VLAN
Un VLAN (Réseau Local Virtuel) est une segmentation logique d’un réseau physique, définie par IEEE 802.1Q, qui isole des groupes d’appareils - tels que les utilisateurs WiFi invités et les systèmes du personnel - les uns des autres tout en partageant les mêmes commutateurs et câbles.
Un VLAN (Réseau Local Virtuel) est une manière de diviser un réseau physique en plusieurs réseaux logiques isolés. Les appareils sur différents VLANs ne peuvent pas communiquer entre eux à moins qu’un routeur ou un pare-feu ne le permette explicitement, même s’ils partagent les mêmes commutateurs et câbles. Les VLANs sont définis par la norme IEEE 802.1Q, qui ajoute une petite étiquette portant un identifiant VLAN (1 à 4094) à chaque trame Ethernet afin que les commutateurs sachent à quel réseau virtuel appartient le trafic.
Pourquoi le WiFi invité a son propre VLAN
Les appareils invités sont inconnus et peu fiables. Les mettre sur le même réseau que les terminaux de carte, la vidéosurveillance ou le PC du bureau donne à tout téléphone compromis un accès aux systèmes qui comptent. Un VLAN invité dédié, protégé uniquement par un pare-feu pour n’atteindre qu’Internet, supprime complètement ce chemin - et exclut le trafic invité de la portée PCI DSS pour le réseau de paiement. C’est pourquoi chaque déploiement important du WiFi invité sépare les clients et le personnel au niveau VLAN, et pas seulement avec des mots de passe différents.
Comment c’est organisé
- Chaque SSID sur le point d’accès est mappé à un identifiant VLAN (par exemple, SSID invité vers VLAN 40).
- Les ports de commutateur transportant plusieurs VLANs sont configurés comme ports trunk (taggés).
- Le routeur ou pare-feu donne à chaque VLAN son propre sous-réseau et sa propre plage DHCP, et les règles bloquent le trafic invité-employé.
- L’isolation client est généralement activée sur le VLAN invité, donc les appareils invités ne peuvent pas non plus se voir entre eux.
Une disposition typique d’un lieu
- VLAN 10 - gestion (points d’accès, commutateurs, contrôleur).
- VLAN 20 - dispositifs du personnel et back office.
- VLAN 30 - Terminaux de paiement et points de paiement.
- VLAN 40 - WiFi invité, internet uniquement, isolement client activé.
Termes connexes
SSID
Un SSID (Service Set Identifier) est le nom public d’un réseau WiFi - une étiquette pouvant atteindre 32 jusqu’en octets que les points d’accès diffusent afin que les appareils proches puissent trouver et rejoindre le réseau.
WiFi invité
Le WiFi invité est un réseau WiFi public uniquement internet qu’une entreprise propose à ses clients, distinct de son réseau privé de back-office, généralement sécurisé par un portail captif nécessitant la connexion.
Point d’accès
Un point d’accès (AP) est un dispositif réseau qui diffuse un ou plusieurs réseaux WiFi et relie les appareils sans fil à un réseau filaire, généralement montés au plafond et alimentés par Ethernet lors des déploiements professionnels.
Authentification RADIUS
RADIUS (Remote Authentication Dial-In User Service) est un protocole réseau fournissant une authentification centralisée, une autorisation et une comptabilité (AAA), défini dans la RFC 2865, et utilisé par le WiFi d’entreprise, les VPN et les portails captifs pour contrôler l’accès au réseau.
Essayez CaptiFi gratuitement pendant 30 jours
Capturez les emails des invités, lancez des campagnes automatisées d’email/SMS et augmentez les avis Google - le tout depuis votre WiFi existant.