On a tous déjà vécu ça.
Tu déploies du Wi‑Fi « pro » dans une salle de cours, un atelier, un open space, peu importe… et tu te retrouves avec un mix un peu bancal : un SSID en WPA2‑PSK « parce que sinon ça marche pas », un autre pour les invités, et puis des appareils qui se connectent une fois sur deux.
Et pendant ce temps, côté sécu, tu sais très bien que la PSK partagée est un secret qui ne reste jamais secret très longtemps. Elle finit sur un Post‑it. Ou dans un message Teams. Ou dans le cerveau de tout le bâtiment.
Bref. Le but de ce papier, c’est de te faire passer à WPA3‑Enterprise proprement, sans y laisser ton âme. On va parler 802.1X, EAP, RADIUS, certificats, profils Windows, et des pièges idiots qui font perdre deux heures.
Et si tu veux d’autres labs réseau et sécu dans le même style, garde BTS SIO2 SISR Tech Lab sous la main sur https://sio1blog.blogspot.com/ : ça sert littéralement à ça.
Pourquoi wpa3‑enterprise vaut le coup (même en petit environnement)
WPA3‑Enterprise, dans l’esprit, c’est simple : chaque utilisateur ou machine s’authentifie avec ses identifiants ou un certificat, via un serveur RADIUS. Donc tu n’as plus un secret partagé unique à protéger.
Concrètement, ça t’apporte :
- meilleure résistance aux attaques qui visent les réseaux PSK
- traçabilité : tu sais qui s’authentifie, quand, depuis quel AP (et souvent quel VLAN)
- révocation facile : un compte désactivé, un certificat révoqué, fin de l’accès
- segmentation plus propre : VLAN dynamique possible selon groupe AD, type de poste, etc.
Et oui, c’est plus « administratif ». Mais ça se pilote. Et une fois que c’est fait, tu respires.
Le prérequis qui change tout : la compatibilité clients
Avant de configurer quoi que ce soit, check rapide :
- tes AP supportent bien WPA3‑Enterprise (souvent appelé « WPA3‑Enterprise 192‑bit » ou « WPA3‑Enterprise » tout court selon les marques)
- tes clients supportent WPA3‑Enterprise… ou au minimum WPA2‑Enterprise si tu fais une transition
- et surtout, le support EAP côté client (PEAP, EAP‑TLS…)
En vrai, la stratégie la plus « sans douleur » c’est souvent :
- un SSID principal en WPA3‑Enterprise
- et un SSID de secours temporaire en WPA2‑Enterprise le temps d’absorber les vieux devices
Oui, deux SSID, c’est pas glamour. Mais c’est propre si c’est transitoire et documenté.
Schéma de base d’un déploiement wpa3‑enterprise
Voici l’architecture la plus classique en PME, lycée, campus, lab BTS, etc.
- AP contrôlés ou autonomes
- un serveur RADIUS (NPS Windows, FreeRADIUS, ClearPass, ISE…)
- un annuaire (souvent Active Directory)
- une PKI (AD CS, ou autre) si tu pars sur EAP‑TLS
Petite traduction humaine du flux :
- le client tente de s’associer au Wi‑Fi
- l’AP ne décide pas : il relaie l’auth via 802.1X vers RADIUS
- RADIUS valide (mot de passe, certificat, posture éventuellement)
- si OK, l’AP laisse passer, et peut attribuer un VLAN
Choisir son EAP : peap ou eap‑tls (et pourquoi ça compte)
On va faire simple, parce que sinon on y passe la nuit.
Option A : PEAP (EAP‑MSCHAPv2)
C’est le mode « courant » dans beaucoup d’environnements Windows, car tu peux t’appuyer sur les identifiants AD.
Avantages :
- mise en place rapide
- pas besoin de distribuer des certificats clients
Inconvénients :
- dépend de la robustesse des mots de passe
- nécessite une validation stricte du certificat serveur côté client, sinon tu ouvres la porte à des attaques type Evil Twin
Option B : EAP‑TLS
Là, tu passes sur authentification par certificat côté client. C’est généralement ce qu’on vise quand on veut quelque chose de vraiment carré.
Avantages :
- très fort niveau de sécurité
- idéal pour les machines gérées (PC domaine, MDM)
Inconvénients :
- demande une PKI et une distribution de certificats
- un peu plus de plomberie au départ
Si tu veux « sans douleur » et que tu as un parc Windows domaine, mon conseil terrain : EAP‑TLS pour les machines, PEAP éventuellement pour du BYOD encadré, ou un portail invité à côté.
Mise en place avec windows nps (cas d’école BTS SIO SISR)
On part sur un serveur Windows (2019, 2022, peu importe), membre du domaine.
