Réseaux sans fil

Un réseau local sans fil (WLAN) transporte les trames d’un réseau local par radio. Un point d’accès (AP) relie les stations sans fil au réseau filaire, appelé système de distribution. Un routeur sans fil domestique réunit plusieurs fonctions dans un même boîtier ; un point d’accès d’entreprise se connecte généralement à un commutateur Ethernet distinct.

Noms, interfaces radio et ensembles de services

Le SSID est le nom du réseau, d’une longueur maximale de 32 octets. Un ensemble de services de base (BSS) comprend une interface logique de point d’accès et ses clients associés. Son BSSID est une adresse de 48 bits de type MAC. Une interface radio peut proposer plusieurs SSID, chacun avec un BSSID distinct. Un ensemble de services étendu (ESS) regroupe des BSS ayant le même SSID et reliés au même réseau local pour que les clients puissent passer d’un point d’accès à l’autre ; ESSID désigne ce nom partagé.

Par exemple, 12 points d’accès proposant « Staff » sur deux interfaces radio fournissent 24 BSSID pour ce SSID. Un client peut continuer à voir « Staff » tandis que son BSSID change lors d’un passage à un autre point d’accès. Le nom identifie le service ; le BSSID identifie le BSS particulier.

La connexion se fait par étapes

1. Découvrir : écouter les trames de balise ou envoyer des requêtes de sondage. Un intervalle courant entre les trames de balise est de 100 unités de temps, soit environ 102,4 ms.
2. S’authentifier au niveau 802.11 : WPA2 utilise un échange en système ouvert ; WPA3-Personal utilise SAE.
3. S’associer : demander à rejoindre un BSS et recevoir la réponse du point d’accès.
4. Établir les clés : les clients en mode entreprise terminent d’abord l’authentification 802.1X/EAP ; l’échange en quatre temps établit ensuite les clés de chiffrement utilisées.
5. Utiliser IP : une fois l’accès sécurisé prêt, demander les paramètres DHCP et accéder aux services réseau.

Voir un SSID ne donne donc encore aucune information sur DHCP. Un client peut s’associer avec succès, puis échouer lors de l’échange de clés ou de la demande d’adresse.

Transmettre à tour de rôle

Le Wi-Fi partage un canal en semi-duplex. CSMA/CA consiste à écouter, à attendre que le canal soit libre et à patienter pendant un délai aléatoire avant d’émettre. La transmission en monodiffusion utilise des accusés de réception ; leur absence entraîne des retransmissions. Les interfaces radio modernes peuvent confirmer des groupes de trames ensemble. OFDMA et MU-MIMO permettent à un point d’accès de servir plusieurs clients en une transmission, mais le temps d’antenne du canal reste partagé.

Un client à faible débit met plus de temps à envoyer les mêmes données. Un répéteur sur le même canal doit les recevoir et les retransmettre, ce qui réduit approximativement de moitié le débit effectif disponible dans une installation simple à une seule interface radio. Les barres de signal indiquent le niveau reçu, pas le temps d’antenne restant pour le trafic utile.

Deux clients peuvent tous deux entendre un point d’accès sans s’entendre entre eux. Ces nœuds cachés peuvent transmettre en même temps et provoquer une collision au niveau du point d’accès. RTS/CTS réserve du temps d’antenne avant l’envoi des données, ce qui réduit les collisions tout en ajoutant une surcharge.

Connexions au réseau filaire et sécurité

Le point d’accès fait passer les trames 802.11 vers Ethernet, en associant généralement les SSID à des VLAN. Masquer un SSID ne sécurise pas cette liaison : le trafic de découverte et d’association peut révéler le nom. Le filtrage MAC est lui aussi peu efficace, car les adresses sont visibles et modifiables ; les adresses privées aléatoires peuvent empêcher les listes d’adresses de fonctionner correctement.

Une génération Wi-Fi décrit un ensemble de capacités radio. Une bande de fréquences décrit la plage dans laquelle l’interface radio fonctionne. Choisir un point d’accès plus récent n’est utile que si les clients, les canaux et le réseau filaire peuvent utiliser ses fonctions.

Associer les noms aux normes

L’IEEE élabore les normes 802.11 ; la Wi-Fi Alliance certifie l’interopérabilité et fournit les noms des générations.

Wi-Fi 6E désigne 802.11ax étendu aux 6 GHz. Ce n’est pas un amendement IEEE distinct. Les anciennes normes a, b et g n’ont pas de nom de génération numéroté officiel.

Comment le débit augmente

MIMO envoie des flux spatiaux distincts à l’aide de plusieurs chaînes d’antennes. Le nombre de flux utilisables est limité par les deux extrémités : un ordinateur portable à deux flux ne peut pas recevoir quatre flux simplement parce que le point d’accès les prend en charge. Des canaux plus larges transportent davantage de symboles en parallèle, mais occupent davantage de spectre. La QAM place davantage de bits dans chaque symbole : 64-QAM avec n, 256-QAM avec ac, 1024-QAM avec ax et 4096-QAM avec be. Une modulation plus dense nécessite un signal moins perturbé : elle est donc surtout utile près d’un point d’accès.

Wi-Fi 6 ajoute OFDMA, qui divise un canal en unités de ressources pour plusieurs clients, et MU-MIMO bidirectionnel, qui envoie des flux distincts à différents clients. Le réveil planifié programme les périodes de réveil des appareils sur batterie. Wi-Fi 7 ajoute le fonctionnement multiliaison (MLO) afin que les appareils compatibles puissent utiliser plusieurs liaisons, y compris dans différentes bandes. Son débit combiné dépend des liaisons disponibles.

Le débit physique et le débit effectif des applications

Un ordinateur portable Wi-Fi 6 à deux flux sur un canal de 80 MHz peut afficher un débit physique de 1 201 Mbit/s. Les en-têtes, les accusés de réception, la contention et les autres utilisateurs consomment tous une partie de cette capacité. Près du point d’accès, sur un canal peu chargé, le débit effectif des applications atteint généralement entre la moitié et les deux tiers de ce débit ; la distance, les retransmissions et la charge le réduisent encore.

Un ordinateur portable Wi-Fi 5 qui rejoint un point d’accès Wi-Fi 7 utilise toujours une liaison Wi-Fi 5 en 5 GHz. Un client b ou g a besoin des 2,4 GHz. Un client Wi-Fi 6 doit prendre en charge 6E pour utiliser les 6 GHz. Vérifie la carte et le pilote utilisés, sans te limiter à l’ancienneté du produit.

Vérifier les fonctions au-delà du nom de génération

D’autres amendements désignent des fonctions particulières : 802.11e fournit la qualité de service/WMM ; h ajoute DFS/TPC ; i constitue la base de WPA2 ; w protège les trames de gestion ; k fournit des rapports sur les voisins ; v propose des transitions entre BSS ; r raccourcit l’établissement des clés lors de l’itinérance ; s définit le fonctionnement maillé. IEEE 802.11bn est en cours de développement et privilégie la fiabilité.

La mise à niveau d’un point d’accès nécessite aussi une puissance PoE et une bande passante de liaison montante suffisantes. Un port de commutateur à 1 Gbit/s peut limiter le trafic total d’une interface radio rapide ; certains points d’accès nécessitent des ports à 2,5 ou 5 Gbit/s. Ne désactive les anciens débits faibles qu’après avoir vérifié que les clients nécessaires et la couverture fonctionnent toujours.

La meilleure bande dépend du lieu où le client fonctionne, des bandes prises en charge par son interface radio et de l’encombrement des ondes. Un signal portant plus loin peut être utile à un capteur, tandis qu’une cellule plus petite et moins perturbée convient mieux à un bureau très fréquenté.

