Wi-Fi invités en entreprise : comment isoler les visiteurs du réseau professionnel ?

Pour sécuriser un Wi-Fi invités en entreprise, les visiteurs doivent pouvoir accéder à Internet sans atteindre les fichiers, les postes et les interfaces d’administration de votre réseau professionnel. Un nom Wi-Fi différent ou un deuxième mot de passe ne prouve pas que cette séparation existe : il faut contrôler les règles d’accès et les tester.

Ce guide s’adresse aux PME de Genève et du canton qui accueillent des clients, partenaires ou prestataires : agences immobilières, fiduciaires, cabinets d’architectes, associations ou cabinets de soins. Il aide à définir le besoin, choisir une solution et vérifier le résultat avec votre responsable informatique.

Pourquoi séparer les visiteurs des collaborateurs ?

Un visiteur utilise un appareil dont votre entreprise ne maîtrise ni les mises à jour ni la configuration. Il a généralement besoin de consulter sa messagerie ou de participer à une réunion, sans disposer des mêmes accès que vos collaborateurs. La séparation évite de lui ouvrir inutilement votre infrastructure.

Le périmètre à protéger comprend notamment le serveur de fichiers, le NAS (Network Attached Storage, stockage en réseau), les imprimantes, les équipements de téléphonie et les consoles d’administration. L’objectif est de limiter les communications possibles, sans supposer que tous les appareils invités sont dangereux.

Exemple fictif : une agence immobilière genevoise reçoit des propriétaires et des intervenants externes. Son réseau visiteurs permet de consulter des documents en ligne, mais ne donne pas accès aux dossiers de location stockés sur le NAS. Un partenaire qui doit travailler sur ces dossiers reçoit un accès professionnel spécifique, validé séparément.

Cette mesure s’intègre dans une démarche plus large de sécurité informatique des entreprises : les comptes, les postes et les fichiers restent à protéger, même lorsque le réseau est segmenté.

SSID, VLAN et pare-feu : comprendre la séparation

Un SSID est un nom de réseau

Le SSID (Service Set Identifier) désigne le nom affiché dans la liste des réseaux Wi-Fi. Créer « Entreprise-Visiteurs » facilite la connexion, mais ce nom peut encore conduire au même réseau local que celui des salariés. Il faut donc vérifier à quel réseau il est associé.

Un VLAN sépare des groupes d’appareils

Un VLAN (Virtual Local Area Network, réseau local virtuel) permet de distinguer plusieurs réseaux logiques sur une infrastructure compatible. Dans un bureau, un VLAN peut accueillir les postes professionnels et un autre les visiteurs. Le SSID invités est associé au réseau prévu à cet effet. La documentation Ubiquiti sur les VLAN décrit cette association.

Un VLAN n’est pas, à lui seul, une preuve que les communications sont interdites entre réseaux. Le routeur ou le pare-feu doit appliquer la politique voulue : accès Internet pour les invités, blocage des ressources professionnelles et exceptions limitées aux besoins autorisés.

L’isolation entre visiteurs répond à un autre besoin

L’isolation des clients vise les communications entre appareils invités. Elle complète la séparation avec le réseau de l’entreprise. Sur UniFi, Ubiquiti distingue les contrôles au niveau de la passerelle, du switch et du point d’accès. Une option qui isole les appareils sur une seule borne ne suffit pas forcément à couvrir les échanges via une autre borne ou un switch.

Quelle solution choisir pour votre entreprise ?

Commencez par les capacités du matériel déjà installé. Une petite structure qui reçoit quelques visiteurs n’a pas nécessairement besoin de renouveler toute son infrastructure. À l’inverse, des bureaux partagés ou plusieurs sites demandent une politique facile à reproduire et à vérifier.

Solution	Pour quel besoin ?	Point à contrôler
Mode invités du routeur ou des bornes	Accueil ponctuel, avec un équipement qui propose une fonction d’isolement adaptée.	L’accès aux ressources internes et à l’administration doit être réellement bloqué ; vérifier la portée de l’isolation.
Réseau visiteurs dédié avec VLAN et règles d’accès	Accueil régulier, plusieurs bornes, données sensibles ou infrastructure à documenter.	La séparation doit fonctionner sur toute la chaîne : bornes, switches et routeur ou pare-feu.

Les fonctions diffèrent selon les modèles et versions. TP-Link décrit un mode Guest Network sur Omada qui limite les accès aux ressources internes. Sophos documente aussi plusieurs modes de réseau invités. Ces fonctions peuvent simplifier le déploiement, mais leur nom ne remplace pas une vérification dans votre propre environnement.

Le portail captif est une option d’accueil

Un portail captif est la page affichée avant l’accès à Internet, par exemple pour saisir un code temporaire. Il peut être utile pour un accueil fréquent ou des événements. Le portail UniFi propose notamment des codes d’accès avec expiration. Pour quelques visiteurs, un mot de passe invités distinct peut être plus simple à gérer.

