Les réseaux pour l’assistance informatique

Un réseau permet aux appareils connectés d’échanger des données et de partager des ressources. Son nom indique sa portée ou sa fonction. Un câble, une liaison radio et un tunnel chiffré décrivent différentes parties de cet ensemble : plusieurs noms de réseaux peuvent donc s’appliquer à un même site.

D’une personne à plusieurs sites

Un WLAN appartient au réseau local ; sans fil ne signifie pas Internet. Une tablette peut accéder à une imprimante locale par Wi-Fi même pendant une coupure d’Internet. Le routeur relie ce réseau local au WAN du fournisseur. Internet est le plus grand WAN.

Le nombre d’appareils ne détermine pas le type de réseau. Trois appareils dans un appartement et des centaines d’appareils sur un même site de bureaux peuvent former des LAN. Pour classer un réseau, demande-toi où vont ses liaisons et à quoi elles servent.

Une distinction propre au stockage

Un réseau de stockage (SAN) donne aux serveurs accès à un stockage partagé sous forme de blocs de disque. Un serveur voit ce stockage à peu près comme un disque connecté localement. Un serveur de stockage en réseau (NAS) partage des fichiers et des dossiers sur le LAN ordinaire. Un utilisateur qui ouvre un dossier partagé sur un NAS utilise un partage de fichiers ; la seule présence d’un stockage en réseau ne fait pas du LAN du bureau un SAN.

Une connexion privée sur un autre réseau

Un réseau privé virtuel (VPN) crée un tunnel chiffré sur un réseau existant, généralement Internet. Un VPN d’accès à distance relie l’appareil d’un utilisateur à un réseau de bureau. Un VPN site à site relie les LAN de deux bureaux. Le tunnel protège le trafic entre ses extrémités contre la lecture ou la modification pendant son transit. La protection des appareils aux extrémités et la confiance accordée aux sites web restent des questions distinctes.

Suivre la connexion d’une petite entreprise

Un atelier de réparation possède des ordinateurs de bureau filaires, des tablettes Wi-Fi et le téléphone d’un technicien appairé à des écouteurs. Les ordinateurs utilisent le LAN, les tablettes utilisent son WLAN et les écouteurs utilisent un PAN. Une succursale située dans une autre ville accède à l’atelier par un VPN site à site passant par Internet.

Si l’atelier perd son accès à Internet mais que son partage de fichiers local s’ouvre toujours, le LAN transporte encore le trafic local. Vérifie le côté WAN avant de remplacer le commutateur du LAN. Si seul un télétravailleur perd l’accès aux fichiers du bureau alors que les sites web ordinaires fonctionnent, le VPN d’accès à distance est un bon point à vérifier. Ces noms aident à repérer la connexion touchée avant de modifier les paramètres.

Suis un paquet depuis un ordinateur portable vers Internet : tu rencontreras plusieurs fonctions, à savoir connecter l’appareil au réseau local, transporter le trafic au sein de ce réseau et le transmettre à d’autres réseaux. Un routeur de petite entreprise ou domestique (SOHO) assure souvent les trois, mais chaque fonction porte un nom différent.

Connexions locales et frontières des réseaux

Une carte réseau connecte un appareil par Ethernet ou Wi-Fi. Son adresse de contrôle d’accès au support, ou adresse MAC, comporte normalement 48 bits, écrits sous forme de 12 chiffres hexadécimaux, par exemple 3C-52-82-1A-7F-09. La première moitié des adresses attribuées par le fabricant identifie généralement celui-ci. Les adresses Wi-Fi privées peuvent différer de l’adresse matérielle : utilise donc l’adresse réellement visible sur le réseau concerné pour les paramètres propres à l’appareil.

Un commutateur apprend quelles adresses sont joignables par chaque port. Il transmet le trafic unicast connu vers le port de destination ; les diffusions générales et le trafic destiné à des adresses inconnues sont envoyés aux autres ports du même réseau logique. Un ancien concentrateur réseau répète les signaux sur chaque port : les appareils partagent alors la capacité et des collisions peuvent se produire.

Un commutateur non administrable fonctionne sans configuration. Un commutateur administrable offre des paramètres et des fonctions de surveillance. Ses réseaux locaux virtuels (VLAN) divisent un réseau physique en réseaux logiques, par exemple pour le personnel et les invités. La communication entre VLAN nécessite un routeur ou un pare-feu. Un panneau de brassage ne commute pas le trafic : de courts cordons de brassage relient ses ports à un commutateur tandis que les câbles permanents des prises murales restent en place.

Transporter l’alimentation avec les données

L’alimentation par Ethernet (PoE) alimente les points d’accès, les caméras et les téléphones IP par un câble à paires torsadées. Un commutateur PoE la fournit directement ; un injecteur l’ajoute à une liaison issue d’un commutateur ordinaire.

Une partie de la puissance est perdue dans le câble. Vérifie à la fois la norme prise en charge par chaque port et le budget total du commutateur. Trois points d’accès PoE+ et quatre caméras 802.3af peuvent nécessiter :

Un commutateur de 150 W manque de 1,6 W pour ce maximum prévu. Choisis un budget supérieur ou alimente une caméra par un injecteur doté de sa propre alimentation.

Vérifier le boîtier avant de le modifier

Un boîtier SOHO réunit couramment un routeur, un commutateur LAN, un point d’accès, un pare-feu, un serveur d’adressage automatique et un relais de service de noms. Une passerelle du fournisseur peut aussi contenir le modem. L’ajout de couverture Wi-Fi peut ne nécessiter qu’un point d’accès ; remplacer toute la passerelle modifie plusieurs services à la fois. Étiquette chaque boîtier selon les fonctions qu’il assure réellement.

Un hôte est un appareil doté d’une adresse réseau. Un serveur fournit des services à d’autres appareils, appelés clients. Les rôles de serveur décrivent des fonctions, pas nécessairement des machines physiques distinctes : un ordinateur peut assurer plusieurs rôles et un service peut fonctionner sur une machine virtuelle.

Associer la demande au service

Un utilisateur peut accéder à une page web tout en échouant à ouvrir une base de données comptable. Ces demandes dépendent de services différents. Identifie la fonction défaillante avant de conclure que tous les serveurs sont indisponibles.

On oublie facilement l’heure. L’authentification dans un domaine Windows autorise normalement un écart d’horloge maximal de cinq minutes. Un PC qui avance de neuf minutes peut refuser la connexion même avec un mot de passe correct. La synchronisation avec la source horaire du réseau traite la cause. Une heure correcte permet aussi de vérifier les certificats et de comparer les heures des événements.

Collecter les événements et contrôler l’accès

Un serveur syslog rassemble les messages des équipements réseau et des hôtes, traditionnellement sur UDP 514. Ces journaux centralisés permettent à un technicien de comparer un événement du commutateur avec un événement du pare-feu survenu au même moment.

Un serveur AAA prend en charge l’authentification, l’autorisation et la comptabilisation : ton identité, ce que tu peux faire et un relevé de ton activité. Un serveur RADIUS, service d’authentification à distance des utilisateurs, peut vérifier les comptes Wi-Fi des employés et enregistrer l’activité des sessions. Réussir à se connecter et obtenir l’autorisation d’ouvrir une ressource sont deux décisions distinctes.

