CONFIGURER UN POINT D'ACCES WIFI

## Objectifs et prérequis **Objectifs** : à la fin de ce chapitre, l’élève sera capable de : - décrire les principes de fonctionnement du Wi‑Fi (normes, bandes, canaux) ; - installer et configurer un point d’accès Wi‑Fi (AP) en mode infrastructure ; - choisir les paramètres de sécurité adaptés (WPA2‑PSK, WPA3‑Enterprise, etc.) ; - réaliser un dimensionnement simple d’un réseau Wi‑Fi pour un local donné (salle de classe, bureau, petite entreprise) ; - appliquer les bonnes pratiques de maintenance et de mise à jour du firmware. **Prérequis** : notions de base du modèle OSI, adressage IP (IPv4/IPv6), sous‑réseaux, masque de sous‑réseau, protocole DHCP, connaissance du matériel réseau (switch, routeur, câblage Ethernet) et des règles de sécurité élémentaires (mot de passe fort, mise à jour logicielle). --- ### Introduction contextualisée Au Cameroun, le déploiement du Wi‑Fi s’accélère dans les établissements scolaires, les PME et les espaces publics afin de soutenir l’apprentissage numérique, la télémédecine et les services administratifs. Une configuration correcte du point d’accès garantit non seulement la couverture souhaitée, mais aussi la confidentialité des données échangées. Ce chapitre s’inscrit dans la logique du référentiel de compétences du Baccalauréat technique (série MIE) où l’élève doit maîtriser l’installation, la configuration et la sécurisation des réseaux sans fil dans un contexte professionnel réel. --- ## I. Configuration WIFI et sécurité ### 17.1 Principes du Wi‑Fi Le Wi‑Fi repose sur les normes IEEE 802.11. Les variantes les plus rencontrées sont : | Norme | Bande | Débit théorique maximal | Largeur de canal | Année | |-------|-------|------------------------|------------------|-------| | 802.11b | 2,4 GHz | 11 Mbit/s | 20 MHz | 1999 | | 802.11g | 2,4 GHz | 54 Mbit/s | 20 MHz | 2003 | | 802.11n | 2,4/5 GHz | 600 Mbit/s (4×4 MIMO) | 20/40 MHz | 2009 | | 802.11ac | 5 GHz | 1,3 Gbit/s (3×3 MU‑MIMO) | 20/40/80/160 MHz | 2013 | | 802.11ax (Wi‑Fi 6) | 2,4/5 GHz | 9,6 Gbit/s (OFDMA, MU‑MIMO) | 20/40/80/160 MHz | 2019 | > **Canal** : fréquence centrale utilisée pour la transmission ; dans la bande 2,4 GHz les canaux 1, 6 et 11 sont non chevauchants en Amérique du Nord, tandis qu’en Europe les canaux 1, 5, 9 et 13 sont souvent recommandés. > **SSID** (Service Set Identifier) : nom du réseau Wi‑Fi diffusé par le point d’accès. > **Largeur de canal** : influence directement le débit théorique (ex. 40 MHz ≈ 2× le débit de 20 MHz en conditions idéales). ### 17.2 Configuration d’un point d’accès #### Matériel nécessaire - Point d’accès Wi‑Fi compatible PoE (ex. Ubiquiti UniFi AP‑AC‑Lite, Cisco Meraki MR‑Series) ; - Switch PoE ou injecteur PoE ; - Câble Ethernet Cat 5e/6 (longueur adaptée) ; - Alimentation électrique (si pas de PoE) ; - Ordinateur ou tablette pour accéder à l’interface de configuration. #### Étapes de configuration (mode infrastructure) 1. **Connexion physique** : brancher le câble Ethernet du AP au switch PoE ; vérifier que les voyants d’alimentation et de lien s’allument. 2. **Accès à l’interface** : obtenir l’adresse IP du AP (souvent 192.168.1.1 ou via DHCP du switch) ; ouvrir un navigateur et saisir cette adresse. 