1) installer le rôle NPS
- Gestionnaire de serveur
- Ajouter des rôles et fonctionnalités
- Services de stratégie et d’accès réseau > Serveur de stratégies réseau (NPS)
Ensuite, enregistrer NPS dans Active Directory.
C’est basique, mais si tu oublies, tu vas chercher longtemps pourquoi les groupes AD ne matchent pas.
2) ajouter les points d’accès comme clients RADIUS
Dans NPS :
- Clients et serveurs RADIUS > Clients RADIUS
- Nouveau client
- IP ou FQDN de l’AP ou du contrôleur
- secret partagé
Astuce : mets un secret long, et stocke le dans ton coffre (Bitwarden, KeePass, etc.). Et oui, ça a déjà été la cause d’un incident. Oui.
3) certificats : le vrai point de friction
Même en PEAP, il te faut un certificat serveur pour NPS (ou plutôt pour le service présenté aux clients).
Deux options :
- certificat public (rare en interne)
- certificat d’une PKI interne (AD CS)
Pour un lab, AD CS est parfait.
Tu veux un certificat avec :
- EKU serveur d’authentification (Server Authentication)
- nom correspondant (CN ou SAN) au nom que verront les clients, idéalement un FQDN
Et là, détail qui tue : si ton client ne valide pas correctement ce certificat, il peut accepter n’importe quel faux RADIUS. Donc côté client, on verrouille.
Configurer la stratégie NPS (exemple simple et propre)
On veut :
- autoriser uniquement un groupe AD « WiFi_Entreprise »
- authentifier en PEAP ou EAP‑TLS
- éventuellement renvoyer un VLAN
Étapes
- Stratégies > Stratégies de demande de connexion : souvent tu peux laisser par défaut si NPS est seul.
- Stratégies > Stratégies réseau > nouvelle stratégie.
Conditions typiques :
- Groupe Windows :
DOMAINE\WiFi_Entreprise - Type de port NAS : Sans fil IEEE 802.11
Méthodes d’authentification :
- PEAP avec EAP‑MSCHAPv2, ou
- EAP‑TLS
Attributs RADIUS (option VLAN dynamique) :
- Tunnel‑Type : VLAN
- Tunnel‑Medium‑Type : IEEE‑802
- Tunnel‑Private‑Group‑ID :
20(par exemple)
Ce VLAN doit exister sur ton infra, évidemment, trunké jusqu’aux AP si besoin.
Côté bornes : activer wpa3‑enterprise sans se tromper
Selon la marque, tu vas avoir des cases du style :
- Sécurité : WPA3‑Enterprise (ou WPA2/WPA3‑Enterprise transition)
- Chiffrement : AES
- 802.1X : activé
- RADIUS auth server : IP NPS, port 1812, secret
- RADIUS accounting : optionnel mais utile, port 1813
Important : WPA3‑Enterprise 192‑bit n’est pas toujours supporté par tous les clients. Ne le coche pas « par principe ». Si tu as besoin de compatibilité large, vise WPA3‑Enterprise standard.
Le piège classique : valider le certificat serveur côté client
Je le répète parce que c’est le truc le plus souvent mal fait.
En PEAP, si le client ne vérifie pas le certificat, un attaquant peut monter un faux AP, récolter des identifiants, ou au minimum forcer des comportements dangereux.
Donc côté Windows, tu veux une config qui dit clairement :
- faire confiance uniquement à l’autorité de certification attendue
- se connecter uniquement si le nom du serveur correspond
- éventuellement interdire l’invite utilisateur « accepter ce certificat »
Déployer le profil Wi‑Fi sur windows (GPO)
Si tu as un domaine, ne fais pas ça à la main poste par poste. Tu vas souffrir. Tu vas oublier un réglage. Et tu ne sauras pas lequel.
GPO Wi‑Fi (domaine)
- GPMC > nouvelle GPO « WiFi WPA3 Entreprise »
- Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies de réseau sans fil (IEEE 802.11)
Créer un nouveau profil :
- SSID :
ENT-WIFI - Type de sécurité : WPA3‑Enterprise (selon versions, parfois affiché WPA2‑Enterprise mais compatible RSN)
- Auth : PEAP ou certificat (EAP‑TLS)
- cocher la validation du serveur, sélectionner l’AC racine
- nom du serveur RADIUS attendu (FQDN)
Ensuite, lier la GPO à l’OU des machines.
Tester proprement (et arrêter de « cliquer et voir »)
Quand tu testes, fais le en mode méthodique :
- vérifier que le client reçoit bien l’IP et le bon VLAN
- vérifier les logs NPS
- vérifier côté AP les logs RADIUS
Logs NPS
Observateur d’événements :
- Journaux Windows > Sécurité
- ou Journaux des services et applications > Microsoft > Windows > NPS
Tu veux voir :
- raison de refus claire si échec
- méthode EAP utilisée
- attributs renvoyés (VLAN, etc.)