Reconnaître les équipements réseau dédiés

Une passerelle antispam filtre les courriels entrants avant leur distribution. Un équipement de gestion unifiée des menaces (UTM) combine des fonctions comme le pare-feu, la prévention des intrusions, l’analyse des logiciels malveillants et le filtrage web. Un serveur mandataire effectue des requêtes pour les clients et peut les filtrer, les mettre en cache ou les journaliser. Un répartiteur de charge distribue les requêtes entre les serveurs et évite ceux qui échouent aux contrôles de bon fonctionnement. Ces équipements peuvent se trouver sur le trajet du trafic même lorsque l’ordinateur de l’utilisateur fonctionne correctement.

Assurer l’assistance pour des appareils sur lesquels on a peu de contrôle

Un système hérité est un système ancien encore utilisé. Un système embarqué est un ordinateur intégré à un appareil pour une fonction précise. Aucun de ces termes ne permet à lui seul de savoir si des mises à jour existent. Vérifie le produit et l’état de son support.

Les systèmes de supervision et acquisition de données (SCADA) surveillent et commandent des équipements comme des pompes et des chaînes de production. Lorsque leur mise à jour ou leur remplacement rapide est difficile, des réseaux distincts dont l’accès est strictement limité réduisent leur exposition. Les appareils de l’Internet des objets (IoT) détectent des éléments du monde physique ou agissent sur eux : les caméras, serrures et thermostats en sont des exemples. Change leurs mots de passe par défaut, applique les mises à jour du micrologiciel et sépare-les des ordinateurs de l’entreprise. La durée du support par mises à jour et les paramètres disponibles varient selon le produit.

Un fournisseur d’accès à Internet (FAI) raccorde un site à Internet. Choisis un service selon le travail effectué, les connexions disponibles sur le site et l’équipement nécessaire. Un débit de téléchargement élevé peut à lui seul masquer un envoi lent ou un long délai.

Comparer les types de connexions

Un ONT convertit le signal de la fibre en une connexion utilisable par le routeur. L’Internet par câble utilise couramment un connecteur coaxial vissable de type F. Le DSL, ou ligne d’abonné numérique, utilise le connecteur téléphonique RJ11, plus petit. Lorsque le service téléphonique partage la ligne DSL, un filtre sépare les signaux. Si la fibre ne va que jusqu’à une armoire de rue, la dernière section reste en cuivre et sa longueur influe sur le débit.

Lire les bits, les octets et les deux sens de transfert

La bande passante est un débit de données, généralement exprimé en mégabits par seconde (Mbit/s) ou en gigabits par seconde (Gbit/s). La taille des fichiers s’exprime en octets : un octet contient huit bits. Un service à 100 Mbit/s peut transporter au maximum environ 12,5 mégaoctets par seconde (Mo/s), avant les données supplémentaires liées aux protocoles.

Pour télécharger 1,5 Go à 100 Mbit/s, convertis la taille décimale du fichier en mégabits et divise :

Cela représente deux minutes dans le meilleur des cas. Les données supplémentaires liées aux protocoles et le trafic concurrent augmentent le temps réel.

Une offre asymétrique à 500/50 Mbit/s fournit jusqu’à 500 Mbit/s en réception et 50 Mbit/s en envoi. Un envoi de 2 Go contient 16 000 mégabits et prend au moins 320 secondes à 50 Mbit/s. Utiliser le débit de réception donnerait à tort 32 secondes. Les sauvegardes et l’envoi de vidéo utilisent tous deux la capacité d’envoi.

Le délai et la capacité sont deux notions différentes

La latence mesure un délai. Une mesure aller-retour comme ping indique en millisecondes le temps d’une requête et de sa réponse. Un faible délai facilite les appels, les jeux et le travail sur un bureau à distance, même lorsque leurs débits de données sont modestes.

Les satellites géostationnaires orbitent à environ 35 786 km au-dessus de l’équateur. Le long trajet aller-retour prend à lui seul environ 0,48 seconde ; la latence aller-retour est généralement d’environ 600 ms. Les systèmes en orbite terrestre basse utilisent des satellites beaucoup plus proches et atteignent souvent environ 20 à 60 ms, selon le service et les conditions.

Un bureau qui passe des appels tout en envoyant des sauvegardes bénéficie d’une fibre symétrique si elle est disponible. Un atelier isolé peut comparer l’accès sans fil fixe, le réseau mobile et le satellite selon les conditions de signal et le délai ainsi que le débit. Une seconde connexion, par exemple mobile, peut maintenir les activités essentielles lorsque la liaison principale tombe en panne.

Choisis un câble selon le débit requis, la longueur de toute la liaison, les connecteurs, les interférences et l’espace d’installation. Un commutateur plus rapide ne peut pas supprimer une limite du câblage. Inclus les cordons de brassage et les connecteurs lorsque tu vérifies toute la liaison.

Ethernet sur cuivre

Un câble à paires torsadées contient quatre paires de fils de cuivre. La torsade aide à annuler les interférences électriques. La paire torsadée non blindée (UTP) convient aux bureaux ordinaires. La paire torsadée blindée (STP) ajoute un blindage pour les lieux exposés aux interférences électriques et nécessite une mise à la terre correcte.

La liaison de 100 m comprend normalement 90 m de câble fixe et 10 m de cordons de brassage. Les composants de catégorie inférieure réduisent les performances que la liaison complète peut garantir. Un cordon Cat5e dans une installation Cat6a empêche de considérer tout le trajet comme Cat6a simplement parce que le câble fixe porte cette indication.

Ethernet utilise un connecteur RJ45 à huit contacts. Le RJ11, plus petit, sert aux connexions téléphoniques et DSL. Ils transportent des signaux différents.

Placer chaque fil sur la bonne broche

Tiens la fiche RJ45 avec les contacts vers le haut, le clip vers le bas et la broche 1 à gauche. Pour T568B, les broches 1 à 8 sont : blanc/orange, orange, blanc/vert, bleu, blanc/bleu, vert, blanc/marron, marron. T568A intervertit les paires verte et orange : blanc/vert, vert, blanc/orange, bleu, blanc/bleu, orange, blanc/marron, marron.

La même norme aux deux extrémités donne un câble droit, utilisé pour presque toutes les connexions actuelles. T568A à une extrémité et T568B à l’autre donnent le câblage croisé utilisé sur les anciennes liaisons. Les ports auto-MDI-X modernes s’adaptent automatiquement. Applique systématiquement la norme du bâtiment.

Adapter la gaine et le support

Un câble classé plénum limite la propagation des flammes et la fumée dans les espaces utilisés pour faire circuler l’air, comme un espace de retour d’air au-dessus d’un plafond. Un faux plafond ne constitue pas nécessairement un plénum. Utilise le classement de gaine exigé pour l’espace réel. Un câble pour enfouissement direct est conçu pour être enterré sans conduit ; son aptitude à l’extérieur et à l’enfouissement doit correspondre au trajet.

Un câble coaxial possède un conducteur central entouré d’un isolant et d’un blindage. Le RG6 avec connecteur vissable de type F sert à l’Internet et à la télévision par câble ; le RG59 et les connecteurs BNC apparaissent dans les anciennes installations vidéo.

La fibre transporte de la lumière, résiste aux interférences électriques et évite une liaison conductrice entre bâtiments. La fibre monomode possède un cœur d’environ 9 µm et prend en charge les longues liaisons avec des composants optiques laser compatibles. La fibre multimode possède un cœur de 50 ou 62,5 µm et sert aux liaisons plus courtes ; 10GBASE-SR atteint environ 300 m sur OM3 et 400 m sur OM4. Assure-toi que la fibre et les deux émetteurs-récepteurs sont compatibles. Les connecteurs ST se verrouillent par rotation, les SC se branchent et se débranchent par poussée et traction, et les LC, plus petits, se verrouillent par loquet.

