Résolvez les cinq problèmes les plus courants des réseaux UniFi — erreurs de configuration des VLAN, déconnexions d'objets connectés et failles de pare-feu — grâce à ces guides étape par étape.
Vous ne savez pas quel support convient à votre point d'accès ? Utilisez le sélecteur de support pour point d'accès : choisissez votre modèle UniFi ou Omada et accédez directement à la fixation adaptée.
Introduction
Les réseaux UniFi sont généralement des systèmes qu'on configure et qu'on oublie, ce qui fait partie de leur attrait. Mais « généralement » ne signifie pas « toujours », et avec le temps, j'ai remarqué que les mêmes problèmes reviennent systématiquement dans les déploiements clients. Il ne s'agit généralement pas du matériel, mais de petites erreurs de configuration qui finissent par devenir de gros problèmes. Des profils de port VLAN qui cessent de se mettre à jour silencieusement, des appareils IoT qui se déconnectent aléatoirement du réseau, des règles de pare-feu qui n'existent que sur le papier.
Ces problèmes ne sont pas dramatiques. Votre réseau ne plante pas. Les choses fonctionnent, en grande partie. Mais il y a des comportements étranges — une prise intelligente qui doit être redémarrée deux fois par semaine, une caméra inaccessible depuis certains appareils, un nouveau VLAN qui ne semble pas obtenir d'accès à Internet. Ce sont le genre de problèmes qui rendent fou parce qu'ils sont intermittents et difficiles à identifier.
Laissez-moi vous guider à travers les cinq correctifs que j'implémente le plus souvent, en commençant par le plus fréquemment négligé.
Correctif n°1 : Vérifiez vos profils de port VLAN après l'ajout de nouveaux réseaux
Lorsque vous créez un VLAN de gestion dans UniFi, vous choisissez comment il gère le marquage du trafic sur les ports du commutateur. La plupart des gens choisissent « Personnalisé » et spécifient manuellement les VLAN que le port de gestion doit transporter. Cela fonctionne bien, jusqu'à ce que vous ajoutiez un nouveau VLAN plus tard et que vous vous demandiez pourquoi votre nouveau réseau ne peut pas accéder à Internet ou à aucun appareil.
Le problème est que le profil de port personnalisé ne se met pas à jour automatiquement lorsque de nouveaux VLAN sont ajoutés. Il reste bloqué sur ce que vous avez sélectionné au moment de la création. Ainsi, votre profil de port de VLAN de gestion transporte joyeusement les VLAN 1, 10 et 20, mais lorsque vous ajoutez le VLAN 30 pour votre nouveau réseau de caméras, ce VLAN n'est pas marqué sur les ports de gestion. Votre commutateur ne peut pas router le trafic pour un VLAN qu'il ne connaît pas.
La solution : Je recommande l'une des deux approches suivantes. La méthode simple : réglez le VLAN de gestion sur « Autoriser tous » les VLAN. Cela signifie que chaque nouveau VLAN que vous créez est automatiquement marqué sur les ports de gestion sans que vous ayez à penser à mettre à jour quoi que ce soit. Pour les réseaux domestiques, c'est généralement suffisant.
L'approche plus sécurisée : restez sur le profil personnalisé, mais prenez l'habitude de vérifier les profils de port chaque fois que vous ajoutez un nouveau VLAN. Allez dans Paramètres > Profils > Profils de port, trouvez votre profil de gestion et ajoutez le nouveau VLAN à la liste autorisée.
Si vous utilisez un point d'accès UniFi posé sur un bureau, assurez-vous que votre support de bureau pour point d'accès UniFi maintient le point d'accès dans un emplacement central où le trafic balisé par VLAN atteint efficacement tous vos appareils.