Comparer le spectre disponible

La plage attribuée aux 2,4 GHz est de 2,400–2,4835 GHz. La bande des 5 GHz contient plusieurs plages utilisables distinctes ; le réglage du pays de l’équipement détermine ce qui est disponible. Aux États-Unis, les règles d’utilisation en intérieur s’étendent aussi à 5,850–5,895 GHz. Ne considère pas un nombre de canaux appris par cœur comme la liste autorisée pour l’installation.

La plage américaine attribuée aux 6 GHz est de 5,925–7,125 GHz, soit 1 200 MHz au total. Celle de l’UE est de 5,945–6,425 GHz, soit 480 MHz. Elles fournissent respectivement 59 et 24 canaux ordinaires de 20 MHz. Certains pays n’ont pas autorisé le Wi-Fi en 6 GHz.

Pourquoi la portée diffère

La longueur d’onde suit $\lambda =c\mathrm{/}f$ : environ 12,3 cm à 2,437 GHz, 5,5 cm à 5,5 GHz et 4,6 cm à 6,5 GHz. À gains d’antenne et distance égaux, une fréquence plus élevée entraîne une perte en espace libre plus importante. La plupart des murs atténuent aussi davantage les fréquences plus élevées. Les 2,4 GHz sont donc utiles pour traverser davantage d’obstacles, tandis que les 5 et 6 GHz nécessitent généralement des points d’accès plus rapprochés.

La fréquence seule ne détermine pas la vitesse. Des canaux utilisables plus larges et une contention moindre rendent souvent les 5 ou 6 GHz plus rapides. En bordure de cellule, toutefois, une liaison 2,4 GHz puissante peut être plus performante qu’une liaison 5 GHz faible. Étudie les deux sens avec la catégorie de client réellement utilisée.

Préserver le temps d’antenne disponible

Bluetooth, les fours à micro-ondes, les réseaux locaux sans fil voisins et de nombreuses interfaces radio d’objets connectés partagent les 2,4 GHz. Conserve des canaux de 20 MHz dans cette bande et réserve de la capacité aux équipements qui ne peuvent pas en changer. Dans beaucoup de réseaux d’entreprise, les 5 GHz transportent la majeure partie du trafic du personnel, car les clients les prennent largement en charge et davantage de canaux sont disponibles.

Seuls les clients Wi-Fi 6E et Wi-Fi 7 peuvent utiliser les 6 GHz. Un point d’accès triple bande peut proposer un SSID sur les trois bandes, mais le client doit toujours disposer d’une interface radio, d’un système d’exploitation et d’un pilote compatibles. En 6 GHz, utilise WPA3 ou Enhanced Open avec des trames de gestion protégées ; WPA2 et le fonctionnement ouvert non chiffré ne sont pas autorisés. Les clients découvrent les réseaux grâce aux informations annoncées sur les bandes inférieures ou par les canaux de balayage préférentiels.

Appliquer le choix à un site mixte

Un entrepôt possède des lecteurs limités aux 2,4 GHz et des ordinateurs portables de bureau Wi-Fi 6E. Conserve un service 2,4 GHz pour les lecteurs. Propose au personnel un service en 5 et 6 GHz et vérifie que ces cellules couvrent le bureau avec le signal et le rapport signal sur bruit requis.

L’orientation vers une bande de fréquences encourage les clients compatibles à utiliser une bande supérieure, par exemple en retardant les réponses aux sondages en 2,4 GHz. Le client fait le choix final. Une orientation trop insistante en bordure de couverture 5 GHz peut retarder une connexion : confirme donc les résultats à l’aide des statistiques des clients. MLO de Wi-Fi 7 peut maintenir plusieurs liaisons prises en charge, mais ne donne pas accès à une nouvelle bande à un ancien client.

Les numéros de canal désignent des fréquences centrales, pas des portions de spectre limitées à un seul numéro. La largeur occupée par le canal détermine si les points d’accès voisins peuvent utiliser les ondes indépendamment les uns des autres.

Lire un numéro de canal

En 2,4 GHz, la fréquence centrale en MHz est $2407+5n$, où n est le numéro de canal. Les fréquences centrales des canaux 1, 6 et 11 sont 2412, 2437 et 2462 MHz. Les numéros progressent par pas de 5 MHz, mais un canal normal occupe environ 20 MHz, ou 22 MHz pour 802.11b. C’est pourquoi les canaux 1 et 3 se chevauchent.

Utilise 1, 6 et 11 à 20 MHz pour le plan courant en 2,4 GHz. Ces fréquences centrales sont espacées de 25 MHz. Les canaux qui se chevauchent partiellement créent des interférences entre canaux adjacents : les récepteurs ne peuvent pas décoder de manière fiable la transmission indésirable et coordonner l’accès. Les voisins sur un même canal peuvent normalement s’entendre et transmettre à tour de rôle, même si cela réduit aussi la capacité.

En 5 GHz, la fréquence centrale en MHz est $5000+5n$. Le canal 36 est à 5180 MHz. Les canaux ordinaires de 20 MHz progressent par pas de quatre numéros : 36, 40, 44 et 48 sont quatre canaux différents.

Agréger les canaux de façon réfléchie

L’agrégation double approximativement le débit de pointe à chaque doublement de la largeur. Elle réduit aussi approximativement de moitié le nombre de canaux indépendants. Une réception plus large capte davantage de bruit : doubler la largeur ajoute environ 3 dB au plancher de bruit ; à conditions égales par ailleurs, 80 MHz capte donc environ 6 dB de bruit de plus que 20 MHz.

Pour une liste autorisée donnée à titre d’exemple, de 36–64 et 100–140, il existe 19 canaux de 20 MHz. Les blocs agrégés standard fournissent neuf canaux de 40 MHz, en laissant le canal 140 inutilisé, ou quatre canaux de 80 MHz : 36–48, 52–64, 100–112 et 116–128. Douze points d’accès qui s’entendent entre eux réutiliseraient chaque bloc de 80 MHz trois fois. Un plan à 40 MHz leur donne davantage de temps d’antenne distinct.

Choisir une largeur adaptée au site

Utilise 20 MHz en 2,4 GHz. Dans les installations denses en 5 GHz, commence par 20 ou 40 MHz ; 40 ou 80 MHz peut convenir à des sites moins encombrés disposant d’assez de canaux. En 6 GHz, 80 MHz ou plus peut être utile, mais compte les canaux locaux avant de choisir. Un réglage de vitesse qui paraît bon pour un ordinateur portable peut réduire la capacité totale d’une salle.

La formule de la fréquence centrale en MHz pour les 6 GHz est $5950+5n$. Les canaux ordinaires de 20 MHz sont 1, 5, 9 et ainsi de suite jusqu’à 233 aux États-Unis. Les canaux de balayage préférentiels (PSC) apparaissent tous les 80 MHz : 5, 21, 37 et ainsi de suite jusqu’à 229. La bande inférieure de l’UE en compte six : 5, 21, 37, 53, 69 et 85. Utiliser un PSC comme canal primaire facilite la découverte.

Réutiliser les canaux en trois dimensions

Attribue des canaux différents aux points d’accès qui s’entendent, y compris ceux des étages supérieurs et inférieurs. Là où trop d’interfaces radio 2,4 GHz partagent les trois mêmes canaux, désactive les interfaces en trop ou utilise-les pour la surveillance. La gestion radio par contrôleur ou dans le cloud peut attribuer automatiquement les canaux et la puissance ; valide ses choix par des mesures, en tenant compte des réseaux voisins que l’organisation ne peut pas contrôler.

Le spectre exempt de licence reste soumis à des règles. Règle le domaine réglementaire d’un point d’accès sur son pays d’installation afin que l’interface radio propose les canaux, la puissance et les modes intérieur ou extérieur appropriés. Le réglage d’un autre pays n’est pas un moyen valable de débloquer des canaux.

Les canaux et la puissance dépendent de la région

Les équipements américains 2,4 GHz utilisent normalement les canaux 1–11 ; les équipements européens peuvent utiliser les canaux 1–13. Le Japon autorise le canal 14 uniquement pour 802.11b. Le plan 1, 6, 11 aide aussi les clients de passage qui ne peuvent pas utiliser les canaux 12 ou 13.