Ne regarde jamais dans l’extrémité d’une fibre ou dans un port optique : une lumière laser invisible peut blesser tes yeux.

Pour une liaison de 70 m à 10 Gbit/s passant dans un plafond utilisé pour le retour d’air, choisis du Cat6a classé plénum. Pour une liaison de 400 m entre deux bâtiments, la fibre convient par sa portée et son isolation électrique ; la fibre monomode laisse aussi une marge d’évolution. Une fibre OM4 avec des composants optiques 10 Gbit/s adaptés peut atteindre 400 m, mais avec peu de marge de distance.

Une panne de câble peut être due à un conducteur endommagé, un mauvais raccordement, un trajet inconnu ou une liaison qui ne satisfait pas aux performances requises. Choisis l’outil qui répond à la question posée. Un test réussi n’a de sens que dans les limites de ce que l’outil mesure.

Réaliser et raccorder la liaison

Un dénudeur retire la gaine sans couper les conducteurs. Une pince à sertir fixe une fiche modulaire : les contacts pénètrent dans les fils et la languette de retenue maintient la gaine. Un outil d’insertion enfonce les fils dans les contacts des prises murales, des panneaux de brassage ou des blocs et coupe leurs extrémités.

Pour fabriquer un cordon de brassage T568B :

1. Retire environ 25 mm de gaine sans entailler les fils.
2. Dispose les conducteurs dans l’ordre T568B : blanc/orange, orange, blanc/vert, bleu, blanc/bleu, vert, blanc/marron, marron.
3. Coupe les extrémités à la même longueur, environ 13 mm pour une fiche adaptée.
4. Insère complètement les fils, avec la gaine maintenue à l’intérieur de la languette de retenue, puis sertis.
5. Raccorde l’autre extrémité selon la même norme et teste le câble.

Utilise des connecteurs adaptés au câble et suis leurs instructions de préparation. Sur une prise ou un panneau, suis les repères A ou B imprimés. Garde les paires torsadées jusqu’à environ 13 mm du raccordement ; de longues sections détorsadées augmentent les interférences entre paires.

Tester le câblage ou certifier les performances

Un testeur de câblage relie une unité principale et une unité distante aux extrémités opposées. Son schéma de câblage révèle un conducteur en circuit ouvert, un court-circuit entre conducteurs ou une erreur de câblage. Un test simple à huit voyants établit la continuité et l’ordre des broches. Un certificateur de câblage mesure des propriétés comme la longueur, les pertes et la diaphonie pour évaluer une liaison selon sa catégorie. Les huit voyants seuls ne prouvent pas que la liaison atteint 10 Gbit/s.

Une sonde de détection de tonalité permet de suivre un câble. Raccorde le générateur de tonalité à une extrémité et utilise la sonde pour localiser le câble correspondant ou le port du panneau. Le repérage identifie le trajet ; un test du schéma de câblage vérifie les connexions. Un bouchon de bouclage renvoie les signaux émis vers la partie réception d’un port pour tester localement l’interface. Même si ce test réussit, il reste à vérifier le câble réel et l’appareil à l’autre extrémité.

Observer les signaux radio et le trafic en cours

Un analyseur Wi-Fi affiche les noms des réseaux, les canaux et la puissance du signal reçu. Cette puissance est souvent une valeur négative en dBm : −50 dBm est plus fort que −75 dBm. Environ −67 dBm est une cible courante pour planifier la voix et la vidéo ; le service réel dépend aussi du bruit et de l’encombrement. En dessous d’environ −80 dBm, le service est souvent peu fiable.

Un TAP réseau copie le trafic d’une liaison vers un port de surveillance pour un analyseur de paquets ou un outil de surveillance de sécurité. Il permet d’observer le trafic ; il n’attribue pas d’adresses aux clients et ne répare pas le câblage.

Examiner une prise murale inconnue

Un ordinateur portable et un cordon de brassage dont le bon fonctionnement est connu ne parviennent pas à se connecter à un bureau nouvellement occupé. Repère le câble mural jusqu’au panneau de brassage avec un générateur de tonalité et une sonde. Teste la liaison entre le panneau et la prise murale : le fil 3 présente un circuit ouvert. Examine et réinsère le fil au raccordement concerné, teste de nouveau le schéma de câblage, puis relie le port étiqueté du panneau au commutateur avec un cordon de brassage. Vérifie enfin qu’une connexion réseau réelle fonctionne. Remplacer le cordon du bureau déjà testé laisserait subsister la panne de la liaison permanente.

Une adresse IPv4, ou adresse du protocole Internet version 4, identifie une interface sur un réseau. Elle contient 32 bits, affichés sous forme de quatre octets décimaux séparés par des points. Chaque octet va de 0 à 255 : 192.168.1.25 est donc une notation valide, contrairement à 192.168.1.300.

Comprendre le rôle de chaque paramètre

Le serveur du système de noms de domaine (DNS) peut partager l’adresse de la passerelle, car un routeur fournit souvent les deux services. Leurs rôles restent distincts. Les appareils peuvent communiquer localement sans passerelle ; pour accéder aux services Internet par leur nom, il faut les paramètres d’adressage, de passerelle et de résolution de noms appropriés.

Avec le masque 255.255.255.0, aussi appelé /24, les trois premiers octets identifient le réseau. 192.168.1.37 et 192.168.1.200 sont sur le même réseau local. 192.168.0.200 est sur un autre réseau. Dans ce /24, .0 identifie le réseau, .255 est l’adresse de diffusion générale et .1 à .254 sont les 254 adresses disponibles pour les appareils. Une adresse doit être unique sur son réseau local.

Reconnaître les adresses privées et particulières

Les plages IPv4 privées sont 10.0.0.0–10.255.255.255, 172.16.0.0–172.31.255.255 et 192.168.0.0–192.168.255.255. Elles peuvent être réutilisées dans des organisations distinctes et ne sont pas routées sur l’Internet public. Un routeur de petite entreprise ou domestique utilise la traduction d’adresses réseau (NAT) pour que les clients dotés d’adresses privées partagent une adresse IPv4 publique. Vérifie toute la plage : 172.20.5.4 est privée ; 172.32.0.1 est en dehors de cette plage.

127.0.0.1 est l’adresse de bouclage, qui désigne l’appareil lui-même. Lui envoyer un ping vérifie le logiciel réseau local sans transmettre de trafic par le câble ou le Wi-Fi.

169.254.x.x appartient à l’adressage IPv4 local de lien. Windows appelle l’utilisation automatique de ces adresses adressage IP privé automatique (APIPA). Sur un client Windows configuré pour obtenir ses paramètres automatiquement, cela signifie généralement qu’aucun bail DHCP utilisable n’a été obtenu. Cette adresse permet de communiquer sur la liaison locale, mais ne fournit pas d’accès routé à Internet. Une adresse locale de lien indique à elle seule un symptôme, pas le câble, le serveur ou le paramètre qui en est la cause.

Lire une configuration réelle

Sous Windows, ipconfig affiche l’adresse, le masque et la passerelle. ipconfig /all ajoute les serveurs DNS, l’adresse MAC physique, l’état de DHCP, le bail et son serveur. Sous macOS, utilise Réglages Système > Réseau > connexion > Détails ; ifconfig répertorie les informations des interfaces. Sous Linux, ip addr répertorie les adresses et ip route affiche la passerelle après « default via ».

