Caméras, téléphones, invités, bureaux : quel réseau pour chaque appareil de l’entreprise ?

Le portable du directeur, la caméra de l’entrée, le téléphone de l’accueil, l’imprimante du couloir, la tablette d’un client en salle d’attente. Tous sont branchés au même endroit, souvent sur le même Wi-Fi. Vous avez entendu qu’il fallait « séparer les réseaux », mais par quoi commencer, et où ranger chaque appareil ? Voici une méthode en cinq étapes, qui tient sur une feuille.

Pourquoi donner un réseau à chaque usage ?

Parce que chaque appareil n’a pas besoin de voir tous les autres. L’agence américaine de cybersécurité, la CISA, recommande dans ses conseils pour les équipements réseau de regrouper les appareils selon leur rôle, d’appliquer le principe du « besoin d’en connaître » et de garder les systèmes sensibles dans leur propre zone. Si un appareil est piraté, l’intrus reste dans sa zone au lieu de se promener dans tout le réseau.

La technique qui le permet sans recâbler s’appelle le VLAN : plusieurs réseaux séparés sur les mêmes câbles et les mêmes bornes. Si le mot est nouveau pour vous, lisez d’abord Les VLAN expliqués simplement. Et pour voir où ce découpage s’inscrit dans l’organisation complète du réseau, notre guide de l’architecture du réseau d’entreprise reprend tout dans l’ordre.

Étape 1 : listez tout ce qui est branché

On ne range bien que ce que l’on connaît. Le centre national de cybersécurité britannique, le NCSC, en fait sa première recommandation sur la gestion du matériel : créer un inventaire et le tenir à jour.

Faites le tour des locaux, un carnet à la main, et notez pour chaque appareil son nom, son emplacement, et s’il est relié par câble ou par Wi-Fi. N’oubliez pas ceux qu’on ne voit plus :

• les ordinateurs fixes et portables, les tablettes de l’équipe ;
• les téléphones de bureau et les bornes de téléphonie ;
• les caméras et leur enregistreur ;
• les imprimantes, les copieurs, les écrans de salle de réunion ;
• la badgeuse, l’alarme, le thermostat, les objets connectés ;
• le serveur de fichiers (le NAS), s’il y en a un ;
• les appareils des visiteurs, des prestataires et des stagiaires.

La liste vous surprendra souvent : un vieux répéteur Wi-Fi oublié, une caméra débranchée qui l’est encore sur le papier. Elle servira aussi pour le plan du réseau.

Étape 2 : rangez chaque appareil dans une famille

Regroupez ensuite les appareils qui ont le même rôle et le même niveau de confiance. Dans la plupart des PME, cinq familles suffisent :

Famille	Exemples	Ce qu’elle doit atteindre	Ce qu’elle ne doit pas atteindre
L’équipe	Ordinateurs, tablettes, téléphones de l’équipe	Internet, imprimantes, serveur de fichiers, images des caméras	Rien de bloqué, sauf l’administration du réseau
Les visiteurs	Téléphones et portables de passage	Internet	Tout le reste
Les caméras	Caméras, enregistreur	L’enregistreur, et ce dont il a besoin pour ses mises à jour	Les ordinateurs, les visiteurs
La téléphonie	Téléphones de bureau	Le standard téléphonique	Les ordinateurs, les caméras
Les équipements	Imprimantes, écrans, badgeuse, objets connectés	Ce que leur fabricant demande	Les ordinateurs, sauf pour être utilisés

Un appareil hésite entre deux familles ? Rangez-le dans la moins confiante. Une imprimante n’a pas besoin d’être sur le réseau de l’équipe : c’est l’équipe qui doit pouvoir l’atteindre, pas l’inverse.

Étape 3 : donnez un réseau à chaque famille

Chaque famille reçoit son réseau, avec, quand c’est utile, son nom de Wi-Fi :

• l’équipe : son Wi-Fi, avec son mot de passe ;
• les visiteurs : un Wi-Fi à part, avec un autre mot de passe, et au besoin un débit plafonné, comme dans notre article sur le Wi-Fi des visiteurs ;
• les caméras : de préférence par câble, sans Wi-Fi visible, comme l’explique notre article sur les caméras de surveillance en entreprise ;
• la téléphonie : par câble, sur la même prise que l’ordinateur ou sur la sienne ;
• les équipements : par câble quand c’est possible, sinon un Wi-Fi qui leur est réservé.

