📘 Module Académique : Architecture et Maîtrise des Réseaux Locaux sans Fil (WLAN)

Imaginez une grande ville où plusieurs stations de radio diffusent leurs programmes. Chaque station :

• Possède un nom (SSID) et une fréquence spécifique (canal).
• Peut diffuser publiquement son nom (broadcast SSID) ou rester cachée (SSID caché).
• A une zone de couverture limitée par sa puissance et les obstacles (bâtiments).
• Peut être brouillée par d’autres émetteurs sur la même fréquence (four à micro-ondes, téléphones sans fil).

Cette analogie sera notre fil rouge pour modéliser chaque mécanisme WLAN.

Un WLAN n’est pas un simple « Wi-Fi ». C’est un système vivant composé de :

1. Clients (ordinateurs, smartphones) → Cherchent à se connecter.
2. Points d’accès (AP) → Ponts entre le monde sans fil et le monde filaire.
3. Contrôleur WLAN (WLC) → Cerveau central pour les environnements d’entreprise.
4. Réseau filaire dorsal (Switches, Routeurs) → Autoroute des données.
5. Services réseau (DHCP, AAA, DNS) → Infrastructure de support.

Relations de causalité :

• Si un AP est mal placé → les clients ont un signal faible.
• Si le canal Wi-Fi est encombré → les performances chutent.
• Si le DHCP échoue → le client obtient une APIPA (169.254.x.x) et n’a pas d’accès réseau.
• Si le NAT est absent sur le routeur → les adresses IP privées ne peuvent pas sortir sur Internet.

Rôle dans les réseaux modernes : Le WLAN est la périphérie d'accès mobile du réseau. Il étend les services du réseau local (fichiers, impression, internet) aux dispositifs sans fil, en garantissant mobilité, simplicité de déploiement et expérience utilisateur.

Positionnement dans TCP/IP et OSI :

• Couche 1 (Physique) : Radiofréquences (2,4 GHz, 5 GHz), modulations (DSSS, OFDM).
• Couche 2 (Liaison) : IEEE 802.11 (MAC sans fil), adressage MAC, gestion des trames.
• Couche 3 (Réseau) et + : Le WLAN est agnostique. Il transporte de l'IP (IPv4/IPv6) et des protocoles supérieurs sans modification.

Frontières du domaine :

• Borne inférieure : La couche physique radio (gérée par la carte Wi-Fi).
• Borne supérieure : L'interface Ethernet de l'AP qui se connecte au réseau filaire.

Relations avec les autres briques :

• Avec le routage : L'AP/routeur sans fil fait office de passerelle par défaut pour les clients.
• Avec le switching : L'AP se connecte à un port de switch, souvent avec PoE.
• Avec la sécurité : Implémentation de WPA2/WPA3, filtrage MAC, pare-feu intégré.

Mécanisme 1 : La Découverte du Réseau (Beaconing & Probing)

• Fonctionnement normal : L'AP envoie périodiquement des trames Beacon qui crient son SSID. Le client écoute (scan passif) ou envoie une sonde Probe Request (scan actif).
• Condition de validité : Le client et l'AP doivent être sur le même canal et supporter des standards compatibles (ex: 802.11n).
• Cas particulier (SSID caché) : L'AP cesse d'envoyer le SSID dans les Beacon. Le client DOIT connaître et envoyer le SSID exact dans sa Probe Request. Ce n'est pas une sécurité, c'est une fausse sensation : un analyseur de trafic capture facilement le SSID lors de l'association d'un client légitime.

Mécanisme 2 : L'Association et l'Authentification

• Séquence : 1) Authentification Open System (toujours réussit). 2) Association (échange de capacités). 3) Authentification Réelle (via 802.1X/WPA2-Enterprise ou clé pré-partagée PSK).
• Erreur conceptuelle majeure : Confondre l'authentification 802.11 primitive (étape 1) avec l'authentification de sécurité (étape 3). La première est une formalité, la seconde est le cœur de la sécurité.

Mécanisme 3 : L'Attribution d'Adresse IP (DHCP Scope)

• Fonctionnement : Après l'association, le client envoie une requête DHCP DISCOVER en broadcast. Le serveur DHCP (souvent sur le routeur ou le WLC) répond avec une OFFER (une adresse IP). Le scope DHCP est le pool d'adresses configuré pour être offert.
• Limite : Le scope doit être dans le même sous-réseau que l'interface virtuelle du WLAN sur le contrôleur ou le routeur.

• Objectif : Standardiser la couche MAC et PHY pour le sans-fil.
• Couche OSI : 1 (PHY - Radio) & 2 (MAC - Trames).
• Comportement : Gestion du medium partagé via CSMA/CA (écoute avant de parler).
• Interaction : Transporte des trames Ethernet 802.3 vers/depuis le réseau filaire.

• Objectif : Sécuriser les communications.
• Mécanisme : Utilise AES-CCMP pour le chiffrement et l'intégrité.
• Deux modes :
  1. Personal (PSK) : Une phrase secrète partagée par tous. La phrase secrète sert à dériver la clé de chiffrement réelle.
  2. Enterprise (802.1X) : Authentification individuelle via un serveur RADIUS (login/mot de passe, certificat).

• Objectif : Protocole de tunnel entre un AP léger (Lightweight AP) et un WLC.
• Fonction : Tunnelise tout le trafic contrôle et données. Permet la gestion centralisée.

• Objectif : Attribuer automatiquement une configuration IP (adresse, passerelle, DNS).
• Portée (Scope) : Pool d'adresses IP définies sur l'interface du WLAN.