Un PC avec 192.168.1.37/24, la passerelle 192.168.1.1 et le DNS 192.168.1.1 possède des paramètres cohérents. Pour un autre PC avec 169.254.88.14 et aucune passerelle, il faut vérifier le processus d’attribution automatique des adresses. Confirme que sa connexion physique ou Wi-Fi et le service DHCP fonctionnent avant de demander un nouveau bail. Une passerelle incorrecte peut laisser l’impression locale fonctionner alors que les destinations extérieures sont inaccessibles.

La plupart des appareils clients devraient obtenir leurs paramètres automatiquement. Certains ont besoin d’une adresse prévisible pour que les utilisateurs et les applications puissent les trouver. Choisis une méthode d’adressage qui répond à ce besoin et reste facile à gérer lorsque le réseau change.

Choisir où les paramètres sont contrôlés

Le protocole de configuration dynamique des hôtes (DHCP) fournit l’adresse, le masque, la passerelle et les paramètres DNS. Un ordinateur portable peut rejoindre un autre réseau et y recevoir des paramètres adaptés. Une saisie statique reste sur l’appareil jusqu’à sa modification. Une réservation laisse l’appareil utiliser DHCP, mais indique au serveur de continuer à lui attribuer la même adresse.

Vérifie l’adresse que le serveur voit réellement, en particulier pour les appareils Wi-Fi qui utilisent des adresses MAC privées. Si cet identifiant change, une réservation existante peut ne plus correspondre.

Choisir une adresse statique sans conflit

Supposons qu’un routeur utilise 192.168.1.1/24 et que sa plage DHCP aille de 192.168.1.100 à 192.168.1.199. Une imprimante peut utiliser 192.168.1.20 si cette adresse est inutilisée et consignée. Saisis le masque 255.255.255.0, la passerelle 192.168.1.1 et le serveur DNS approuvé pour le réseau.

Vérifie les trois conditions suivantes :

1. L’adresse statique appartient au réseau local de la passerelle.
2. DHCP ne l’attribuera pas à un autre client : elle est hors de la plage ou en est exclue.
3. Aucun autre appareil ne l’utilise déjà.

Une adresse hors de la plage DHCP n’est pas nécessairement libre. Un autre technicien peut l’avoir déjà attribuée manuellement. Vérifie les registres du site et les appareils présents avant de l’utiliser.

Comprendre le symptôme causé par un champ incorrect

Une adresse IP en double peut provoquer un accès intermittent lorsque deux appareils revendiquent la même adresse. Choisir une adresse manuelle dans une plage DHCP active crée ce risque lorsque le serveur l’attribue par la suite. Déplace l’adresse manuelle hors de la plage ou exclus-la, puis documente la modification.

Un masque incorrect change les destinations que le client considère comme locales. Une passerelle absente bloque l’accès aux autres réseaux, tandis que les ressources locales peuvent fonctionner. Des paramètres DNS incorrects empêchent la résolution des noms même si les connexions à des adresses IP connues fonctionnent encore. Un ordinateur portable qui conserve une configuration domestique statique peut donc échouer lorsqu’il rejoint un réseau de bureau.

Gérer le remplacement d’un routeur

Un ancien routeur utilisait 192.168.0.x ; son remplaçant utilise 192.168.1.x. Une imprimante toujours configurée à l’adresse fixe 192.168.0.50/24 se trouve désormais sur le mauvais réseau pour les PC. Conserve l’ancienne plage LAN sur le routeur de remplacement ou attribue à l’imprimante une adresse inutilisée de la nouvelle plage. Mets à jour les ports d’imprimante des PC si son adresse change. Renouveler plusieurs fois les baux des PC ne modifiera pas une imprimante configurée manuellement.

Un serveur DHCP fournit automatiquement les paramètres IP aux clients. Dans un petit réseau, il fait souvent partie du routeur. Le serveur gère les adresses d’un réseau et fournit des options comme le masque de sous-réseau, la passerelle par défaut, les serveurs DNS et la durée du bail.

Suivre DORA

Un nouveau client IPv4 utilise couramment quatre messages, désignés par le sigle DORA :

1. Découverte : le client diffuse une demande pour trouver un serveur.
2. Offre : un serveur propose une adresse et des paramètres.
3. Demande : le client demande à utiliser l’offre sélectionnée.
4. Accusé de réception : le serveur confirme le bail et ses options.

DHCP utilise UDP 67 côté serveur et UDP 68 côté client. La diffusion initiale reste sur le réseau local sauf si un routeur la relaie. Un client connecté ne peut pas obtenir de bail d’un serveur inaccessible simplement parce que ce serveur existe ailleurs dans l’organisation.

Prévoir suffisamment d’adresses

Une étendue DHCP combine une plage d’adresses et les options de ce réseau. Une exclusion DHCP retire des adresses de l’attribution automatique, souvent pour protéger les appareils configurés manuellement. Une réservation associe une adresse à l’adresse MAC d’un client.

Une plage allant de 192.168.1.100 à 192.168.1.199 contient 100 adresses, car les deux extrémités comptent. Exclure .100 à .109 en retire 10 et en laisse 90. Si 95 nouveaux clients ont simultanément besoin d’un bail et qu’aucun n’a de bail utilisable, cinq ne peuvent pas en obtenir. Les clients Windows dans cette situation peuvent utiliser des adresses locales de lien 169.254.x.x. L’extension d’une plage doit toujours respecter les attributions statiques et la plage du réseau local.

Comprendre les délais du bail

Un bail DHCP autorise le client à utiliser son adresse pendant une durée limitée. Avec les proportions par défaut des délais, pour un bail de 24 heures, le client tente un renouvellement auprès de son serveur initial après 12 heures. En cas d’échec, le client essaie tout serveur disponible après 21 heures. Si le bail expire sans renouvellement, il doit cesser d’utiliser l’adresse attribuée.

Les clients existants dont le bail est valide peuvent continuer à fonctionner pendant une panne DHCP. Un client redémarré peut souvent réutiliser un bail mémorisé non expiré. Les nouveaux clients sans bail utilisable échouent en premier : le fait que les utilisateurs déjà connectés puissent travailler ne permet donc pas d’écarter DHCP.

Sous Windows, ipconfig /release libère un bail ; ipconfig /renew en demande un. La libération du bail interrompt la connexion de ce client. Utilise ces commandes après avoir vérifié qu’un chemin fonctionnel vers le service DHCP voulu existe.

Reconnaître les paramètres concurrents ou qui ne correspondent plus

Un serveur DHCP non autorisé est présent sans autorisation. Un routeur domestique de réserve connecté par un port LAN peut proposer un réseau ou une passerelle incorrects, produisant des résultats différents selon les clients. Supprime le service non prévu ou configure l’appareil de réserve comme point d’accès avec DHCP désactivé. Plusieurs serveurs autorisés peuvent fonctionner ensemble s’ils sont configurés pour se coordonner.

Les réservations dépendent de la correspondance des adresses MAC. Une adresse MAC Wi-Fi privée fixe peut être réservée ; une adresse qui change régulièrement finira par ne plus correspondre. Vérifie l’adresse vue par le routeur et le paramètre de confidentialité de l’appareil pour ce réseau.

DHCP peut fournir une adresse correcte et un serveur DNS incorrect. Dans ce cas, le bail est attribué, mais l’accès aux sites web par leur nom échoue. Examine les options fournies ainsi que l’adresse.

Le protocole Internet version 6 (IPv6) utilise des adresses de 128 bits. Les quelque 4,3 milliards d’adresses possibles d’IPv4 sont trop peu nombreuses pour donner à chaque appareil une adresse publique unique. IPv6 offre un espace bien plus vaste et fonctionne couramment en parallèle d’IPv4.