Pour une utilisation point à multipoint ordinaire en 2,4 GHz aux États-Unis, les limites courantes sont de 1 W de puissance conduite et de 36 dBm de PIRE au maximum, avec les restrictions applicables aux antennes. L’exemple UE/ETSI est de 20 dBm de PIRE, soit 100 mW. La PIRE comprend le gain de l’antenne : remplacer une antenne peut nécessiter une réduction de la puissance de l’émetteur. Sélectionne le bon modèle d’antenne dans les paramètres du point d’accès.

Protéger les utilisateurs de radars

802.11h fournit la sélection dynamique de fréquence (DFS) et le contrôle de la puissance d’émission (TPC) pour le spectre 5 GHz partagé avec les radars. Les canaux DFS nécessitent une période d’écoute avant utilisation. La vérification de disponibilité du canal selon la FCC dure normalement 60 secondes ; les canaux européens 120–128 des radars météorologiques peuvent nécessiter 10 minutes.

Si un radar est détecté, le point d’accès doit quitter le canal dans les 10 secondes et l’éviter pendant au moins 30 minutes. Un redémarrage peut donc retarder le service, et un événement radar peut interrompre les clients pendant que le point d’accès change de canal. TPC permet de réduire la puissance. Vérifie la prise en charge par les clients et la répétition éventuelle d’événements radar avant de compter sur la capacité DFS.

Distinguer les classes d’appareils 6 GHz

L’utilisation américaine à puissance standard concerne U-NII-5 et U-NII-7. La coordination automatisée des fréquences (AFC) utilise l’emplacement des appareils pour protéger les liaisons fixes par faisceau hertzien et détermine les conditions d’utilisation autorisées. Les équipements LPI sont destinés à l’intérieur. La classe VLP permet l’utilisation d’appareils portables à faible puissance en intérieur et en extérieur, sous réserve des restrictions propres à cette classe ; la FCC a étendu VLP à toute la bande américaine des 6 GHz en 2025. Les exemples de l’UE ne s’appliquent qu’à 5,945–6,425 GHz ; dans l’UE, la classe LPI exclut les véhicules routiers et la classe VLP exclut les drones.

Appliquer les deux limites de puissance

Une limite de densité spectrale de puissance plafonne la puissance par MHz. La puissance totale possède aussi un plafond distinct :

Pour un point d’accès LPI américain, 20 MHz autorise environ 5 + 13 = 18 dBm, tandis que 80 MHz autorise environ 5 + 19 = 24 dBm. À 320 MHz, le résultat atteint le plafond total de 30 dBm. Pour LPI dans l’UE, 20 MHz donne déjà environ 10 + 13 = 23 dBm : des canaux plus larges ne portent donc pas la puissance totale au-delà de 23 dBm.

Lors de l’installation d’un équipement, utilise les informations en vigueur de l’autorité de réglementation et du fournisseur sur la prise en charge du pays. Le maximum légal est un plafond ; règle la puissance de fonctionnement pour répondre aux besoins de couverture et de capacité tout en préservant le trajet de retour du client.

Une mesure radio devient utile lorsque tu sais ce qu’elle mesure. La puissance, un changement de puissance et la qualité du signal utilisent des unités en décibels liées entre elles, mais répondent à des questions différentes.

Convertir la puissance sans mélanger les unités

Le dBm exprime une puissance par rapport à 1 mW :

La conversion inverse est $P_{\text{mW}}={10}^{P_{\text{dBm}}\mathrm{/}10}$. Repères utiles : 1 mW = 0 dBm, 10 mW = 10 dBm, 100 mW = 20 dBm et 1 W = 30 dBm.

Une valeur en dB est un rapport : +3 dB double approximativement la puissance ; −3 dB la divise par deux ; +10 dB la multiplie par dix. Réduire 20 dBm de 3 dB donne environ 17 dBm, soit 50 mW. Une réduction de 10 dB donne 10 dBm, soit 10 mW. Ajoute les gains et les pertes en dB à une puissance en dBm. Pour combiner deux puissances, additionne d’abord leurs valeurs en milliwatts : deux puissances de 20 dBm donnent au total 200 mW, soit environ 23 dBm, et non 40 dBm.

Comparer le signal au bruit

La puissance du signal reçu est souvent affichée sous forme de RSSI en dBm négatifs. Plus la valeur est proche de zéro, plus le signal est puissant : −45 dBm est plus puissant que −75 dBm. Certains fabricants indiquent plutôt le RSSI sous forme d’indice ou de pourcentage : compare donc des mesures de même nature.

Le plancher de bruit est l’énergie radiofréquence ambiante, souvent autour de −90 à −95 dBm sur un canal de 20 MHz peu chargé. Le rapport signal sur bruit est la différence :

Un signal de −65 dBm et un bruit de −92 dBm donnent un rapport signal sur bruit de 27 dB. Un signal puissant peut tout de même avoir un mauvais rapport signal sur bruit si le bruit est lui aussi puissant. Les objectifs courants de planification sont un rapport signal sur bruit d’au moins 20 dB pour les données et de 25 dB pour la voix, avec un signal d’environ −70 dBm pour les données et de −67 dBm pour la voix et la vidéo. Ce sont des objectifs à valider avec les applications et les clients ; les liaisons proches de −80 dBm sont souvent peu fiables.

Estimer la perte sur le trajet

Pour un espace libre sans obstacle :

Dans cette formule, utilise les kilomètres et les MHz. À 2 437 MHz, 10 m donnent environ 60,2 dB de perte et 20 m environ 66,2 dB. Doubler la distance ajoute environ 6 dB. À 5 500 MHz, le trajet de 10 m perd environ 67,2 dB.

Les murs ajoutent des pertes : une cloison en plaques de plâtre peut entraîner une perte d’environ 3 dB, du verre clair 2–4 dB, de la brique 6–10 dB et du béton 10–20 dB. Le verre à couche et le métal peuvent bloquer beaucoup plus. Mesure le bâtiment réel. L’absorption retire de l’énergie ; la réflexion la renvoie ; la réfraction la dévie entre les matériaux ; la diffraction la dévie autour des bords ; la diffusion la disperse. Des trajets multiples peuvent provoquer des évanouissements du signal, tandis que MIMO peut exploiter des différences de trajet adaptées pour les flux spatiaux.

Vérifier les deux sens

Un bilan de liaison additionne la puissance d’émission et les gains d’antenne, puis soustrait les pertes. Avec une PIRE de 20 dBm, une perte de trajet de 80 dB et une antenne de réception de 3 dBi, la puissance reçue est de −57 dBm. Un téléphone qui émet une PIRE de 15 dBm en retour sur le même trajet vers une antenne de point d’accès de 4 dBi arrive à −61 dBm. Augmenter uniquement la puissance du point d’accès améliore la liaison descendante ; le trajet de retour reste inchangé.

Une antenne dirige l’énergie radio selon un diagramme. Son gain améliore certaines directions en réduisant l’énergie dans d’autres ; il ne crée pas de puissance d’émission supplémentaire.

Lire le gain et la largeur du faisceau

Le dBi compare le gain à celui d’une antenne idéale qui rayonne également dans toutes les directions. Le dBd le compare à celui d’un dipôle ; 0 dBd équivaut à 2,15 dBi. La largeur du faisceau d’une antenne directionnelle est l’angle entre les points situés 3 dB sous son maximum. Un gain supérieur correspond généralement à un faisceau plus étroit.

Une antenne omnidirectionnelle à gain supérieur aplatit son diagramme vertical. Elle peut porter plus loin horizontalement tout en laissant une couverture faible sous un point de montage élevé. Les points d’accès de plafond ont des diagrammes propres à chaque modèle, souvent orientés vers le bas en direction des utilisateurs : utilise donc les instructions de montage et les diagrammes de rayonnement de ce point d’accès.

