Aller au contenu principal

Ingénierie Wi-Fi & NAC

Ingénierie réseau orientée production. Performance mesurée. Sécurité maîtrisée.

Cabinet indépendant — 150+ sites audités — 12+ ans terrain
Réserver un appel stratégique Voir nos résultats terrain
Notre périmètre

Ingénierie réseau complète

De l'étude RF à la gouvernance stratégique — un cycle complet maîtrisé par un seul interlocuteur expert.

01

Étude & Audit RF

  • •Survey Ekahau prédictif & on-site
  • •Analyse spectrale & interférences
  • •Heatmaps RSSI / SNR / Débit
  • •Capture PCAP & analyse protocolaire

→ Identifier la cause racine avant d'investir

02

Design & Architecture

  • •Architecture HLD / LLD Wi-Fi & NAC
  • •Dimensionnement AP & canaux
  • •Design Cisco ISE / Policy Sets
  • •Sélection constructeur indépendante

→ Architecture validée avant déploiement

03

Intégration & Configuration

  • •Configuration WLC / AP / RF Profiles
  • •Déploiement Cisco ISE & 802.1X
  • •Migration progressive & runbooks
  • •Pilotage déploiement multi-sites

→ Mise en production maîtrisée, sans interruption

04

Sécurisation & NAC / TrustSec

  • •Implémentation 802.1X / TrustSec / SGT
  • •Policy Sets & profiling IoT
  • •Portails Guest & BYOD sécurisés
  • •Micro-segmentation Zero Trust

→ Chaque endpoint identifié et segmenté

05

Optimisation & Troubleshooting

  • •Diagnostic root-cause sur données radio
  • •Corrélation RF / PCAP / logs WLC
  • •Optimisation roaming & airtime
  • •Résolution incidents critiques

→ Résolution définitive, pas de rustine

06

Gouvernance & Advisory

  • •Roadmap migration Wi-Fi 6E / 7
  • •Stratégie Zero Trust à 3-5 ans
  • •Benchmark & cadrage budgétaire
  • •Accompagnement direction IT

→ Vision stratégique claire pour vos investissements

Pourquoi faire appel à ORNET

La différence entre un consultant et un expert

Un généraliste réseau applique des templates. Un expert certifié comprend la physique radio et conçoit des architectures qui tiennent en production.

L'approche classique

  • -Templates constructeur appliqués sans analyse
  • -Audit = vérifier que les AP pingent
  • -Rapport PDF générique de 80 pages
  • -Recommandation = acheter plus de matériel
  • -Pas d'analyse spectrale ni de PCAP

L'approche ORNET

  • +Diagnostic root-cause basé sur des mesures radio
  • +Audit spectral + analyse PCAP + corrélation RF
  • +Livrable actionnable avec plan priorisé et budget
  • +Recommandations indépendantes de tout constructeur
  • +Ekahau AI Pro + outillage niveau expert mondial

Expertise certifiée

Certifications Wi-Fi parmi les plus avancées du marché, indépendantes constructeur.

Outillage expert

Ekahau AI Pro, analyseurs spectraux, sondes PCAP, licences Cisco DNA/ISE. L'arsenal complet.

100% indépendant

Zéro partenariat constructeur exclusif. Recommandation basée sur vos besoins, pas sur des marges revendeur.

ROI documenté

Chaque livrable inclut un plan d'action priorisé avec estimation budgétaire et timeline d'implémentation.

Comment nous travaillons

Notre méthodologie

Chaque mission suit un process structuré, transparent et orienté résultat. Pas de boîte noire.

01

Diagnostic terrain

Analyse sur site : couverture RF, spectrale, PCAP, configuration contrôleurs. Collecte exhaustive des données.

2-5 jours
02

Analyse & root cause

Corrélation des données, identification des causes racines, benchmark vs. best practices constructeur.

Rapport technique détaillé
03

Plan d'action priorisé

Architecture cible, budget estimatif, timeline de déploiement. Recommandations classées par impact et urgence.

Budget + timeline inclus
04

Accompagnement

Pilotage du déploiement, coordination installateurs, recette technique site par site, transfert de compétences.

Jusqu'à validation complète
Résultats terrain

Études de cas

Des résultats concrets, mesurables, sur des environnements critiques. Noms et détails anonymisés par obligation de confidentialité.

Logistique

Migration Wi-Fi — Entrepôt 40 000 m²

Parc de 800 scanners Wi-Fi 5 en déconnexion sur une infrastructure Wi-Fi 6 récente. Conflit de backward compatibility et gestion des trames d'efficience HE.

6 semaines Contexte : scanners Wi-Fi 5 vs infra Wi-Fi 6
Uptime parc hétérogène82% → 99.9%
Roaming (802.11r FT)850ms → ≤ 30ms
Timeout scanners0
Technologies : Ekahau Cisco 9130 9800 WLC
Luxe

Wi-Fi 6E — Siège & Showroom VIP

Déploiement pionnier Wi-Fi 6E pour un fleuron du luxe. Bande 6 GHz réservée comme "voie express" pour les terminaux de direction et les flux de conception haute fidélité, isolant le trafic VIP du parc en Wi-Fi 5/6.