Lire et abréger la notation

Une adresse complète comporte huit groupes de quatre chiffres hexadécimaux, séparés par des deux-points. Le système hexadécimal utilise 0–9 et a–f. Partons de :

2001:0db8:0000:0000:0000:ff00:0042:8329

Supprime d’abord les zéros au début des groupes :

2001:db8:0:0:0:ff00:42:8329

Remplace ensuite une suite de groupes de zéros consécutifs par :: :

2001:db8::ff00:42:8329

Utilise :: au maximum une fois. Deux occurrences rendent incertaines les positions des groupes manquants. Ne supprime que les zéros en début de groupe : remplacer db80 par db8 change l’adresse. Pour développer une adresse abrégée, rétablis suffisamment de groupes de zéros pour obtenir huit groupes au total.

Reconnaître les types d’adresses

Une interface sur laquelle IPv6 est activé crée automatiquement une adresse locale de lien. Il est normal d’en posséder une. Une adresse globale indique une portée globale, mais l’accès à Internet nécessite aussi une route adaptée et l’autorisation du trafic. Un appareil peut posséder simultanément une adresse locale de lien, plusieurs adresses globales et des adresses temporaires de confidentialité qui changent. Ce n’est pas un conflit d’adresses.

Le suffixe /64 indique couramment la longueur du préfixe d’un LAN. Un indicateur d’interface comme %12 dans fe80::1%12 identifie l’interface réseau locale ; il ne fait pas partie de l’adresse.

Comprendre l’origine des paramètres

Avec l’autoconfiguration sans état des adresses (SLAAC), le routeur annonce un préfixe et le client crée une adresse. DHCPv6 peut fournir des adresses ou d’autres paramètres, notamment les serveurs DNS. Les annonces du routeur fournissent les informations sur le routeur par défaut ; la passerelle apparaît souvent sous forme d’une adresse locale de lien comme fe80::1.

La double pile consiste à utiliser IPv4 et IPv6 ensemble. Un affichage Windows peut montrer une adresse IPv6 globale, une adresse IPv6 locale de lien et des passerelles IPv4 et IPv6. Si seule une adresse IPv6 locale de lien apparaît, une configuration IPv4 valide peut quand même donner accès à Internet. Vérifie quelle famille de protocoles une connexion utilise réellement avant de considérer tout l’appareil comme hors ligne.

IPv6 ne possède pas d’adresse de diffusion générale. Les réseaux domestiques donnent généralement aux appareils leurs propres adresses IPv6 globales au lieu d’utiliser une traduction d’adresses réseau comme en IPv4. Le pare-feu du routeur contrôle toujours le trafic entrant ; la portée de l’adresse et l’autorisation de se connecter sont deux questions distinctes.

Le système de noms de domaine (DNS) traduit des noms comme www.example.com en adresses. Il est distribué : différents serveurs détiennent différentes parties d’une hiérarchie. Une liaison Internet fonctionnelle et une résolution de noms fonctionnelle sont deux conditions distinctes.

Suivre la hiérarchie

Lis www.example.com de droite à gauche. La racine dirige les requêtes vers un domaine de premier niveau (TLD) comme .com. Les serveurs de ce TLD indiquent les serveurs faisant autorité pour example.com. Les serveurs faisant autorité détiennent les enregistrements officiels du domaine, notamment les noms qu’il contient comme www.example.com.

Un appareil utilise ses informations locales sur les noms, notamment son cache et son fichier hosts. S’il a besoin du DNS, il interroge le résolveur récursif configuré. Il peut s’agir d’un serveur d’entreprise, d’un service du fournisseur, d’un résolveur public ou d’un service accessible par le routeur. Le résolveur répond à partir de son cache lorsque c’est possible. Sinon, il suit les renvois de la racine au TLD puis au serveur faisant autorité et retourne le résultat. Le DNS utilise le port 53.

Les enregistrements en cache ont une durée de validité

La durée de vie (TTL) d’un enregistrement limite le temps pendant lequel il peut être conservé en cache. Une durée de vie de 3600 secondes autorise une heure ; 300 secondes autorisent cinq minutes. Un enregistrement modifié sur le serveur faisant autorité ne remplace pas instantanément les copies encore valides dans les caches.

Avant un déplacement prévu, réduis la durée de vie assez tôt pour que les anciennes copies en cache expirent. Sous Windows, ipconfig /flushdns vide le cache local, mais pas celui d’un résolveur distant. Vider plusieurs fois le cache du PC ne peut pas obliger un résolveur externe à oublier une réponse dont la durée de vie reste valide.

Vérifier les substitutions locales et le résolveur

Le fichier hosts associe localement des noms à des adresses. Windows utilise C:\Windows\System32\drivers\etc\hosts ; macOS et Linux utilisent /etc/hosts. Une entrée comme « 203.0.113.50 intranet.example.com » peut amener les applications de cet appareil à joindre cette adresse sans résolution DNS. Si un seul PC atteint un ancien site, examine les substitutions locales ainsi que les caches.

Exécute nslookup www.example.com pour voir le serveur DNS et sa réponse. « Réponse ne faisant pas autorité » signifie que le résolveur qui répond ne fait pas autorité pour ce nom. Il a pu utiliser un cache ou effectuer une nouvelle résolution. Cette mention est normale. Pour comparer les résolveurs, nslookup www.example.com 1.1.1.1 envoie la requête à un serveur précis. Retiens que nslookup interroge le DNS ; il ne reproduit pas la façon dont chaque application utilise le fichier hosts local.

Distinguer un échec de résolution d’un problème de connexion

Si une adresse Internet dont tu sais qu’elle répond renvoie une réponse à ping, mais qu’un nom produit le message « hôte introuvable », la résolution de noms doit être examinée. Vérifie le serveur DNS configuré et compare les résultats de résolution. Un ping qui expire ne permet pas à lui seul de conclure : un hôte ou un pare-feu peut bloquer les pings alors qu’un autre service fonctionne. Si les connexions par adresse échouent aussi, examine la connectivité en plus du DNS.

Les PC d’entreprise peuvent avoir besoin de noms internes comme fileserver.corp.example.com. Utilise les serveurs DNS internes approuvés. Les remplacer par un résolveur public peut rétablir les résolutions publiques tout en interrompant l’accès aux ressources internes et la connexion au domaine. La passerelle par défaut et le serveur DNS sont des paramètres indépendants, même lorsqu’un routeur domestique fournit les deux services.

Un enregistrement DNS possède un nom, un type, une durée de vie (TTL) et une valeur. Le type indique le sens de la valeur. Lis-le avant de déterminer si la valeur doit être une adresse, un autre nom, une destination de messagerie ou un texte de politique.

Trouver les hôtes, les alias et les destinations de messagerie

Un nom peut posséder à la fois des enregistrements A et AAAA. Un CNAME pointe vers un autre nom, dont l’adresse doit ensuite être résolue ; placer une adresse IP comme cible revient à confondre les types d’enregistrements. Un nom ordinaire auquel est associé un CNAME ne peut pas posséder ses propres données A, MX ou TXT.

Pour les enregistrements MX, les numéros de priorité les plus bas sont essayés en premier. Si example.com possède 10 mail1.example.com et 20 mail2.example.com, les expéditeurs essaient normalement mail1 avant mail2. La valeur MX est un nom d’hôte possédant des enregistrements d’adresse, et non l’adresse IP du serveur de messagerie. Elle indique où recevoir les courriels du domaine, pas le port d’envoi que l’application de messagerie d’un utilisateur doit employer.