Des points d’accès de plafond conviennent souvent à un bureau ouvert. Une longue allée peut convenir à un panneau orienté dans sa longueur. Dans une grande zone de places assises, des cellules orientées aident à répartir les utilisateurs entre les canaux. Une liaison entre bâtiments nécessite des antennes directionnelles aux deux extrémités.

Calculer la puissance rayonnée

Utilise les dBm pour la puissance de l’émetteur, les dB pour la perte et les dBi pour le gain de l’antenne. Avec 17 dBm à l’interface radio, 2 dB de perte dans le câble et 6 dBi de gain, la PIRE est de 21 dBm, soit environ 126 mW. Si le plafond local était de 20 dBm, réduis la puissance de l’émetteur à 16 dBm. Augmenter le gain de 1 dB sans réduire la puissance dépasserait ce plafond de 1 dB supplémentaire.

L’antenne améliore aussi la réception dans sa direction privilégiée. Cela aide la liaison de retour d’une façon que la seule augmentation de la puissance d’émission du point d’accès ne permet pas.

Faire correspondre la polarisation et les chaînes radio

La polarisation est la direction du champ électrique. Fais correspondre les deux extrémités d’une liaison point à point, par exemple verticale avec verticale. Des polarisations croisées peuvent entraîner une perte de 20 dB ou plus. Les réflexions en intérieur mélangent les polarisations, mais le choix des antennes et leur montage restent importants.

Une interface radio 4×4:4 possède quatre chaînes d’émission, quatre chaînes de réception et jusqu’à quatre flux spatiaux. Équipe chaque connecteur requis des antennes correspondantes indiquées. La formation de faisceau à l’émission ajuste les phases des signaux pour qu’ils se renforcent en direction d’un client ; l’antenne ne tourne pas physiquement.

Dégager l’espace autour d’un trajet extérieur

Une visibilité directe ne suffit pas pour une liaison point à point fiable. Des objets proches de la ligne directe peuvent empiéter sur la première zone de Fresnel, où les trajets réfléchis influent sur le signal reçu. Garde au moins 60 % de cette zone dégagée.

En son milieu, son rayon en mètres est approximativement :

Pour 1 km à 5,5 GHz, le rayon est d’environ 3,7 m. Soixante pour cent représentent environ 2,2 m : les arbres et les bords de toit doivent donc laisser cet espace libre autour de la ligne directe en son milieu. Vérifie aussi le reste du trajet ; la zone se rétrécit vers chaque extrémité.

La couverture indique si un appareil peut échanger des trames à un endroit donné. La capacité indique si tous les appareils actifs peuvent y obtenir assez de temps d’antenne. Une conception utile du réseau local sans fil répond à ces deux questions avant de choisir les emplacements des points d’accès.

Transformer les besoins en objectifs

Répertorie les zones à desservir, les types et nombres de clients et d’appareils, ainsi que les applications. Un lecteur n’a pas les mêmes besoins de service qu’un combiné vocal. Définis le bord d’une cellule en fonction du client important le moins performant, en tenant compte de sa puissance d’émission et de son nombre de flux. Un ordinateur portable d’étude doté d’une meilleure antenne peut faire paraître acceptable un emplacement qui convient mal à un téléphone.

Les objectifs courants pour la voix et la vidéo sont d’au moins −67 dBm et 25 dB de rapport signal sur bruit ; les données générales peuvent utiliser environ −70 dBm. Mesure aussi la couverture secondaire : un second point d’accès au niveau cible favorise l’itinérance et la résilience. Un chevauchement d’environ 15–20 % est une règle empirique de départ, mais les mesures de signal et les tests d’itinérance déterminent si une disposition donnée fonctionne.

Calculer la demande active

Un amphithéâtre de 150 places compte deux appareils par personne, dont 60 % actifs en même temps. Calcule d’abord 150 × 2 = 300 appareils. Puis 300 × 0,6 = 180 appareils actifs. En prévoyant 30 appareils actifs par interface radio 5 GHz, il faut 180 ÷ 30 = 6 interfaces radio. À 2 Mbit/s par appareil actif, la demande totale est de 180 × 2 = 360 Mbit/s.

La valeur de 30 est une hypothèse de planification, pas une limite garantie du point d’accès. Vérifie si les interfaces radio peuvent prendre en charge la demande des applications aux débits attendus. Attribue-leur des canaux distincts adaptés ; six interfaces radio qui s’entendent sur un même canal partagent toujours le temps d’antenne de ce canal.

Adapter les cellules au site

Dans les zones denses, une puissance modérée et des canaux plus étroits créent des cellules plus petites qui peuvent réutiliser les canaux. Adapte la puissance des points d’accès aux capacités des clients. Un téléphone émettant autour de 15 dBm peut entendre un point d’accès à puissance maximale depuis un endroit où ses propres transmissions ne peuvent pas atteindre celui-ci de manière fiable en retour.

Un seul point d’accès puissant donne aussi à tous les utilisateurs une seule réserve de temps d’antenne et crée un point de défaillance unique. Plusieurs points d’accès placés avec soin répartissent la demande et fournissent une couverture de remplacement. Ajouter des points d’accès sans plan de canaux et de puissance peut au contraire augmenter la contention.

Installe les points d’accès avec une vue dégagée sur les utilisateurs, dans l’orientation indiquée par le fabricant. Évite les armoires métalliques, les conduits, les piliers et les dalles de plafond métalliques entre le point d’accès et les utilisateurs. Tiens compte des étages supérieurs et inférieurs : décale les emplacements et les canaux là où les cellules traversent les ouvertures des planchers ou les constructions légères. Dans un entrepôt, tiens compte des rayonnages pleins aussi bien que du bâtiment vide.

Fournir la capacité filaire et l’alimentation

Vérifie que le canal Ethernet respecte la limite de 100 m sur cuivre et que le port du commutateur est suffisamment rapide. Un point d’accès à forte capacité peut nécessiter une liaison montante multigigabit.

La puissance fournie au point d’accès est inférieure en raison des pertes dans le câble. Vérifie la classe PoE nécessaire au point d’accès et le budget total du commutateur. Un point d’accès insuffisamment alimenté peut désactiver des interfaces radio ou des flux au lieu de simplement s’éteindre. Les installations extérieures nécessitent aussi une protection adaptée contre les intempéries, une mise à la terre et une protection contre la foudre.

Consigne l’emplacement, l’antenne, la puissance, le canal et le plan de câblage de chaque point d’accès. Valide l’installation en fonction des mêmes besoins des applications et des clients que ceux utilisés pour son dimensionnement.

Une étude de site apporte des données sur un bâtiment à partir d’un plan de réseau local sans fil. Choisis la méthode d’étude en fonction de la question à laquelle tu dois répondre, puis enregistre les mesures à des emplacements connus.

Utiliser la bonne méthode

Un modèle prédictif nécessite les matériaux des murs et leurs valeurs d’atténuation. Une échelle incorrecte du plan ou un mur manquant peut déplacer les limites prévues des cellules. Vérifie le bâtiment lors d’une visite : note les points de montage, les chemins de câbles, les hauteurs sous plafond, les rayonnages métalliques et les matériaux inhabituels. Une étude avec point d’accès sur mât est particulièrement utile lorsque la structure est difficile à modéliser.

Une étude passive révèle les points d’accès de l’organisation et les réseaux voisins sans s’y connecter. Une étude active teste le service réel, y compris les retransmissions et les délais. Un analyseur de spectre peut révéler l’énergie d’un four à micro-ondes ou d’un émetteur vidéo qu’une carte Wi-Fi ordinaire ne peut pas décoder. Ces méthodes répondent à des questions différentes et peuvent être utilisées ensemble.

