Un cabinet dentaire de Gaillard nous demande d'améliorer son réseau sans fil, parce que les radiographies mettent trop de temps à s'afficher dans la deuxième salle de soins. Sur place, nous trouvons un unique réseau, dont la clé est écrite sur une étiquette collée derrière le comptoir de l'accueil. Cette même clé est utilisée par les postes de soins, par la borne de paiement, par le copieur, par les téléphones personnels de l'équipe et par les patients de la salle d'attente qui la demandent à la secrétaire. Elle n'a pas changé depuis l'ouverture du cabinet, et trois anciens salariés la connaissent encore.
Le problème de lenteur est réel, et nous y venons. Mais il masque une question plus sérieuse : le portable d'un visiteur se trouve dans le même espace réseau que le serveur qui héberge les dossiers médicaux. Un réseau sans fil professionnel n'est pas une borne plus puissante, c'est un ensemble de décisions sur ce qui a le droit de parler à quoi. Nous le traitons dans la gestion de parc informatique, au même titre que les postes et les serveurs.
Une clé unique met la salle d'attente au même étage que vos dossiers
Quand tout le monde partage la même clé, tous les appareils rejoignent le même réseau logique et s'adressent directement les uns aux autres, sans qu'aucun équipement n'arbitre ces échanges. Le pare-feu ne voit rien de ce trafic, puisqu'il ne traverse pas la frontière avec Internet.
La conséquence pratique se lit sur trois points que nous relevons dans la plupart des audits. Le copieur multifonction répond à qui l'interroge, souvent avec l'interface d'administration livrée d'usine et son mot de passe par défaut, alors qu'il conserve les documents numérisés et connaît les paramètres d'envoi de courrier de l'entreprise. Les caméras et les objets connectés reçoivent rarement des mises à jour et n'ont pourtant aucune raison d'atteindre le serveur de fichiers, qui présente ses partages à l'ensemble du réseau. Et l'appareil personnel d'un visiteur, dont vous ne connaissez ni l'état ni les logiciels, entre par la même porte que vos postes de travail.
Séparer les usages ne demande pas d'équiper le local comme un campus universitaire. Il faut plusieurs réseaux annoncés séparément, chacun raccordé à une zone distincte du réseau interne, et un équipement de bordure qui arbitre le passage entre ces zones, architecture expliquée dans notre article sur la box opérateur et le pare-feu d'entreprise. Le réseau des visiteurs sort vers Internet et ne route vers rien d'autre. L'isolation entre appareils d'un même réseau, que les équipements professionnels savent activer, empêche en plus deux clients connectés de se voir mutuellement.
Une clé partagée ne se révoque pas, un compte nominatif oui
Le second sujet est celui de l'identité. Avec une clé partagée, l'authentification porte sur un secret et non sur une personne. Ce mode de fonctionnement, connu sous le nom de WPA2 ou WPA3 personnel, convient à un réseau de visiteurs et à un petit commerce. Il devient un handicap dès que l'effectif tourne.
Le jour où un salarié quitte l'entreprise, la seule manière de lui retirer l'accès au réseau consiste à changer la clé, donc à la reconfigurer sur chaque appareil de la société, copieur et bornes de paiement compris. En pratique, personne ne le fait, et la clé reste en circulation. Cet accès oublié fait partie de ceux que nous listons dans notre article sur la révocation des accès le jour du départ.
Le mode entreprise résout ce point. Chaque personne se connecte avec son propre compte, vérifié auprès d'un annuaire par un serveur RADIUS, et la révocation d'un accès se limite à désactiver ce compte. Les journaux indiquent alors qui s'est connecté, depuis quel appareil et à quel moment, ce qui change tout lors d'une recherche d'incident. Cette configuration demande un annuaire d'identités correctement tenu, sujet que nous décrivons dans notre article sur Entra ID, et elle se justifie à partir d'une quinzaine de postes ou dès qu'une contrainte de traçabilité existe. En dessous, une clé robuste, une rotation planifiée et un réseau visiteurs vraiment isolé apportent déjà l'essentiel du bénéfice.