Comprendre les trois contrôles de messagerie

SPF publie les systèmes autorisés à envoyer des messages dans un enregistrement TXT du domaine utilisé dans l’adresse d’expéditeur de l’enveloppe du message. Un enregistrement peut contenir une adresse IP et la liste d’un fournisseur. Sa terminaison -all indique qu’un expéditeur non reconnu échoue au contrôle ; ~all indique un échec souple. La politique du destinataire détermine le traitement final. Publie un seul enregistrement de politique SPF par domaine ; plusieurs enregistrements de politique SPF provoquent une erreur.

DKIM ajoute une signature numérique à l’aide de la clé privée de l’expéditeur. La clé publique est publiée sous un nom de sélecteur comme selector1._domainkey.example.com. Le destinataire l’utilise pour vérifier le domaine signataire et les parties signées du message. Une signature valide concerne ces parties signées ; elle ne garantit pas que le message est honnête.

DMARC ajoute une exigence d’alignement avec le domaine visible dans l’adresse d’expédition. Au moins une méthode doit réussir et être alignée : SPF ou DKIM. La réussite d’un contrôle pour un domaine sans rapport ne suffit pas. Une politique TXT à _dmarc.example.com peut demander p=none pour la surveillance, p=quarantine pour traiter les messages comme suspects ou p=reject pour les refuser, et indiquer une destination pour les rapports. Les destinataires appliquent leurs propres politiques de traitement.

Accompagner un changement de fournisseur

Une entreprise change de fournisseur de messagerie et ses messages commencent à arriver dans les courriers indésirables. Vérifie si la politique SPF existante autorise le nouveau fournisseur et si sa clé DKIM est publiée sous le bon sélecteur. Vérifie ensuite l’alignement DMARC et les rapports. Créer un second enregistrement SPF ne résout pas le problème ; mets à jour la politique unique. Par ailleurs, le déplacement d’un site web modifie les données A ou AAAA et peut laisser d’anciennes adresses en cache utilisées jusqu’à l’expiration de leur durée de vie.

Une adresse IP achemine les données jusqu’à un hôte. Un protocole de transport et un numéro de port identifient le point de connexion du programme sur cet hôte. Une règle de pare-feu nécessite donc plus qu’une adresse : les trafics TCP et UDP utilisant le même numéro constituent des cas distincts.

Lire un point de connexion

Un protocole est un ensemble de règles de communication. Le protocole de contrôle de transmission TCP et le protocole de datagrammes utilisateur UDP transportent les données des applications sur IP. Un port est un numéro de 0 à 65535. Les ports connus vont de 0 à 1023, les ports enregistrés de 1024 à 49151 et les ports dynamiques ou privés de 49152 à 65535. Le logiciel client choisit généralement un port source éphémère, ou temporaire, dans une plage élevée ; les systèmes d’exploitation choisissent leurs propres plages disponibles.

Un socket associe une adresse IP et un port pour un protocole de transport donné. Un ordinateur portable peut se connecter depuis 192.168.1.37:51544 à un serveur web à 203.0.113.10:443 en TCP. Le serveur répond au port 51544 de l’ordinateur portable. Le client n’a pas besoin d’écouter sur 443 simplement parce que le serveur le fait.

Une seconde connexion TCP entre le même client et le même point de connexion du serveur utilise un port source client différent. Plusieurs onglets du navigateur peuvent aussi partager une connexion, le protocole web séparant les requêtes. Ne compte pas les onglets pour déduire le nombre de connexions de transport.

Comparer le comportement de livraison

TCP numérote les données et récupère les parties manquantes, ce qui convient au transfert de fichiers et à de nombreuses sessions web, de messagerie et à distance. UDP ajoute moins de données de contrôle. Il convient aux requêtes courtes et aux échanges vocaux, vidéo et de jeu sensibles au temps. Si un ancien paquet vocal arrive trop tard, le rejouer peut être moins utile que de poursuivre l’appel. Les applications peuvent ajouter leurs propres mécanismes de fiabilité à UDP.

Qualifier UDP de « non fiable » signifie qu’UDP lui-même ne garantit pas la livraison. Cela ne signifie pas que la plupart des datagrammes disparaissent. Qualifier TCP de fiable signifie qu’il détecte et récupère les données manquantes tant que la connexion fonctionne ; il ne maintient pas indéfiniment une liaison rompue.

Faire correspondre les deux éléments d’une règle

Le DNS utilise normalement UDP 53 pour les requêtes ordinaires, mais aussi TCP 53, notamment pour les réponses volumineuses et les transferts entre serveurs. Le Bureau à distance utilise TCP 3389 et peut ajouter UDP 3389. HTTP/3 utilise QUIC sur UDP 443 : le trafic web moderne n’utilise donc pas exclusivement TCP.

Si une application exige UDP 3478, autoriser TCP 3478 n’ouvre pas le chemin requis. Vérifie ensemble le protocole de transport, le port de destination et l’hôte voulu. Les numéros de port sont des valeurs par défaut, pas des preuves d’identité : un service d’administration web peut utiliser 8443, et un autre logiciel peut occuper un port connu. Identifie le service configuré ainsi que son numéro.

Les ports t’aident à déterminer quelle partie du trajet d’une application examiner. L’accès web, l’envoi et la lecture des courriels, la résolution de noms et l’adressage automatique utilisent des services différents. Une connexion réussie pour le courrier entrant donne peu d’informations sur les paramètres du courrier sortant.

Accès web et sécurité de la connexion

Le protocole de transfert hypertexte (HTTP) utilise couramment TCP 80 et transporte le trafic web sans chiffrement. HTTPS utilise couramment TCP 443 avec la sécurité de la couche transport (TLS). TLS protège le trafic pendant son transit et le navigateur vérifie le certificat du serveur. Un site d’hameçonnage peut aussi posséder un certificat valide : la sécurité de la connexion et l’honnêteté du responsable du site sont deux questions distinctes. HTTP/3 transporte HTTPS par QUIC sur UDP 443.

Envoyer et lire les courriels

STARTTLS fait passer une connexion à TLS ; le TLS implicite commence directement avec le chiffrement. Utilise ensemble le port et le mode de chiffrement exigés par le fournisseur. De nombreux fournisseurs bloquent le port sortant 25 sur les connexions résidentielles pour limiter les courriers indésirables. Ne remplace pas les paramètres d’envoi authentifié de l’application par le port 25 utilisé entre serveurs.

POP3 télécharge les messages et supprime souvent les copies du serveur. Les dossiers locaux et l’état de lecture ne sont pas synchronisés entre appareils. IMAP conserve la boîte aux lettres sur le serveur et synchronise les dossiers et l’état des messages. Il convient mieux lorsqu’un utilisateur travaille sur un téléphone, un ordinateur portable et une messagerie web.

Si la réception des courriels fonctionne mais que l’envoi échoue, examine le nom du serveur SMTP, le port d’envoi, le mode TLS et les identifiants. Modifier le port IMAP entrant revient à agir sur la partie du compte qui fonctionne.

Faire passer un utilisateur de POP3 à IMAP avec précaution

Le téléphone et l’ordinateur portable d’un utilisateur affichent des messages et des états de lecture différents, car POP3 a créé des ensembles locaux distincts. Ajoute le compte avec IMAP ou le type de compte pris en charge par le fournisseur. Copie les messages stockés uniquement sur un appareil dans la boîte aux lettres du serveur et vérifie leur présence depuis un autre client. Ne supprime l’ancienne configuration POP3 qu’après avoir vérifié que les messages sont présents en sécurité. La supprimer d’abord peut entraîner la perte de courriels qui n’existent nulle part ailleurs.

