Wi-Fi professionnel UniFi : WPA3 Enterprise, RADIUS, invités

01 / Cadre

Périmètre

Ce guide couvre le Wi-Fi d’entreprise sur points d’accès UniFi gérés par UniFi Network : plan de SSID, sécurité, authentification RADIUS, plan radio, itinérance et accès invités. Il suppose les VLAN déjà créés (voir le guide de conception) et la matrice de pare-feu posée (voir le guide pare-feu).

02 / Conception

Plan de SSID

Chaque SSID consomme du temps d’antenne en balises : trois ou quatre SSID suffisent pour une PME. La segmentation se fait par VLAN derrière les SSID, pas en multipliant les noms de réseau.

Plan de SSID proposé (recommandation ANYSYS)
SSID (exemple)	Sécurité	VLAN	Bandes	Remarques
ENTREPRISE	WPA2/WPA3 Enterprise (RADIUS)	Utilisateurs, ou VLAN attribué par RADIUS	2,4 / 5 / 6 GHz	Postes et smartphones gérés. Exige des clients compatibles WPA2 ou WPA3 Enterprise.
IOT	WPA2 Personal ou PPSK	IoT (ou plusieurs via PPSK)	2,4 / 5 GHz	PPSK est limité au WPA2, donc sans 6 GHz. Passer un SSID en WPA2 Personal désactive aussi le 6 GHz.
VOIP (si téléphones Wi-Fi)	WPA2/WPA3 Personal ou Enterprise	VoIP	5 GHz (+ 6 GHz si supporté)	Itinérance rapide indispensable.
INVITES	OWE (ouvert chiffré) + portail	Invités (zone Hotspot)	2,4 / 5 / 6 GHz	Isolation des clients, limite de débit.

Ubiquiti recommande des SSID multibandes, surtout avec le 6 GHz : un SSID uniquement en 6 GHz pose des problèmes de découverte, car beaucoup de clients balayent d’abord en 2,4 ou 5 GHz.

03 / Sécurité

Sécurité : WPA3, OWE et PMF

Choix du protocole de sécurité
Protocole	Quand l’utiliser selon Ubiquiti
WPA2/WPA3 (mixte)	La plupart des environnements : WPA3 pour les clients récents, repli WPA2 pour les autres. C’est le réglage par défaut, avec PMF optionnel.
WPA3 seul	Obligatoire avec MLO (Wi-Fi 7). MLO active WPA3, ce qui peut gêner des clients IoT.
Enterprise (WPA2/WPA3)	Authentification RADIUS 802.1X.
WPA2 seul	Objets IoT anciens, ou fonctions comme PPSK qui exigent la compatibilité WPA2.
OWE (ouvert chiffré)	Réseaux invités : sécurité de WPA3 sans mot de passe. Le 6 GHz impose OWE ou WPA3.

PMF (Protected Management Frames) protège les trames de gestion contre l’usurpation et la désassociation forcée. Il est requis par WPA3 et par l’itinérance rapide. Le réglage par défaut est « Optional » ; « Required » est imposé en WPA3 seul et en OWE ; « Disabled » n’est à réserver qu’à un SSID WPA2 dédié aux appareils incompatibles.

04 / Procédure

802.1X avec RADIUS UniFi ou NPS

Deux options pour le serveur RADIUS : le serveur intégré à la passerelle UniFi, ou un serveur existant comme NPS de Windows Server, l’implémentation Microsoft de RADIUS. Le choix dépend surtout de la source d’identité : comptes locaux UniFi d’un côté, comptes et certificats Active Directory de l’autre.

