Wi-Fi 6, 6E et 7 : normes, bandes et sécurité

Le Wi-Fi est la famille de normes IEEE 802.11 qui relie des appareils à un réseau local par ondes radio, dans les bandes de 2,4, 5 et 6 GHz ; les générations récentes s'appellent Wi-Fi 6 (802.11ax), Wi-Fi 6E (le même, étendu à la bande de 6 GHz) et Wi-Fi 7 (802.11be). Ce chapitre compare les normes, explique les bandes et les canaux, l'architecture d'un Wi-Fi d'entreprise et les protocoles de sécurité, de WPA2 à WPA3 et 802.1X.

Les normes Wi-Fi

Le nom technique d'une norme est IEEE 802.11 suivi d'une ou deux lettres ; depuis 2018, la Wi-Fi Alliance, qui certifie les appareils, leur donne aussi un numéro de génération plus lisible.

Le Wi-Fi 8 (802.11bn) est en préparation, avec une sortie attendue vers 2028 ; il vise la fiabilité plutôt que le débit maximal.

Ce que change le Wi-Fi 6. L'OFDMA découpe chaque canal en sous-porteuses et permet à la borne de servir plusieurs clients dans une même émission : c'est surtout l'efficacité dans les lieux denses (bureaux ouverts, salles de cours, entrepôts avec des dizaines de terminaux) qui progresse, plus que le débit de pointe. Le TWT (Target Wake Time) planifie les réveils des appareils et économise leur batterie : utile pour les terminaux de scan et les objets connectés.

Ce que change le Wi-Fi 7. Le MLO (Multi-Link Operation) permet à un appareil d'utiliser plusieurs bandes en même temps (par exemple 5 et 6 GHz) : plus de débit, moins de latence, et une connexion qui survit au brouillage d'une bande. Les canaux de 320 MHz n'existent qu'en 6 GHz, et la modulation 4096-QAM n'apporte quelque chose qu'à courte distance. Une borne Wi-Fi 7 dépasse facilement le gigabit : elle demande un port 2,5 ou 5 Gbit/s et souvent du PoE++ (chapitre 3).

Les bandes de fréquences et les canaux

Aux États-Unis, la bande de 6 GHz fait 1 200 MHz ; en Europe, seule sa partie basse (480 MHz) est ouverte au Wi-Fi depuis 2021. C'est pourquoi les fiches produits américaines promettent parfois plus de canaux de 320 MHz qu'un appareil n'en trouvera en France.

Choisir ses canaux. Deux bornes voisines sur le même canal se partagent le temps d'antenne : elles ralentissent toutes les deux. En 2,4 GHz, on alterne les canaux 1, 6 et 11. En 5 et 6 GHz, on préfère des canaux de 20 ou 40 MHz dans un lieu dense (plus de canaux disponibles, donc moins de voisins sur le même), et des canaux larges seulement là où il y a peu de bornes. Les contrôleurs Wi-Fi choisissent canaux et puissances automatiquement, mais il faut savoir vérifier.

L'architecture d'un Wi-Fi d'entreprise

• SSID : le nom du réseau, celui que voient les utilisateurs. Une borne diffuse en général plusieurs SSID.
• BSSID : l'adresse MAC d'une radio de borne pour un SSID donné. Plusieurs bornes diffusant le même SSID ont des BSSID différents.
• ESS : l'ensemble des bornes qui diffusent le même SSID sur un site. Le client passe de l'une à l'autre en se déplaçant : c'est l'itinérance (roaming), accélérée par les normes 802.11k, v et r.
• Contrôleur : configure et supervise toutes les bornes (canaux, puissances, SSID, mises à jour). Il est matériel, logiciel (dans une machine virtuelle) ou dans le cloud du constructeur.
• Wi-Fi maillé (mesh) : des bornes qui se relient entre elles par radio quand on ne peut pas tirer de câble. Pratique, mais chaque saut radio divise le débit disponible : on câble dès que possible.

Chaque SSID est associé à un VLAN : la borne reçoit un lien trunk et place le trafic de chaque SSID dans son VLAN. Le Wi-Fi des visiteurs se retrouve ainsi dans le VLAN 40, isolé des serveurs (chapitre 4).

Dimensionner. La question n'est pas seulement « la couverture » (le signal arrive-t-il partout ?) mais aussi « la capacité » (combien de clients actifs par borne ?). Une borne d'entreprise sert confortablement quelques dizaines de clients actifs. On fait une étude de site (site survey) avec un logiciel de cartographie : on mesure le signal, en dBm, pièce par pièce. Un signal meilleur que −67 dBm convient à la voix et à la visioconférence ; en dessous de −75 dBm, la connexion devient lente et instable.

La sécurité du Wi-Fi

Les ondes traversent les murs : n'importe qui sur le parking peut capter les échanges. Le Wi-Fi doit donc authentifier les clients et chiffrer leurs données.

Personnel ou Entreprise ? En mode Personnel, tout le monde partage le même mot de passe : impossible de couper l'accès d'un seul salarié qui part sans changer la clé de tous, et impossible de savoir qui était connecté. En mode Entreprise, chaque utilisateur (ou chaque machine, avec un certificat) s'authentifie auprès d'un serveur RADIUS (NPS sous Windows Server, FreeRADIUS sous Linux), souvent relié à l'Active Directory. On désactive un compte, l'accès est coupé ; les journaux disent qui s'est connecté et quand. La méthode EAP-TLS, avec un certificat par machine, est la plus sûre. La configuration complète (RADIUS, VLAN dynamique, portail captif) est détaillée dans le chapitre Sécuriser le Wi-Fi.

