B2-08 Réseau sans fil d'entreprise

1. Le Wi-Fi : un réseau local par ondes radio

Un réseau Wi-Fi est un réseau local sans fil (WLAN, Wireless LAN) défini par les normes IEEE 802.11. Il remplace le câble par des ondes radio, mais il reste un réseau de couche 2 : les trames Wi-Fi portent des adresses MAC, comme les trames Ethernet. La borne (point d'accès, access point) fait le pont entre la radio et le réseau filaire.

Trois différences avec le câble changent tout pour l'administrateur :

2. Les normes 802.11, de Wi-Fi 4 à Wi-Fi 7

Depuis 1997, chaque nouvelle norme a augmenté le débit et l'efficacité. Depuis 2018, la Wi-Fi Alliance leur donne un nom commercial plus simple : Wi-Fi 4, 5, 6, 7.

Ce qui a fait progresser le Wi-Fi, en quelques mots : le MIMO (plusieurs antennes, plusieurs flux), des canaux plus larges (20 → 40 → 80 → 160 → 320 MHz), une modulation plus dense (QAM), et depuis le Wi-Fi 6 l'OFDMA, qui permet à la borne de servir plusieurs postes en même temps sur le même canal : c'est ce qui rend le Wi-Fi 6 efficace dans les lieux très fréquentés.

3. Bandes de fréquences et canaux

Le Wi-Fi utilise trois bandes libres d'utilisation, découpées en canaux. Deux bornes voisines qui émettent sur des canaux qui se recouvrent se gênent : chacune attend que l'autre ait fini de parler, et le débit s'effondre. Choisir les canaux, c'est le premier travail de conception.

3.1 Le plan de canaux

Dans un bâtiment, on répartit les canaux comme les couleurs d'une carte : deux bornes voisines ne doivent jamais utiliser le même canal, ni des canaux qui se recouvrent.

4. Association et sécurité

4.1 Comment un poste rejoint un réseau Wi-Fi

4.2 Choisir la sécurité

4.3 L'authentification 802.1X

Avec WPA2 ou WPA3-Entreprise, chaque utilisateur se connecte avec son propre identifiant (son compte Active Directory, ou un certificat) : quand un salarié part, on désactive son compte et il n'a plus accès au Wi-Fi, sans changer la clé de tous les autres.

• Demandeur (supplicant)Le logiciel du poste ou du terminal qui présente l'identité de l'utilisateur : identifiant et mot de passe (PEAP) ou certificat (EAP-TLS).
• AuthentificateurLa borne ou le contrôleur. Il bloque tout le trafic du poste, sauf l'authentification, tant que le serveur n'a pas répondu « accepté ».
• Serveur d'authentification (RADIUS)Il vérifie l'identité, souvent dans l'Active Directory, et peut renvoyer un numéro de VLAN à appliquer au poste. Sous Windows Server, c'est le rôle NPS.
• Secret partagéMot de passe configuré sur l'authentificateur et sur le serveur RADIUS pour qu'ils se fassent confiance. Ce n'est pas le mot de passe des utilisateurs.

5. Bornes autonomes ou contrôleur

Avec deux ou trois bornes, on peut les configurer une à une. Au-delà, on centralise : un contrôleur (WLC) pilote toutes les bornes, dites légères (lightweight). Chaque borne ouvre un tunnel CAPWAP vers le contrôleur, qui lui envoie sa configuration.

6. Un SSID par VLAN, des bornes alimentées en PoE

Une même borne diffuse plusieurs SSID. Chaque SSID est associé à un VLAN : c'est ce qui sépare les terminaux de l'entreprise et les invités, comme les prises filaires de services différents. Le contrôleur (ou la borne autonome) est donc relié au commutateur par un trunk.

Les bornes sont au plafond, loin de toute prise électrique : on les alimente par le câble réseau, grâce au PoE. Il faut vérifier le budget PoE du commutateur : la somme des puissances de tous les équipements alimentés.

