Installer un point d'accès (presque) ouvert

Résolu/Fermé
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 - 7 févr. 2012 à 20:51
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 - 26 mars 2012 à 23:10
Bonjour à tous,


On m'a demandé d'installer une connexion à Internet pour des chambres d'hôte privées situées à une centaine de mètres de l'habitation du propriétaire. Il contient deux chambres louées indépendamment l'une de l'autre (= pas au même locataire). L'idée est de partager la connexion à Internet du propriétaire pour que les locataires du gîte puissent surfer.

Vraisemblablement la connexion filaire n'est pas envisageable et ce sera donc du Wifi N qui sera mis en place (un routeur Wifi N avec éventuellement un répéteur au milieu si le signal n'est pas suffisant ... à voir).

Le réseau ne doit pas être ouvert, ou bien s'il l'est il faut permettre une identification, le but étant que seuls les locataires du gîte bénéficient de la connexion à Internet, et pas tout le voisinage.

Les machines ne doivent pas pouvoir communiquer ensemble : il ne faut pas que le locataire de la chambre 1 puisse accéder aux ordinateurs du locataire de la chambre 2 ni du propriétaire.

Le propriétaire doit avoir une bande passante Internet prioritaire sur celle des chambres

Le propriétaire souhaite évidemment proposer un minimum de restrictions à ses locataires mais tout en réduisant les risques légaux pour lui (surtout par les temps qui courent où il ne fait pas bon d'utiliser Internet à des fins illégales ...). Je ne souhaite pas n'ouvrir que le port 80 puisque je trouve moi-même ça super chiant lorsque j'utilise un point d'accès publique.

Les chambres peuvent être louées potentiellement longtemps (de 2 jours à 6 mois voire un an) et donc les locataires doivent avoir un accès confortable et permanent au Web (sans avoir besoin de se réauthentifier toutes les demi heures).

Sans vouloir jouer les voyeuristes je souhaite quand-même pouvoir garder un oeil sur le trafic réseau des locataires, en cas d'abus de bande passante ou si jamais le proprio reçoit un courrier d'Hadopi ou dans ce genre de cas.

Que me conseillez-vous ? Quel type de matériel ? Quelle configuration réseau ? Quelle sécurité sur le point d'accès ...


Merci :)



8 réponses

gardiendelanuit Messages postés 1769 Date d'inscription jeudi 20 décembre 2007 Statut Membre Dernière intervention 19 novembre 2016 264
7 févr. 2012 à 21:05
Bonsoir,

Pour ton problème de connexion authentifié tu peux simplement utiliser un filtre mac (les clients n'ont pas besoin de s'identifier mais on doit savoir d'avance leur adresse MAC)
ps: ce système n'est pas infaillible.
Sinon une clef WEP ou mieux WPA2 qu'il faudra donner au client.
Pour surveiller le réseau il y a WireShark mais je ne sais pas si c'est légal de regarder le trafic d'autrui x)
Pour la diffusion relais du Wifi cela dépend de l'environnement (rayon souhaité, épaisseur des murs, humidité,...) mais une borne omnidirectionnel de +1000mW suffit en général.
0
jerome9359 Messages postés 693 Date d'inscription mercredi 4 février 2009 Statut Membre Dernière intervention 10 juin 2019 158
7 févr. 2012 à 21:12
Juste un Conseil : N'oublis pas d'ouvrir les ports 443 et 8080 qui sont utilisé lors des protocoles HTTPS.
Car les clients risuqe d'avoir du mal a consulter le site de leurs banques/
0
barnabe0057 Messages postés 14440 Date d'inscription lundi 2 mars 2009 Statut Contributeur Dernière intervention 19 avril 2024 4 908
Modifié par barnabe0057 le 8/02/2012 à 00:06
Bonjour,

Voilà un exemple de matériel compatible avec ton projet et qui couvre toutes tes exigences :
http://www.zyxel.fr/products/wifi+802-11n/zy-n4100.html

