Configurer un nouveau WLAN (SSID) pour le réseau invité sur le contrôleur UniFi

Dans de nombreux environnements, il est utile de proposer un réseau invité séparé. Les visiteurs ou prestataires externes peuvent ainsi accéder à Internet sans exposer le réseau interne de l’entreprise. Cet article montre comment créer un nouveau SSID sur un UniFi Controller et l’associer à un VLAN déjà configuré, par exemple un VLAN invités.

Conditions préalables

• UniFi Controller avec accès à l’interface web.
• VLAN déjà configuré (configurer un VLAN sur Sophos Firewall et UniFi Switch).
• VLAN ID et règles firewall correspondantes configurés. Le VLAN invité doit être transporté de la passerelle aux points d’accès via les liaisons montantes des switches.
• DHCP et DNS sont disponibles pour le réseau invité ; le firewall autorise l’accès Internet nécessaire et bloque les destinations internes prévues.

Créer un nouveau SSID pour le réseau invité

Ouvrir UniFi Controller

• Se connecter à UniFi Controller.
• Ouvrir Settings dans le menu de gauche.

Ouvrir les paramètres WiFi

• Sélectionner WiFi dans la zone gauche.
• Contrôler la vue d’ensemble des réseaux WLAN existants (SSID).

Créer un nouveau SSID

• Cliquer sur Create New.
• Définir un nom pour le réseau, par exemple GUEST.
• Définir un mot de passe pour les invités et veiller à une complexité suffisante.

Attribuer le VLAN

• Dans les paramètres sous Network, définir le VLAN créé auparavant.
• Sélectionner le VLAN prévu pour le réseau invité, par exemple WLAN Guest.

Paramètres avancés (optionnel)

• Sous Advanced, configurer d’autres options comme Guest Portal, Hotspot 2.0, Captive Portal ou Bandwidth Limits.
• Les options varient selon la version d’UniFi Network. Pour séparer les clients WLAN, vérifier Client Device Isolation dans les paramètres avancés du SSID. Ce contrôle concerne les clients sur le même point d’accès et ne remplace ni les règles firewall entre VLANs ni une isolation supplémentaire sur les switches et entre plusieurs points d’accès.

Enregistrer et appliquer

• Cliquer finalement sur Add WiFi Network pour créer le nouveau SSID.
• Après un court délai, le WLAN invité devrait être visible.

Vérifier la configuration

• Test de connexion : se connecter au nouveau WLAN et vérifier qu’une adresse IP correcte du VLAN invité est attribuée, si DHCP est déjà configuré.
• Règles firewall : vérifier sur Sophos Firewall ou le firewall passerelle que les règles correctes s’appliquent.
• Séparation réseau : vérifier avec un client invité que les VLANs internes et adresses de gestion prévus ne sont pas accessibles. Effectuer cette vérification via le firewall de la passerelle, et non avec le seul paramètre du SSID.
• Isolation client : vérifier avec deux clients de test sur le même point d’accès et, le cas échéant, sur des points d’accès différents, que le blocage mutuel attendu fonctionne. Un accès Internet réussi ne prouve pas à lui seul cette isolation.

Si DHCP, DNS, la séparation réseau ou l’isolation client restent incertains, ne pas encore ouvrir le SSID aux invités. En cas d’accès inattendu, désactiver le nouveau SSID jusqu’à la correction ; ne pas supprimer au hasard les VLANs et règles firewall existants.