Configurer plusieurs SSID sur un réseau

Objectif

Le SSID (Service Set Identifier) est un identificateur unique auquel les clients sans fil peuvent se connecter ou partager entre tous les périphériques d'un réseau sans fil. Il est sensible à la casse et ne doit pas dépasser 32 caractères alphanumériques.

L'objectif de cet article est de vous montrer comment configurer correctement plusieurs SSID sur un réseau à l'aide de VLAN pour segmenter correctement le réseau privé et le réseau invité.

Pourquoi configurer plusieurs SSID ?

Dans un environnement de travail en constante évolution et en pleine croissance, un réseau doit être évolutif pour répondre aux besoins de l'entreprise. Cela inclurait des changements virtuels et physiques pour les méthodes les plus rentables.

Dans les environnements où les gens vont et viennent comme les cafés ou les espaces de travail en commun, il est recommandé de segmenter les réseaux. Créer un réseau partagé pour les employés où des données sensibles d'entreprise peuvent être échangées (réseau privé) et un autre pour les travailleurs temporaires ou les clients (réseau invité). 

Note: Un portail captif peut également être créé pour renforcer la sécurité d'un réseau public. Captive Portal est une fonctionnalité de votre point d'accès sans fil qui vous permet de configurer un réseau invité où les utilisateurs sans fil doivent d'abord être authentifiés avant de pouvoir accéder à Internet. Il fournit un accès sans fil à vos visiteurs tout en préservant la sécurité de votre réseau interne. Pour savoir comment configurer un portail captif, cliquez ici.

     Topologie du réseau

      Avantages de l'utilisation de plusieurs SSID :

1. Connectivité sécurisée et permanente
2. Sécurité permanente et application des politiques
3. Optimisation des capacités réseau en segmentant les réseaux publics et privés
4. Avec un SSID public, il donne accès à Internet aux invités via le même WAP sans passer par des informations réseau sensibles.

Périphériques pertinents

• Routeur - RV340
• Commutateur - SG220-26P
• Point d'accès sans fil - WAP150

Version du logiciel

• 1.0.01.17 - RV340
• 1.0.1.7 - WAP150
• 1.1.2.1 - SG220-26P

Configurer un VLAN sur un commutateur

Créer un VLAN pour le réseau privé et le réseau invité

Étape 1. Connectez-vous à l'utilitaire Web du commutateur et choisissez VLAN Management > Create VLAN.

Étape 2. Dans la table VLAN, cliquez sur Add pour créer un nouveau VLAN.

Étape 3. Dans le champ VLAN ID, attribuez une valeur à votre VLAN. La plage est comprise entre 2 et 4 094.

Note: L’ID de VLAN 25 sera l’exemple utilisé dans toute la configuration.

Étape 4. Dans le champ VLAN Name, saisissez un nom dans la limite de 32 caractères.

Note: Dans cet exemple, GuestDisco est utilisé.

Étape 5. Cliquez sur Apply.

Étape 6. Répétez les étapes 2 à 5 pour créer plusieurs SSID.

Note: Dans cet exemple, un réseau VLAN privé avec SSID PrivateDisco a été créé en outre.

Vous devez maintenant avoir créé des VLAN pour les réseaux privés et invités.

Attribuer un port à un VLAN

Étape 1. Choisissez VLAN Management > Port to VLAN.

Étape 2. Dans la zone Filter, dans la liste déroulante VLAN ID equals to, sélectionnez un ID VLAN à attribuer à une interface.

Note: Dans cet exemple, 25 est sélectionné.

Étape 3. Dans la zone Filter, dans la liste déroulante Interface type equals To, sélectionnez le type d'interface que vous souhaitez ajouter au VLAN. Les options disponibles sont un port ou un groupe d'agrégation de liens (LAG).

Note: Dans cet exemple, Port est sélectionné.

Étape 4. Cliquez sur Go.

Étape 5. Choisissez une interface à laquelle appliquer le VLAN. Les options sont les suivantes :

• Interdit : l'interface n'est pas autorisée à rejoindre le VLAN même à partir de l'enregistrement GVRP (Generic VLAN Registration Protocol). Lorsqu'un port n'est membre d'aucun autre VLAN, l'activation de cette option sur le port fait du port une partie du VLAN interne 4095 (un VID réservé).
• Excluded : l'interface n'est actuellement pas membre du VLAN. Il s'agit de la valeur par défaut pour tous les ports et les LAG. Le port peut rejoindre le VLAN via l'enregistrement GVRP.
• Tagged : l'interface est un membre balisé du VLAN.
• Untagged : l'interface est un membre non balisé du VLAN. Les trames du VLAN sont envoyées sans étiquette au VLAN d’interface.
• PVID : cochez cette case pour définir le PVID de l'interface sur le VID du VLAN. PVID est un paramètre par port.

Note: Dans cet exemple, GE8 est l'interface choisie pour l'ID VLAN 25 à baliser. Cette option est également sélectionnée car un WAP existant est connecté via ce port.

Étape 6. Cliquez sur Apply.

Étape 7. (Facultatif) Cliquez sur le bouton Port VLAN Membership Table pour afficher les VLAN affectés à un port.

Vous devez maintenant avoir attribué un VLAN à un port.

Créer un VLAN sur un routeur

Note: Le routeur utilisé dans cet exemple est un routeur de la gamme RV34x.

Étape 1. Connectez-vous à l'utilitaire Web du routeur et sélectionnez LAN > VLAN Settings.