7. Concevoir la couverture

Un Wi-Fi d'entreprise se conçoit avant d'acheter les bornes : on part des besoins (nombre d'utilisateurs, applications, zones à couvrir) et des obstacles. Cette étude s'appelle l'étude de site (site survey).

1. Recenser les besoins : zones à couvrir, nombre de terminaux par zone, usages (scan de colis, voix sur Wi-Fi, vidéo, simple navigation) et types de terminaux (bandes et normes qu'ils acceptent).
2. Étude prédictive : sur le plan du bâtiment, un logiciel simule la couverture selon les murs et le matériel choisi (Ekahau, Hamina…), et propose un emplacement pour chaque borne.
3. Mesure sur place : on vérifie avec un ordinateur ou un téléphone qui mesure le signal en marchant dans tout le bâtiment. Le résultat est une carte de chaleur (heatmap).
4. Installer puis valider : après la pose, on refait une mesure et on ajuste canaux et puissances.

Le signal reçu se mesure en dBm, une valeur négative : plus elle est proche de 0, meilleur est le signal.

7.1 Quelle sécurité pour ce SSID ?

8. Vérifier et dépanner

8.1 Les commandes de vérification

8.2 Pannes fréquentes

8.3 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique, le lendemain de la mise en service du Wi-Fi. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause.

SSID      : BL-PRO
Canal     : 44
Signal    : -82 dBm
Débit     : 6 Mbit/s

BSSID 1 : 00:1a:2b:11:00:01  Signal 92%  Canal 6
BSSID 2 : 00:1a:2b:11:00:02  Signal 88%  Canal 6
BSSID 3 : 00:1a:2b:11:00:03  Signal 75%  Canal 6

WLAN ID  Profile Name   Status    Interface Name
1        BL-PRO         Enabled   vlan30
2        BL-INVITES     Enabled   vlan30

R1# show running-config interface g0/0.99
interface GigabitEthernet0/0.99
 encapsulation dot1Q 99
 ip address 172.16.99.254 255.255.255.0
end

Sécurité de couche 2 : WPA2
Gestion des clés     : PSK (clé partagée)
Dernier changement   : il y a 14 mois

%ILPOWER-5-ILPOWER_POWER_DENY: Interface Fa0/21: inline power
denied. Reason: insufficient power

9. À l'examen et en entreprise

10. L'essentiel

1. Le Wi-Fi (IEEE 802.11) est un réseau local de couche 2 : la borne fait le pont entre la radio et le câble.
2. Sur un canal, une seule station émet à la fois (CSMA/CA) : le débit se partage entre les clients.
3. Wi-Fi 4 = 802.11n, Wi-Fi 5 = 802.11ac, Wi-Fi 6/6E = 802.11ax, Wi-Fi 7 = 802.11be ; débits théoriques, réels deux fois moindres.
4. 2,4 GHz : portée, mais seulement trois canaux sans recouvrement : 1, 6, 11. 5 GHz : nombreux canaux, la bande des postes. 6 GHz : Wi-Fi 6E et 7.
5. Deux bornes voisines sur des canaux différents ; on ajoute des bornes plutôt que de monter la puissance.
6. Connexion : balise, sonde, association, échange de clés en 4 messages, puis DHCP.
7. WEP et WPA sont cassés ; Personnel = clé partagée ; Entreprise = 802.1X avec RADIUS, un compte par utilisateur.
8. Un contrôleur (WLC) pilote des bornes légères par des tunnels CAPWAP.
9. Un SSID = un VLAN ; le contrôleur est relié au commutateur par un trunk ; les invités sont isolés et n'ont accès qu'à Internet.
10. Viser −67 dBm partout ; les bornes s'alimentent en PoE, dans la limite du budget du commutateur.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

11. Quiz noté

12. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

13. Fil rouge : le Wi-Fi de l'entrepôt