La brochure contient des infos intéressantes, notamment les différentes configurations réseau possibles :
http://www.zyxel.fr/publications/f/N4100_Hospitality_F_Update.pdf

Concernant les éventuelles restrictions à mettre en place il faudra prévoir une machine supplémentaire qui fera office de proxy.
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
Modifié par Yoan le 8/02/2012 à 14:48
La N-4100 (imprimante SP300E inclue) de ZyXEL est disponible, auprès du réseau de grossistes (Ingram Micro, EDOX, ACTN, Alliance Com, ETC METROLOGIE, ITANCIA ...) de ZyXEL France, au prix public conseillé de 910 euros HT.
Effectivement le produit correspond exactement à mes besoins mais le prix un peu moins ^^

Je ne mets pas ce matériel en place pour un restaurant ou un lieu vraiment grand publique, j'aurai dans le pire des cas 3 voire 4 machines connectées à ce hotspot. Difficile de mettre 1090€ (TTC) dans ce type de matériel. Peut-être que je peur revoir certaines exigences à la baisse :)

Si je mets simplement un routeur/point d'accès Wifi dans le genre du D-Link DIR-615 et que je créé deux réseaux (192.168.0.0/24 pour le réseau du propriétaire et un réseau 192.168.1.0/24 pour les locataires) pensez-vous que ça puisse convenir à mon usage ? Sachant que :

* Il n'y aura pas deux réseaux distincts pour chaque locataire
* Le routeur ne garantira pas la traçabilité et la conservation des logs
* Je pourrai peut-être pas limiter le débit (quoique, y'a peut-être des options selon le routeur)

Je pourrai aussi ne rendre ouverts que certains ports (80, 443, 8080 et quelques autres)

Est-ce que cela pose d'importants problèmes de sécurité ?
L'urgent est fait, l'impossible est en cours,
Pour les miracles, prévoir un délai ...
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
barnabe0057 Messages postés 14440 Date d'inscription lundi 2 mars 2009 Statut Contributeur Dernière intervention 19 avril 2024 4 908
Modifié par barnabe0057 le 8/02/2012 à 15:32
* Il n'y aura pas deux réseaux distincts pour chaque locataire

==>> pas la peine de faire des réseaux distincts pour chaque locataire, il suffit de choisir un routeur wifi avec la fonction "Isolation AP" qui isole les clients, ceux-ci seront alors virtuellement sur des réseaux différents.


* Le routeur ne garantira pas la traçabilité et la conservation des logs

==>> ceci est contraire aux dispositions réglementaires légales


* Je pourrai peut-être pas limiter le débit

==>> il faut choisir un routeur qui fait de la QoS (Quality of Service), au niveau du wifi la fonction s'appelle WMM, ça permet de donner la priorité aux périphériques souhaités


Je pourrai aussi ne rendre ouverts que certains ports

==>> tu n'as aucun port à ouvrir à moins que tu aies un serveur à rendre accessible depuis l'extérieur, par contre il faudra prévoir une machine qui servira de proxy ou de proxy-firewall, elle servira à filtrer le trafic sortant
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
8 févr. 2012 à 15:40
tu n'as aucun port à ouvrir à moins que tu aies un serveur à rendre accessible depuis l'extérieur
Par "ouvrir des ports" j'entends ne permettre aux locataires de se connecter vers l'extérieur que certains ports courants (80, 443 and so on ...). Mais ça n'a pas forcément d'intérêt ?