Pour les visiteurs, on combine : un SSID séparé dans un VLAN isolé, l'isolation des clients (les visiteurs ne se voient pas entre eux), un portail captif ou un code qui change chaque semaine, une limite de débit, et la conservation des journaux de connexion que la loi impose à qui fournit un accès Internet au public.

Le cours Cybersécurité des infrastructures approfondit la sécurisation du Wi-Fi.

Le Wi-Fi de Sorbier Logistique

Exercices

Exercice 1 sur 4 Choisir la bande Réussi À revoir

Pour chaque situation, quelle bande privilégies-tu (2,4, 5 ou 6 GHz) ?

1. Une caméra connectée au fond du jardin, qui envoie peu de données.
2. Une salle de réunion avec 20 portables récents en visioconférence.
3. Un capteur de température de 2018 qui ne gère que le Wi-Fi 4.
4. Le bureau du graphiste, qui transfère de gros fichiers depuis un portable Wi-Fi 7.

Voir la réponseMasquer la réponse de l'exercice 1

1. 2,4 GHz : la portée et la traversée des murs priment, le débit importe peu.
2. 5 GHz, ou 6 GHz si les portables sont Wi-Fi 6E ou 7 : beaucoup de canaux, peu d'interférences, assez de capacité pour 20 flux vidéo.
3. 2,4 GHz, sans doute la seule bande qu'il gère (le Wi-Fi 4 peut fonctionner en 5 GHz, mais beaucoup d'objets connectés n'ont qu'une radio 2,4 GHz).
4. 6 GHz : canaux larges disponibles (jusqu'à 320 MHz en Europe, un seul), peu encombrés, et MLO pour combiner avec le 5 GHz.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Les canaux de la bande de 6 GHz Réussi À revoir

En Europe, la bande de 6 GHz ouverte au Wi-Fi s'étend de 5 945 à 6 425 MHz.

1. Quelle largeur totale cela représente-t-il ?
2. Combien de canaux de 20, 80 et 160 MHz, sans chevauchement, peut-on y placer au maximum ?
3. Pourquoi un bureau avec 12 bornes ne doit-il pas configurer toutes ses bornes en 160 MHz ?

Voir la réponseMasquer la réponse de l'exercice 2

1. 6 425 − 5 945 = 480 MHz.
2. 480 ÷ 20 = 24 canaux de 20 MHz ; 480 ÷ 80 = 6 de 80 MHz ; 480 ÷ 160 = 3 de 160 MHz.
3. Avec 3 canaux de 160 MHz pour 12 bornes, au moins 4 bornes partageraient chaque canal : elles se gêneraient et le débit réel baisserait. Des canaux plus étroits (40 ou 80 MHz) donnent plus de canaux distincts, donc moins de bornes voisines sur le même.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Choisir la sécurité Réussi À revoir

Un cabinet comptable de 25 salariés a un seul Wi-Fi en WPA2-Personnel, dont le mot de passe, affiché à l'accueil, n'a pas changé depuis trois ans. Les clients s'y connectent aussi.

1. Cite trois risques.
2. Propose une nouvelle organisation.

Voir la réponseMasquer la réponse de l'exercice 3

1. D'anciens salariés et des clients connaissent la clé et peuvent se connecter depuis l'extérieur du bâtiment ; les clients sont sur le même réseau que les postes et le serveur de dossiers ; une poignée de main WPA2 capturée permet une attaque par dictionnaire sur la clé ; impossible de savoir qui s'est connecté.
2. Deux SSID : un SSID salariés en WPA3-Entreprise (802.1X, comptes individuels vérifiés par un serveur RADIUS relié à l'annuaire) dans le VLAN des postes, et un SSID invités dans un VLAN isolé, avec OWE ou un code renouvelé régulièrement, isolation des clients et accès Internet seulement. Les données des clients du cabinet sont des données personnelles : leur protection relève aussi du RGPD.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 « Le Wi-Fi est lent à l'entrepôt » Réussi À revoir

Les terminaux de scan de Sorbier se déconnectent souvent dans l'allée du fond. Une mesure montre un signal de −79 dBm à cet endroit, et la borne la plus proche est configurée sur le canal 6 en 2,4 GHz, comme celle de l'entreprise voisine.

1. Quels sont les deux problèmes ?
2. Que proposes-tu ?

Voir la réponseMasquer la réponse de l'exercice 4

1. Le signal est trop faible (−79 dBm, bien en dessous des −67 à −70 dBm souhaitables), et le canal est partagé avec un voisin, ce qui ajoute des interférences.
2. Ajouter une borne (alimentée en PoE) pour couvrir l'allée du fond, ou déplacer la borne existante après une étude de site ; changer de canal en 2,4 GHz (1 ou 11 si le voisin est sur 6) ou faire passer les terminaux en 5 GHz s'ils le permettent. Les étagères métalliques et les marchandises atténuent beaucoup le signal : un entrepôt se mesure plein, pas vide.

Tu avais trouvé ?

Oui, j'avais bonPas encore