Définir ce qu'un visiteur doit pouvoir faire
Le besoin habituel est un accès Internet limité dans le temps, pas un accès au stockage, aux imprimantes ou aux postes de travail. Distinguez aussi les équipements personnels des salariés des terminaux gérés par l'entreprise.
Inventoriez les services indispensables aux visiteurs, comme une page d'accueil ou une visioconférence, puis ceux qui doivent rester inaccessibles. Cette liste servira à tester l'isolation après configuration.
Créer une séparation effective
Selon l'équipement, un SSID invité peut être associé à un réseau ou VLAN distinct, avec filtrage vers le réseau interne. L'ANSSI recommande de séparer les terminaux personnels et visiteurs de ceux de l'entité.
Vérifiez la documentation de la box ou du point d'accès : certains « réseaux invités » isolent seulement les clients entre eux, d'autres bloquent aussi l'accès au LAN. Ne présumez pas du résultat à partir du seul nom de l'option.
Gérer l'accès et la capacité
Choisissez une authentification adaptée à la taille du lieu, changez les identifiants lorsqu'ils ont trop circulé et évitez d'afficher le mot de passe administrateur avec celui des visiteurs. Dimensionnez le débit pour que l'accueil invité n'étouffe pas les appels ou outils métier.
Si un portail captif est utilisé, testez-le sur plusieurs appareils et prévoyez un moyen d'assistance simple. Informez les utilisateurs des conditions applicables sans promettre une confidentialité que le réseau ne peut garantir.
Contrôler avec un vrai appareil invité
Connectez un appareil non administré au réseau visiteurs : il doit accéder à Internet, mais pas aux adresses des postes, au NAS ou aux imprimantes internes. Refaites le test après une mise à jour de la box ou un changement de routeur.
Conservez un schéma simple des réseaux et des accès autorisés. Si l'équipement ne permet pas l'isolation nécessaire, demandez une solution adaptée au prestataire plutôt que de partager le réseau de production.
Questions fréquentes
Un mot de passe différent suffit-il à isoler les visiteurs ?
Non. Il faut vérifier la séparation réseau et le filtrage des accès internes.
Puis-je donner l'accès au réseau du personnel à un prestataire ?
Préférez un accès dédié au besoin du prestataire, avec les droits nécessaires et une durée maîtrisée.
Comment vérifier l'isolation ?
Depuis un appareil connecté au Wi-Fi invité, contrôlez l'accès Internet puis l'impossibilité de joindre les équipements internes.