ceci est contraire aux dispositions réglementaires légales
Ce n'est pas justement pour permettre de conserver les logs que tu me proposes d'installer un proxy ? Quel autre intérêt a-t-il ce proxy dans ce cas précis si la conservation des logs n'est pas sa seule utilité ?
0
barnabe0057 Messages postés 14440 Date d'inscription lundi 2 mars 2009 Statut Contributeur Dernière intervention 19 avril 2024 4 908
Modifié par barnabe0057 le 8/02/2012 à 15:52
Effectivement le proxy te permettra de constituer des logs de connexion, il fera également office de cache et surtout il fera du filtrage de contenu (par mots-clés par exemple)
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
8 févr. 2012 à 19:12
Ok pour les logs. Pour le filtrage de contenu penses-tu que c'est nécessaire dans mon cas ? A première vue je dirais que le contenu que visitent les locataires ne me regarde pas et je n'ai pas de raison de bloquer quoi que ce soit. Mais peut-être qu'il vaut mieux bloquer certains contenus précis pour réduire les risques légaux ? Si oui quels exemples de contenu à filtrer donnerais-tu ?
0
brupala Messages postés 109443 Date d'inscription lundi 16 juillet 2001 Statut Membre Dernière intervention 23 avril 2024 13 619
9 févr. 2012 à 00:10
Salut,
le cahier des charges est lourd didon:

- un routeur Wifi N avec éventuellement un répéteur au milieu si le signal n'est pas suffisant

- Le réseau ne doit pas être ouvert, ou bien s'il l'est il faut permettre une identification,

- Les machines ne doivent pas pouvoir communiquer ensemble

- Le propriétaire doit avoir une bande passante Internet prioritaire sur celle des chambres

- Je ne souhaite pas n'ouvrir que le port 80

- les locataires doivent avoir un accès confortable et permanent au Web

- je souhaite quand-même pouvoir garder un oeil sur le trafic réseau des locataires

et on doit ajouter (c'est un peu le coeur du problème) une solution bon marché, car tout ceci est réalisable avec firewall bien costaud, routeurs et points d'accès multi ssid, proxy et plein de suivi de logs radius comme un vrai fournisseur d'accès internet, mais avec plein de milliers d'euros.

Pour pas cher, je te propose cette solution, qui est déjà généralisée depuis un bon moment et qui apporte une bonne réponse à la plupart les points demandés.

le wifi N est supporté sur les nouveaux produits et pour couvrir une direction précise à l'extérieur (ton cas) l'antenne directive fontena pourrait aider.

La fonera offre 2 réseaux : un réseau privé crypté et un réseau public (non crypté) accessible avec authentification.

Le propriétaire de la box fait partie du réseau mondial fon et peut me retirer des revenus de sa connexion internet en la laissant utilisable par des non membres du réseau.

Point intéressant dans ton sujet, on peut donner des logins à des invités (5) qui pourront se connecter librement à ton point d'accès public, mais pas au réseau fon mondial.

Les machines connectées au réseau public ne peuvent pas communiquer entre elles (pas indiqué dans les docs, mais vérifié chez moi), par contre elles peuvent accéder aux machines du lan hébergeur (mais pas au wifi privé) car pour la fonera, le lan hébergeur n'est pas différencié de l'internet en général, il faut un parefeu si on veut éviter ça.

Les machines connectées au wifi public fon ont une bande passante non prioritaire sur le routeur fon (pas celui du FAI) et il peut être configuré à une limite précise en fonction des débits up et down de la connexion, ce qui est plus intéressant.

Tous? les ports sont ouverts sur l'accès public une fois authentifié: je fais du ssh dessus, garanti, smtp pop imap ok, je n'ai pas tout testé.

Une fois authentifié l'accès est permanent (si on n'est pas en accès payant, qui existe aussi).
tu as des logs de l'utilisation du point d'accès public (nom utilisateur, adresse mac heure et durée de connexion) mais si tu veux plus de précisions, il faudra un vrai proxy/ firewall.

Ce rôle de proxy/firewall pourrait être tenu par une machine sous ipcop installé sur un vieux PC équipé de 3 ports ethernet avec la ou les fonera dans le réseau bleu, le lan privé dans le réseau vert et internet en réseau rouge.
ipcop peut faire proxy transparent.