2 mois Contexte : isolation VIP, zéro interférence exigée
Latence flux VIP (6 GHz)< 5 ms
Interférences zone showroom0
Coexistence Wi-Fi 5/6/6E100% transparent
Technologies : Wi-Fi 6E Ekahau C9136
Industrie & Sécurité

NAC Zero Trust — 4 500+ endpoints

Sécurisation d'un parc hétérogène : capteurs IoT legacy (Wi-Fi 5) et automates récents (Wi-Fi 6). Architecture Cisco ISE avec segmentation dynamique TrustSec adaptée aux capacités réelles de chaque terminal.

4 mois Contexte : conformité NIS2, 0% visibilité endpoints
Endpoints authentifiés 802.1X0% → 98.5%
IoT profilés & segmentés1 200+
Incidents sécurité réseau-87%
Technologies : ISE 3.x TrustSec 802.1X

Note de l'Expert

L'ingénierie moderne consiste à piloter l'avenir tout en gérant l'existant. Si nous déployons aujourd'hui des infrastructures Wi-Fi 6E et Wi-Fi 7 Ready, la réalité du terrain montre un parc client encore dominé par le Wi-Fi 5, avec une adoption croissante du Wi-Fi 6. Notre rôle est de garantir une interopérabilité sans faille et une performance optimale, peu importe la génération de vos terminaux.

Livrables

Exemple de livrable ORNET

Extrait anonymisé d'un rapport d'audit Wi-Fi. Chaque rapport est unique et adapté au contexte client.

Heatmap RF

Couverture RSSI par zone, SNR, interférences co-canal. Visualisation Ekahau avec seuils de qualité par usage.

ExcellentBonLimiteCritique
  • •Couverture -65 dBm par zone métier
  • •Analyse spectrale & DFS
  • •Cartographie roaming & handoff

Plan d'action priorisé

Quick Wins

Repositionnement 3 AP, changement canaux 5 GHz, correction puissance Tx

Projets structurels

Upgrade contrôleur, migration 802.1X, segmentation IoT

Budget estimatif

Fourchette communiquée à l'issue de l'audit, avec variantes selon priorités

Timeline & suivi

1

Audit

1-2 semaines · Survey + analyse

2

Design

2-3 semaines · Architecture HLD/LLD

3

Déploiement

Selon périmètre · Pilotage terrain

4

Validation terrain

Mesures post-déploiement · Rapport final

Noms et données anonymisés. Chaque rapport est unique et adapté au contexte client.

Nos offres

Trois niveaux d'intervention

De l'audit ponctuel au pilotage stratégique — choisissez le niveau adapté à vos enjeux.

Audit Expert

Diagnostic RF

Audit terrain complet avec analyse root-cause et plan d'action priorisé.

✓Survey Ekahau prédictif + on-site
✓Analyse spectrale & interférences
✓Heatmaps RSSI / SNR / Débit
✓Plan d'action priorisé + budget
Durée3–5 jours
ModeOn-site
LivrablesRapport + heatmaps + plan d'action
RésultatCause racine identifiée → budget maîtrisé
Demander un audit
Le plus demandé
Architecture

Design & Déploiement

De l'audit à la mise en production, avec configuration et validation terrain.

✓Tout l'Audit Expert inclus
✓Architecture HLD / LLD Wi-Fi ou NAC
✓Configuration WLC / ISE / TrustSec
✓Pilotage déploiement multi-sites
✓Recette technique & VAB/VSR
✓Transfert de compétences
Durée4–12 semaines
ModeOn-site + Remote
LivrablesHLD/LLD + runbooks + VAB
RésultatArchitecture déployée et validée
Réserver un appel stratégique
Stratégique

Advisory & Gouvernance

Conseil stratégique réseau pour les directions IT. Vision à 3-5 ans.

✓Audit maturité réseau global
✓Roadmap migration Wi-Fi 6E / 7
✓Stratégie Zero Trust NAC / ISE
✓Benchmark & cadrage budget / ROI
✓Sélection constructeur indépendante
✓Accompagnement direction IT
DuréeRécurrente (trimestrielle)
ModeRemote + On-site ponctuel
LivrablesRoadmap + dashboards + revues
RésultatPilotage stratégique de vos investissements
Réserver un appel stratégique

Chaque devis est personnalisé selon la surface, la complexité et le périmètre. Tarification au forfait ou en régie.

Social proof

Ce que nos clients disent

Retours anonymisés de DSI, RSSI et responsables infrastructure.

★★★★★

« L'équipe ORNET a identifié la cause racine de nos déconnexions Wi-Fi en 2 jours. Aucun intégrateur n'avait vu ça. ROI immédiat. »

Responsable IT

Grand groupe Santé — Île-de-France

★★★★★

« Architecture ISE ultra professionnelle. Documentation excellente. Support réactif. Nous le recommandons vivement. »

RSSI

Grand groupe Logistique — France

★★★★★

« Audit spectral révélateur : interférences radar DFS identifiées en quelques heures. Plan d'action très concret et applicable immédiatement. »

Responsable Infrastructure

PME Retail — 15 sites

FAQ

Questions fréquentes

Les réponses aux questions que se posent nos prospects avant de nous contacter.

