🚧

SSID Count par radio

Critique

Limitez à 3–4 SSID par radio. Chaque SSID ajoute des beacons et des overheads 802.11 qui réduisent la capacité utile du canal.

! Catalyst 9800 — désactiver les SSIDs inutiles wlan SSID_CORP 1 SSID_CORP no shutdown wlan SSID_GUEST 2 SSID_GUEST no shutdown ! Eviter > 4 WLANs actifs par AP

WPA3-SAE + Transition Mode

Recommandé

Activez WPA3-SAE avec Transition Mode pour compatibilité WPA2. PMF obligatoire en WPA3, optionnel en Transition.

wlan SSID_CORP 1 SSID_CORP security wpa akm sae security wpa akm psk ! Transition security wpa wpa2 disable security pmf required no shutdown

Débits minimum 802.11

Performance

Désactivez les débits legacy (1/2/5.5/11 Mbps) pour augmenter la densité cellulaire et réduire les temps d'airtime.

ap dot11 24ghz rate 1M disable ap dot11 24ghz rate 2M disable ap dot11 24ghz rate 5_5M disable ap dot11 24ghz rate 11M disable ap dot11 24ghz rate 6M disable ap dot11 24ghz rate 9M disable ap dot11 24ghz rate 12M mandatory

802.11r/k/v — Fast Roaming

Recommandé

Activez la suite de roaming pour des transitions < 50ms, indispensables pour la VoIP et les appareils IoT mobiles.

wlan SSID_CORP 1 SSID_CORP dot11r ft enable dot11r ft-over-ds disable ! OTA preferred dot11k rrm neighbor-report dot11v bss-transition no shutdown

BSS Coloring (802.11ax)

Wi-Fi 6/6E

Activez BSS Coloring pour réduire les interférences co-canal sur les APs Wi-Fi 6 (802.11ax) en environnement dense.

ap dot11 6ghz dot11ax bss-color enable ap dot11 5ghz dot11ax bss-color enable ap dot11 24ghz dot11ax bss-color enable ! Catalyst 9800 — vérifier IOS-XE 17.3+

Band Steering & Load Balance

Performance

Dirigez les clients dual-band vers 5 GHz ou 6 GHz. Activez le load balancing entre APs pour éviter la surcharge.

ap dot11 dual-band load-balance ap dot11 5ghz band-select enable ap dot11 5ghz band-select probe-response 0 ap dot11 5ghz band-select cycle-count 2 ap dot11 5ghz band-select cycle-threshold 200

WPA3 + Transition Mode

Recommandé

Configurez WPA3-SAE avec Transition Mode dans ArubaOS pour couvrir les clients WPA2 et WPA3 sur le même SSID.

wlan ssid-profile SSID_CORP essid "SSID_CORP" wpa-passphrase "MotDePasse!" opmode wpa3-aes-ccm-transition dtim-period 1 max-clients-threshold 100

802.11r/k/v — ArubaOS

Recommandé

ArubaOS active 802.11k et 802.11v par défaut. Vérifiez que 802.11r est bien activé pour le fast BSS transition.

wlan ssid-profile SSID_CORP dot11r enable dot11k enable dot11v enable wmm-uapsd-enable ! Vérifier dans Aruba Central : ! WiFi > SSIDs > Advanced > Fast Roaming

ARM — Adaptive Radio Mgmt

Aruba Specific

Activez ARM pour l'ajustement automatique de puissance et de canal. Configurez les seuils min/max de couverture.

rf dot11a-radio-profile default arm-profile "ARM-Profile" channel-quality-aware-arm enable channel-quality-threshold 35 rf arm-profile "ARM-Profile" min-tx-power 6 max-tx-power 21

Segmentation VLAN par SSID

Sécurité

Isolez chaque SSID dans un VLAN dédié. Utilisez des rôles utilisateurs dans Aruba Central pour la micro-segmentation.

wlan virtual-ap SSID_CORP vlan 10 ssid-profile SSID_CORP aaa-profile AAA_CORP wlan virtual-ap SSID_GUEST vlan 20 ssid-profile SSID_GUEST aaa-profile AAA_GUEST

Débits 2.4 GHz minimum

Performance

Désactivez les débits 802.11b legacy pour réduire le temps d'antenne et améliorer la capacité réseau globale.