• Objectif : Traduire des adresses IP privées (RFC 1918) en une adresse IP publique pour l'accès à Internet.
• Pourquoi c'est indispensable : Internet ne route pas les adresses privées. Sans NAT sur la passerelle, pas d'Internet pour les clients en IP privée.

• Objectif : Surveiller et gérer les équipements réseau (AP, WLC, routeurs).
• Utilisation : Le WLC expose des MIBs (bases d'information) que le système de supervision (NMS) interroge via SNMP pour connaître l'état, le nombre de clients, les taux d'erreur.

• Objectif : Prioriser le trafic sensible au délai (VoIP, vidéo) sur le trafic best-effort (web, mail).
• Mécanisme en Wi-Fi : WMM (Wi-Fi Multimedia) définit des catégories d'accès (Voice, Video, Best Effort, Background).

Penser en Systèmes : Le WLAN n'est pas une île.

Quand un client ne se connecte pas, la chaîne de causalité est :

1. Client : La carte Wi-Fi est-elle activée ? Le bon SSID/profil est-il sélectionné ?
2. Air : Y a-t-il des interférences (micro-ondes, téléphones DECT) sur le canal 2,4 GHz ? La puissance du signal RSSI est-elle suffisante ?
3. AP : Est-il alimenté (PoE) ? Est-il associé au WLC (si léger) ? Le VLAN du WLAN est-il trunké jusqu'à lui ?
4. Contrôleur/Routage : La politique de sécurité est-elle correcte ? La portée DHCP est-elle épuisée ?
5. Services : Le serveur RADIUS (pour WPA2-Ent.) répond-il ? Le serveur DHCP est-il accessible ?

Anticiper les Effets de Configuration :

• Changer le canal sur un AP impacte tous ses voisins sur le même canal (congestion).
• Activer le QoS (WMM) sans le configurer sur le réseau filaire (trust DSCP sur les switches) est inutile.
• Créer un WLAN WPA2-Enterprise nécessite d'abord de configurer la politique de sécurité sur le WLC (choisir 802.1X, paramétrer le serveur RADIUS) avant de créer le WLAN lui-même et de lui appliquer cette politique. La séquence logique est : Politique → Serveurs → WLAN → AP Groups.

Comprendre les Conséquences Invisibles :

• Désactiver le broadcast SSID n'arrête pas un attaquant déterminé, mais augmente la charge sur les clients (qui doivent constamment envoyer des probes) et peut causer des problèmes de connexion automatique.
• Utiliser uniquement la bande 2,4 GHz dans un immeuble dense expose à la congestion et aux interférences. La solution experte est de diriger les clients capables vers la bande 5 GHz (plus de canaux, moins d'encombrement), en utilisant la séparation des bandes (Band Steering) ou en créant des SSID dédiés.

Lois Conceptuelles :

Équations Mentales :

Règles de Raisonnement :

• Règle du "D'abord, vérifier l'évident" : 90% des problèmes de connexion viennent du client (Wi-Fi désactivé, mauvais SSID) ou des interférences RF.
• Règle du "Scope avant la plage" : Un client sans IP vérifie d'abord le scope DHCP et l'accessibilité du serveur DHCP, pas la configuration IP manuelle.
• Rappel Analogique : Si votre radio ne capte pas une station, vous vérifiez d'abord l'antenne (client), puis les brouillages (air), puis l'émetteur (AP).

Concepts Absents mais Nécessaires :

• Radio Resource Management (RRM) : Fonction intelligente du WLC qui ajuste automatiquement la puissance (Tx Power) et les canaux des APs pour optimiser la couverture et minimiser les interférences. C'est la magie noire des grands réseaux Wi-Fi stables.
• Wireless Intrusion Prevention System (WIPS) : Système (souvent intégré au WLC) qui surveille l'air à la recherche d'APs rogue (non autorisés), d'attaques par dé-authentification, et peut les contrer activement.
• Passive vs Active Site Survey : L'étude de couverture active utilise un client pour mesurer le débit. La passive utilise un AP spécial en mode écoute pour cartographier le bruit et les interférences. Essentiel pour tout déploiement professionnel.
• Mesh Networking (AWPP) : Quand il est impossible de tirer un câble Ethernet jusqu'à un AP, on le fait « rebondir » sans fil sur un autre AP. Introduit de la latence et réduit la bande passante de moitié à chaque saut.

Vision Vendor-Neutral :

Les concepts (SSID, WPA2, DHCP, NAT, Contrôleur) sont universels. Les implémentations (Cisco WLC, Aruba, Ruckus, UniFi) varient par l'interface, la terminologie (« Policy » vs « Profile ») et les fonctionnalités avancées. Maîtrisez les concepts, vous apprendrez n'importe quel vendor en 48h.

Liens Vers d'Autres Domaines :

• Sécurité : Le WLAN est une porte d'entrée majeure. Il doit être intégré à la politique de sécurité globale (NAC - Network Access Control, post-authentification des équipements).
• Routage : Les WLANs sont souvent mappés à des VLANs spécifiques (VLAN invité, VLAN employés, VLAN IoT). Cela nécessite une compréhension du routage inter-VLAN et des ACL.
• Téléphonie (VoIP) : Un téléphone Wi-Fi est le pire cas d'usage : sensible au délai, à la gigue et aux pertes. Il exige un WLAN avec QoS (WMM) activé et correctement priorisé, et idéalement une bande dédiée (5 GHz).