Travaillez-vous avec ma marque réseau ?
Oui. Cabinet indépendant : Cisco, Aruba, Juniper Mist, Ruckus — notre recommandation est basée sur vos besoins, pas un partenariat constructeur.
Combien coûte un audit et combien de temps ça prend ?
Audit seul : 3–5 jours, 5 000–8 000 € (mono-bâtiment) à 10 000–20 000 € (campus/entrepôt). Mission complète (audit + design + pilotage) : 4–8 semaines, sur devis. Chaque proposition inclut un cadrage précis du ROI attendu.
Qu'est-ce que vous livrez concrètement ?
Heatmaps RSSI/SNR/Débit, inventaire AP, analyse spectrale, plan d'action priorisé (Quick Wins + projets structurels) et rapport complet avec recommandations budgétaires.
Quelle différence avec l'audit d'un intégrateur ?
Un intégrateur vérifie que ses AP fonctionnent. Nous cherchons la cause racine : analyse spectrale, corrélation PCAP, diagnostic roaming, airtime. Indépendant et orienté performance, pas vente de matériel.
Projet ponctuel ou support continu ?
Les deux. Mode projet (audit, design, déploiement) et support récurrent (troubleshooting, optimisation RF, MCO). On-site ou à distance selon le besoin. PME comme grands comptes.
Wi-Fi 6E / Wi-Fi 7 : vous maîtrisez ?
Oui. Architectures 6E/7 (802.11be) avec MLO, 6 GHz, derniers AP Cisco CW9176/9178. Nous évaluons le ROI réel avant d'investir.
Que peut faire Cisco ISE que mes switchs ne font pas ?
Segmentation dynamique (TrustSec) et profiling avancé. ISE identifie qui/quoi se connecte et assigne un Security Group Tag avec droits adaptés. C'est ce qui transforme votre réseau en architecture Zero Trust.
Lab ORNET

Outils d'ingénierie réseau

Outils d'ingénierie développés en interne. Aide au pré-diagnostic et à la conception.

Outil d'aide à la conception — validation terrain indispensable.

RF Calculator — Budget de liaison avancé

FSPL + atténuation obstacles, RSSI, SNR, MCS estimé, courbe distance.

1 m20 m100 m

Résultats

FSPL—
RSSI estimé—
Qualité—
SNR estimé—
MCS / Débit approx.—

RSSI vs Distance

Modèle théorique — résultats à valider par mesure terrain

CCI Checker — Analyse interférence co-canal

Score CCI, densité AP/m², recommandations optimisation canal.

112 AP60

Analyse CCI

Canaux disponibles—
AP par canal (moy.)—
Score CCI— / 100
Risque—
Densité AP—
Clients/AP—
Airtime estimé—
Recommandations

Subnet Calculator

CIDR, masque, plage, capacité Wi-Fi, export JSON

MAC Converter

Formats, OUI lookup, randomisation, type device

Prochaine étape

Un problème réseau ? Parlons-en.

En 30 minutes, vous saurez si votre problème est simple, s'il nécessite un audit, et quel budget prévoir.

Sans engagement. Si le sujet est trivial, nous vous le disons. Si c'est un sujet d'architecture, nous proposons un cadrage précis.

Réserver un appel stratégique Poser une question technique
Sans engagement Réponse sous 24h NDA disponible
Expertise Wi-Fi

Conception, audit & optimisation
de vos réseaux sans fil

Du survey prédictif Ekahau au troubleshooting spectral, nous couvrons l'intégralité du cycle de vie Wi-Fi. Chaque intervention s'appuie sur des données radio mesurées, pas des suppositions.

01

Étude de couverture Ekahau

Nous utilisons Ekahau AI Pro pour modéliser la propagation radio dans vos locaux avant le déploiement. Le survey prédictif intègre les matériaux de construction (béton, verre, placo, rack métallique) et simule la couverture avec le modèle d'AP choisi. Le survey sur site (AP-on-a-stick) valide ensuite le modèle théorique en conditions réelles.

Survey prédictif

Modélisation pré-déploiement avec atténuation par matériau, simulation multi-floor, heat maps RSSI/SNR/débit

Survey actif sur site

Mesure AP-on-a-stick avec Sidekick 2, validation du roaming inter-AP, test de couverture périmétrique

Survey passif

Capture passive du spectre 2.4/5/6 GHz, détection d'interférences co-canal et radar DFS, mesure de bruit plancher

Rapport de conformité

Livrable structuré : heatmaps, tableaux AP, plan de câblage, recommandations priorisées avec estimation budgétaire

Métriques clés mesurées

-67

dBm · Seuil RSSI min.

25+

dB · SNR cible

≤ 30

ms · Latence roaming

-85

dBm · Bruit plancher max

Seuils adaptés selon l'usage : VoWi-Fi, vidéosurveillance, terminaux RF logistiques, IoT. Référence : Ekahau Best Practices (consulté en fév. 2026).

Technologies maîtrisées

Cisco Catalyst 9800WLC
Cisco Catalyst 9100 SeriesAP Wi-Fi 6/6E
Cisco CW 9176/9178Wi-Fi 7
Cisco DNA Center / Catalyst CenterManagement
Meraki MR / Juniper MistCloud-Managed
02

Design & Architecture Wi-Fi

Le design ne se limite pas à « poser des AP au plafond ». Nous élaborons une architecture Wi‑Fi complète : choix du modèle de déploiement (Centralisé, FlexConnect, SDA Wireless), plan de fréquences, profils WLAN, policies par SSID et gestion du multicast.

HLD (High-Level Design)

Architecture logique, topologie réseau, VLANs, redondance WLC, intégration DNA Center

LLD (Low-Level Design)

Configuration AP par AP, plan de canaux, puissances Tx, profiles RF, data rates minimum

Plan de câblage & infrastructure

Liaisons montantes, PoE budget (802.3bt), cheminement câble, étiquetage baies

Wi-Fi 6E / Wi-Fi 7

Design multi-bande 2.4/5/6 GHz, exploitation de la bande 6 GHz pour les terminaux compatibles, MLO (Wi-Fi 7)

03

Troubleshooting & Analyse spectrale

Quand le « ça marche pas » ne suffit pas comme diagnostic. Nous corrélons captures radio (PCAP over-the-air), logs contrôleur, métriques SNMP et analyse spectrale pour identifier la cause racine exacte.