Le seul inconvénient sera d'empiler les nats les uns derrière les autres, ce qui limite certaines applications: tu peux avoir jusqu'à 3 nats à la queue leuleu: un sur la box FAI , un sur ipcop et un sur la fonera.
Le premier pouvant éventuellement être supprimé chez certains FAI.

Mais je pense que cette solution est vraiment séduisante, très bon marché et réellement appropriée à ton problème.
A ta dispo pour toutes précisions sur ces deux produits que j' utilise moi-même.

0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
9 févr. 2012 à 12:05
Haaa je connais Fon en plus (ou du moins le principe) mais je n'y ait pas du tout pensé.

Le premier pouvant éventuellement être supprimé chez certains FAI.
Oui le proprio est chez Free et la freebox v4 qu'il a permet de désactiver le mode routeur

Je pense pas que je vais m'embêter avec un proxy, car ça me fait installer une machine qui tourne 100% du temps, qui consomme de l'électricité, qu'il va falloir mettre à jour et rebooter quand elle va planter, etc. Comme je disais le but n'est pas d'être voyeuriste ni d'interdire certains sites ou mots-clés mais juste éviter les abus, quoi, notamment en ce qui concerne les violations de la loi. Mais si les logs enregistrés par la Fonera est le minimum pour dégager le proprio de poursuites si un locataire abuse ça va.


C'est une solution très intéressante effectivement, je crois que je vais partir sur cette solution là. Je regarde tout ça plus en détail et je te tiens au courant.

Merciiii :)
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
Modifié par Yoan le 9/02/2012 à 23:48
La Fonera Simpl semble être suffisante pour mon cas, non ?

Il semble que la 2.0 N apporte des fonctionnalités inutiles ici (NAS, partage USB, téléchargement ...).

PS : je 'ai pas vu où est-ce qu'était abordé la question des 5 logins invités sur le site de Fon. Mais il est tard, je dois être fatigué :P
0
brupala Messages postés 109443 Date d'inscription lundi 16 juillet 2001 Statut Membre Dernière intervention 23 avril 2024 13 619
Modifié par brupala le 10/02/2012 à 10:47
pour les 5 logins,
il faut avoir un compte pour voir la page, je te la refilerai en MP si tu veux.
par contre, en grattant un peu, j' ai vu (comme de bien entendu quand on gratte) quelques restrictions:
1/ la fonera simpl ne permet pas de définir (pour l'instant ?) une limite de bande passante, on pouvait le faire sur ma vieille 2.0
2/ dans les logs, on ne voit pas l'adresse mac de l'utilisateur du réseau public, juste son pseudo fon mais on a bien l'heure de début et l'heure de fin de connexion.
3/ ça reste à préciser, mais la connexion avec un compte ami semble être enregistrée dans les logs sous le nom du titulaire du compte (plus chiant) .
si quelqu'un pouvait confirmer ce dernier point ? j'ai fait quelques tests, mais les mises à jour sur le site ne sont pas en temps réel.
Pire: je n'ai pas l'impression que les comptes "amis" soient réellement loggés
EDIT:
non, en fait j'ai vérifié le point 3 et c'est bon les logs apparaissent bien avec le compte invité, mais avec plus de 24h de retard .
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
10 févr. 2012 à 17:04
Vi je veux bien voir l'info sur les 5 logins stp :)

Et puis je sais pas si ça existe toujours le parrainage Fon mais je pourrais être un très bon fillot :P
0
brupala Messages postés 109443 Date d'inscription lundi 16 juillet 2001 Statut Membre Dernière intervention 23 avril 2024 13 619
10 févr. 2012 à 17:29
pour le parrainage, pas de souci.
je te fais des copies d'écran, bouge pas.
0
Salut
Va faire un tour a cette adresse
http://corp.fon.com/fr/products/fonera2n/

exactement ce que tu cherche pour moins de 80 €
et en plus ça marche super bien bien et pas de souci avec Hadopi

J'en ai une chez moi depuis 3 ans
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
12 mars 2012 à 12:04
Hello,

Alors voici quelques news :
C'est reçu, installé, ça fonctionne exactement comme je veux mais pas de bol, y'a pas assez de portée :(

Pourtant le champs est libre mais c'est un peu loin quand-même. Le réseau Wifi est visible mais la connexion est impossible.

