Bonnes pratiques Wi-Fi : la checklist qui mérite d'être débattue

Chaque élément ici corrige un problème réel que nous avons vu plus d'une fois. Désapprouvez n'importe lequel d'entre eux délibérément, pas par accident.

RF

• Concevez pour la capacité, pas pour la couverture. Comptez d'abord les appareils et les applications.
• Visez -67 dBm de couverture primaire sur la bande la plus élevée dont vous dépendez, avec 25 dB de SNR.
• Des canaux de 20 MHz en 2,4 GHz. Toujours. Il n'y a aucune exception.
• 40 MHz en 5 GHz dans les environnements denses, 80 MHz là où le budget de canaux le permet vraiment.
• 80 MHz en 6 GHz par défaut. 160 MHz uniquement en faible densité. 320 MHz presque jamais, en intérieur.
• Désactivez la radio 2,4 GHz sur la majorité des AP dans un déploiement dense.
• Réglez la puissance d'émission de l'AP pour correspondre à votre client le plus faible — généralement 11–17 dBm en intérieur, pas le maximum.
• Tranchez délibérément la question du DFS et notez pourquoi.

Configuration

• Désactivez les débits de données 802.11b. Fixez le débit de base minimal à 12 ou 24 Mbps.
• Trois ou quatre SSID au maximum. Utilisez des VLAN attribués par RADIUS plutôt qu'une prolifération de SSID.
• Activez 802.11k, 802.11v et 802.11r — et testez le 802.11r face à votre parc client avant un déploiement global.
• Activez l'équité de temps d'antenne.
• Limitez le débit ou convertissez le multicast et le broadcast ; désactivez entièrement le transfert multicast sur les SSID invités.
• Fixez un délai d'inactivité client raisonnable. Les associations fantômes consomment de l'espace dans les tables et faussent les rapports de capacité.
• Désactivez le WEP, le TKIP et le WPA1 hérités partout, sans exception.

Sécurité

• WPA3-Enterprise avec 802.1X pour les appareils d'entreprise ; le mode de transition WPA2-Enterprise uniquement tant que vous avez encore des clients hérités, avec une date de fin.
• Validez le certificat du serveur RADIUS côté clients. Un déploiement 802.1X où les clients acceptent n'importe quel certificat est trivialement phishable, et c'est l'échec de sécurité Wi-Fi d'entreprise le plus fréquent.
• Utilisez OWE pour les réseaux invités plutôt qu'un BSS entièrement ouvert.
• La PSK par appareil (diversement PPSK, iPSK, DPSK) pour l'IoT incapable de faire du 802.1X — bien meilleure qu'une seule clé partagée sur 400 appareils.
• Activez les Protected Management Frames. Obligatoire en 6 GHz, ça vaut la peine de l'activer partout.
• Segmentez l'IoT sur son propre VLAN avec filtrage sortant. Supposez que chaque appareil IoT finira par être compromis.
• Activez la détection des AP rogues et lisez réellement les alertes.

Exploitation

• Surveillez le taux d'utilisation du canal comme métrique de santé principale, pas le nombre de clients ni la force du signal.
• Alertez sur les redémarrages d'AP, le budget PoE approchant ses limites, et les événements radar.
• Gardez le firmware à jour mais pas à la pointe : une version mineure derrière la plus récente est généralement le bon compromis. Lisez les notes de version pour les régressions de compatibilité client.
• Refaites un relevé après tout changement important des murs, du rayonnage, de l'occupation ou du mobilier. Les bâtiments changent.
• Tenez un registre de compatibilité des appareils : ce qui a cassé, sur quel firmware, avec quel client, et comment cela a été résolu.
• Établissez une performance de référence pendant que tout fonctionne, afin d'avoir une base de comparaison quand ce ne sera plus le cas.

Les deux habitudes qui comptent le plus

Notez pourquoi. Chaque décision non standard — DFS désactivé, 2,4 GHz désactivé dans une aile, un SSID hérité maintenu en vie — a besoin d'une raison en une ligne consignée quelque part où le prochain ingénieur la trouvera.

Mesurez avant de changer. L'instinct d'ajouter un point d'accès, d'augmenter la puissance ou d'élargir un canal est presque toujours faux. Capturez d'abord le taux d'utilisation du canal et le SNR ; les données pointent généralement ailleurs.