Réseau et Wi-Fi · 10 min de lecture
En bref
- Sur un réseau unique, le téléphone d'un client rejoint le réseau des caméras, de l'enregistreur, de la caisse et de l'imprimante ; un réseau invité ne lui donne qu'internet.
- Deux séparations comptent : le blocage du réseau local, qui ne laisse qu'internet, et l'isolation des clients, qui empêche les invités de se voir.
- Un routeur Wi-Fi offre souvent un réseau invité par bande ; un point d'accès professionnel ajoute plusieurs SSID, les VLAN, la limite de débit et le portail captif.
- Le réseau invité d'un routeur dépend de son rôle de routeur : chez Cudy, il n'existe pas en mode point d'accès.
- Protégez le réseau invité par un mot de passe WPA2 ou WPA3, ou par un portail, puis vérifiez avec un téléphone qu'il n'atteint plus les appareils du magasin.
Un seul Wi-Fi pour tous : ce que rejoint le téléphone d'un client
Dans beaucoup de commerces, le mot de passe du Wi-Fi donné aux clients est celui du magasin. Leur téléphone rejoint alors le même réseau local que les caméras IP, l'enregistreur, le terminal de caisse, l'imprimante de tickets et l'ordinateur du bureau. Sur un réseau local, les appareils se joignent directement : c'est ce qui permet à la caisse d'imprimer et à l'enregistreur de recevoir les images.
Les fabricants décrivent le réseau invité simplement. Pour TP-Link, il donne le Wi-Fi aux invités sans dévoiler le réseau principal. Pour Cudy, il ne fournit qu'internet : l'appareil invité ne peut ni accéder au réseau local ni ouvrir la page de réglage du routeur. Omada, la gamme professionnelle de TP-Link, précise que les invités n'accèdent pas aux ressources du réseau interne. Ruijie conseille aux magasins un réseau invité qui protège celui du personnel, et des VLAN pour isoler le paiement, la vidéosurveillance et les données des clients.
La figure ci-dessus résume la différence. Pour le personnel, rien ne change. Les clients reçoivent un autre nom de Wi-Fi, avec son propre mot de passe, qui mène à internet et nulle part ailleurs.
Le réseau invité : un SSID à part et deux séparations
Le SSID est le nom du réseau Wi-Fi que l'on choisit sur le téléphone. Un réseau invité est un second SSID, avec son propre mot de passe, à côté de celui du magasin. Derrière ce nom, deux séparations font le travail :
- La séparation du réseau local : les invités sortent vers internet sans atteindre les appareils du magasin. Sur Omada, les appareils du SSID invité sont bloqués vers les adresses privées 10.x, 172.16.x à 172.31.x et 192.168.x, celles des réseaux locaux.
- L'isolation des clients : les invités ne se voient pas entre eux. Omada l'annonce pour son réseau invité. Les fiches Ruijie parlent d'isolation de couche 2 (Layer 2 isolation), celles des points d'accès Cudy de « Wireless Isolation Clients ».
Les deux ne vont pas toujours ensemble. Le guide de l'Archer A9 de TP-Link montre deux cases, l'une pour laisser les invités se voir, l'autre pour leur ouvrir le réseau local : dans un magasin, laissez-les décochées. La FAQ Cudy sur le réseau invité parle du réseau local, pas de l'isolation entre invités : cherchez-la sur la fiche.
Routeur Wi-Fi ou point d'accès professionnel : ce que disent les fiches
La plupart des routeurs Wi-Fi du catalogue annoncent un réseau invité, souvent un par bande : la fiche du WR3000 de Cudy en prévoit un en 2,4 GHz et un en 5 GHz. C'est alors le routeur, porte vers internet, qui sépare les invités. D'où une limite : chez Cudy, le réseau invité n'est pas disponible en mode point d'accès.
Les points d'accès professionnels vont plus loin : plusieurs SSID, chacun avec ses réglages, par exemple jusqu'à 8 sur le RG-RAP2260(G) de Ruijie. Voici les mots à chercher sur leurs fiches, puis les modèles cités.