Correctif n°2 : Activez la connectivité IoT améliorée pour les appareils intelligents récalcitrants
Ce correctif à lui seul a résolu plus de problèmes de connectivité IoT pour moi que tout le reste combiné. Les gadgets de maison intelligente basés sur ESP32, les prises Wi-Fi bon marché, certains capteurs — ces appareils sont tristement célèbres pour se déconnecter de manière aléatoire, ne pas répondre ou apparaître comme « indisponibles » dans Home Assistant.
Le problème vient généralement des paramètres de compatibilité Wi-Fi. Ces puces IoT bon marché ont des implémentations Wi-Fi limitées et ont du mal avec certaines des fonctionnalités avancées que les points d'accès modernes activent par défaut. UniFi dispose d'un paramètre dédié appelé « Connectivité IoT améliorée » qui réduit ces fonctionnalités avancées pour améliorer la compatibilité avec ces appareils capricieux.
Il y a un piège : lorsque vous activez la connectivité IoT améliorée, UniFi désactive automatiquement la bande 5 GHz sur ce réseau Wi-Fi, ne laissant que le 2,4 GHz. C'est parce que la plupart des appareils IoT ne prennent en charge que le 2,4 GHz de toute façon, et que les paramètres de compatibilité appliqués par UniFi sont spécifiques à la bande 2,4 GHz.
Le problème : Si vous avez des appareils IoT qui bénéficient du 5 GHz — Amazon Fire TV, certaines caméras intelligentes, des thermostats haut de gamme — désactiver le 5 GHz sur votre réseau IoT nuira à leurs performances. Fire TV sur 2,4 GHz fonctionne, mais vous constaterez une mise en mémoire tampon qui ne se produit pas sur 5 GHz.
Mon approche recommandée : Créez deux réseaux IoT. Votre SSID IoT principal garde le 2,4 GHz et le 5 GHz activés, pour les appareils qui peuvent utiliser le 5 GHz. Votre SSID secondaire — j'appelle le mien « IoT Enhanced » — a la connectivité IoT améliorée activée avec le 5 GHz désactivé, dédié à ces appareils ESP32 tenaces et aux prises bon marché qui se déconnectent constamment.
Oui, vous vous retrouvez avec deux SSID IoT. Ce n'est pas idéal, mais c'est mieux que des déconnexions aléatoires d'appareils. Et si vous avez la chance que tous vos appareils IoT fonctionnent correctement sans la connectivité IoT améliorée, gardez-la simplement désactivée. Mais si ne serait-ce qu'un seul appareil vous pose problème, activez-la — vous vous remercierez plus tard.
Pour un placement optimal du point d'accès afin d'atteindre tous vos appareils IoT, j'ai constaté que le fait de monter vos points d'accès UniFi sur des supports muraux articulés offre une meilleure couverture dans les maisons à plusieurs étages que les supports de plafond seuls. Le CA Ubiquiti UniFi U7 Pro et le US Ubiquiti UniFi U7 Pro sont mes points d'accès de prédilection pour ce type de configuration.
Correctif n°3 : Utilisez des clés pré-partagées privées pour les appareils isolés
Voici un scénario qui survient tout le temps : vous avez configuré votre réseau IoT, votre réseau principal fonctionne très bien, puis vous ajoutez un seul appareil — disons, une caméra de sécurité Wi-Fi — qui doit être sur son propre réseau isolé pour des raisons de sécurité. Créer un SSID entier pour un seul appareil semble excessif, mais vous ne voulez pas non plus qu'il soit sur votre réseau IoT.
UniFi possède une fonctionnalité appelée Clé pré-partagée privée (PPSK) qui résout ce problème avec élégance. Au lieu de créer un nouveau SSID, vous configurez un SSID unique pour servir plusieurs réseaux en fonction du mot de passe utilisé par le client.
Voici comment cela fonctionne :
- Réglez votre sécurité Wi-Fi sur WPA2 (PPSK ne fonctionne pas avec WPA3).
- Activez la clé pré-partagée privée dans les paramètres Wi-Fi.
- Ajoutez des entrées de mot de passe, chacune associée à un VLAN différent.