rf dot11g-radio-profile no rate 1mbps no rate 2mbps no rate 5mbps no rate 11mbps mandatory-rate 12mbps

Client Match — Steering

Aruba Specific

Activez Client Match pour diriger automatiquement les clients vers le meilleur AP et la meilleure bande (5 GHz préféré).

rf arm-profile "ARM-Profile" client-match enable client-match-nb-neigh-thresh 3 client-match-rssi-threshold -75 ! Disponible ArubaOS 8.x+ ! Aruba Central : WiFi > Client Match

WLAN Template Mist AI

Mist Specific

Utilisez les WLAN Templates dans Mist AI pour déployer des configurations standardisées sur l'ensemble du site.

// API Mist — Create WLAN POST /api/v1/sites/{site_id}/wlans { "ssid": "SSID_CORP", "auth": { "type": "psk", "psk": "MotDePasse!", "pairwises": ["ccmp"] }, "band": "both", "wpa3": true }

Dynamic PSK & Rotation

Sécurité

Mist supporte les PSK dynamiques par utilisateur avec expiration automatique. Idéal pour les environnements sécurisés sans 802.1X.

// API Mist — PSK avec expiration POST /api/v1/sites/{site_id}/psks { "name": "PSK_RH_2026", "passphrase": "SecurePass!2026", "ssid": "SSID_CORP", "expire_time": 1767225600, "max_usage": 50, "role": "employee" }

Band Steering & Roaming

Performance

Activez le band steering et le roaming 802.11r dans les WLAN settings. Mist AI optimise automatiquement via le cloud.

// API Mist — WLAN avec roaming { "ssid": "SSID_CORP", "fast_dot1x_timers": true, "roam_mode": "11r", "band_steer": true, "band_steer_force_band5": true, "minimum_rssi": -80, "disconnect_when_roaming": false }

Rogue AP Detection

Sécurité

Activez la détection des Rogue APs via Mist AI. Configurez les alertes automatiques et le containment si nécessaire.

// API Mist — Activer WIDS/WIPS PUT /api/v1/sites/{site_id}/setting { "rogue": { "enabled": true, "honeypot_enabled": true, "min_rssi": -80, "whitelist": ["AA:BB:CC:DD:EE:FF"] } }

SLE — Service Level Monitoring

Mist AI

Configurez les SLE pour monitorer la qualité WiFi en temps réel et identifier proactivement les problèmes.

// SLE recommandés à monitorer : // - Successful Connects > 98% // - Time to Connect < 5s // - Coverage (RSSI > -72 dBm) > 95% // - Roaming Success > 99% // - Throughput (Down > 10 Mbps) // Mist AI > Monitor > Service Levels

OWE — Enhanced Open Guest

Recommandé

Pour les réseaux invités, utilisez OWE (Enhanced Open) pour chiffrer les communications sans authentification.

// API Mist — WLAN Guest OWE { "ssid": "SSID_GUEST", "auth": { "type": "open", "owe": "transition" }, "isolation": true, "client_limit_down": 10, "client_limit_up": 2 }

SSID & VLAN design

Critique

Limitez à 4 SSIDs par AP sous UniFi. Utilisez des VLANs séparés pour Corporate, Guest, IoT.

// UniFi Network App // Settings > Networks > Create Network Corp Network : VLAN 10, 192.168.10.0/24 Guest Network : VLAN 20, 192.168.20.0/24 IoT Network : VLAN 30, 192.168.30.0/24 // Settings > WiFi > Create WiFi SSID_CORP > Network: Corp (VLAN 10) SSID_GUEST > Network: Guest (VLAN 20, isolé)

WPA3 (UniFi Network 7+)

Recommandé

WPA3 est disponible depuis UniFi Network 7.x. Activez le mode Transition pour compatibilité WPA2.

// UniFi Network App 7.x+ // WiFi > Edit SSID > Security Security Protocol: WPA2/WPA3 Transition PMF: Required (WPA3) / Optional (Transition) // Via CLI UniFi : mca-ctrl -t dump-cfg | grep wifi set wireless.@wifi-iface[0].encryption='sae-mixed'

Fast Roaming (802.11r)

Performance

Activez Fast Roaming dans les paramètres WiFi avancés. Couplé avec le Minimum RSSI, cela accélère le handover entre APs.