Distinguer les services de noms et d’adresses

Le système de noms de domaine (DNS) utilise le port 53, généralement UDP pour les requêtes ordinaires et TCP si nécessaire. Le protocole de configuration dynamique des hôtes (DHCP) utilise UDP 67 côté serveur et 68 côté client. Le DNS trouve l’adresse associée à un nom ; DHCP fournit sa propre configuration à un client.

Pour retenir les valeurs par défaut, regroupe-les par fonction : web 80/443, transfert de courriels entre serveurs 25, téléchargement des courriels 110, synchronisation de boîte aux lettres 143, résolution de noms 53 et configuration IPv4 automatique 67/68. Retiens les ports de messagerie chiffrés avec les ports en clair par défaut afin de pouvoir aussi configurer les services.

L’assistance implique souvent des commandes à distance, des bureaux à distance, des dossiers partagés ou des transferts de fichiers. Ce sont des tâches différentes. Choisis le service adapté à la tâche et évite d’envoyer des identifiants sur une connexion non chiffrée.

Administration à distance et transfert de fichiers

La connexion de données FTP est distincte de sa connexion de commandes. Le mode actif utilise le port serveur 20 ; le mode passif utilise un port de données choisi par le serveur. Ouvrir uniquement 21 peut donc permettre la connexion alors que les transferts échouent. FTPS ajoute TLS à FTP ; SFTP est un protocole différent transporté par SSH. Leurs noms similaires ne les rendent pas interchangeables dans les paramètres du client.

Utilise SSH plutôt que Telnet pour les commandes à distance. SSH transporte aussi SFTP et la copie sécurisée (SCP). Pour contrôler l’interface graphique de Windows, accède à RDP par un VPN ou une passerelle Bureau à distance. Exposer directement RDP par une redirection de port depuis Internet attire les attaques contre le service.

Fichiers partagés et anciennes fonctions réseau de Windows

SMB utilise TCP 445 pour le partage de fichiers et d’imprimantes. Un chemin comme \\fileserver\shared désigne un dossier partagé. Windows, macOS, Linux et les appareils NAS peuvent tous utiliser SMB. CIFS désigne une ancienne variante de SMB ; ces noms sont parfois employés de manière approximative dans les menus des appareils.

Garde SMBv1 désactivé, car il est obsolète et non sécurisé. Si la connexion à un ancien appareil échoue, vérifie les protocoles pris en charge et mets l’appareil à jour ou remplace-le, plutôt que d’activer un partage obsolète dans tout le bureau.

NetBIOS sur TCP/IP (NetBT) utilise UDP 137 pour les noms, UDP 138 pour les datagrammes et TCP 139 pour les sessions, notamment les anciennes connexions SMB. Les réseaux modernes utilisent normalement le DNS pour les noms et SMB directement sur 445.

Annuaires et accès limités par le pare-feu

Le protocole léger d’accès aux annuaires (LDAP) interroge et met à jour les informations d’annuaire comme les utilisateurs, les groupes et les carnets d’adresses. Son port habituel est 389. LDAPS utilise TLS sur TCP 636 ; LDAP peut aussi passer à TLS sur 389 lorsqu’il est configuré pour STARTTLS. Un photocopieur peut interroger l’annuaire pour obtenir les adresses de courriel du personnel.

Supposons qu’un pare-feu sépare le réseau du personnel de celui des serveurs. Un administrateur qui utilise un interpréteur de commandes Linux chiffré a besoin de TCP 22 vers le serveur voulu. Une demande de dossier partagé nécessite TCP 445 vers le serveur de fichiers. Les bureaux à distance nécessitent TCP 3389 depuis les clients VPN approuvés, avec éventuellement UDP pour améliorer les performances. Indique la source, la destination, le protocole de transport et le port dans chaque règle. Ouvrir une grande plage parce que plusieurs tâches échouent masque le service réellement nécessaire.

Le Wi-Fi est la famille de normes IEEE 802.11 pour les réseaux sans fil. Le nom de génération indique la technologie prise en charge ; la bande, la largeur de canal, le matériel client et l’environnement influent sur les performances réelles d’un appareil.

Associer les générations aux bandes

Ces valeurs sont des totaux idéaux pour l’ensemble des flux pris en charge, pas des débits habituels pour un seul ordinateur portable. Le point d’accès et le client doivent tous deux prendre en charge la bande et les fonctions concernées. Un appareil Wi-Fi 6 ne bénéficie pas de la bande 6 GHz simplement parce que le point d’accès prend en charge le Wi-Fi 6E.

Équilibrer la portée et le spectre disponible

La bande 2,4 GHz traverse généralement les murs sur une plus grande distance, mais partage un spectre encombré avec les réseaux voisins, Bluetooth et les fours à micro-ondes. La bande 5 GHz offre davantage de choix de canaux et souvent des débits plus élevés sur une portée plus courte. La bande 6 GHz offre du spectre supplémentaire et des canaux larges aux appareils 6E et Wi-Fi 7 compatibles, avec une portée pratique plus courte et la sécurité WPA3 pour les réseaux sécurisés ordinaires.

En 2,4 GHz, les numéros de canal ne sont espacés que de 5 MHz, alors qu’un canal typique occupe environ 20 MHz. Les canaux 1, 6 et 11 forment le plan habituel sans chevauchement. Le canal 3 chevauche le trafic proche des canaux 1 et 6. Partager un même canal prévu à cet effet peut mieux fonctionner que créer un chevauchement partiel.

Les largeurs comprennent 20, 40, 80, 160 et, avec le Wi-Fi 7, 320 MHz. Des canaux plus larges augmentent les débits possibles, mais occupent davantage de spectre et laissent moins de canaux indépendants. Utilise 20 MHz sur une bande 2,4 GHz encombrée ; 40 ou 80 MHz conviennent souvent en 5 GHz. Ne choisis des largeurs supérieures que si le spectre disponible et les clients les prennent en charge.

Configure correctement le pays ou la région. Les bandes, canaux et puissances autorisés dépendent de l’autorité nationale de régulation. Certains canaux 5 GHz nécessitent la sélection dynamique de fréquence (DFS) : le point d’accès détecte les radars et change de canal. Ne copie pas le plan de canaux d’un équipement configuré pour un autre pays.

Reconnaître les autres technologies radio

Bluetooth forme des réseaux personnels de proximité, généralement sur environ 10 m, en utilisant la bande 2,4 GHz. L’appairage comprend la détection, la sélection et la confirmation. Le Bluetooth à basse consommation prend en charge de petits appareils alimentés par batterie.

La communication en champ proche (NFC) fonctionne sur quelques centimètres à 13,56 MHz pour des usages par rapprochement comme le paiement ou l’accès. La radio-identification (RFID) lit des étiquettes par radio à des distances déterminées par le système utilisé. Les étiquettes passives utilisent l’énergie du lecteur et n’ont pas de batterie. La NFC est une forme spécialisée de RFID à courte portée.

Pour une caméra derrière des murs extérieurs, essaie la bande 2,4 GHz pour sa portée. Pour un ordinateur portable compatible situé à proximité et transférant de gros fichiers, la bande 5 ou 6 GHz peut mieux convenir. Les écouteurs utilisent Bluetooth ; un badge d’accès utilise un système RFID ou NFC adapté.