Captures PCAP over-the-air

Analyse frame-by-frame des échanges 802.11 (auth, assoc, 4-way handshake, DHCP, DNS)

Analyse spectrale

Détection d'interférences non-Wi-Fi : micro-ondes, caméras analogiques, Bluetooth, radar DFS, IoT à étalement de spectre

Diagnostic roaming

Analyse des transitions 802.11r (FT) / k (Radio Resource) / v (BSS Transition), sticky clients, latence handoff

Corrélation multi-source

Croisement logs WLC + Ekahau + Wireshark + syslog pour un diagnostic complet et documenté

Problèmes courants résolus

Sticky clients / roaming lent

Terminaux qui restent accrochés à un AP lointain au lieu de basculer. Cause fréquente : seuils RSSI client mal calibrés, 802.11r/k/v non activés.

Déconnexions RF intermittentes

Micro-coupures invisibles dans les logs mais fatales pour le VoWi-Fi ou les scanners logistiques. Diagnostic par airtime et retry rate.

Débit insuffisant sous charge

Airtime congestion, CCI (Co-Channel Interference), clients legacy en data rate bas qui parasitent la cellule.

Interférences non-Wi-Fi

Brouillage par équipements industriels, caméras sans fil, capteurs Zigbee/LoRa. Identifié uniquement par analyse spectrale.

Besoin d'un audit Wi-Fi ?

Identifiez les causes racines de vos problèmes de couverture, roaming et performance.

Demander un audit

Contenu du rapport d'audit

  • Heatmaps de couverture RSSI, SNR, débit par bande
  • Tableau inventaire AP (modèle, canal, Tx power, clients, utilisation)
  • Analyse spectre interférences canal par canal
  • Matrice de conformité vs. exigences métier
  • Plan d'action priorisé (Quick Wins → projets structurels)
  • Estimation budgétaire par recommandation
04

Audit de validation post-déploiement

Vous venez de déployer ou faire déployer un réseau Wi-Fi ? L'audit de validation vérifie que la réalité terrain correspond au design initial. Nous mesurons la couverture réelle, le roaming, le temps de connexion et les performances applicatives.

Walk-test complet

Mesure terrain étage par étage avec Ekahau Sidekick, génération automatique des heatmaps

Test de roaming

Validation du handoff entre AP sur les parcours critiques (couloirs, escaliers, open-spaces)

Benchmark applicatif

Tests VoWi-Fi (MOS score), téléchargement, latence DNS, temps DHCP, streaming vidéo

05

Optimisation RF & Performance

Un réseau Wi-Fi se dégrade dans le temps : nouveaux murs, nouveaux terminaux, densification des usages. L'optimisation RF remet les compteurs à zéro en ajustant canaux, puissances, data rates et paramètres RRM.

Plan de canaux optimisé

Réattribution manuelle ou assistée pour minimiser le CCI (Co-Channel Interference)

Ajustement des puissances Tx

Calibrage fin pour éviter les cellules surdimensionnées et les sticky clients

Désactivation des data rates legacy

Suppression des 1/2/5.5/11 Mbps pour libérer de l'airtime et forcer les clients vers des taux supérieurs

Band steering & client balancing

Orientation des terminaux dual-band vers la 5 GHz, équilibrage de charge inter-AP

Avant / Après optimisation

Co-Channel Interference

78%
12%

Airtime utilisation

65%
28%

Roaming latency (ms)

450ms
30ms

Impacts mesurables de l'optimisation RF

Chevauchement (CCI)
Avant (Config par défaut) 4 à 6 AP/canal
Après (Plan statique 20MHz) 1 à 2 AP/canal

Réduction drastique des interférences co-canales (CCI) en bande 2.4GHz et 5GHz en adaptant la largeur (20MHz au lieu de 40/80MHz en haute densité).

Airtime & Retry Rate

Avant

42%

Tx Retry

Après

< 8%

Tx Retry

Élimination des overheads liés aux SSIDs multiples et désactivation des Basic Rates bas (1, 2, 5.5, 11 Mbps) pour libérer le temps de parole (Airtime).

Latence Roaming
Standard (WPA2-PSK) ~150ms
Optimisé (802.11r/k/v) < 30ms

Activation de Fast Transition (11r) et Neighbor Reports (11k) pour garantir une VoWi-Fi sans coupure lors des déplacements (AGV, chariots, VoIP).

06

Accompagnement & Conseil projet

Rédaction cahier des charges

Nous rédigeons le cahier des charges technique pour vos appels d'offres Wi-Fi : exigences de couverture, volumétrie terminaux, SLA, critères de conformité.

Aide au choix constructeur

Analyse comparative Cisco vs. Aruba vs. Meraki vs. Juniper Mist vs. Ruckus. Grille d'évaluation multicritère adaptée à votre contexte et budget.

Pilotage déploiement

Suivi technique du déploiement, coordination installateurs, recette technique site par site, DAT (Dossier d'Architecture Technique).