Lorsqu'un appareil se connecte à « MonRéseau » avec le mot de passe A, il arrive sur le VLAN 10. Lorsqu'un autre appareil se connecte au même SSID « MonRéseau » avec le mot de passe B, il arrive sur le VLAN 20. Même SSID, même diffusion, réseaux différents — tout est déterminé par le mot de passe.
C'est incroyablement utile pour les invités, les appareils temporaires ou cette caméra de sécurité que vous souhaitez isoler sans créer un SSID dédié. Je l'utilise sur mon propre réseau et mes clients apprécient la simplicité une fois qu'ils comprennent comment cela fonctionne.
Correctif n°4 : Ajoutez les nouveaux VLAN à votre configuration IDS/IPS
Le système de détection et de prévention des intrusions (IDS/IPS) d'UniFi est l'une des meilleures fonctionnalités de sécurité intégrées de la plateforme. Il inspecte le trafic réseau à la recherche de modèles d'attaque connus et peut soit vous alerter (mode détection), soit bloquer activement le trafic suspect (mode prévention).
Mais voici le problème : l'IDS/IPS ne s'applique pas automatiquement aux nouveaux VLAN que vous créez. Il ne surveille que les VLAN que vous avez explicitement ajoutés lors de sa première configuration. Donc, si vous avez configuré l'IDS/IPS sur vos VLAN de gestion, de confiance et de surveillance il y a six mois, et que vous avez ajouté un VLAN IoT et un VLAN invité le mois dernier, ces nouveaux réseaux ne sont absolument pas surveillés.
La solution : Chaque fois que vous créez un nouveau VLAN, allez dans Paramètres > Sécurité > IDS/IPS et ajoutez-le à la liste surveillée. UniFi recommande de limiter la liste à trois VLAN ou moins, selon votre modèle de passerelle. L'UniFi Express, par exemple, a une puissance de traitement limitée pour l'inspection approfondie des paquets, tandis qu'une Dream Machine Pro peut en gérer davantage.
Si vous utilisez une passerelle haut de gamme, vous pouvez surveiller plus de VLAN. Si vous utilisez une unité économique, donnez la priorité à la surveillance de votre réseau principal/de confiance et de votre réseau IoT — ce sont les cibles les plus probables.
Le CA Ubiquiti UniFi Express 7 et le US Ubiquiti UniFi Express sont d'excellentes passerelles d'entrée de gamme, mais leur capacité IDS/IPS est limitée par rapport aux modèles Pro. Pour des configurations plus exigeantes, le CA UniFi Dream Machine Special Edition et le US UniFi Dream Machine SE offrent plus de marge de manœuvre.
Correctif n°5 : Configurez des règles de pare-feu basées sur des zones (et non des règles individuelles)
C'est le plus important. Je vois plus de réseaux avec des VLAN mais sans règles de pare-feu significatives que je ne saurais compter. Les gens pensent que la création d'un VLAN distinct l'isole automatiquement des autres réseaux. Ce n'est pas le cas — du moins pas par défaut dans la plupart des configurations UniFi.
Sans règles de pare-feu, les appareils de votre VLAN IoT peuvent communiquer librement avec les appareils de votre réseau principal. La séparation existe au niveau du domaine de diffusion (sous-réseaux différents, plages DHCP différentes), mais le routage entre les VLAN est toujours autorisé par défaut. Votre ampoule IoT « isolée » peut scanner votre réseau principal et tenter des connexions avec votre ordinateur portable.
Écrire des règles de pare-feu individuelles est fastidieux et source d'erreurs, surtout pour les personnes qui ne sont pas ingénieurs réseau. Le pare-feu basé sur les zones d'UniFi rend cela beaucoup plus simple.
Voici comment je le configure :
-
Créez des zones. J'en utilise trois : « Confiance » (réseau domestique principal), « Non fiable » (appareils IoT) et « Restreint » (caméras, invités). Vous pouvez les nommer comme vous le souhaitez.