| Modèle (type) | Séparation annoncée | Autres réglages |
|---|---|---|
| Cudy WR3000 (routeur) | Réseau invité en 2,4 et 5 GHz | WPA3 ; VLAN |
| Cudy WR1200 (routeur) | Réseau invité en 2,4 et 5 GHz | Débit par utilisateur ; horaire |
| Ruijie RG-EG105G V3 (routeur) | VLAN sur les ports LAN ; ACL | Portail : clic, mot de passe, SMS, voucher, QR code |
| Ruijie RG-RAP2260(G) (point d'accès) | Isolation de couche 2 ; 8 SSID ; VLAN | WPA3 ; portail |
| TP-Link EAP613 (point d'accès) | Réseau invité ; 16 BSSID ; VLAN par SSID | Débit par SSID et par client ; portail avec contrôleur Omada |
| Cudy AP3000 (point d'accès) | 8 SSID, 4 par bande ; VLAN | Débit par utilisateur ; portail ; horaire |
| Cudy AP1300 Outdoor (extérieur) | Plusieurs SSID ; isolation des clients | Limite de débit ; WPA2, pas de WPA3 |
| HPE Networking Instant On AP22 (point d'accès) | Réseaux invités et personnel | Horaire ; débit par client ou par réseau ; page d'accueil |
Une fonction absente du tableau peut exister : la fiche ne la cite pas. Vérifiez l'isolation des clients et le mode du réseau invité sur la fiche du modèle exact.
Un point d'accès, deux réseaux : le rôle du VLAN
Quand le Wi-Fi vient de points d'accès branchés sur le switch du magasin, l'isolation de la borne ne règle pas tout : selon la documentation Ruijie Cloud, elle empêche les clients d'une même borne de communiquer entre eux ; elle ne dit rien des appareils câblés. Pour séparer les deux réseaux de bout en bout, on utilise le VLAN (IEEE 802.1Q) : chaque SSID reçoit un numéro de VLAN, le switch transporte les deux sur le même câble sans les mélanger, et le routeur donne à chacun ses adresses. Les fiches du RG-RAP2260(G) et de l'EAP613 l'annoncent, et Reyee propose un Wi-Fi invité isolé par VLAN en un clic. Il faut un switch smart ou administrable, et un routeur réglé pour que les invités n'entrent pas dans le VLAN du magasin. Un prochain article de cette section expliquera le VLAN.
Dans la figure ci-dessus, le câble entre le switch et le point d'accès porte les deux VLAN ; le point d'accès place chaque téléphone dans le bon réseau, selon le SSID choisi.
Limiter le débit et la durée
Les invités partagent la ligne internet de la caisse. Ruijie explique que la qualité de service de ses solutions pour magasins donne la priorité au paiement, pour que les appareils non essentiels ne consomment pas trop de bande passante. Sur le réseau invité, la limite de débit fait ce travail, par client ou pour tout le SSID : l'EAP613 et l'AP22 proposent les deux, et les fiches Cudy annoncent une limite par utilisateur.
La durée se règle de deux façons. L'horaire n'allume le réseau invité qu'aux heures choisies : HPE le présente pour les heures de visite, Cudy l'annonce sur l'AP3000 et le WR1200. Le portail captif fixe, lui, la durée d'une connexion : sur Omada, au bout du délai d'authentification, le client doit s'authentifier à nouveau, et un voucher vaut pour une durée précise.
La page d'accueil : le portail captif
Le portail captif est la page qui s'ouvre sur le téléphone avant internet. Cudy le décrit comme une page de vérification : le client voit une publicité ou accepte des conditions d'utilisation, puis arrive sur une page d'accueil. Elle peut demander :
- un simple clic (« en un clic » chez Ruijie, « No Authentication » chez Omada) ;
- un mot de passe commun, affiché au comptoir ;
- un code remis au client, le voucher, valable pour une durée chez Omada ; Ruijie annonce jusqu'à 50 000 codes générés par le cloud ;
- un code reçu par SMS ou un QR code, sur les modèles qui l'annoncent, comme le RG-EG105G V3.
Le portail dépend d'un appareil central. Chez TP-Link, il demande un contrôleur Omada, qui doit rester en marche. Chez Ruijie, il se règle sur le RG-EG105G V3, en local ou par Ruijie Cloud, ou sur le point d'accès RG-RAP2260(G). Chez Cudy, il ne fonctionne qu'en mode routeur Wi-Fi et passe par un service tiers intégré, comme HotspotSystem, ou par un serveur que vous indiquez ; Cudy prévient que ces solutions tierces ont une compatibilité et une sécurité variables.
Le mot de passe : WPA2, WPA3 ou réseau ouvert
Un réseau invité n'est pas forcément protégé à sa création : chez Cudy, il est ouvert par défaut (Cudy-Guest-2.4G ou Cudy-Guest-5G), et Cudy demande de choisir WPA-PSK/WPA2-PSK et un mot de passe. Le guide de l'Archer A9 conseille WPA2/WPA3 Personal en version automatique, qui reste compatible avec les appareils WPA2.
Pour un café qui veut un réseau sans mot de passe, la Wi-Fi Alliance a créé Enhanced Open : il protège contre l'écoute passive sans mot de passe, fonctionne avec un portail captif et protège les appareils compatibles. Les fiches de l'EAP613 et de l'AP22 (OWE) le citent. Il chiffre la liaison, mais ne choisit pas qui se connecte.