Démonstrateur RF

Visualisation CCI — Co-Channel Interference

Simulez l'interférence entre canaux Wi-Fi. Plus il y a d'AP sur le même canal, plus le CCI augmente et dégrade la qualité du signal.

3
Pas de CCI CCI modéré CCI sévère Les courbes gaussiennes représentent la largeur spectrale de chaque canal
Situations typiques

Quand faire appel à ORNET ?

Si l'un de ces scénarios vous parle, un audit découverte peut débloquer la situation.

Déconnexions récurrentes

Roaming cassé, sticky clients, handoff lent entre AP

Lenteur Wi-Fi inexpliquée

CCI, airtime saturation, canal DFS, interférences non-Wi-Fi

Nouveau bâtiment ou extension

Design prédictif avant construction, validation du cahier des charges

Migration Wi-Fi 6E / Wi-Fi 7

Évaluation ROI, plan de migration, coexistence 5/6 GHz

Contre-expertise intégrateur

Audit indépendant pour vérifier le travail d'un prestataire

Livrables concrets

Ce que vous recevez exactement

Pas de PDF générique. Chaque livrable est actionnable.

Rapport Ekahau complet

Couverture, SNR, CCI, roaming — cartographie RF complète du site

Plan de canaux optimisé

Pour chaque AP : canal, puissance, largeur, antenna tilt

Architecture cible (HLD)

Design réseau Wi-Fi + WLC + AP avec budget estimatif

Recommandations priorisées

Classées par impact et urgence — quick wins vs. long terme

Session de restitution

Présentation des résultats + Q&A avec votre équipe IT

Demander un audit
Expertise NAC & Sécurité

Contrôle d'accès réseau,
segmentation & Zero Trust

Cisco ISE, 802.1X, TrustSec, segmentation dynamique : nous verrouillons chaque port et chaque SSID sans pénaliser l'expérience utilisateur. Le réseau devient votre première ligne de défense.

▸Visibilité — Identifier 100% des devices connectés (corporate, BYOD, IoT, guest)
▸Segmentation — Appliquer des droits d'accès dynamiques par identité, pas par port physique
▸Conformité — Vérifier la posture de chaque endpoint avant de l'autoriser sur le réseau

Ce que ISE change concrètement pour vous

L'impact métier avant les détails techniques.

Avant

Accès réseau anonyme — n'importe quel device se connecte sans contrôle

Avec ISE

Chaque device identifié, authentifié et autorisé avant toute connexion

Avant

Zéro traçabilité — impossible de savoir qui était connecté quand

Avec ISE

Audit trail complet : qui, quoi, quand, où — conformité RGPD/NIS2

Avant

Segmentation manuelle par VLAN — fragile, lente, impossible à scaler

Avec ISE

Micro-segmentation SGT automatique — sans ACL, sans VLAN manuels

Avant

IoT invisible sur le réseau — caméras, imprimantes, capteurs non isolés

Avec ISE

Chaque IoT profilé, classifié et isolé dans son segment dédié

01

Architecture Cisco ISE

Cisco Identity Services Engine est le cœur du NAC. Nous dimensionnons, déployons et configurons ISE de A à Z : sizing des nœuds PSN/MnT/PAN, haute disponibilité, intégration Active Directory/LDAP, et politique d'authentification adaptée à vos contraintes.

Sizing & déploiement

Dimensionnement nœuds selon volumétrie endpoints, répartition PSN géographique, clustering HA

Policy Sets structurés

Hiérarchie AuthN/AuthZ claire, conditions par device type, user group, localisation, posture

Intégrations tierces

AD/LDAP, MDM (Intune, Workspace ONE), SIEM (Splunk, QRadar), Firewall (Firepower, Palo Alto)

Migration & upgrade

Migration depuis ACS/ISE legacy, upgrade de version avec plan de rollback, tests de non-régression

Architecture ISE distribuée

PAN Primary Admin Node ADMIN MnT Monitoring Node LOGS Active Directory LDAP / Kerberos PSN 1 — Paris Policy Service Node RADIUS PSN 2 — Lyon Policy Service Node RADIUS 🔌 Switch 802.1X Catalyst 9300 📡 WLC Cisco 9800 Series 🔒 VPN Gateway ASA / FTD RADIUS (Authentication) ──── │ Sync/Replication - - - - RADIUS Auth Replication

Ref: Cisco ISE Documentation

Méthodes d'authentification

EAP-TLS (certificat machine)

Le plus sécurisé. Authentification mutuelle par certificat x.509. Nécessite une PKI. Recommandé pour les postes corporate.

PEAP-MSCHAPv2

Authentification user/password dans un tunnel TLS. Plus simple à déployer, compatible Windows natif.

MAB (MAC Auth Bypass)

Fallback pour les équipements sans supplicant 802.1X : imprimantes, caméras, IoT. Couplé au profiling ISE.

EAP-FAST / TEAP

Alternative TLS avec chaînage d'authentification. Support natif pour le certificate provisioning.

02

Déploiement 802.1X & Segmentation

802.1X est le standard IEEE pour le contrôle d'accès port par port. Couplé à TrustSec (SGT), chaque terminal authentifié et profilé est assigné dynamiquement au segment réseau approprié — sans VLAN statique ni ACL manuelles.

Déploiement progressif

Mode Monitor → Low-Impact → Closed Mode. Zéro disruption pendant le rollout.