Recueillir des mesures adaptées aux utilisateurs

Calibre le plan avec une distance connue avant de commencer le parcours. Mesure toute la zone à desservir, y compris les coins, les escaliers et les trajets d’itinérance prévus. Garde les mesures à la hauteur d’utilisation des appareils et marche régulièrement pour que les échantillons correspondent à leur position sur la carte. Enregistre chaque bande utilisée.

Utilise une carte d’étude similaire à celles des clients importants, ou applique une correction de mesure justifiée. Un ordinateur portable performant utilisé seul peut surestimer la couverture d’un lecteur portatif. Lorsque les stocks, les personnes ou les cloisons mobiles modifient les conditions, inclus dans le plan d’étude la configuration prévue en période d’activité.

Lire la légende avant les couleurs

Une carte thermique colore un plan selon une mesure. Elle peut montrer le signal, le rapport signal sur bruit, le débit, la couverture secondaire ou le nombre de points d’accès entendus sur un même canal. Une carte de signal verte ne peut pas t’indiquer que la contention du canal est faible, sauf si c’est ce que mesure sa légende.

Supposons que l’objectif dans la salle de réunion soit de −67 dBm et que les mesures indiquent −75 dBm. Le manque est de 8 dB. Vérifie si un nouveau mur, la position de montage ou le diagramme de l’antenne l’explique. Déplace ou ajoute un point d’accès, ou redonne forme à la cellule avec l’antenne appropriée, puis répète le test du client. Augmenter la puissance du point d’accès seule laisse inchangé l’émetteur de retour du client.

Valider l’installation

Après avoir monté et configuré les points d’accès, réalise une étude de validation par rapport aux objectifs initiaux. Teste les applications en marchant entre les cellules, pas seulement en restant sous un point d’accès. Conserve un rapport contenant les besoins, les positions et hauteurs des points d’accès, les antennes, les canaux, les réglages de puissance et les résultats.

Répète la validation après des changements importants, comme de nouveaux rayonnages, de nouveaux murs ou l’arrivée de nouveaux occupants voisins. Un analyseur Wi-Fi rapide est utile pour vérifier le SSID, le BSSID, le canal et le signal, mais une étude complète ajoute des données localisées sur toute la zone à desservir.

L’architecture d’un réseau local sans fil distingue deux questions : qui administre le point d’accès et où vont les trames des clients. Un point d’accès administré de manière centralisée peut tout de même envoyer directement le trafic des clients vers un VLAN local.

Comparer les modèles d’administration

Les points d’accès autonomes conviennent à un petit site, mais il devient plus difficile de maintenir leur cohérence lorsque leur nombre augmente. Un contrôleur ou un tableau de bord cloud applique des paramètres communs de sécurité, de micrologiciel et de radio à de nombreux points d’accès.

Dans une architecture de contrôleur à MAC répartie, le point d’accès effectue les opérations radio sensibles au temps : trames de balise, accusés de réception, mise en file d’attente et chiffrement sur la liaison radio. Le contrôleur gère les règles, l’itinérance, la sécurité et les ressources radio. La répartition exacte dépend de la plateforme.

Suivre la connexion d’un point d’accès à son contrôleur

Un point d’accès léger peut découvrir un contrôleur par l’option DHCP 43, une adresse configurée, une diffusion locale ou DNS, par exemple CISCO-CAPWAP-CONTROLLER. Il établit des tunnels CAPWAP à travers le réseau IP. Le contrôle utilise UDP 5246 avec chiffrement DTLS ; les données utilisent UDP 5247 avec un chiffrement facultatif du tunnel. Le chiffrement radio et celui du tunnel de données sont deux protections distinctes.

Comme CAPWAP est routé, le point d’accès et le contrôleur peuvent se trouver dans des sous-réseaux différents. En commutation centralisée, les trames des clients circulent dans le tunnel jusqu’au contrôleur. Les VLAN clients sortent donc du réseau au niveau du contrôleur, et non au port du commutateur relié au point d’accès.

Garder le trafic des agences local si nécessaire

FlexConnect de Cisco peut transmettre le trafic des clients aux VLAN de l’agence tout en conservant une administration centralisée. La commutation locale peut préserver l’accès local en cas de panne du WAN, mais l’authentification doit aussi rester disponible : un SSID commuté localement qui exige un serveur RADIUS central inaccessible peut refuser de nouveaux clients.

Un contrôleur peut être centralisé dans un centre de données, intégré à un point d’accès ou à un commutateur, ou exécuté comme machine virtuelle dans un cloud. Cette dernière solution est un contrôleur hébergé dans le cloud ; elle est distincte de l’administration par tableau de bord. Dans un réseau local sans fil typique géré dans le cloud, le cloud gère la configuration et la supervision tandis que les trames des utilisateurs restent locales. Les points d’accès conservent généralement leur dernière configuration pendant une panne du cloud ; vérifie le comportement du produit et les conditions de licence lors du choix d’un système.

Reconnaître les modes des points d’accès Cisco

Le mode Local sert les clients par l’intermédiaire du contrôleur et balaie brièvement les autres canaux. Le mode Monitor balaie les canaux pour la sécurité et la localisation sans servir de clients. Le mode Sniffer envoie les trames capturées sur un canal à un analyseur. Rogue detector surveille les informations MAC du réseau filaire. SE-Connect consacre le point d’accès à l’analyse spectrale. Bridge/Mesh fournit une liaison de collecte sans fil, et Flex+Bridge associe les fonctions de maillage et de FlexConnect. La disponibilité des modes dépend du point d’accès et de la plateforme du contrôleur.

Un campus peut choisir des contrôleurs avec des contrôleurs de secours pour les règles centralisées et l’itinérance des communications vocales. Un réseau d’agences peut choisir l’administration dans le cloud ou FlexConnect pour éviter d’avoir un contrôleur sur chaque site. Un point d’accès en mode Local dépend du contact avec le contrôleur pour servir les clients : prévois donc la résilience des contrôleurs ainsi que la couverture des points d’accès.

Le chemin du trafic du point d’accès détermine la configuration de son port de commutateur. Décide d’abord si les trames des clients sont acheminées par tunnel vers un contrôleur ou si elles quittent directement le point d’accès vers les VLAN.

Adapter le port au mode de transmission

Un point d’accès léger en mode Local avec commutation centralisée du trafic nécessite normalement un port d’accès dans son VLAN d’administration. Les trames de ses clients se trouvent dans des paquets CAPWAP : le port physique du point d’accès n’a donc pas besoin de chaque VLAN client.

Un point d’accès qui commute localement nécessite une liaison trunk lorsqu’il transporte plusieurs VLAN. Supposons que l’administration du point d’accès utilise le VLAN 10, « Staff » le VLAN 20 et « Guest » le VLAN 30. Autorise les trois VLAN sur la liaison trunk du point d’accès. Fais correspondre les réglages du point d’accès et du commutateur selon que le VLAN 10 est natif et non étiqueté ou explicitement étiqueté.

Si le VLAN 30 est absent de cette liaison trunk, les invités peuvent encore s’associer et terminer la sécurisation radio. Leurs diffusions DHCP ne peuvent pas atteindre le bon réseau : ils ne reçoivent donc aucun bail. C’est un défaut de transmission filaire, même si le symptôme apparaît sur le Wi-Fi.

Identifier les connexions du contrôleur

La terminologie Cisco AireOS distingue le port de service pour l’administration hors bande, les ports du système de distribution pour le trafic des points d’accès, de l’administration et des clients, un port de redondance entre les deux éléments d’une paire à haute disponibilité et un port console pour la configuration initiale. Les interfaces du contrôleur associent les réseaux locaux sans fil aux VLAN clients. Les ports de distribution se connectent généralement aux liaisons trunk des commutateurs ; le port de service ne remplace pas une connexion pour les données des clients.

