne peut en diffuser plusieurs, chacun dans un VLAN |
| BSSID | L'adresse MAC de la radio d'une borne, pour un SSID |
| Association | Le rattachement d'un client à une borne |
| Itinérance (roaming) | Le passage d'une borne à l'autre en se déplaçant ; c'est le client qui décide |
| RSSI, SNR | La puissance du signal reçu, et son écart avec le bruit : au-delà de −67 dBm et 25 dB, la voix et la vidéo passent bien |
4. Les architectures
| Architecture | Principe | Usage |
|---|---|---|
| Bornes autonomes | Chaque borne a sa propre configuration | Petits sites, quelques bornes |
| Contrôleur (WLC) | Les bornes « légères » sont pilotées par un contrôleur central (protocole CAPWAP) : configuration, canaux, puissance, itinérance | Entreprises, campus |
| Pilotage cloud | Le contrôleur est un service en ligne du constructeur | Multi-sites, PME |
Avec un contrôleur, le trafic des clients peut soit remonter au contrôleur dans un tunnel (mode centralisé), soit sortir directement de la borne vers le switch (mode local, FlexConnect chez Cisco).
5. La sécurité
| Méthode | Niveau | Usage |
|---|---|---|
| Ouvert, WEP, WPA (TKIP) | À proscrire : aucune protection ou cassés depuis longtemps | Jamais |
| WPA2-Personnel (PSK) | Une clé partagée par tous ; vulnérable aux attaques par dictionnaire si la clé est faible | Domicile, petites structures |
| WPA3-Personnel (SAE) | Résiste aux attaques par dictionnaire hors ligne | À privilégier pour une clé partagée |
| WPA2 / WPA3-Entreprise (802.1X) | Chaque utilisateur s'authentifie (identifiant, certificat) auprès d'un serveur RADIUS ; une clé de chiffrement différente par session | La norme en entreprise |
| Portail captif | Une page de connexion, souvent sans chiffrement | Réseaux invités, isolés du reste |
Bonnes pratiques : un SSID invités isolé dans son VLAN, sans accès au réseau interne ; 802.1X pour les employés ; et un réseau dédié, à clé forte, pour les objets connectés.
6. Retenir
| Notion | À retenir |
|---|---|
| 2,4 GHz | Portée, mais 3 canaux sans recouvrement : 1, 6, 11 |
| 5 et 6 GHz | Débit et nombreux canaux, portée plus courte |
| Média partagé | Un seul appareil parle à la fois par canal ; le débit se partage |
| Contrôleur | Pilotage central des bornes (CAPWAP) |
| Sécurité | WPA3 ou 802.1X ; jamais WEP ni réseau ouvert pour l'interne |