SGT / TrustSec

Micro-segmentation par tag de groupe de sécurité, politiques SGACL définies dans ISE, propagation inline ou SXP

Change of Authorization (CoA)

Réauthentification dynamique en cas de changement de posture ou d'incident sécurité détecté

03 — Flow d'authentification

Séquence 802.1X

Du EAPOL-Start jusqu'à l'attribution dynamique du VLAN et du SGT, voici le flow complet d'une authentification 802.1X réussie.

Supplicant Client 802.1X Authenticator Switch / WLC ISE (PSN) Auth Server AD LDAP EAPOL-Start EAP-Request Identity EAP-Response Identity RADIUS Access-Request LDAP Bind + Group Lookup User Groups + Attrs Policy Eval Access-Accept + dACL + SGT EAP-Success ✅ Port autorisé — VLAN dynamique + SGT assigné
04 — Policy Sets

Exemple de Policy Set ISE

Chaque terminal est évalué selon des conditions précises. Voici un exemple réaliste de règles d'authorization.

Condition Profil d'autorisation VLAN SGT Statut
AD:Group=Domain-Computers + EAP-TLS Corp-Full-Access VLAN 10 Corp_Users (3)
AD:Group=BYOD + PEAP-MSCHAPv2 BYOD-Limited VLAN 20 BYOD (7)
MAB + Profil=Printer IoT-Restricted VLAN 30 IoT (10)
Guest Portal + Self-Reg Guest-Internet-Only VLAN 99 Guest (5)
Posture=NonCompliant Quarantine VLAN 666 Quarantine (255)
05 — Segmentation TrustSec

Matrice SGT — Micro-segmentation

TrustSec assigne un Security Group Tag (SGT) à chaque terminal. La matrice SGACL définit qui peut communiquer avec qui — sans ACL ni VLAN manuelles.

Source ↓ / Dest → Corp (3) BYOD (7) IoT (10) Guest (5) Servers (2) DC (1)
Corp (3) ✓ ✓ ✓ ✗ ✓ ✓
BYOD (7) ◐ ✓ ✗ ✗ ◐ ✗
IoT (10) ✗ ✗ ✓ ✗ ◐ ✗
Guest (5) ✗ ✗ ✗ ✓ ✗ ✗
✓ Permit ◐ Partiel (ports limités) ✗ Deny

Portails invités (Guest)

Portails captifs personnalisés avec workflow d'approbation sponsor, auto-enregistrement, ou authentification SMS/email. Intégration Wi‑Fi et filaire.

  • Hotspot, Sponsor, Self-Registration
  • Personnalisation logo & charte graphique
  • Conformité RGPD & conditions d'utilisation

Onboarding BYOD

Provisioning automatique de certificats sur les terminaux personnels (iOS, Android, Windows, macOS) via le portail My Devices ISE ou MDM.

  • SCEP / EST certificate provisioning
  • NSP (Native Supplicant Provisioning)
  • Intégration MDM (Intune, Jamf)

Sécurisation IoT / Shadow IT

30 % des endpoints sur un réseau d'entreprise sont non-gérés. Nous identifions, profilons et isolons l'IoT sauvage sans bloquer le métier.

  • Profiling ISE (DHCP, HTTP, NMAP)
  • Politique dACL & SGT dédiées IoT
  • Visibilité via pxGrid + Stealthwatch
Situations typiques

Quand faire appel à ORNET ?

Si l'un de ces scénarios correspond à votre contexte, un accompagnement expert sécurisera votre projet.

Projet de segmentation réseau

Besoin d'isoler l'IoT, les guests et les métiers sans multiplier les VLANs

Refonte ou migration NAC

Remplacement de Cisco ACS, ClearPass ou Forescout vers Cisco ISE

Déploiement 802.1X

Sécurisation des ports filaires et Wi-Fi avec EAP-TLS / certificats

Micro-segmentation TrustSec

Déploiement et design de matrice SGT (Security Group Tags)

Audit de maturité réseau

Étude de faisabilité avant de lancer un projet NAC complexe (Zero Trust)

Livrables concrets

Ce que vous recevez exactement

Un socle documentaire rigoureux pour garantir le succès et la standardisation de votre projet NAC.

Document d'Architecture HLD/LLD

Architecture, sizing ISE, policy sets, profiling IoT, matrice TrustSec

Templates de configuration

Configurations switchs (Radius, 802.1X, MAB, TrustSec) prêtes à déployer

Cahier de recette (VAB/VSR)

Scénarios de tests documentés pour valider les accès de bout-en-bout

Stratégie de déploiement par phases

Monitor Mode → Low Impact Mode → Closed Mode (Zéro disruption)

Transfert de compétences

Formation des équipes RUN au management quotidien de l'infrastructure réseau

Demander un audit
Blog technique

Veille & Retours terrain

Analyses techniques, guides de résolution et retours d'expérience issus de nos missions. Pas de contenu SEO creux — uniquement du concret.

1 Avatar Romaric Okemba Romaric Okemba · Wi-Fi 12 min · Fév. 2025

Wi-Fi 7 (802.11be) : faut-il migrer maintenant ?

Multi-Link Operation, 320 MHz, 4096-QAM : les promesses sont séduisantes. Mais entre la maturité du silicium client et les gains réels en entreprise, le ROI reste à démontrer. Analyse complète.

Qu'est-ce que Wi-Fi 7 ?

Wi-Fi 7 (IEEE 802.11be) est la prochaine évolution majeure du Wi-Fi. Il introduit le Multi-Link Operation (MLO) — la capacité d'agréger simultanément plusieurs bandes (2.4 + 5 + 6 GHz) —, des canaux de 320 MHz en 6 GHz, et la modulation 4096-QAM. Théoriquement, les débits dépassent les 46 Gbit/s (PHY rate).