Inutile de multiplier les noms de Wi-Fi : chacun de plus est un mot de passe à gérer et une source de confusion pour l’équipe. Trois noms, l’équipe, les visiteurs et parfois les équipements, couvrent la plupart des cas.

Étape 4 : écrivez ce qui passe d’un réseau à l’autre

C’est l’étape qui fait la séparation. Le découpage range les appareils ; le pare-feu de la passerelle décide de ce qui traverse. La CISA recommande de limiter les communications inutiles entre appareils : sans règle, deux réseaux peuvent encore se parler.

Reprenez les deux dernières colonnes du tableau et traduisez-les en phrases simples :

1. les visiteurs vont sur Internet, et nulle part ailleurs ;
2. l’équipe peut imprimer et regarder les images de l’enregistreur ;
3. les caméras et les équipements ne peuvent pas ouvrir de connexion vers l’équipe ;
4. les téléphones ne parlent qu’au standard ;
5. seules les personnes chargées du réseau atteignent ses réglages.

Ces phrases deviennent ensuite les règles du pare-feu. Leur détail est dans notre article Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser.

Étape 5 : testez depuis chaque réseau

Une règle non testée reste une supposition. Prenez un téléphone, connectez-le au Wi-Fi des visiteurs, et vérifiez que vous n’y voyez ni l’imprimante, ni le serveur de fichiers, ni les caméras. Faites de même depuis un poste de l’équipe : l’imprimante doit répondre, les réglages des caméras non, sauf pour qui les gère.

Notez le résultat et la date. Refaites l’essai après chaque changement : un appareil ajouté, une règle modifiée, une mise à jour de la passerelle.

Et les cas particuliers ?

• Le terminal de paiement : suivez les consignes de son fournisseur, qui précisent souvent comment le brancher. Rangez-le de préférence avec les équipements, pas avec les visiteurs.
• Les objets que l’équipe pilote depuis son téléphone (écran de salle, thermostat) : ils restent dans leur réseau, et on autorise seulement le passage nécessaire depuis celui de l’équipe.
• Les personnes en télétravail : elles rejoignent leur réseau à distance par un accès sécurisé, pas par une porte ouverte dans le pare-feu. C’est le sujet de l’accès au réseau de l’entreprise en télétravail.

Faut-il changer de matériel pour le faire ?

Pas toujours. Les réseaux séparés passent par les câbles en place ; ce sont la passerelle, les commutateurs et les bornes qui doivent savoir les gérer. Une box d’opérateur seule propose rarement plus qu’un réseau invité. La visite, gratuite dans un rayon de 30 km autour d’Overijse, sert à vérifier ce qui peut rester, et le prix se donne après.

Ce que fait SateLink

Romuald et son équipe font l’inventaire avec vous, proposent les familles et les réseaux, puis règlent le tout sur une passerelle, des commutateurs et des bornes UniFi. Les réseaux séparés sont réglés et vérifiés ; le pare-feu reste en général à votre main, au besoin nous le réglons ; les plans et les accès vous sont remis à la fin du chantier. SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.

Les caméras sont posées par notre partenaire sécurité ; nous préparons le réseau qui les accueille. Ce que comprend une installation est sur la page Réseau et Wi-Fi.

En résumé

• Listez tout ce qui est branché, y compris ce qu’on ne voit plus.
• Rangez chaque appareil dans une famille : l’équipe, les visiteurs, les caméras, la téléphonie, les équipements.
• Une famille, un réseau ; trois noms de Wi-Fi suffisent souvent.
• Écrivez ce qui doit passer d’un réseau à l’autre, et bloquez le reste au pare-feu.
• Testez depuis chaque réseau, et refaites l’essai après chaque changement.

L’appel de cadrage est gratuit : trente minutes, votre liste d’appareils sous les yeux, pour savoir où ranger chacun.