L’agrégation de liens (LAG) combine les liaisons de distribution pour augmenter la bande passante totale et la résilience. Un flux reste normalement sur une seule liaison membre : un agrégat ne multiplie donc pas la vitesse de chaque flux individuel. AireOS utilise un EtherChannel statique avec le mode on ; les contrôleurs plus récents comme le Catalyst 9800 peuvent utiliser LACP. Fais correspondre les modes d’agrégation pris en charge par le contrôleur et le commutateur.

Vérifier l’alimentation avant les couches supérieures

Vérifie la classe PoE requise par le point d’accès, les capacités de chaque port du commutateur et le budget total du commutateur. Vingt-quatre ports de point d’accès prévus à 30 W chacun nécessitent une capacité PoE de 720 W côté commutateur. Un commutateur disposant d’assez de ports physiques peut tout de même manquer de puissance. Des points d’accès insuffisamment alimentés peuvent perdre des fonctions radio, ce qui crée un problème de capacité ressemblant à une mauvaise conception radiofréquence.

Protéger l’administration et autoriser les services nécessaires

Utilise la console pour la configuration locale initiale, SSH pour l’interface en ligne de commande à distance et HTTPS pour l’administration web. Telnet et HTTP exposent le trafic d’administration sensible. L’administration centralisée des équipements utilise couramment TACACS+ sur TCP 49 ; l’accès au réseau local sans fil utilise couramment RADIUS sur UDP 1812 pour l’authentification et 1813 pour la comptabilisation. RADIUS classique ne chiffre pas tout le paquet ; la méthode EAP protège séparément les identifiants lors d’une connexion en mode entreprise.

Autorise le trafic nécessaire dans les listes de contrôle d’accès intermédiaires : CAPWAP UDP 5246/5247, DHCP UDP 67/68 et DNS sur le port 53, ainsi que les services d’authentification choisis.

Pour un point d’accès qui ne peut pas rejoindre le contrôleur, vérifie l’alimentation et la liaison, le VLAN d’administration, l’adresse DHCP, la découverte du contrôleur, le routage, l’accessibilité CAPWAP, puis les réglages du pays, les certificats et l’heure. Chaque vérification établit une condition nécessaire à l’étape suivante.

Un profil de réseau local sans fil sur un contrôleur associe le nom visible du réseau à son VLAN, à ses bandes radio et à sa politique de sécurité. Crée-le en le laissant désactivé, vérifie tous les paramètres, puis active-le et teste-le depuis un client.

Créer le service et ses paramètres de sécurité

Un profil possède un nom interne, un identifiant de réseau local sans fil, un SSID, un état activé ou désactivé et une association à une interface client ou à un VLAN. Le nom du profil aide les administrateurs ; les clients voient le SSID. Choisis les bandes sur lesquelles le service est annoncé.

Pour un exemple WPA2-Personal, crée un réseau local sans fil d’identifiant 2, avec « Office » comme nom de profil et de SSID, associé au VLAN 20. Sélectionne WPA2 avec AES-CCMP, choisis la gestion des clés PSK et saisis une phrase secrète robuste de 8–63 caractères. Laisse TKIP désactivé. Applique la configuration et active le réseau local sans fil. Un client de test devrait apparaître sur « Office » avec une adresse du VLAN 20, une passerelle et des paramètres DNS, et devrait pouvoir accéder à un service autorisé.

Pour WPA3-Personal, sélectionne plutôt SAE et rends les trames de gestion protégées obligatoires. Les profils entreprise utilisent 802.1X et les serveurs RADIUS appropriés. Un portail captif est un paramètre distinct d’authentification web de couche 3 ; il ne remplace pas le chiffrement radio.

Donner au trafic un traitement adapté

WMM fournit les catégories d’accès voix, vidéo, service au mieux et arrière-plan. Les profils des contrôleurs Cisco les appellent respectivement Platinum, Gold, Silver et Bronze, Silver étant le profil de service au mieux par défaut. WMM est nécessaire pour les débits élevés modernes. La qualité de service donne au trafic une priorité adaptée en cas de contention ; elle ne peut pas créer de temps d’antenne supplémentaire ni corriger un manque de couverture.

Les paramètres avancés comprennent le délai d’expiration de session, l’exclusion de client après des échecs répétés, les limites de clients, le mode imposant DHCP, le blocage pair à pair, l’orientation vers une bande de fréquences, l’équilibrage de charge et les débits autorisés. Modifie-les pour répondre à un besoin mesuré. Par exemple, le mode imposant DHCP peut bloquer des clients auxquels une adresse statique a été attribuée volontairement ; un délai d’expiration de session court peut faire apparaître les échecs de réauthentification sous forme de déconnexions périodiques.

Assurer la cohérence de l’itinérance

Pour une itinérance simple dans un même sous-réseau, les points d’accès voisins proposent le même SSID, la même sécurité et le même VLAN. Le client décide quand changer de point d’accès. 802.11k fournit des informations sur les voisins ; 802.11v suggère un meilleur BSS ; 802.11r raccourcit l’établissement des clés pour une transition rapide. Ces fonctions aident le client à trouver et à utiliser un meilleur point d’accès, mais ne peuvent pas corriger un trou de couverture.

Certains clients anciens échouent lorsque la transition rapide est obligatoire. Teste le parc de clients et utilise des paramètres adaptatifs pris en charge ou un service de compatibilité distinct si nécessaire. Lorsque les sous-réseaux clients diffèrent, la prise en charge de la mobilité par le contrôleur est nécessaire pour préserver la connectivité lorsqu’un appareil conserve son adresse en changeant de point d’accès. Le même SSID ne suffit pas à fournir cette prise en charge.

Maîtriser la surcharge due aux SSID

En fonctionnement classique, chaque SSID possède son propre BSS et ses propres trames de balise périodiques, souvent à un débit obligatoire faible. Les SSID inutilisés consomment tout de même du temps d’antenne. Le fonctionnement Multiple BSSID peut annoncer plusieurs BSS dans une seule trame de balise, surtout en 6 GHz, mais davantage de SSID ajoutent toujours du travail d’administration et de configuration.

Une recommandation courante est de trois ou quatre SSID par interface radio. Pour de nombreux groupes d’utilisateurs, un SSID entreprise unique avec des VLAN attribués par RADIUS passe mieux à l’échelle qu’un nom distinct pour chaque équipe. Vérifie le VLAN attribué et la politique d’accès avec un compte représentatif de chaque groupe.

Les trames radio peuvent être reçues au-delà des murs d’une pièce. La sécurité sans fil doit contrôler l’accès, protéger le contenu des trames et détecter leur modification. Les différents modes de sécurité assurent ces protections de différentes façons.

Reconnaître les modes obsolètes et actuels

WPA2, fondé sur 802.11i, est apparu en 2004 et est devenu obligatoire pour la certification Wi-Fi en 2006. WEP et TKIP empêchent aussi l’utilisation des débits élevés de 802.11n et des normes ultérieures. Choisir un chiffrement obsolète pour un ancien appareil peut donc affaiblir la sécurité et les performances.

Comprendre la différence entre les modes personnels

WPA2-Personal dérive des éléments de clé à partir de la phrase secrète partagée et du SSID. Les informations capturées lors de l’échange en quatre temps permettent de tester des mots de passe hors ligne. Une phrase secrète longue et aléatoire réduit ce risque. Une personne qui connaît cette phrase et capture l’échange d’un autre client peut aussi dériver les clés de ce client ; l’existence de clés de session propres à chaque client ne garantit pas la confidentialité vis-à-vis des autres détenteurs du mot de passe.

WPA3-Personal utilise l’authentification simultanée des égaux (SAE). Chaque essai de mot de passe exige une interaction en direct, et une capture passive ne permet pas le même processus d’essais hors ligne. Il fournit aussi la confidentialité persistante : la divulgation ultérieure du mot de passe ne permet pas de déchiffrer les sessions enregistrées auparavant. Les utilisateurs peuvent toujours partager un même mot de passe : SAE ne crée donc pas de comptes individuels.

