WiFi invités UniFi : comment vérifier la séparation du réseau de votre entreprise
WiFi invités UniFi pour les PME suisses : VLAN, pare-feu et isolation des clients, avec un test de réception concret du réseau.
Un visiteur se connecte au WiFi invités, ouvre un site et commence à travailler. Cela confirme l’accès internet, mais pas l’impossibilité d’atteindre les imprimantes, les fichiers ou l’administration du réseau interne. Le test de réception doit répondre à deux questions : quels usages doivent fonctionner et quels accès doivent rester bloqués ?
Un nom WiFi doit être associé au bon réseau
Le nom visible du WiFi s’appelle SSID. UniFi Network permet de l’associer à un réseau ou VLAN. Un VLAN crée un segment logique séparé sur une infrastructure partagée. Les liaisons entre point d’accès, switch et passerelle doivent transporter ce VLAN de bout en bout. Créer des SSID WiFi
Un second nom, comme Entreprise-Invités, n’est donc qu’un début. Définissez le réseau auquel appartiennent les visiteurs et la manière de contrôler leurs connexions. Un VLAN seul ne détermine pas si l’accès à un autre VLAN est autorisé.
Trois emplacements contribuent à la séparation
| Emplacement | Fonction | Rôle |
|---|---|---|
| Passerelle | Network Isolation ou règles de pare-feu ciblées | Limiter les connexions entre segments réseau |
| Point d’accès | Client Device Isolation | Bloquer les communications directes entre clients de ce point d’accès |
| Switch compatible | Device Isolation avec ACL | Limiter les échanges entre appareils du même VLAN au niveau du switch |
Ces fonctions se complètent. Une isolation sur un point d’accès ne démontre pas, à elle seule, que des invités connectés à des points d’accès différents ne peuvent pas communiquer. Isolation réseau et clients
Vérifiez aussi le matériel existant : tous les switches ne prennent pas en charge les ACL. Ubiquiti exclut notamment les ports de switch intégrés aux UniFi Gateways et aux points d’accès In-Wall. Cela concerne certaines petites installations où les appareils sont raccordés directement à la passerelle. Switches et ACL
Protéger l’administration sans couper les services nécessaires
Le pare-feu par zones de UniFi regroupe les réseaux en zones. La zone Gateway comprend aussi le trafic destiné à la passerelle : attribution d’adresses, résolution de noms ou administration. Un blocage global peut donc affecter DHCP et DNS. Les règles peuvent s’appliquer à IPv4, IPv6 ou aux deux. Pare-feu par zones
Exprimez les exigences sous forme de résultats : les invités reçoivent une adresse, résolvent les noms et utilisent les services internet prévus. Les applications internes et interfaces administratives restent inaccessibles. Les exceptions nécessaires dépendent des services réellement employés. Si les deux versions IP sont utilisées, testez les deux.
Exemple : accueil et salle de réunion
Imaginons un bureau avec un point d’accès à l’accueil et un autre en salle de réunion, reliés à un switch. Les collaborateurs utilisent un réseau interne avec stockage de fichiers et imprimante ; les visiteurs disposent d’un réseau séparé avec internet.
Il s’agit d’un scénario illustratif, pas d’une référence client Irontec ni d’une recommandation concernant le nombre de points d’accès.
Avant la mise en œuvre, convenez de ces résultats :
- Les visiteurs utilisent les sites et services de réunion nécessaires.
- Le stockage interne, les imprimantes et l’administration sont bloqués.
- Les invités ne peuvent pas établir de connexions directes entre eux.
- Le réseau des collaborateurs conserve ses fonctions prévues.
Cette liste est plus utile pour la réception que la seule présence d’une case Isolation cochée.
Un test de réception vérifiable
Utilisez deux appareils de test sous votre contrôle et des destinations explicitement autorisées. Déterminez l’application ou le service qui doit répondre sur chaque destination. Vérifiez d’abord son fonctionnement depuis une connexion interne autorisée : un ordinateur éteint ne doit pas être interprété comme un accès correctement bloqué.
Assurez-vous que le trafic passe réellement par le WiFi invités. Les connexions de secours mobiles ou les autres chemins peuvent fausser le résultat et doivent être pris en compte.
| Vérification dans cet exemple | Résultat attendu |
|---|---|
| Rejoindre le WiFi invités et contrôler le réseau attribué | L’appareil reçoit la configuration invités prévue |
| Ouvrir un site public et utiliser l’application de réunion | Les deux fonctionnent après l’éventuelle authentification |
| Accéder par adresse IP à un service interne de test autorisé | La connexion depuis le réseau invités est bloquée |
| Ouvrir une interface interne d’administration connue | L’administration reste inaccessible |
| Connecter les deux appareils au même point d’accès | Le service de test sur l’autre appareil est inaccessible |
| Connecter un appareil à l’accueil et l’autre en salle de réunion | L’isolation fonctionne aussi entre points d’accès différents |
| Si disponible, brancher un appareil sur une prise réseau invités | Les restrictions convenues s’appliquent également |
| Recontrôler un poste interne | Les applications internes prévues fonctionnent toujours |
Un ping sans réponse ne suffit pas. Un pare-feu local ou un service arrêté peut également empêcher la réponse. Utilisez des services connus, vérifiez leur fonctionnement initial et rapprochez les résultats inattendus des règles réseau. Testez les accès directs par IP en plus des noms afin qu’un échec de résolution ne masque pas une autorisation involontaire.
Effectuez les tests pertinents en IPv4 et, si utilisé, en IPv6. Indiquez explicitement les variantes non utilisées ou non testées. Un résultat positif concerne les chemins et la configuration documentés ; il ne constitue pas une garantie générale de sécurité.
Faut-il une page de connexion pour les invités ?
Un portail captif est la page que les visiteurs peuvent voir avant d’obtenir internet. UniFi propose notamment des mots de passe et des vouchers, avec des paramètres tels que l’expiration et les limites d’utilisation. Hotspots et portails captifs
Choisissez selon votre accueil : des visiteurs fréquents n’ont pas les mêmes besoins qu’une salle utilisée occasionnellement. Testez une nouvelle connexion puis les accès obtenus. L’authentification réussie ne prouve pas à elle seule la séparation.
Dans ses recommandations, Ubiquiti présente le portail comme une option complémentaire à l’isolation. Des limites de vitesse facultatives peuvent aussi répartir la bande passante. Bonnes pratiques WiFi invités
Conserver les résultats dans la documentation
Notez la date, les appareils, les versions logicielles, les réseaux attribués et les résultats attendus puis constatés. Attribuez un responsable et un délai aux points ouverts. Répétez les tests concernés après un remplacement de switch, une modification de pare-feu ou une extension du réseau invités.
Irontec vous accompagne pour le WiFi UniFi, le switching et les pare-feu UniFi. Un schéma réseau, une liste d’appareils et la description des usages autorisés facilitent l’évaluation. Une installation existante peut aussi être examinée dans le cadre du support informatique.
Les sources officielles Ubiquiti liées dans le texte ont été vérifiées le 29 septembre 2026. Le scénario est un exemple rédactionnel et ne rapporte aucune mesure réalisée chez un client.