3. **Paramètres de base** : - **SSID** : saisir le nom du réseau (ex. `Lycee_Bilingue_WiFi`) ; - **Sécurité** : choisir le type de chiffrement (voir 17.3) ; - **Canal** : sélectionner un canal peu utilisé (outil d’analyse comme Wi‑Fi Analyzer) ; - **Largeur de bande** : 20 MHz en 2,4 GHz pour réduire les interférences, 40/80 MHz en 5 GHz si le trafic le justifie ; - **Mode AP** : s’assurer que le dispositif fonctionne en point d’accès (pas en répéteur ou client). 4. **Adressage IP** : attribuer une adresse IP statique dans le même sous‑réseau que le réseau LAN (ex. 10.0.10.5/24) ou laisser le AP obtenir une adresse via DHCP et créer une réservation DHCP basée sur son adresse MAC. 5. **Application et test** : sauvegarder la configuration, redémarrer l’AP si nécessaire, puis vérifier la connexion avec un appareil client (mesure du RSSI, test de débit avec iPerf3 ou speedtest). #### Exemple chiffré : dimensionnement pour une salle de classe - Surface de la salle : 30 m² (5 m × 6 m). - Portée théorique d’un AP en intérieur à 2,4 GHz ≈ 30 m (rayon) ; à 5 GHz ≈ 20 m. - Pour garantir un chevauchement de 15 % (recommandé pour le handover), on considère un rayon effectif de 25 m à 2,4 GHz et 15 m à 5 GHz. - Un seul AP placé au centre couvre largement la salle (rayon nécessaire ≈ √(30/π) ≈ 3,1 m). - **Conclusion** : un AP suffit ; toutefois, si la densité d’utilisateurs dépasse 30 appareils simultanés, on prévoira un deuxième AP en mode canal différent (ex. canal 1 et canal 6) pour répartir la charge. ### 17.3 Sécurité du réseau Wi‑Fi | Méthode | Chiffrement | Authentification | Niveau de sécurité | |---------|-------------|------------------|--------------------| | WEP | RC4 (faible) | Clé statique | Obsolète, à éviter | | WPA‑PSK | TKIP | Clé pré‑partagée (PSK) | Faible, vulnérable aux attaques | | WPA2‑PSK | AES‑CCMP | Clé pré‑partagée | Bon, recommandé pour petits réseaux | | WPA2‑Enterprise | AES‑CCMP | 802.1X/RADIUS (utilisateur/mot de passe ou certificat) | Élevé, adapté aux entreprises | | WPA3‑Personal | SAE (Simultaneous Authentication of Equals) | Clé pré‑partagée | Très bon, protection contre les attaques par dictionnaire | | WPA3‑Enterprise | AES‑GCM‑256 | 802.1X/RADIUS avec suite B | Très élevé, conforme aux normes gouvernementales | > **WPA2‑PSK** : Wi‑Fi Protected Access 2 avec clé pré‑partagée utilisant l’algorithme AES‑CCMP pour le chiffrement des trames. > **WPA3‑Personal** : remplace le PSK par le protocole SAE, offrant une authentification simultanée qui résiste aux attaques hors ligne. > **802.1X** : norme d’authentification port‑based qui nécessite un serveur RADIUS pour valider les identifiants avant l’accès au médium. #### Bonnes pratiques de sécurité - Changer régulièrement la clé PSK (au moins tous les 90 jours) ; - Désactiver la diffusion du SSID si le réseau est destiné à un groupe restreint (masquage du SSID) ; - Activer le filtrage d’adresse MAC uniquement comme mesure complémentaire (pas suffisante seule) ; - Maintenir le firmware du point d’accès à jour (vérifier les bulletins de sécurité du constructeur) ; - Séparer le trafic invité du trafic interne via VLAN ou réseau SSID distinct ; - Journaliser les tentatives de connexion et mettre en place une alerte en cas de multiples échecs d’authentification. > **Règle de sécurité** : dans un établissement scolaire camerounais, le réseau Wi‑Fi destiné aux élèves doit être isolé du réseau administratif afin de prévenir toute fuite de données sensibles (notes, dossiers médicaux). --- ## Synthèse du chapitre - Le Wi‑Fi repose sur les normes IEEE 802.11 (b/g/n/ac/ax) exploitant les bandes 2,4 GHz et 5 GHz. - Le **SSID** identifie le réseau ; le **canal** détermine la fréquence d’émission ; la **largeur de canal** influence le débit théorique. - Configurer un AP implique : connexion physique, accès à l’interface web, définition du SSID, choix du canal et de la largeur, mise en place de la sécurité (WPA2‑PSK ou WPA3‑Enterprise), adressage IP (statique ou DHCP avec réservation), sauvegarde et test. - Pour une salle de classe de 30 m², un seul AP bien placé suffit ; au-delà de 30 clients simultanés, prévoir un deuxième AP sur un canal non chevauchant. - La sécurité s’appuie sur le chiffrement (TKIP, AES‑CCMP, AES‑GCM‑256) et l’authentification (PSK, 802.1X/RADIUS). WPA3‑Personal/Enterprise offrent le meilleur niveau de protection actuel. - Bonnes pratiques : mise à jour du firmware, changement périodique de la clé, séparation des réseaux (invité/admin), journalisation des connexions. --- ## Glossaire - **AP (Access Point)** : dispositif permettant la connexion d’équipements sans fil à un réseau filaire. - **SSID** : nom du réseau Wi‑Fi diffusé par le point d’accès. - **Canal** : sous‑bande de fréquence utilisée pour la transmission (ex. canal 6 à 2,437 GHz). - **Largeur de canal** : étendue de fréquence occupée par un canal (20 MHz, 40 MHz, 80 MHz, 160 MHz). - **WPA2‑PSK** : mode de sécurité Wi‑Fi utilisant une clé pré‑partagée et le chiffrement AES‑CCMP. - **WPA3‑Personal** : évolution de WPA2‑PSK basée sur le protocole SAE pour résister aux attaques par dictionnaire. - **802.1X** : cadre d’authentification port‑based nécessitant un serveur RADIUS. - **RADIUS** : protocole d’authentification, d’autorisation et de comptabilité centralisé. - **PoE (Power over Ethernet)** : technologie permettant d’alimenter un appareil via le câble Ethernet. - **RSSI** : Received Signal Strength Indicator, mesure de la puissance du signal reçu (en dBm). - **Throughput** : débit réel utile mesuré en Mbit/s ou Gbit/s après prise en compte des protocoles. - **VLAN** : réseau local virtuel permettant de segmenter le trafic logique au sein d’une même infrastructure physique. --- ## Exercices d'application corrigés ### Exercice 1 – Configuration d’un AP pour une petite agence de voyage **Consigne** : Vous devez installer un point d’accès UniFi AP‑AC‑Lite dans une agence de 40 m² (5 m × 8 m) située à Yaoundé. Le réseau doit supporter 15 appareils simultanés (smartphones, tablettes, laptops) et offrir une connexion sécurisée aux clients. 1. Choisissez le canal et la largeur de bande les plus adaptés en justifiant votre réponse. 2. Indiquez les paramètres SSID, sécurité et adresse IP que vous configurerez (adresse IP statique dans le sous‑réseau 10.0.20.0/24, passerelle 10.0.20.1). 3. Calculez le théorique débit maximal disponible par appareil si le AP fonctionne en 802.11ac avec une largeur de 80 MHz et un débit théorique de 866 Mbit/s (supposant une répartition égale). **Corrigé** 1. En milieu urbain à Yaoundé, le spectre 2,4 GHz est souvent encombré. On privilégie la bande 5 GHz avec un canal non chevauchant, par exemple le canal 36 (5,180 GHz) et une largeur de 80 MHz pour bénéficier du débit élevé tout en limitant les interférences avec les réseaux voisins. 2. SSID : `AgenceVoyage_WiFi` ; Sécurité : WPA2‑PSK (AES) avec mot de passe `Voyage2025!` ; Adresse IP statique : 10.0.20.10/24, passerelle = 10.0.20.1, DNS = 8.8.8.8. 