Invités, BYOD et accès prestataires sans regrets

Le Wi-Fi invité est l'endroit où les bonnes architectures de sécurité vont être discrètement démantelées. Le schéma est familier : un réseau invité isolé reçoit une petite exception pour une imprimante, puis un lecteur partagé, puis l'ordinateur portable d'un fournisseur, et dix-huit mois plus tard, c'est un réseau plat avec un nom sympathique.

Les non-négociables

• Le trafic invité se termine sur son propre VLAN et n'atteint qu'internet. Aucune exception, aucune imprimante, aucun « juste ce partage de fichiers ».
• L'isolation client de niveau 2 activée, afin que les invités ne puissent pas se voir entre eux.
• Une limitation de débit par client, dimensionnée pour qu'un visiteur synchronisant une photothèque n'affame pas la pièce.
• Une plage DHCP séparée avec un bail court, et un DNS séparé.
• Aucun transfert multicast ou broadcast.

Les portails captifs, honnêtement

Les portails captifs font trois choses : ils affichent les conditions d'utilisation, ils capturent une adresse e-mail, et ils agacent les gens. Ils n'apportent essentiellement aucune sécurité.

Si vous en avez besoin d'un pour des raisons légales ou marketing, soyez conscient des points de friction :

• La randomisation MAC signifie que les visiteurs qui reviennent sont de nouveaux visiteurs, à répétition.
• Les systèmes d'exploitation clients modernes utilisent des points de terminaison de détection de portail captif qui ne doivent pas être bloqués, sinon le portail n'apparaît jamais.
• HSTS et l'épinglage de certificat cassent l'interception HTTPS naïve. Ne redirigez qu'en HTTP.
• Le 6 GHz ne peut pas du tout héberger un BSS ouvert, donc un réseau invité basé sur portail est un service 2,4/5 GHz à moins d'utiliser OWE.

Un meilleur défaut : OWE

Enhanced Open (OWE) offre un chiffrement non authentifié sans aucune interaction utilisateur. Les invités se connectent exactement comme à un réseau ouvert, mais leur trafic est chiffré sur les ondes. Là où un portail n'est pas légalement requis, c'est tout simplement mieux.

Comme les clients plus anciens ne prennent pas en charge OWE, déployez-le en mode de transition OWE, qui annonce à la fois un BSS ouvert et un BSS OWE et laisse les clients compatibles utiliser automatiquement le chiffré.

BYOD

La question qui détermine votre architecture : voulez-vous des appareils personnels sur le réseau de l'entreprise, ou sur un réseau ségrégué avec accès à des services spécifiques ?

La ségrégation est presque toujours la bonne réponse. Donnez aux appareils BYOD leur propre SSID ou VLAN avec accès à une liste définie de services — e-mail, intranet, un courtier VDI — et rien d'autre. Utilisez une PSK par appareil ou un flux d'embarquement léger qui émet un certificat d'appareil.

Si vous devez placer le BYOD sur le SSID de l'entreprise, exigez un enrôlement avec un certificat d'appareil et un contrôle de posture, et acceptez la charge de support qui l'accompagne.

Prestataires et visiteurs de longue durée

Le terrain intermédiaire délicat. Un prestataire pour six mois n'est ni un invité ni un employé. Gérez cela avec :

• Un flux d'accès parrainé où un employé nommé approuve et possède le compte, avec une date d'expiration obligatoire.
• Une PSK par appareil ou un certificat de courte durée plutôt qu'une clé partagée.
• La même segmentation que le BYOD, plus un accès explicite aux systèmes spécifiques dont ils ont besoin.
• Une expiration automatique qui se déclenche réellement. L'échec le plus courant ici est un compte censé durer quinze jours et toujours actif trois ans plus tard.

Événements et espaces de conférence

Si vous accueillez des événements, dimensionnez-les délibérément. Une réunion générale de 300 personnes dans un espace conçu pour 40 nécessite un plan de canaux différent, pas plus de puissance. Mesures pratiques :

• Avant l'événement : réduisez les largeurs de canal dans l'espace, activez tous les canaux disponibles, vérifiez la taille du pool DHCP.
• Pendant : surveillez l'utilisation du canal et le nombre de clients par radio en temps réel.
• Envisagez un SSID temporaire avec des limitations de débit agressives pour l'événement, en préservant la capacité du SSID de l'entreprise pour le personnel.
• Testez le chemin AV et de diffusion sur le même réseau, au même moment, avant le jour J.