✅ Avantages
  • • MLO : résilience et agrégation multi-bande, réduction drastique de la latence
  • • 320 MHz : débits 2x supérieurs au Wi-Fi 6E en bande 6 GHz
  • • 4096-QAM : +20% d'efficacité spectrale à portée courte
  • • Preamble puncturing : exploitation des canaux fragmentés sans attendre la libération du spectre complet
  • • Prépare l'infrastructure pour les 5-7 prochaines années
❌ Inconvénients
  • • Maturité client : très peu de terminaux Wi-Fi 7 en entreprise (2025)
  • • Coût : AP Wi-Fi 7 = 2x le prix d'un AP Wi-Fi 6E équivalent
  • • MLO limité : la plupart des chipsets client ne supportent que 2 liens simultanés
  • • 6 GHz : réglementation EIRP encore restrictive en Europe (LPI/VLP)
  • • ROI difficilement justifiable avant 2027 pour la plupart des entreprises

Notre recommandation

Sauf cas d'usage AR/VR, vidéo 8K ou latence critique, nous recommandons Wi-Fi 6E aujourd'hui. Si vous achetez de nouveaux AP en 2025, privilégiez des modèles Wi-Fi 7 pour « future-proofing », mais ne justifiez pas un refresh uniquement pour le 802.11be.

Sources :
• IEEE 802.11be Draft 5.0 — ieee802.org
• Wi-Fi Alliance Wi-Fi 7 Overview — wi-fi.org
• Cisco Wi-Fi 7 White Paper — cisco.com

Points clés à retenir :

  • Le 320 MHz en entreprise est limité par les contraintes LPI/VLP en Europe et la densité spectrale en 6 GHz, pas par le DFS (propre au 5 GHz).
  • MLO est la véritable révolution pour la latence et la fiabilité.
  • Wi-Fi 6E reste la recommandation standard en 2025 pour la majorité des cas d'usage.
2 Avatar Romaric Okemba Romaric Okemba · NAC 15 min · Jan. 2025

Cisco ISE : les 5 erreurs fatales en production

Policy sets mal hiérarchisés, profiling désactivé, certificats expirés silencieusement. Cinq erreurs que nous corrigeons systématiquement et qui causent 80 % des incidents NAC.

1. Policy Sets en « catch-all » sans hiérarchie

Un seul policy set avec des dizaines de règles → ordre d'évaluation imprévisible. Solution : structurer en policy sets distincts par cas d'usage (Corporate, Guest, BYOD, IoT) avec conditions d'entrée claires.

2. Profiling désactivé ou non calibré

ISE profiling est activé par défaut mais ses sondes (DHCP, HTTP, NMAP) sont souvent limitées. Résultat : 40 % des endpoints classés « Unknown ». Solution : activer les sondes DHCP span + HTTP, calibrer les profils custom pour vos équipements.

3. Certificats expirés sans alerting

Le certificat EAP du PSN expire → tous les clients PEAP/EAP-TLS sont rejetés. Pas d'alerte native. Solution : monitoring externe (PRTG, Nagios) sur l'expiration des certificats ISE + renouvellement planifié.

4. Pas de mode Monitor avant Closed Mode

Passer directement en mode fermé = coupure réseau garantie pour les devices non conformes. Solution : déploiement progressif Monitor → Low-Impact → Closed avec période d'observation de 2-4 semaines par phase.

5. Pas de plan de rollback documenté

En cas de problème, revenir en arrière sans documentation = chaos. Solution : snapshots VM, export config, procédure de fallback testée AVANT le go-live.

Sources :
• Cisco ISE Admin Guide 3.3 — cisco.com
• « ISE Deployment Best Practices » — Cisco Live BRKSEC-3697
• Cisco ISE Profiling Design Guide — community.cisco.com

Points clés à retenir :

  • Le Profiling passif est indispensable avant toute Enforcement.
  • Surchargez l'Active Directory avec WMI détruira vos performances ISE.
  • Le design de vos Policy Sets dicte la maintenabilité à long terme de votre NAC.
3 Avatar Romaric Okemba Romaric Okemba · Wi-Fi 10 min · Déc. 2024

Coupures RF en logistique : méthodologie de diagnostic

Scanners Zebra qui décrochent, latence MQTT au changement d'AP. Retour d'expérience sur un entrepôt 40 000 m² avec diagnostic roaming et validation drive-test.

Le contexte

Entrepôt logistique de 40 000 m², 120 AP Cisco, 350+ terminaux Zebra MC3300. Symptômes : déconnexions aléatoires des scanners, latence MQTT > 2 s, perte de sessions applicatives lors des déplacements inter-allées.