RADIUS intégré ou NPS
Critère	RADIUS UniFi intégré	NPS (Windows Server)
Identités	Comptes locaux (« Local Credentials ») créés dans UniFi Network	Comptes et groupes AD, certificats machine
VLAN dynamique	Par utilisateur : tunnel-type 13, tunnel-medium-type 6	Par stratégie réseau, mêmes attributs
Cas type	Petite structure sans AD, ou comptes de service peu nombreux	PME avec AD : départs gérés dans l’annuaire, EAP-TLS ou PEAP
Contraintes	Liée à la passerelle UniFi	Le rôle NPAS n’est pas disponible en Server Core ; serveur à rendre redondant

Côté UniFi

01
RADIUS intégré : Settings > Networks > RADIUS Servers, profil Default, Enable, puis secret partagé et ports. Créez les utilisateurs dans « Local Credentials ». Pour un VLAN par utilisateur, activez « RADIUS Assigned VLAN Support » et saisissez tunnel-type 13 et tunnel-medium-type 6 ; sans VLAN, le client retombe sur le VLAN non étiqueté.
02
RADIUS externe : même écran, Create New, avec l’adresse du serveur NPS, le secret partagé et les ports.
03
Sur le SSID : protocole WPA2 Enterprise ou WPA3 Enterprise, puis le profil RADIUS.
04
Option : RadSec (RADIUS over TLS), Wi-Fi uniquement, disponible depuis UniFi Network 8.4, avec certificats client et CA au format PEM.
05
Option : CoA (DAS/DAC) pour déconnecter ou changer de VLAN un client en cours de session. Exige la comptabilité RADIUS, un intervalle intermédiaire court (Ubiquiti cite 300 s en exemple) et le port 3799 ouvert entre les points d’accès et le serveur.

Côté NPS

Chaque point d’accès qui émet le SSID Enterprise est un client RADIUS et doit être déclaré dans NPS, avec le même secret partagé. Contrôle en lecture seule, puis ajout (modification de configuration) :

NPS : déclarer un point d’accès comme client RADIUS

# Read-only: list the RADIUS clients already declared on this NPS server
Get-NpsRadiusClient | Format-Table Name, Address, Enabled

# CHANGE: declare one UniFi access point as a RADIUS client (repeat per AP)
# Type the shared secret at run time; do not keep it in scripts or history.
$secret = Read-Host -Prompt 'Shared secret'
New-NpsRadiusClient -Name 'AP-RDC-01' -Address '10.10.1.21' -SharedSecret $secret
# Then restart the NPS service, as stated in the cmdlet documentation.

05 / Radio

Canaux, largeurs et puissance

Pour un bureau, Ubiquiti distingue clairement l’environnement dense de l’habitat. Ses recommandations pour les environnements denses :

Plan radio pour un bureau
Paramètre	Recommandation Ubiquiti (environnement dense)	Commentaire ANYSYS
Canaux	Channel AI pour l’optimisation automatique ; en 2,4 GHz, uniquement les canaux 1, 6 et 11	Relancez Channel AI après tout ajout d’AP ; figez les canaux des zones critiques si besoin.
Largeur 2,4 GHz	20 MHz	Sans exception en bureau.
Largeur 5 GHz	40 MHz pour équilibrer débit et stabilité	80 MHz seulement si peu d’AP et environnement propre.
Largeur 6 GHz	160 à 320 MHz	Les clients non compatibles 320 MHz se connectent en 160 MHz.
Puissance	Moyenne, pour éviter que les AP se gênent	La cellule 2,4 GHz porte plus loin que la 5 GHz : baissez-la d’un cran si nécessaire.
Signal client	-70 dBm minimum pour une connexion stable, -65 dBm ou mieux recommandé	Cible de conception : -65 dBm en 5 GHz partout où l’on travaille.
Maillage	À limiter : chaque saut sans fil réduit le débit d’au moins 50 % ; lien à -60 dBm ou mieux	Câblez tous les AP d’un bureau.

L’analyse d’environnement (AirView, Airtime Scan) existe en mode Quick et en mode Full. Le mode Full déconnecte les clients actifs de la radio : à réserver hors production. La note de version 11.0 ajoute une sélection du pays dans le plan de canaux, à renseigner (Belgique) dès la migration.