Protéger les trames de gestion

Les trames de gestion protégées (PMF) protègent certains échanges de gestion, notamment les trames de désauthentification et de désassociation, contre la falsification une fois la protection établie. WPA3 exige les PMF. Cela ne chiffre pas toutes les trames de gestion ; la découverte doit encore fonctionner avant que le client possède des clés.

WPA3-Enterprise utilise 802.1X et propose un mode de sécurité 192 bits facultatif avec des suites plus robustes, comme GCMP-256. WPA2-Personal et WPA3-Personal utilisent généralement tous deux CCMP-128 pour les données : les gains de WPA3 ne se résument donc pas à une clé de données plus longue. Des suites plus récentes, notamment dans les configurations Wi-Fi 7, peuvent utiliser GCMP-256.

Migrer sans exagérer la protection

Le mode de transition accepte les clients WPA2-PSK et WPA3-SAE sur un même SSID avec la même phrase secrète. Les anciens clients conservent les faiblesses de WPA2. Utilise-le en 2,4 ou 5 GHz pendant la migration, puis passe à WPA3 uniquement lorsque le parc le prend en charge. Les 6 GHz n’autorisent ni WPA2 ni le mode de transition et exigent les PMF.

Enhanced Open, fondé sur OWE, chiffre le trafic radio de chaque client sans mot de passe. Il protège contre l’écoute passive, mais n’authentifie pas l’utilisateur et ne prouve pas que le point d’accès est celui attendu. Il est utile pour les réseaux publics dont la politique d’accès est gérée séparément.

Désactive WPS et évite de compter sur les SSID masqués ou les listes MAC. Si un objet connecté ne prend en charge que WPA2, place-le dans un VLAN distinct avec uniquement les accès dont il a besoin. Cela préserve la compatibilité sans lui accorder un large accès au réseau de l’entreprise.

La sécurité personnelle utilise un mot de passe partagé. La sécurité entreprise vérifie une identité par 802.1X, ce qui permet à une organisation de révoquer l’accès d’une personne sans modifier tous les autres appareils.

Choisir le modèle d’accès

WPA2-Personal dérive une PSK d’un mot de passe ; WPA3-Personal utilise ce mot de passe avec SAE. Les deux sont simples à administrer sur de petits sites, mais un mot de passe commun se diffuse et il est difficile de le révoquer pour une seule personne. Certains fournisseurs proposent des clés par appareil pour réduire ce problème.

802.1X comporte trois rôles : le client d’authentification sur le client, l’authentificateur sur le point d’accès ou le contrôleur et le serveur d’authentification, généralement un serveur RADIUS connecté à un annuaire. L’authentificateur contrôle l’accès et relaie les messages d’authentification ; il n’est pas la base de données des mots de passe de tous les utilisateurs.

Suivre l’échange

1. Le client s’associe au réseau local sans fil en mode entreprise.
2. Le client d’authentification et l’authentificateur échangent des messages EAP sur réseau local, ou EAPOL, sur la liaison sans fil.
3. L’authentificateur transmet l’échange EAP au serveur RADIUS dans des messages Access-Request, normalement sur UDP 1812.
4. Le client et le serveur exécutent la méthode EAP choisie. Le serveur renvoie Access-Accept lorsque l’identité est acceptée et peut fournir un VLAN ou un rôle.
5. Les éléments de clé permettent l’échange en quatre temps entre le client et le point d’accès. L’accès chiffré commence, suivi de DHCP.

La comptabilisation RADIUS utilise couramment UDP 1813 pour enregistrer les sessions. Les comptes par utilisateur permettent aux administrateurs de désactiver un accès, d’examiner l’activité et d’appliquer différents rôles d’accès sur un même SSID.

Sélectionner une méthode EAP

EAP-TLS est un choix courant et robuste pour les appareils administrés, car chacun reçoit un certificat client. PEAP et EAP-TTLS peuvent convenir aux systèmes de comptes existants, mais dépendent toujours de la vérification du certificat du serveur. Valide à la fois son autorité de certification de confiance et le nom de serveur attendu. Un SSID familier ne prouve pas qu’un serveur est authentique.

Faire concorder le serveur et le contrôleur

Configure l’adresse du serveur RADIUS, les ports et le secret partagé sur l’authentificateur. Enregistre ce point d’accès ou ce contrôleur comme client RADIUS sur le serveur avec le secret correspondant. Ce secret d’infrastructure est distinct du mot de passe d’un employé et de la phrase secrète d’un réseau local sans fil personnel.

Un certificat de serveur expiré peut affecter tous les clients qui le valident. Une horloge incorrecte sur un ordinateur portable affecte les vérifications de certificat de cet ordinateur. Un refus d’autorisation par l’annuaire est encore différent du cas où un serveur ne reçoit jamais les requêtes. Compare les journaux du client, du contrôleur et de RADIUS pour trouver l’échange qui a échoué.

802.1X authentifie l’accès ; WPA2 ou WPA3 fournit le chiffrement radio à l’aide des clés établies. Le mot Enterprise désigne ce modèle d’authentification. Des services comme eduroam utilisent ce modèle pour permettre aux utilisateurs participants de s’authentifier auprès de leur établissement d’origine lorsqu’ils visitent un autre site.

Le Wi-Fi invité nécessite des décisions distinctes concernant l’accès, la confidentialité et les destinations accessibles. Une page de connexion applique la politique d’accès ; le chiffrement protège la liaison radio ; les VLAN et les règles de pare-feu contrôlent les destinations accessibles aux invités.

Établir la séparation

Associe le SSID invité à un VLAN distinct, ou achemine le trafic invité par tunnel vers un contrôleur d’ancrage dans une DMZ. Applique des règles de pare-feu qui bloquent les réseaux internes tout en autorisant l’accès à Internet prévu et les services nécessaires à cet accès. Un VLAN sépare les domaines de diffusion ; une liste de contrôle d’accès ou un pare-feu impose les destinations routées accessibles.

Active l’isolation des clients pour empêcher les appareils des invités de communiquer entre eux. Cette mesure répond à un objectif différent du blocage des sous-réseaux internes. Les limites de débit empêchent quelques utilisateurs de consommer toute la connexion Internet, tandis que des baux DHCP adaptés aident à éviter l’épuisement des adresses lorsque les visiteurs partent et que de nouveaux arrivent.

Comprendre le rôle du portail

Un portail captif est une page web qui apparaît avant l’autorisation d’un accès ordinaire. Il peut demander l’acceptation de conditions, un code d’accès, une connexion ou l’approbation d’un parrain. Les systèmes d’exploitation détectent souvent le réseau à accès restreint et ouvrent la page. Les contrôleurs appellent généralement cela une authentification web de couche 3.

Remplir cette page ne transforme pas une liaison radio ouverte en liaison chiffrée. HTTPS protège la session applicative avec le site web, mais constitue une couche distincte du chiffrement Wi-Fi. Choisis explicitement la sécurité radio du réseau local sans fil.

Étudier une conception pour les invités

Un hôtel propose « Hotel-Guest » sur le VLAN 50. Enhanced Open chiffre le trafic radio et un portail vérifie le numéro de chambre et le nom de famille pour accorder l’accès. L’isolation des clients bloque le trafic entre invités. La politique de pare-feu bloque les plages internes de l’hôtel, comme 10.0.0.0/8, tout en autorisant le service Internet prévu.

Une limite de 10 Mbit/s par appareil contrôle la demande. Une expiration de session d’un jour et un bail DHCP suffisamment court libèrent l’accès et les adresses au départ des clients. Teste depuis deux appareils invités et depuis un appareil du personnel : après avoir rempli le portail, les invités devraient accéder à Internet, mais ne devraient pouvoir accéder ni aux systèmes internes ni aux appareils des autres invités. Vérifie ces points par des tests distincts afin qu’un résultat positif ne masque pas l’absence d’une autre protection.