Erreurs fréquentes :
- secret RADIUS différent
- horloge désynchronisée (Kerberos et certificats n’aiment pas ça)
- certificat serveur expiré
- chaîne de certification non approuvée sur le poste client
- mauvais groupe AD
- mauvais type EAP
Et pour les invités, on fait quoi ?
WPA3‑Enterprise, c’est pour les comptes gérés. Pour les invités, tu as trois options raisonnables :
- SSID invité isolé + portail captif (idéal)
- SSID invité WPA2/WPA3‑Personal avec rotation très fréquente, pas top mais parfois acceptable
- PPSK / DPSK (clé par utilisateur) si ton matériel le supporte, c’est souvent un super compromis
L’idée : ne mélange pas « invité » et « interne ». Même si c’est tentant quand tu es pressé.
Mini checklist « sans douleur » avant mise en prod
- un seul EAP cible pour commencer (éviter le mode usine à gaz)
- certificat serveur valide, non expiré, avec le bon nom
- validation du certificat activée côté clients
- NTP OK partout
- logs NPS activés et consultables
- un plan de retour arrière (SSID WPA2‑Enterprise temporaire, par exemple)
- documentation courte, pas un roman, mais claire
Et oui, documenter. Même dix lignes. Sur ton espace BTS SIO2 SISR Tech Lab, un Google Doc, un Markdown interne, peu importe. Mais un truc que tu peux relire dans trois mois.
Conclusion
WPA3‑Enterprise, ce n’est pas « réservé aux grosses boîtes ». C’est surtout réservé aux équipes qui acceptent de faire les choses dans l’ordre : RADIUS propre, certificats propres, profils clients verrouillés.
Une fois passé le premier déploiement, tu gagnes du temps. Et tu arrêtes de vivre avec une clé Wi‑Fi partagée qui circule comme un mot de passe Netflix.
Si tu veux, je peux faire une suite plus labo, plus guidée, style pas à pas : NPS + AD CS + EAP‑TLS, avec VLAN dynamique et GPO, comme on le monterait pour un TP E4/E5. Sur BTS SIO2 SISR Tech Lab justement, c’est pile le genre de contenu qu’on aime publier sur https://sio1blog.blogspot.com/.
Questions fréquemment posées
Pourquoi choisir WPA3-Enterprise pour un réseau Wi-Fi professionnel ?
WPA3-Enterprise offre une authentification individuelle via un serveur RADIUS, éliminant le secret partagé unique. Cela améliore la sécurité contre les attaques sur les réseaux PSK, permet une traçabilité précise des connexions, facilite la révocation d'accès et offre une segmentation réseau dynamique selon les groupes ou types de postes.
Quels sont les prérequis pour déployer WPA3-Enterprise efficacement ?
Avant toute configuration, il est essentiel que les points d'accès supportent WPA3-Enterprise (souvent appelé WPA3-Enterprise 192-bit), que les clients soient compatibles avec WPA3-Enterprise ou au minimum WPA2-Enterprise, et que le support des méthodes EAP (comme PEAP ou EAP-TLS) soit assuré côté client.
Comment se déroule l'authentification dans un déploiement WPA3-Enterprise classique ?
Le client tente de se connecter au Wi-Fi, l'AP relaie l'authentification via 802.1X vers le serveur RADIUS qui valide les identifiants ou certificats. Si la validation est positive, l'AP autorise l'accès et peut attribuer dynamiquement un VLAN adapté.
Quelle différence y a-t-il entre PEAP et EAP-TLS dans le cadre de WPA3-Enterprise ?
PEAP utilise les identifiants AD pour une mise en place rapide sans distribution de certificats clients mais dépend de la robustesse des mots de passe et nécessite une validation stricte du certificat serveur. EAP-TLS repose sur une authentification par certificats côté client, offrant une sécurité renforcée généralement visée dans les environnements professionnels exigeants.
Est-il conseillé d'avoir plusieurs SSID lors de la transition vers WPA3-Enterprise ?
Oui, il est souvent recommandé d'avoir un SSID principal en WPA3-Enterprise et un SSID temporaire en WPA2-Enterprise pour gérer la coexistence avec les anciens appareils non compatibles. Cette approche est propre si elle est bien documentée et transitoire.
Quels sont les avantages pratiques de passer à WPA3-Enterprise même dans un petit environnement ?
Même dans un petit environnement, WPA3-Enterprise améliore la sécurité en supprimant le secret partagé, offre une meilleure traçabilité des utilisateurs, facilite la gestion des accès via révocation rapide des comptes ou certificats, et permet une segmentation réseau efficace grâce aux VLAN dynamiques basés sur les groupes ou types d'appareils.
0 Commentaires