3. Débit théorique total = 866 Mbit/s. Réparti équitablement entre 15 appareils → 866 / 15 ≈ 57,7 Mbit/s théorique par appareil. En pratique, en tenant compte de l’overhead (≈ 30 %), le débit utile attendu est d’environ 40 Mbit/s par appareil, suffisant pour la navigation web et le streaming vidéo HD. ### Exercice 2 – Dimensionnement d’un réseau Wi‑Fi pour un laboratoire informatique **Consigne** : Un lycée technique possède un laboratoire de 60 m² (10 m × 6 m) avec 30 postes fixes. Vous devez déterminer le nombre minimal d’AP nécessaires pour assurer une couverture homogène, sachant que chaque AP a une portée intérieure efficace de 20 m à 5 GHz et que le laboratoire comporte des cloisons en plâtre qui atténuent le signal de 6 dB. 1. Déterminez le rayon de couverture effectif d’un AP après atténuation. 2. En supposant une disposition en grille, calculez le nombre d’AP nécessaires (arrondir à l’entier supérieur). 3. Proposez un plan de canaux pour éviter les interférences si vous utilisez deux AP. **Corrigé** 1. Portée théorique = 20 m. Une atténuation de 6 dB correspond à une division de la puissance par 4 (puisque chaque 6 dB ≈ facteur 4 en puissance). En champ libre, la puissance varie avec le carré de la distance ; donc la distance effective est réduite par √4 = 2. Rayon effectif = 20 m / 2 = 10 m. 2. Surface couverte par un AP (cercle de rayon 10 m) = π × 10² ≈ 314 m². Comme le laboratoire ne fait que 60 m², un seul AP suffit théoriquement. Toutefois, pour garantir un chevauchement de 20 % (recommandé pour le handover) et tenir compte de l’atténuation variable, on prévoit deux AP placés aux extrémités de la longueur (à 5 m de chaque extrémité). 3. Avec deux AP, on attribue les canaux 36 et 40 (5 GHz, largeur 20 MHz chacun) ou bien les canaux 36 et 149 si l’on veut utiliser des bandes non chevauchantes plus larges (80 MHz) en s’assurant que leurs spectres ne se recouvrent pas. Dans ce cas, on choisit le canal 36 (5,180‑5,260 GHz) et le canal 149 (5,745‑5,825 GHz) avec une largeur de 80 MHz chacun, ce qui évite toute interférence. --- ## Erreurs fréquentes et règles de sécurité | # | Erreur fréquente | Conséquence | Règle de sécurité / bonne pratique | |---|------------------|-------------|------------------------------------| | 1 | Laisser le SSID par défaut (ex. `linksys`) | Facilite l’identification du matériel et les attaques ciblées | Modifier le SSID dès la première connexion ; éviter les noms révélant la marque ou le modèle. | | 2 | Utiliser WEP ou WPA‑TKIP | Chiffrement faible, facilement cassable | Toujours choisir WPA2‑PSK (AES) ou WPA3‑Personal/Enterprise. | | 3 | Attribuer une adresse IP en dehors du sous‑réseau LAN | Perte de connectivité, conflits d’adresse | Vérifier le masque et la passerelle avant de valider l’IP statique ; utiliser une réservation DHCP quand possible. | | 4 | Négliger la mise à jour du firmware | Exposition à des vulnérabilités connues (ex. KRACK) | Planifier une vérification mensuelle du firmware sur le site du constructeur et appliquer les correctifs dès leur disponibilité. | | 5 | Omettre la séparation du trafic invité | Risque de fuite de données internes vers les appareils des visiteurs | Créer un SSID invité isolé en VLAN distinct, avec accès limité à Internet uniquement. | | 6 | Placer l’AP près d’une source d’interférence (micro‑onde, téléphone sans fil) | Dégradation du signal, pertes de paquets | Respecter une distance minimale de 1 m entre l’AP et les appareils émettant dans les mêmes bandes ; réaliser une étude de site avant l’installation. | --- *Fin du cours.*