-
Attribuez des VLAN aux zones. Faites glisser votre VLAN de réseau principal dans « Confiance », votre VLAN IoT dans « Non fiable », et ainsi de suite.
-
Définissez des politiques de zone. Par défaut, « Confiance » peut atteindre tout ce qu'il veut, « Non fiable » peut atteindre Internet mais pas « Confiance », et « Restreint » ne peut atteindre qu'Internet. UniFi génère automatiquement les règles de pare-feu réelles basées sur ces relations de zone.
C'est tout. Pas besoin d'écrire des règles d'autorisation/refus individuelles. Pas de devinettes sur les numéros de port ou les protocoles. Le système basé sur les zones gère la logique, et vous pouvez vérifier les règles générées si vous voulez entrer dans les détails.
L'idée clé : créer un VLAN et cocher « Isoler le trafic » lors de la configuration crée des règles de base, mais elles peuvent ne pas couvrir tout ce dont vous avez besoin. Définir explicitement des zones vous donne des limites de sécurité claires et auditables.
Produits associés sur Amazon
- Point d'accès Ubiquiti UniFi 6 Lite
- Testeur de câble Klein Tools Scout Pro 3
- Commutateur PoE Gigabit 8 ports TP-Link TL-SG108PE
FAQ
Comment vérifier si mes profils de port VLAN sont corrects ?
Allez dans « UniFi Devices », sélectionnez votre commutateur, cliquez sur l'onglet « Ports » et vérifiez la colonne « Port Profile ». Chaque port doit afficher le profil correct. Si un port affiche un profil qui n'inclut pas un VLAN que vous avez récemment ajouté, modifiez le profil pour l'inclure.
La connectivité IoT améliorée ralentira-t-elle mon réseau ?
Uniquement pour les appareils sur ce SSID spécifique. Étant donné qu'elle limite le réseau au 2,4 GHz, tout appareil pouvant bénéficier des vitesses du 5 GHz sera plus lent. C'est pourquoi je recommande un SSID « IoT Enhanced » séparé plutôt que de l'activer sur votre réseau IoT principal.
Puis-je utiliser PPSK avec WPA3 ?
Non, PPSK ne fonctionne actuellement qu'avec la sécurité WPA2. Si WPA3 est une exigence impérative pour certains appareils, vous devrez utiliser un SSID dédié pour ceux-ci.
Combien de VLAN l'IDS/IPS UniFi peut-il surveiller ?
Cela dépend de votre modèle de passerelle. L'UniFi Express gère bien environ 3 VLAN. La Dream Machine Pro peut en gérer plus. La contrainte clé est le processeur — l'inspection approfondie des paquets demande beaucoup de ressources.
Quelle est la différence entre un VLAN avec « Isoler le trafic » coché et des règles de pare-feu basées sur des zones ?
« Isoler le trafic » crée des règles de base qui empêchent ce VLAN d'initier des connexions vers d'autres VLAN. Le pare-feu basé sur les zones vous donne un contrôle beaucoup plus fin — vous pouvez définir exactement quelles zones peuvent communiquer entre elles et dans quelle direction, et les règles sont automatiquement générées et maintenues.
Dernières réflexions
Ces cinq correctifs résolvent probablement 80 % des problèmes post-déploiement que je vois sur les réseaux UniFi. Profils de port qui cessent de se mettre à jour silencieusement, appareils IoT nécessitant un mode de compatibilité, appareils uniques nécessitant une isolation sans nouveau SSID, failles IDS/IPS et VLAN sans application réelle du pare-feu. Aucun d'entre eux n'est compliqué à corriger une fois que vous savez quoi chercher.
Si vous configurez un nouveau réseau UniFi ou si vous dépannerez un réseau existant, un placement approprié des points d'accès fait également une grande différence. Découvrez nos supports de bureau pour points d'accès UniFi et nos supports muraux articulés pour obtenir la meilleure couverture possible. Et pour des analyses plus approfondies sur les réseaux, parcourez notre collection complète de guides.