Ce que la couverture radio explique vraiment quand le réseau paraît lent
Revenons à la deuxième salle de soins, car la lenteur ressentie a presque toujours une cause physique, et rarement celle que l'on suppose.
- La bande des 2,4 GHz porte plus loin mais ne dispose que de trois canaux réellement indépendants, partagés avec tous les voisins de l'immeuble. Dans un centre commercial ou une zone d'activité dense, cette bande est saturée en permanence. La bande des 5 GHz offre beaucoup plus de canaux et traverse moins bien les murs, ce qui impose de placer les bornes en fonction du bâtiment.
- Un répéteur ne crée pas de capacité, il en consomme. Comme il rediffuse ce qu'il reçoit par la voie radio, il divise le débit disponible et ajoute de la latence. Une borne supplémentaire raccordée par câble, alimentée directement par ce câble grâce à l'alimentation par Ethernet, donne un résultat sans comparaison.
- Un appareil garde volontiers la borne à laquelle il s'est associé en entrant, même en s'en éloignant. Une personne qui se déplace entre l'accueil et le fond du local conserve donc un signal faible sans changer de borne, sauf si les équipements gèrent correctement ce passage d'une borne à l'autre.
- Les bornes fournies avec la box choisissent souvent leur canal une fois pour toutes au démarrage. Un contrôleur, même léger, réévalue périodiquement l'environnement et redistribue les canaux entre vos bornes.
Nous relevons ces éléments avec un outil de mesure, pièce par pièce, en notant la puissance reçue et l'encombrement des canaux. Ce relevé se fait sur site : un réseau sans fil ne s'observe pas depuis un tableau de bord distant, et c'est pourquoi nous nous déplaçons dans le Bassin Genevois.
Le cas particulier du réseau ouvert aux clients
Un hôtel, un restaurant, un cabinet ou un commerce qui propose un accès à ses clients endosse une responsabilité qu'il ne mesure pas toujours. Le trafic sortira par votre abonnement et sous votre adresse publique, ce qui suppose de conserver des traces de connexion, de limiter la bande passante réservée à cet usage pour ne pas gêner votre exploitation, et de vous assurer que ce réseau ne route vers aucune ressource interne.
Une page d'accueil qui fait accepter des conditions d'utilisation, un renouvellement automatique de la clé et une durée de session limitée constituent des réglages simples, disponibles sur la plupart des équipements professionnels. Ils ne coûtent qu'une configuration initiale.
Notre méthode pour reprendre un réseau sans fil existant
Nous commençons par un relevé sur place : plan sommaire du local, position réelle des bornes, mesure du signal dans chaque pièce utile, inventaire de tout ce qui est connecté et liste des équipements dont personne ne connaît plus l'usage. Ce dernier point réserve des surprises, comme une borne oubliée dans un faux plafond ou une caméra installée par un ancien prestataire.
Nous proposons ensuite un découpage : les réseaux à annoncer, la zone à laquelle chacun aboutit, les règles de passage entre ces zones, et le mode d'authentification retenu selon votre effectif. La bascule s'effectue sur un créneau convenu, avec la reconfiguration des appareils partagés, dont le copieur, dans le bon ordre. Le scan vers mail se traite après la séparation des réseaux et non avant, comme nous l'expliquons dans notre article sur le scan vers mail du copieur. L'accès des salariés depuis l'extérieur, lui, ne passe pas par le réseau sans fil mais par un tunnel, sujet de notre article sur le VPN d'entreprise. Nous laissons enfin un document d'une page avec les réseaux, leur usage, la personne responsable de chaque clé et la date de la prochaine rotation.
Ce suivi entre dans le contrat d'infogérance à partir de 120 HT / mois, avec la surveillance des bornes, la mise à jour de leur logiciel interne et la gestion des accès. Une intervention en urgence hors contrat se facture 230 HT / h, pour un même montant hors taxes en euros et en francs.
Si vos clients et vos dossiers partagent aujourd'hui la même clé, la première mesure utile n'est ni un nouvel antivirus ni un nouvel équipement : c'est la séparation des réseaux, qui se met en place en une intervention. Parlez-nous de votre local et nous viendrons faire le relevé avant de proposer quoi que ce soit.