Ton réseau invité protège tes photos de vacances et ton compte Netflix des regards indiscrets de tes visiteurs. Il ne protège pas forcément tes caméras IP, tes ampoules connectées ou ta prise Wi-Fi d’un attaquant qui aurait mis un pied dans l’une d’elles. La raison est bête à pleurer : sur énormément de box et de routeurs grand public, ce fameux réseau invité n’isole pas vraiment au sens réseau du terme. Il fait semblant.
À retenir
- L’« isolation » des réseaux invités sur les box grand public est souvent une illusion logicielle mal codée
- Des protocoles comme mDNS et UPnP créent des brèches que les utilisateurs réactivent eux-mêmes par commodité
- Un test simple suffit à vérifier si votre isolation fonctionne réellement
« Isolation » ne veut pas dire ce que tu crois
Techniquement, un vrai cloisonnement réseau passe par des VLAN, des sous-réseaux distincts et des règles de pare-feu entre ces sous-réseaux. C’est ce que font les équipements professionnels ou semi-pro. Mais la plupart des box opérateur et des routeurs premier prix ne proposent pas ça. Ils activent une case à cocher qui s’appelle « isolation des clients », et cette fonction fait une chose bien précise : empêcher les appareils du réseau invité de se voir entre eux et de contacter le réseau principal, un peu comme un mur sans porte. Une guest network isole les clients les uns des autres et du LAN, mais ce n’est pas une vraie segmentation réseau, et ça ne donne pas un sous-réseau séparé avec ses propres règles. Il n’y a aucun contrôle granulaire, aucun moyen de dire « cet appareil peut atteindre cette seule chose et rien d’autre ».
Le problème, c’est que cette isolation logicielle repose entièrement sur le firmware du routeur. Si celui-ci est mal codé, buggé ou juste conçu au rabais, la promesse d’isolation devient un vœu pieux. Certains fabricants vont même plus loin dans la confusion : sur des mesh grand public comme les gammes TP-Link Deco, des utilisateurs ont découvert que les appareils placés en mode Isolation peuvent en réalité communiquer entre les trois réseaux (principal, IoT et invité), et qu’il fallait désactiver cette option pour retrouver un vrai comportement de séparation. Pire, il n’y a souvent aucun sous-réseau distinct, tous les appareils partagent la même plage d’adresses IP quel que soit le SSID utilisé, et il n’existe pas de routage traditionnel entre les réseaux. Ton « réseau invité IoT » et ton réseau principal vivent dans le même immeuble, avec juste une porte qui ferme plus ou moins bien.
Les trous dans la coque : mDNS, UPnP et compagnie
Même quand l’isolation logicielle fonctionne correctement, des protocoles de découverte réseau peuvent créer des passerelles inattendues. Une mauvaise configuration, un firmware faible, ou des routeurs qui ne font que simuler l’isolation peuvent laisser des paquets traverser les frontières, certains routeurs grand public ne supportant pas de vrai VLAN, ce qui permet au trafic invité d’atteindre le LAN ou des services broadcast comme mDNS.
C’est là que ça devient piquant : le protocole mDNS, utilisé par AirPlay, Chromecast ou les imprimantes réseau pour se faire découvrir, ne franchit normalement pas la frontière d’isolation. C’est justement ce qui casse AirPlay quand on isole trop bien ses appareils, un internaute racontait récemment que l’isolation avait bloqué AirPlay sur la télé d’un proche, car comme la plupart des appareils connectés, il utilise mDNS pour repérer des sources de diffusion possibles, et par conception, mDNS ne franchit pas la barrière d’isolation. Résultat pervers : pour retrouver le confort d’usage, beaucoup de gens désactivent l’isolation, ou activent manuellement des passerelles mDNS/UPnP, ouvrant justement la brèche qu’ils cherchaient à combler. Le protocole UPnP, censé simplifier l’ouverture de ports pour les caméras et systèmes de vidéosurveillance, joue le même rôle à double tranchant : RTSP et UPnP ouvrent des ports sur le routeur qui peuvent être exploités, et il est conseillé de les désactiver sur la caméra et sur la box si on n’en a pas besoin. Un port ouvert par UPnP, c’est une caméra qui devient visible depuis internet, réseau invité ou pas.
Ajoute à ça un facteur humain classique : l’empilement d’équipements. Le danger vient souvent d’un effet d’empilement, la box opérateur faisant office de routeur, de pare-feu, parfois de Wi-Fi principal et de point d’administration général. Plus il y a de couches, plus il y a de configurations par défaut mal comprises, et plus il y a de chances qu’une case censée protéger ne fasse en réalité rien du tout.
Comment vérifier (et corriger) sans y passer la nuit
Le test le plus simple ne demande aucune compétence réseau exotique : connecte un appareil au réseau invité et essaie de contacter un équipement du réseau principal via son adresse IP locale. Connectez un appareil au réseau invité et essayez d’accéder aux appareils du réseau principal via leur adresse IP locale. Si ça répond, l’isolation ne fonctionne pas, quel que soit le nom marketing de la fonction dans l’interface de ta box.
Si tu veux du sérieux, la piste recommandée par les autorités reste la segmentation via VLAN plutôt qu’un simple SSID invité. Cybermalveillance.gouv.fr recommande, lorsque c’est possible, l’usage d’un réseau distinct, par exemple au moyen d’un VLAN, un réseau invité dédié aux objets connectés pouvant parfois remplir une fonction d’isolation plus simple selon les possibilités du routeur. Concrètement, ça veut dire remplacer sa box par un routeur permettant de créer de vrais sous-réseaux : des environnements comme TP-Link Omada, Ubiquiti UniFi, MikroTik ou pfSense/Netgate permettent d’appliquer cette logique de manière accessible, avec création de VLAN, SSID distincts et règles inter-réseaux. C’est un cran au-dessus niveau technique, mais c’est la seule méthode qui garantit une vraie étanchéité, pas juste une case cochée dans une interface qui te fait croire que tu es protégé.
En attendant de passer au matériel pro, un réflexe suffit à limiter la casse : couper l’UPnP sur tes caméras et ta box, vérifier qu’aucun port n’est ouvert sans raison, et surveiller régulièrement la liste des appareils connectés à ton réseau invité pour repérer un intrus qui n’aurait rien à faire là.
Sources : foutoirconnecte.com | filiere-3e.fr