// UniFi Network App // WiFi > Advanced > Fast Roaming : ON // WiFi > Advanced > Minimum RSSI : -75 dBm // Recommandations roaming : Min RSSI : -75 dBm BSS Transition : Enabled (802.11v) Legacy Support : Disabled (si possible)

Rates 2.4 GHz — Legacy Off

Performance

Désactivez les débits 802.11b (1/2/5.5/11 Mbps) pour réduire l'overhead et améliorer les performances globales.

// UniFi Network App // Settings > WiFi > Advanced // Data Rate Control : Min Data Rate 2.4 GHz : 12 Mbps Min Data Rate 5 GHz : 12 Mbps // Ou via Site Settings > RF > Data Rate Control

Band Steering

Performance

Activez le Band Steering pour diriger préférentiellement les clients dual-band vers 5 GHz ou 6 GHz (Wi-Fi 6E).

// UniFi Network App // Settings > WiFi > Advanced Band Steering : Enabled (Prefer 5GHz) Load Balancing : Enabled Airtime Fairness : Enabled // Pour Wi-Fi 6E (U6 Enterprise) : 6 GHz enabled : True Band preference : 6GHz > 5GHz > 2.4GHz

Guest Network Isolation

Sécurité

Activez Client Isolation sur le réseau Guest. Bloquez l'accès au LAN interne via les règles Firewall UniFi.

// UniFi Network App // Networks > Guest Network Client Isolation : Enabled Block LAN Access : Enabled // Firewall Rules auto-générées : Guest > LAN : BLOCK Guest > Internet : ALLOW Guest > Guest : BLOCK (isolation)

WPA3-SAE (FortiOS 7.0+)

Recommandé

WPA3-SAE est disponible depuis FortiOS 7.0. Configurez via FortiGate WiFi Controller ou FortiWLC.

config wireless-controller vap edit "SSID_CORP" set ssid "SSID_CORP" set security wpa3-sae set passphrase "MotDePasse!2026" set pmf enable set fast-roaming enable set vlanid 10 next end

Transition WPA2/WPA3

Compatibilité

Pour les environnements mixtes, utilisez le mode SAE+WPA2 pour garantir la rétrocompatibilité sans sacrifier la sécurité.

config wireless-controller vap edit "SSID_CORP" set ssid "SSID_CORP" set security wpa3-sae-transition set passphrase "MotDePasse!" set pmf optional next end

RADIUS Enterprise (802.1X)

Enterprise

Pour les environnements Corporate, utilisez WPA2/WPA3-Enterprise avec RADIUS pour l'authentification par certificat.

config wireless-controller vap edit "SSID_CORP_ENT" set ssid "SSID_CORP" set security wpa2-only-enterprise set radius-server "RADIUS-SRV" set encrypt AES set pmf required next end

Rogue AP Monitoring

Sécurité

Activez le WIDS/WIPS FortiAP pour détecter et contenir les Rogue APs. Configurez les alertes via FortiAnalyzer.

config wireless-controller wids-profile edit "WIDS-Profile" set ap-scan enable set rogue-scan enable set ap-bgscan-intv 30 set ap-bgscan-duration 40 set deauth-unknown-src-thresh 0 next end

FortiAP Profile — Débits

Performance

Configurez les profils radio FortiAP pour désactiver les débits legacy et optimiser les paramètres 802.11ac/ax.

config wireless-controller wtp-profile edit "FAP-Profile" config radio-1 set band 802.11ax-2.4G set auto-power-level enable set auto-power-low 6 set auto-power-high 17 set rates-11bg 12 24 36 54 end next end

Guest Network + Captive Portal

Sécurité

Déployez un réseau Guest isolé avec portail captif FortiGate. Activez le rate limiting et l'isolation client.

config wireless-controller vap edit "SSID_GUEST" set ssid "SSID_GUEST" set security open set captive-portal enable set intra-vap-privacy enable set quarantine enable set rates-11ag 12 18 24 36 48 54 next end

SSID

Renseignez le SSID pour générer le profil Windows

Renseignez le SSID pour générer le .mobileconfig

Renseignez le SSID pour générer le profil Android

Aucun export enregistré. Générez un QR code et exportez-le pour voir l'historique.

WiFi QR+