✅ Ce qui a fonctionné
  • • Drive-test Ekahau avec Sidekick sur parcours opérateurs
  • • Activation 802.11r/k/v sur le WLC Catalyst 9800
  • • Réduction des data rates minimum à 12 Mbps
  • • Ajustement Tx power pour réduire la taille des cellules
  • • Latence roaming passée de 800 ms à 25 ms
❌ Ce qui ne fonctionnait pas
  • • RRM automatique : canal switching intempestif en heure de pointe
  • • Band steering agressif : incompatible avec les Zebra 2.4 GHz only
  • • Cellules surdimensionnées : overlap > 50 % → sticky clients
  • • Data rates legacy (1/2/5.5 Mbps) : consommaient 60 % de l'airtime

Sources :
• Cisco Catalyst 9800 RF Best Practices — cisco.com
• Zebra WLAN Planning Guide — zebra.com
• Ekahau Best Practices for Warehouses — ekahau.com (consulté fév. 2026)

Points clés à retenir :

  • En logistique, les antennes directionnelles sont obligatoires dans les racks.
  • Le roaming est contrôlé par le client, pas l'AP. Optimisez vos cellules RF (Max -65 dBm).
  • Désactiver les basic data rates legacy libère instantanément de l'airtime.
4 Avatar Romaric Okemba Romaric Okemba · Wi-Fi 8 min · Nov. 2024

Airtime Overhead & VoIP d'entreprise

Quand le MOS chute sans congestion apparente, l'airtime overhead est le coupable invisible. Méthode de mesure PCAP over-the-air et stratégies de réduction.

Comprendre l'airtime

Le Wi-Fi est un medium partagé (half-duplex). Chaque frame transmise — management, control ou data — consomme de l'« airtime ». Quand l'utilisation dépasse 50-60 %, les retries augmentent, la latence explose, et les applications temps réel (VoIP, vidéo) se dégradent.

✅ Stratégies efficaces
  • • Désactiver les data rates < 12 Mbps (2.4 GHz) / < 24 Mbps (5 GHz)
  • • Réduire le beacon interval si possible (100 ms → 200 ms par SSID non critique)
  • • Limiter le nombre de SSID à 3-4 max par radio
  • • Activer DTPC et multicast-to-unicast conversion
  • • QoS WMM : marquer le trafic voix en AC_VO
❌ Fausses solutions
  • • Augmenter la puissance Tx (= plus d'interférences, pas moins de congestion)
  • • Ajouter des AP sans plan RF (= plus de CCI)
  • • Activer tous les SSID sur tous les AP
  • • Ignorer les clients legacy qui consomment l'airtime

Sources :
• CWNA Study Guide, Chapter 14 : WLAN Troubleshooting — CWNP
• « Understanding Airtime Fairness » — Revolution Wi-Fi — revolutionwifi.net
• Cisco Wireless Best Practices — cisco.com

Points clés à retenir :

  • Le Wi-Fi est un média partagé (Half-Duplex), l'airtime est votre ressource la plus précieuse.
  • Un seul SSID en trop = des dizaines de beacons générés par seconde par AP.
  • La présence de Co-Channel Interference (CCI) détruit mathématiquement vos performances.
5 Avatar Romaric Okemba Romaric Okemba · NAC 10 min · Oct. 2024

Shadow IT & IoT : sécuriser sans bloquer

Caméras IP, capteurs Zigbee, écrans connectés : l'IoT sauvage représente 30 % des endpoints. Comment identifier, profiler et isoler sans impact opérationnel.

L'enjeu

Selon Forescout, 30 % des endpoints connectés à un réseau d'entreprise sont non-gérés et inconnus de l'IT. Ces devices (imprimantes, caméras, capteurs, smart TVs) ne supportent ni 802.1X ni agent de sécurité. Ils représentent un vecteur d'attaque latéral majeur.

✅ Approche recommandée
  • • Phase 1 : Inventaire et profiling exhaustif via ISE (DHCP fingerprint, HTTP User-Agent, OUI MAC)
  • • Phase 2 : Classification par criticité (critique, standard, shadow)
  • • Phase 3 : Segmentation par SGT/dACL — VLAN IoT dédié avec ACL restrictives
  • • Phase 4 : Monitoring continu via pxGrid → Stealthwatch/XDR
❌ Erreurs à éviter
  • • Ignorer l'IoT (« ce sont juste des imprimantes »)
  • • Bloquer tous les endpoints inconnus d'un coup (= arrêt de production)
  • • Se fier uniquement à l'adresse MAC (spoofable)
  • • Ne pas monitorer après segmentation

Sources :
• Forescout « Enterprise of Things Security Report » 2024 — forescout.com
• Cisco ISE Profiling Design Guide — community.cisco.com
• NIST SP 800-183 — Networks of Things — nist.gov

Points clés à retenir :

  • Le MAB (MAC Authentication Bypass) n'est pas sécurisé, les adresses MAC se spoofent.
  • Le Profiling dynamique via DHCP/mDNS/HTTP est la seule voie viable pour l'IoT.
  • L'isolation TrustSec (SGT) est bien plus souple à gérer que d'infinies Access-Lists (ACL).
Newsletter

Restez à la pointe de l'infrastructure

Recevez nos dernières analyses techniques, retours terrain et astuces Wi-Fi / NAC directement dans votre boîte mail.

Nous ne spammons jamais. Désinscription possible à tout moment.

Contact

Discutons de votre architecture réseau.

Décrivez votre besoin — réponse sous 24h. Sans engagement.

Réponse sous 24h NDA possible Sans engagement

Romaric Okemba

Romaric Okemba

Fondateur ORNET

Ingénieur Réseau & Consultant

Voir le profil LinkedIn
Avatar Romaric Okemba

Besoin d'un conseil rapide ?

30 min — gratuit

Coordonnées

ORNET

120 Boulevard Vincent Auriol
75013 Paris, France

contact@or-net.com
or-net.com

Informations légales

SIREN : 837 708 981

Forme : SARL

Activité : Conseil en systèmes et logiciels informatiques

Création : 19/02/2018