06 / Radio

Itinérance et RSSI minimal

Itinérance et contrôle des clients
Fonction	Effet	Position Ubiquiti	Usage en PME
BSS Transition (802.11v)	Incite le client à quitter un AP faible ou chargé	Recommandé activé	Activé.
Fast Roaming (802.11r)	Accélère la bascule entre AP	Fortement recommandé ; conflit possible avec Switch Port Isolation	Activé sur ENTREPRISE et VOIP ; tester les vieux terminaux.
Band Steering	Pousse les clients 2,4 GHz vers 5 GHz par trames BSS transition	Recommandé activé	Activé.
Minimum RSSI	Déconnexion forcée sous un seuil (« hard kick »)	Généralement déconseillé hors haute densité	Évité ; préférer Roaming Assistant.
Roaming Assistant	Avertit le client qu’il sera déconnecté sous un seuil (« soft kick »)	Depuis Network 9.2 ; valeur sous -70 dBm recommandée	-72 à -75 dBm en bureau dense, après mesure.
Interference Blocker	Ignore les associations sous le seuil de Minimum RSSI	Recommandé en haute densité	Salles de réunion, open spaces.
DTIM	Fréquence d’envoi du multicast mis en tampon	Défauts 1 (2,4 GHz) et 3 (5/6 GHz)	Ne pas modifier sans diagnostic.
Minimum Data Rate	Interdit les débits les plus bas	Économise le temps d’antenne, peut bloquer l’IoT ancien	Relever sur ENTREPRISE ; laisser bas sur IOT.

07 / Procédure

Wi-Fi invités isolé

La procédure documentée par Ubiquiti pour un Wi-Fi public sécurisé combine isolation au niveau réseau, point d’accès et switch :

01
Créez le réseau Invités et activez Network Isolation, ou rattachez-le à la zone Hotspot (cette option exige le pare-feu par zones, Network 9.0 et suivants).
02
Créez le SSID INVITES sur ce réseau, en OWE si vous ne voulez pas de mot de passe.
03
Activez Client Device Isolation sur le SSID et Device Isolation (ACL) sur le réseau.
04
Optionnel : Hotspot Portal avec mot de passe, vouchers (durée, débit, quota), RADIUS ou portail externe. La page d’accueil se personnalise dans Insights > Hotspot.
05
Activez Proxy ARP, fixez une limite de débit (100 Mbps maximum par client) et, si besoin, un horaire d’extinction du SSID (WiFi Blackout Scheduler).

Sur UniFi OS Server, le portail captif est servi sur le port 8444 (8843 sur l’ancien Network Server) : mettez à jour les règles de pare-feu en amont lors de la migration. Pour la conformité, conservez les journaux de connexion des invités selon votre politique de rétention (voir le guide exploitation).

08 / Contrôle

Pièges et vérification

Pièges

Clients qui ne s’associent pas : dans la grande majorité des cas, un VLAN mal étiqueté sur un port de switch en amont de l’AP.
802.11r et vieux terminaux : certains lecteurs de codes-barres ou téléphones anciens gèrent mal l’itinérance rapide. Gardez un SSID de repli plutôt que de désactiver la fonction pour tous.
PPSK et 6 GHz : PPSK est WPA2 uniquement. Un SSID PPSK n’émet pas en 6 GHz, c’est normal.
RADIUS injoignable : sans serveur, plus de connexion Enterprise. Doublez NPS ou prévoyez un SSID de secours documenté.
Secret RADIUS faible ou réutilisé : un secret par environnement, long, stocké dans un coffre.

Vérification

01
Campagne de mesure : -65 dBm ou mieux en 5 GHz sur les postes de travail, recouvrement suffisant pour l’itinérance.
02
Test 802.1X : un compte autorisé reçoit le bon VLAN, un compte désactivé dans l’AD est refusé, journal NPS ou journal UniFi cohérent.
03
Test d’itinérance en appel VoIP ou visio en traversant les zones de couverture.
04
Test invités : pas d’accès aux réseaux internes, pas de visibilité entre deux clients invités, portail fonctionnel.

09 / Références

Sources

→ Planifier une étude Wi-Fi sur siteContact → Voir le service associéCybersécurité & réseau → Continuer avec l’accès distant et le multi-sitesGuide 4 de la série

0ANYSYS

IServices

IIIA

IIIRessources

IVÀ propos

Wi-Fi professionnel UniFi : WPA3 Enterprise, RADIUS, radio et invités