Étape 2. Dans la table VLAN, cliquez sur Add pour créer un nouveau VLAN.

Étape 3. Dans le champ ID VLAN, saisissez un nombre compris entre 2 et 4094 pour être l'ID VLAN.

Note: Dans cet exemple, l'ID de VLAN est 25. Le nom du VLAN est automatiquement renseigné en fonction de l'ID de VLAN saisi.

Étape 4. (Facultatif) Cochez la case Enable Inter-VLAN Routing pour autoriser la communication entre différents VLAN. Cette case est cochée par défaut.

Note: Les VLAN divisent les domaines de diffusion dans un environnement de réseau local. Toutes les fois que des hôtes dans un VLAN ont besoin de communiquer avec des hôtes dans un autre VLAN, le trafic doit être conduit entre eux.

Étape 5. Dans le champ Adresse IPv4, saisissez une adresse IPv4.

Note: Dans cet exemple, 192.168.11.1 est utilisé comme adresse IPv4.

Étape 6. Entrez la longueur de préfixe de l'adresse IPv4 dans le champ Prefix Length. Cela détermine le nombre d’hôtes dans le sous-réseau.

Note: Dans cet exemple, 24 est utilisé.

Étape 7. Cliquez sur Apply.

Étape 8. Répétez les étapes nécessaires pour les VLAN.

Note: Dans cet exemple, un VLAN supplémentaire a été créé avec l'ID de VLAN 30.

Vous devez maintenant avoir correctement configuré un VLAN IPv4 sur un routeur.

Configurer un VLAN sur un point d'accès sans fil

Cet article suppose que les paramètres radio de base ont été configurés. Pour savoir comment configurer les paramètres radio de base sur un WAP, cliquez ici.

Dans cette série d'étapes, nous modifions un réseau existant sur une seule radio sur le WAP150.

Étape 1. Connectez-vous à l'utilitaire Web du WAP et choisissez Wireless > Networks.

Étape 2. Cliquez sur une case d'option pour sélectionner une bande radio pour créer et diffuser un réseau sans fil. Les options sont les suivantes :

• 2,4 GHz : plage plus large, meilleure pour les périphériques existants qui ne prennent en charge que 2,4 GHz.
• 5 GHz : offre une couverture plus sécurisée et une meilleure compatibilité avec les nouveaux périphériques.

Note: Dans cet exemple, Radio 2 (5 GHz) est sélectionné.

Étape 3. Dans cette étape, vous pouvez choisir de créer ou de modifier un SSID. Cochez la case du SSID ou du point d'accès virtuel (VAP) à modifier.

Note: Dans cet exemple, VAP 0, VAP 1 et VAP2 sont choisis.

Étape 4. Cliquez sur Edit.

Étape 5. Cochez la case Enable (Activer) pour activer le SSID.

Note: Dans cet exemple, les options GuestDisco et Private Disco sont cochées. 

Étape 6. Dans le champ ID de VLAN, saisissez l'ID de VLAN récemment configuré sur le routeur et le commutateur.

Note: Dans cet exemple, il s'agirait de 25 et 30.

Étape 7. (Facultatif) Dans le champ SSID Name, renommez le nom SSID existant.

Note: Dans cet exemple, aucune modification n'a été apportée.

Étape 8. Cochez la case Activer la diffusion SSID pour activer la visibilité sur vos périphériques clients sans fil.

Étape 9. Dans la liste déroulante Sécurité, sélectionnez le type de sécurité à appliquer sur le réseau. Les options sont les suivantes :

• Aucun : paramètre par défaut. Si vous sélectionnez Aucun, le réseau sans fil ne sera pas sécurisé, de sorte que toute personne disposant d'un périphérique client sans fil puisse se connecter facilement au réseau.
• WPA Personal : WPA (Wi-Fi Protected Access) utilise le chiffrement AES (Advanced Encryption Standard) pour protéger le réseau sans fil. Il utilise une combinaison de lettres et de chiffres sensibles à la casse pour le mot de passe. Ce type de sécurité est recommandé.
• WPA Enterprise : WPA Enterprise est généralement utilisé dans les réseaux structurés d'entreprise. Il nécessite un service RADIUS (Remote Authentication Dial-In User Service) pour terminer ce type de configuration de la sécurité sans fil.

Note: Dans cet exemple, WPA Personal est appliqué aux deux SSID.

Étape 10. Choisissez une option dans la liste déroulante MAC Filtering (Filtrage MAC) pour attribuer une action au routeur afin de filtrer les hôtes en fonction de leur adresse MAC (Media Access Control). Les options sont les suivantes :

• Disabled : le filtrage MAC est désactivé sur le réseau.
• Local : utilise une liste créée sur le WAP pour filtrer les adresses MAC qui accèdent au réseau.
• RADIUS : cette option utilise un serveur RADIUS pour filtrer les adresses MAC.

Étape 11. Cochez la case Isolation de canal pour désactiver la communication entre les clients.

Étape 12. (Facultatif) Cochez la case Band Steer pour diriger les périphériques vers une fréquence radio plus optimale, améliorant ainsi les performances du réseau.

Étape 13. Cliquez sur .

Étape 14. Une fenêtre s'affiche pour vous informer que vos paramètres sans fil sont sur le point d'être mis à jour et que vous pouvez être déconnecté. Cliquez sur OK pour continuer.

Vous devez maintenant avoir correctement configuré plusieurs SSID avec les VLAN/segmentation appropriés sur un point d'accès.