Mettre en place le Wi-Fi invités, dans l'ordre
Suivez l'ordre de la figure ci-dessous. La dernière étape est la plus souvent oubliée.
Pour le test, le guide Omada vérifie qu'un ping d'un ordinateur du réseau principal vers un téléphone invité échoue, alors que les deux accèdent à internet. Sans outil, ouvrez depuis le téléphone invité l'adresse du routeur ou de l'enregistreur : la page ne doit pas s'afficher.
Points d'accès et routeurs du catalogue avec réseau invité ou isolation
Prix et disponibilité à jour dans la page de chaque produit.
Les erreurs fréquentes
- Donner aux clients le mot de passe du Wi-Fi du magasin.
- Passer un routeur Cudy en mode point d'accès et compter sur son réseau invité : il n'existe pas dans ce mode.
- Laisser le réseau invité ouvert sans le vouloir : chez Cudy, il est créé sans mot de passe.
- Croire que l'isolation des clients bloque tout : selon Ruijie, elle sépare les clients d'une même borne, pas le réseau câblé.
- Mettre une caméra Wi-Fi ou l'imprimante sur le SSID invités : coupées du réseau local, l'enregistreur ou la caisse risquent de ne plus les joindre.
- Activer un portail Omada sans contrôleur en marche.
Pour aller plus loin
- Guide d'achat : Wi-Fi professionnel, points d'accès et couverture
- Routeur, switch, point d'accès : qui fait quoi ?
- Wi-Fi 6 ou Wi-Fi 5 : ce qui change vraiment
- Le Wi-Fi Mesh : couvrir une grande surface avec plusieurs bornes
- Solution commerce
- Solution Cafés et restaurants
- Solution Hôtels et riads
- Voir le réseau et le Wi-Fi
Questions fréquentes
Puis-je donner aux clients le mot de passe du Wi-Fi du magasin ?
C'est possible, mais leurs téléphones rejoignent alors le réseau des caméras et de la caisse. Un réseau invité, avec son propre mot de passe, leur donne internet sans ce réseau.
Le réseau invité de mon routeur Wi-Fi suffit-il ?
Pour un petit local couvert par ce seul routeur, il peut suffire, s'il reste en mode routeur. Avec plusieurs bornes, des codes ou un portail, prévoyez des points d'accès gérés avec VLAN.
Les invités se voient-ils entre eux ?
Cela dépend du matériel. Selon la documentation Omada, son réseau invité les isole ; sur les routeurs TP-Link Archer, une case l'autorise, à laisser décochée ; ailleurs, cherchez l'isolation sur la fiche.
Faut-il un portail captif ?
Non. C'est le réseau invité qui sépare les clients ; un mot de passe WPA2 ou WPA3 suffit à le protéger. Le portail sert à afficher des conditions, à remettre des codes à durée limitée ou à ouvrir un réseau sans mot de passe.
Combien de clients un point d'accès peut-il accueillir ?
Lisez le nombre recommandé, plus bas que le maximum : 100 appareils pour le RG-RAP2260(G) avec les deux bandes, sur 256, selon Ruijie ; 150 pour l'AP3000, sur 256, selon Cudy.
Une question sur votre installation ?
Décrivez-nous votre projet : nous vous aidons à choisir le matériel adapté, avec un devis.
Demander un devisWhatsApp 07 73 30 59 51Demander un document
Sources
- TP-Link Omada : « How to Configure a Guest Network on an Omada Controller » (13237), « How to Set Up Access Control to Create a Guest SSID » (12928) et « How to Configure Portal Authentication on Omada Controller (v6.2 and Above) » (111643) ; guide d'utilisation Archer A9 V6, chapitre Guest Network
- Cudy : FAQ « How to set up Guest Network on the Cudy router? » et documentation « Captive Portal » ; Ruijie Reyee : « Networking Tools for Retail Stores » (2025), « Small Office Network Solution » et documentation Ruijie Cloud sur l'isolation des clients
- Fiches techniques : Ruijie RG-RAP2260(G) et RG-EG105G-V3 ; Cudy WR3000, WR1200, AP3000, AP3000 Outdoor et AP1300 Outdoor ; TP-Link EAP613 ; HPE Networking Instant On Wi-Fi 6 (QuickSpecs, AP22)
- Wi-Fi Alliance : « Wi-Fi CERTIFIED Enhanced Open delivers data protection in open Wi-Fi networks » (juin 2018) ; IEEE 802.1Q (ponts et VLAN)
Mis à jour le 3 novembre 2026. Rédaction : MA SECURITE.