Un routeur de petite entreprise ou domestique relie le réseau local au fournisseur et fournit souvent le Wi-Fi, l’adressage automatique et un pare-feu. Configure d’abord la connexion physique, puis l’administration, les paramètres Internet et le LAN. Consigne la configuration pour qu’un autre technicien puisse l’entretenir.

Raccorder le routeur et sécuriser son administration

Relie le modem ou le terminal de réseau optique (ONT) au port WAN, ou Internet. Relie les ordinateurs locaux ou un commutateur aux ports LAN. Certains modems câble mémorisent le premier appareil connecté ; les redémarrer après le remplacement du routeur peut leur permettre de reconnaître le nouveau routeur.

Ouvre l’adresse locale d’administration du routeur, indiquée sur son étiquette ou dans le paramètre de passerelle par défaut d’un client, ou utilise son application compatible. Remplace le mot de passe administrateur par défaut par un mot de passe robuste et unique. Utilise l’administration par HTTPS lorsqu’elle est disponible et désactive l’administration depuis Internet sauf si elle est nécessaire. Mets à jour le micrologiciel et active les mises à jour automatiques lorsqu’elles sont proposées. Remplace les équipements qui ne reçoivent plus de mises à jour de sécurité.

Adapter les paramètres WAN au fournisseur

Le fournisseur détermine la méthode. Choisir DHCP automatique pour un service qui exige PPPoE peut laisser le réseau local fonctionner alors que l’accès à Internet échoue. Une adresse WAN statique et une adresse LAN statique décrivent deux côtés différents du routeur.

Pour le LAN, choisis l’adresse et le masque du routeur, la plage DHCP, la durée du bail, les options DNS et les réservations. Avec 192.168.1.1/24 et une plage .100–.199, laisse de la place hors de la plage pour les appareils à adresse statique documentés.

Identifier la traduction d’adresses en amont

Le double NAT se produit lorsqu’une passerelle de fournisseur route un LAN privé et qu’un second routeur route un autre LAN derrière elle. La navigation fonctionne souvent, mais les connexions entrantes et certaines applications deviennent plus difficiles à prendre en charge. Place la passerelle du fournisseur en mode pont si elle le permet, ou transforme le second appareil en point d’accès. Une redirection planifiée peut fonctionner à travers deux routeurs locaux si les deux sont configurés.

Vérifie l’adresse WAN avant d’organiser l’accès à distance. Une adresse privée peut indiquer un routeur local en amont ou une traduction d’adresses par le fournisseur. La plage partagée 100.64.0.0–100.127.255.255 indique couramment une traduction d’adresses réseau à grande échelle (CGNAT). Avec CGNAT, la seule redirection du client ne peut pas ouvrir l’adresse partagée du fournisseur. Demande une adresse publique ou utilise une méthode d’accès à distance conçue pour cette situation.

N’ouvrir que le service voulu

Une redirection de port peut envoyer le trafic TCP externe 8443 vers 192.168.1.50:443. Attribue une réservation ou une adresse statique à l’appareil interne pour que la cible reste stable. Une redirection expose ce service ; utilise des appareils à jour et privilégie un VPN pour l’accès à distance. Évite le paramètre hôte DMZ, qui ouvre largement l’accès. UPnP permet aux clients de créer automatiquement des correspondances de ports ; laisse-le désactivé sauf si cette facilité est nécessaire.

Consigne la méthode WAN, la plage LAN, la plage DHCP, les réservations, les redirections, le nom du réseau et l’emplacement de stockage des identifiants. Exporte une sauvegarde de la configuration si le routeur le permet. Vérifie l’accès local et l’accès à Internet depuis un client après avoir enregistré les paramètres.

Une configuration Wi-Fi utile offre des contrôles d’accès adaptés et un signal utilisable là où les personnes travaillent. Configure d’abord le nom du réseau et la sécurité, puis place les points d’accès, choisis les canaux et vérifie le résultat depuis les emplacements des clients.

Nommer le réseau et protéger l’accès

Le SSID, identifiant de l’ensemble de services, est le nom visible du réseau. Utilise un nom neutre qui ne révèle ni adresse personnelle, ni nom de famille, ni modèle de routeur. Plusieurs points d’accès ou nœuds maillés peuvent partager un SSID pour permettre aux appareils de passer de l’un à l’autre. L’orientation vers la bande adaptée aide les appareils compatibles à choisir entre les bandes sous un même nom.

SAE signifie authentification simultanée des égaux. AES désigne une norme de chiffrement avancé, utilisée dans l’option WPA2-AES.

Les modes WPA, ou accès Wi-Fi protégé, sont distincts de la connexion à l’administration du routeur. Définis une phrase de passe Wi-Fi longue et unique et un mot de passe administrateur différent. Quatre ou cinq mots aléatoires ou au moins 16 caractères constituent un point de départ pratique. Modifie l’accès partagé lorsque des personnes qui connaissaient la phrase de passe ne doivent plus se connecter.

N’utilise pas le protocole obsolète WEP, qui visait une confidentialité équivalente à celle d’un réseau filaire, WPA avec le protocole d’intégrité de clé temporelle (TKIP) ou un réseau privé ouvert. Désactive WPS, le dispositif de configuration protégée du Wi-Fi, car sa méthode par code PIN peut exposer la phrase de passe à des attaques par devinette. Masquer un SSID le laisse détectable dans le trafic sans fil. Le filtrage MAC peut être contourné en copiant une adresse autorisée et peut rejeter les appareils dont les adresses privées changent régulièrement. Aucun des deux ne remplace un chiffrement robuste.

Séparer les visiteurs et les appareils connectés

Donne aux invités et aux appareils de l’Internet des objets un réseau distinct. Vérifie qu’il bloque l’accès au LAN principal ; le seul nom « invité » ne prouve pas l’isolation. L’isolation des clients empêche aussi les invités de se joindre entre eux. Un visiteur qui peut naviguer mais ne peut pas ouvrir le serveur de fichiers du personnel constate peut-être la séparation prévue.

Placer le signal là où il est nécessaire

Place le routeur ou le point d’accès au centre, en hauteur et dans un endroit dégagé. Les murs, armoires métalliques, miroirs et masses d’eau affaiblissent les signaux. Les fours à micro-ondes peuvent perturber la bande 2,4 GHz. Ajoute des nœuds maillés ou des points d’accès lorsqu’un seul emplacement ne couvre pas le site ; une liaison de collecte Ethernet transporte le trafic entre eux sans utiliser le temps de transmission de la même liaison sans fil.

Un répéteur à une seule radio reçoit et retransmet sur le même canal, ce qui réduit souvent approximativement de moitié le débit disponible pour les clients. Place-le là où le signal d’origine reste utilisable, pas dans la zone sans couverture.

Mesurer et choisir les canaux

Un analyseur Wi-Fi indique les réseaux proches, les canaux et la puissance en dBm. Une valeur moins négative indique un signal plus fort. Supposons que le canal 1 compte cinq réseaux, le plus fort à −48 dBm ; le canal 6 en compte trois, le plus fort à −62 dBm ; le canal 11 en compte un à −85 dBm. Le canal 11 est le meilleur de ces choix sans chevauchement, car son signal concurrent est faible. Le seul nombre de réseaux ne montrerait pas la différence de puissance.

Parcours les zones de travail et vise environ −67 dBm ou un signal plus fort là où les appels ont lieu. Teste les performances des applications utiles et le débit à plusieurs endroits. Consigne le SSID, les canaux, le mode de sécurité et les emplacements des points d’accès afin de comparer les modifications ultérieures à la configuration fonctionnelle.