Je m'interroge si un répéteur peut fonctionner ou non. Je n'ai pas 50 emplacements possibles pour le (ou alors je vais chez les voisins u_u). Malheureusement le seul endroit où je peux placer un répéteur, à une 15aine de mètres des chambres mon PC portable ne parvenait pas non plus à se connecter.

Je me dis que selon les appareils, leur puissance et leur antenne au même endroit géographique certains capteront et d'autres non. Donc peut-être en achetant un répéteur avec deux belles antennes directionnelles ? Qu'en pensez-vous ?

PS : j'ai déjà l'antenne Fonera de branchée.
0
noctambule28 Messages postés 31791 Date d'inscription samedi 12 mai 2007 Statut Webmaster Dernière intervention 13 février 2022 2 858
12 mars 2012 à 12:17
Salut

Sais-tu si le circuit électrique des chambres est relié à celui de la maison ou si il est indépendant?
Je me suis demandé si tu ne pouvais pas faire passer du cpl et sortir dans les chambre d'hôte en cpl-wifi.
0
brupala Messages postés 109443 Date d'inscription lundi 16 juillet 2001 Statut Membre Dernière intervention 23 avril 2024 13 619
Modifié par brupala le 12/03/2012 à 12:38
Tu as mis une fontena et ça ne passe pas à 100m ?
Elle est orientée dans la bonne direction ?
tu es en vue directe ou pas ?
en principe, les répéteurs simples ne permettent pas de connecter une antenne extérieure, ça ne sera donc pas fameux.
effectivement,
il te faudrait en fait deux PA: un en mode client avec une antenne directive pointée vers la fonera qui serait couplé en ethernet à un autre point d'accès sur lequel se connecteraient tes clients.
Donc un pont plus un pur PA.
Les deux sur deux canaux différents et assez espacés, bien entendu.
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
14 mars 2012 à 19:29
Hello,

Non malheureusement les chambres sont bien indépendantes le réseau électrique est différent.

L'antenne de la Fonera collée contre la fenêtre permet de voir directement les chambres (y'a rien au milieu).

J'ai pas lu le manuel mais je suppose que la surface plate est à pointer vers la destination ? Je n'ai pas fait attention si c'est le côté marqué "Fonera" que j'ai orienté vers les chambres ou bien si c'est le côté avec l'étiquette, il y a-t-il une importance ? Il y a-t-il une importance au niveau de la position angulaire (i.e. fil de l'antenne en bas ou bien en haut, à gauche ...) ? J'pense pas mais bon.

C'est même pire que ça, selon Google Maps y'a 60 mètres entre le point d'accès et les chambres.
0
brupala Messages postés 109443 Date d'inscription lundi 16 juillet 2001 Statut Membre Dernière intervention 23 avril 2024 13 619
14 mars 2012 à 20:01
Salut,
tu dis fonera ...
tu as ajouté la fontenna ou pas ?
le fil de l'antenne sort en bas au centre.
0
Yoan Messages postés 11795 Date d'inscription mardi 1 février 2005 Statut Modérateur Dernière intervention 10 décembre 2023 2 327
14 mars 2012 à 20:57
Oui pardon c'est bien la Fontenna que j'oriente vers les chambres, hein, pas la Fonera.

Et quand je parle du logo je me souviens plus trop mais c'est plutôt le logo "Fon".

Ha donc la rotation de l'antenne a vraiment un sens il lui faut plutôt la tête en l'air avec le fil qui sort vers le bas ? Pour mes essais je l'air pendue par le fil donc il sortait en haut mais je pensais pas que ça pouvais avoir une influence =)
0