La page d’accueil et la segmentation répondent à des besoins différents. Certains modes hotspot configurent aussi une isolation : vérifiez précisément ce qu’ils activent. Un portail affiché à l’écran ne prouve pas, à lui seul, que toutes les ressources internes sont inaccessibles.

Prérequis et étapes de mise en place

Réunir les accès et protéger la configuration existante

La configuration nécessite des droits d’administration sur les équipements concernés : routeur ou pare-feu, switches, bornes et contrôleur Wi-Fi. Elle ne demande pas de donner des droits administrateur aux visiteurs ou aux collaborateurs. Avant l’intervention, sauvegardez les paramètres, identifiez le moyen de revenir en arrière et préservez un accès d’administration indépendant du réseau que vous modifiez.

Vérifiez les modèles, les versions logicielles et les éventuelles licences nécessaires au contrôleur, au portail ou à la gestion cloud. Il n’existe pas une licence unique pour créer un Wi-Fi invités : les exigences dépendent de la solution retenue. Une modification de VLAN ou de port peut couper une borne, une imprimante ou votre propre accès à distance ; prévoyez une fenêtre d’intervention adaptée.

Définir la politique avant de cliquer

1. Préciser les usages : navigation, réunions en ligne, durée d’accès et nombre de visiteurs simultanés attendu.
2. Lister les ressources interdites : fichiers, postes, consoles d’administration et réseaux d’autres sites.
3. Décider des exceptions : une imprimante de réunion, par exemple, doit faire l’objet d’une autorisation ciblée ; ne pas ouvrir tout le réseau.
4. Choisir le réseau visiteurs : utiliser le mode invités validé ou créer un réseau dédié avec VLAN.
5. Configurer puis tester : associer le SSID au bon réseau, appliquer les règles et contrôler les usages réels avant diffusion des accès.

Contrôler le chemin entre les bornes et Internet

Pour une configuration avec VLAN, tous les équipements intermédiaires doivent transporter le réseau prévu. Ubiquiti demande de vérifier les ports entre les bornes et la passerelle. Une borne qui diffuse correctement le SSID peut malgré tout ne pas donner de connexion si un port intermédiaire est mal configuré.

L’appareil invité doit obtenir une adresse réseau et pouvoir résoudre les noms des sites. Le service DHCP (Dynamic Host Configuration Protocol) attribue automatiquement sa configuration réseau ; le DNS (Domain Name System) traduit les noms de domaine. Les services nécessaires au fonctionnement doivent rester autorisés, sans ouvrir les interfaces d’administration.

Choisissez aussi un chiffrement adapté aux appareils accueillis, avec une clé invités distincte de celle des salariés. Sophos recommande de privilégier le chiffrement le plus robuste compatible avec l’environnement. Évitez de sacrifier la sécurité du réseau professionnel pour faire fonctionner un appareil ancien.

Checklist : vérifier que les visiteurs sont isolés

La validation doit associer des tests d’utilisation et une relecture de la configuration. Utilisez uniquement vos appareils de test et les ressources de votre entreprise, avec l’accord du responsable. Sur un téléphone, désactivez les données mobiles pendant le test pour ne pas confondre l’accès Wi-Fi et l’accès cellulaire.

• Connexion et Internet : un appareil de test rejoint le SSID invités et ouvre plusieurs sites. Vérifiez aussi l’usage prévu, par exemple une visioconférence.
• Réseau attribué : le responsable confirme dans le contrôleur ou sur l’appareil que la configuration correspond au réseau visiteurs prévu.
• Ressources internes : depuis le réseau invités, les services connus du NAS, du serveur et des imprimantes ne doivent pas être accessibles, sauf exception explicitement autorisée.
• Administration : les pages de gestion du routeur, du pare-feu, des bornes et du contrôleur doivent rester inaccessibles aux invités.
• Isolation entre invités : testez deux appareils sur la même borne, puis sur des bornes différentes si vous en avez plusieurs.
• Réseau professionnel : un collaborateur conserve ses accès habituels après les changements.
• Traçabilité : notez la date, les appareils et bornes testés, les résultats, les exceptions et la personne responsable du suivi.

L’échec d’un « ping », un test de réponse réseau, ne suffit pas : un appareil peut ignorer ce test tout en laissant un service accessible. Le responsable doit confronter les essais aux règles enregistrées et, si nécessaire, aux journaux du pare-feu. Ne lancez pas de recherches sur des appareils inconnus pour réaliser cette validation.

Un audit informatique peut aider à examiner l’ensemble de la chaîne lorsque les accès ou la configuration sont mal documentés.

Débit et couverture : garder un accès utile

Le Wi-Fi visiteurs doit fonctionner là où il est proposé : accueil, salle de réunion ou espace d’attente. Testez ces zones avec un appareil courant, à un moment représentatif de l’activité. Un bon signal ne garantit pas qu’une réunion en ligne sera fluide : la connexion Internet et le nombre d’utilisateurs jouent également un rôle.