Applique le même principe de séparation aux objets connectés et aux appareils personnels utilisés au travail. Place-les dans un VLAN ou un rôle approprié et n’autorise que les destinations dont ils ont besoin. Une caméra qui envoie des données à un service n’a pas besoin d’accéder aux serveurs de paie.

Un utilisateur qui signale un Wi-Fi lent peut avoir un signal puissant et presque aucun temps d’antenne libre. Recueille des mesures avant d’ajuster les canaux ou la puissance afin que la correction traite la limite réelle.

Comparer les principaux symptômes

Enregistre le niveau du signal, le plancher de bruit, le rapport signal sur bruit, le taux d’occupation du canal, le taux de retransmission et le débit du client. Le taux d’occupation du canal mesure la part du temps pendant laquelle le canal est occupé ; le taux de retransmission mesure la part du trafic qui doit être envoyée à nouveau. Compare les zones touchées et épargnées ainsi que les moments où les utilisateurs constatent le défaut.

Ce sont des indices de diagnostic. Confirme la cause par des mesures concordantes avant d’apporter un changement permanent.

Distinguer les interférences cocanal et entre canaux adjacents

Avec les interférences cocanal, les stations qui s’entendent sur un même canal transmettent normalement à tour de rôle. La conséquence pratique est la contention et la réduction du temps d’antenne disponible. Des canaux plus étroits, des cellules plus petites, un plus grand choix de canaux et la désactivation des interfaces radio 2,4 GHz en trop peuvent améliorer leur réutilisation. Ajouter des points d’accès sur le même canal à portée d’écoute peut aggraver le problème.

Les interférences entre canaux adjacents proviennent de canaux qui se chevauchent partiellement, comme 1 et 4 en 2,4 GHz, ou de signaux très puissants sur des canaux voisins. Les trames sont corrompues parce que les récepteurs ne peuvent pas coordonner leur accès avec le signal indésirable. Utilise les canaux 1, 6 et 11 de 20 MHz, réduis une puissance excessive et espace les interfaces radio voisines de façon adaptée.

Trouver l’énergie non Wi-Fi

Un analyseur Wi-Fi signale les réseaux locaux sans fil qu’il peut décoder ; un analyseur de spectre voit aussi d’autres sources d’énergie radiofréquence. Les fours à micro-ondes peuvent produire des émissions intermittentes près de 2,45 GHz, Bluetooth saute d’une fréquence à l’autre dans les 2,4 GHz et les équipements vidéo sans fil ou d’autres objets connectés peuvent occuper des canaux. Compare la signature de l’énergie aux périodes de fonctionnement de la source suspectée. Déplace, remplace ou supprime la source, ou déplace les clients vers un canal ou une bande non touchés.

En cas de lenteur à l’heure du déjeuner près d’une cuisine, compare les mesures lorsque le four fonctionne et lorsqu’il est arrêté. Si les émissions intermittentes dans la partie supérieure de la bande correspondent au problème, déplace les clients double bande vers les 5 GHz et teste un canal 2,4 GHz moins perturbé pour les appareils restants.

Corriger la couverture et les cas particuliers

De nouveaux stocks, murs ou éléments métalliques, un mauvais montage ou des antennes inadaptées peuvent créer des zones de signal faible. Étudie le trajet touché et déplace, ajoute ou réoriente les points d’accès. Augmenter uniquement la puissance des points d’accès laisse inchangée la liaison montante du client et peut propager la contention plus loin.

De nombreuses retransmissions malgré un bon signal du point d’accès peuvent indiquer des nœuds cachés : les clients situés de part et d’autre de la cellule ne s’entendent pas. RTS/CTS, des cellules plus petites ou moins de clients par interface radio peuvent aider. En cas de changements brusques de canal, examine les journaux DFS et retire les canaux touchés à répétition du plan autorisé du site tout en préservant les protections réglementaires.

Commence par définir l’étendue du problème : un appareil, un lieu, un SSID ou tout le réseau local sans fil. Demande quand la panne a commencé et ce qui a changé, puis suis le client de la découverte jusqu’à l’accès aux applications.

Trouver la première étape qui échoue

1. Visibilité du SSID : vérifie les bandes prises en charge par le client, le pilote, l’activation de son interface radio, le réseau local sans fil annoncé et la couverture. Un lecteur limité aux 2,4 GHz ne peut pas voir un service limité aux 5/6 GHz.
2. Authentification et association : vérifie la compatibilité de sécurité. Un client limité à WPA2 ne peut pas rejoindre un service limité à WPA3 ; l’obligation d’utiliser des PMF ou la transition rapide peut aussi bloquer la connexion si le client ne les prend pas en charge.
3. Établissement des clés : un mot de passe WPA2 incorrect fait généralement échouer l’échange en quatre temps. Un mot de passe WPA3-Personal incorrect fait échouer SAE plus tôt, avant l’association.
4. Adressage : vérifie le VLAN client, l’étendue DHCP et le relais.
5. Accès aux applications : vérifie la passerelle, DNS, la politique de pare-feu et si le portail a été rempli.

Pour l’authentification entreprise, examine l’accessibilité de RADIUS, le secret partagé, l’autorisation de l’utilisateur et les certificats. Un certificat de serveur expiré affecte tous les clients qui le valident ; une horloge incorrecte sur un client peut n’affecter que cet appareil. Des tentatives infructueuses répétées peuvent déclencher une exclusion temporaire : vérifie donc aussi l’état du client sur le contrôleur.

Utiliser l’adresse comme indice

Une adresse IPv4 dans 169.254.0.0/16 indique généralement qu’une adresse locale au lien a été attribuée automatiquement après l’échec d’une tentative DHCP. L’association et le chiffrement peuvent tous deux fonctionner. Vérifie l’association du SSID au VLAN, les VLAN autorisés sur une liaison trunk en commutation locale, la configuration du relais et les baux DHCP disponibles.

Si le client possède l’adresse attendue, teste d’abord sa passerelle. Compare l’accès par adresse IP à l’accès par nom pour examiner DNS. Vérifie si le portail doit encore être rempli. Changer le mot de passe sans fil ne répare pas un pool d’adresses DHCP épuisé.

Examiner les déconnexions répétées et l’itinérance

Fais correspondre les heures et les codes de motif des déconnexions aux journaux du contrôleur. Recherche une couverture faible en bordure, des interférences, DFS, la réauthentification de session, une orientation trop insistante ou des défauts du pilote ou du mode d’économie d’énergie du client.

Un client collant reste connecté à un point d’accès éloigné même lorsqu’un meilleur point d’accès est disponible. C’est le client qui décide quand changer de point d’accès. Réduis le chevauchement excessif des cellules, examine les faibles débits obligatoires et utilise l’assistance 802.11k/v avec les clients compatibles. Si les communications vocales sont interrompues pendant les déplacements, teste la couverture secondaire au niveau cible et vérifie la compatibilité avec 802.11r. Une sécurité incohérente ou un changement de sous-réseau non pris en charge peut interrompre le service même lorsque le signal est bon.

Vérifier les limites au-delà de la radio

Si tous les clients d’un point d’accès sont lents, examine la vitesse de son port Ethernet, ses erreurs et son état PoE. Un câble endommagé peut négocier une liaison à 100 Mbit/s et limiter une interface radio Wi-Fi rapide. Compare un test de débit effectif local à un test vers Internet pour distinguer les limites du réseau local sans fil de celles en amont.

Sous Windows, netsh wlan show interfaces indique le SSID, le BSSID, le canal et la sécurité actuels. Sous macOS, utilise Diagnostics sans fil ou sudo wdutil info lorsque cette commande est prise en charge. Sous Linux, iw dev wlan0 link utilise le nom réel de l’interface ; nmcli dev wifi répertorie les services à proximité. Associe ces observations du client aux journaux du point d’accès ou du contrôleur, apporte une modification ciblée, puis teste à nouveau le symptôme initial.