Une limite de bande passante, c’est-à-dire de capacité de transmission, peut éviter qu’un téléchargement invité monopolise les ressources. Ubiquiti recommande des limites adaptées aux usages. Dimensionnez-les pour laisser fonctionner les besoins annoncés ; un débit arbitrairement faible rendrait l’accès inutilisable.

Remettez une consigne de connexion simple, indiquez qui contacter en cas de problème et prévoyez la révocation des codes temporaires. Pour une structure multisite, les tests doivent couvrir chaque site : un réglage validé dans un bureau ne démontre pas que les autres équipements appliquent la même politique.

Erreurs, coûts et maintenance à anticiper

Les erreurs qui donnent une fausse impression de sécurité

• Créer un second SSID en le laissant sur le réseau professionnel.
• Distribuer le mot de passe des collaborateurs aux visiteurs.
• Ne tester qu’une seule borne alors que le site en comporte plusieurs.
• Autoriser tous les réseaux internes pour résoudre un problème d’impression.
• Modifier la configuration sans sauvegarde ni moyen de rétablir l’accès.
• Oublier les ressources accessibles par une adresse publique.

Ce dernier point mérite une attention particulière : Sophos précise que son réseau invités permet l’accès aux adresses Internet publiques. Un service de votre entreprise exposé sur Internet peut donc rester joignable. La séparation du Wi-Fi ne remplace ni l’authentification ni la protection des services publiés.

Ce qui fait varier le coût

Le budget dépend du matériel réutilisable, du nombre de bornes, du câblage, des switches, du pare-feu, des fonctions de gestion choisies et du temps nécessaire aux tests. Un site déjà équipé et documenté peut surtout demander une configuration ; un site avec du matériel incompatible ou plusieurs réseaux mal identifiés peut nécessiter une remise à niveau.

Demandez une proposition qui distingue matériel, installation, éventuels abonnements et suivi. Les livrables utiles sont le périmètre des accès, une sauvegarde de configuration, les résultats des tests et une procédure pour gérer les visiteurs. Le nombre de bornes ne suffit pas à comparer deux offres.

Prévoir le suivi après la mise en service

Désignez une personne responsable des accès invités et refaites les contrôles après un changement important : nouvelle borne, remplacement du routeur ou modification des règles. Le suivi peut s’intégrer à votre contrat d’infogérance informatique, selon le périmètre convenu. La segmentation réduit l’exposition, mais ne remplace pas les mises à jour, les droits sur les fichiers et les autres mesures de protection.

Questions fréquentes

Faut-il une deuxième connexion Internet ?

Pas nécessairement. Si l’infrastructure assure la séparation et les règles d’accès, les réseaux professionnel et visiteurs peuvent partager le même accès Internet. Une connexion distincte peut répondre à d’autres contraintes, mais elle doit aussi être sécurisée et administrée.

Les visiteurs peuvent-ils imprimer ?

Seulement si vous prévoyez une exception contrôlée. Une solution consiste à utiliser une imprimante dédiée ou un service d’impression encadré. Ne rétablissez pas l’accès au réseau complet pour traiter ce seul besoin.

Peut-on utiliser les bornes Omada ou Ubiquiti déjà installées ?

Souvent, après vérification du modèle, de la version et des équipements intermédiaires. Le responsable doit confirmer les fonctions disponibles et leur portée, puis réaliser les tests. La marque des bornes ne garantit pas à elle seule la séparation de toute l’infrastructure.

Un intervenant externe doit-il toujours utiliser le réseau invités ?

Pour un simple accès Internet, c’est généralement adapté. S’il doit accéder à des fichiers ou administrer un équipement, organisez un accès professionnel spécifique, limité et révocable. Évitez de transformer le réseau visiteurs en accès général aux ressources internes.

Faire vérifier votre Wi-Fi professionnel à Genève

Pixel IT accompagne les entreprises de Genève dans la sécurisation du Wi-Fi, la configuration du pare-feu et la segmentation du réseau. Si vous ne savez pas ce que vos visiteurs peuvent atteindre, contactez Pixel IT pour faire le point sur votre infrastructure. Préparez la liste des équipements, les espaces à couvrir et les besoins de vos visiteurs afin de définir une intervention adaptée.

Sources techniques

Documentations officielles consultées le 14 octobre 2026. Les possibilités et les intitulés des réglages varient selon les modèles et les versions.

• Ubiquiti : création des réseaux virtuels et affectation des appareils
• Ubiquiti : isolation des réseaux et des clients
• Ubiquiti : création des SSID et transport des VLAN
• Ubiquiti : bonnes pratiques pour le Wi-Fi invités
• Ubiquiti : hotspots et portails captifs
• TP-Link : réseau invités sur Omada Controller
• Sophos : création d’un réseau invités et limites d’accès
• Sophos : bonnes pratiques de sécurité Wi-Fi