WIFI : blue ou green

[mtill]

Bonjour,

J'ai pour l'instant un IPCop 1.4.21 avec les interfaces RED, ORANGE et GREEN (add-ons : UrlFilter et Zerina).

J'aimerais ajouter un point d'accès wifi pour y connecter des clients (portables, pda) qui doivent pouvoir accéder à RED et GREEN.
Cet accès sans fil serait strictement filtré au niveau du point d'accès via les adresses MAC. Le but n'est pas de donner un accès public, mais juste à quelques personnes bien précises.

Me conseillez-vous tout de même d'ajouter une patte BLUE ? Qu'est-ce que cela m'apporterait par rapport à l'installation de mon point d'accès en GREEN ?
L'option GREEN me semble beaucoup plus simple d'un point de vue configuration.

Merci pour les retours.

[tyoan]

Il me semble que mettre un access point sur le green ne devrait pas poser de probleme.

[ccnet]

Que si cela en pose des problèmes !
Votre problème n'est pas simple à résoudre, surtout si l'on doit conserver Ipcop. Revenons au problème lui même tel que je l'ai compris, vous me corrigerez si nécessaire. Les utilisateurs connectés en Wifi ne sont pas des invités mais des utilisateurs "normaux" du réseau Green, mais ils se connectent en Wireless.
Il donc nécessaire de cloisonner strictement le trafic. Avec ipcop c'est possible jusqu'à l'interface bleue. Au delà c'est moins évident. L'absence de Vlan pour traiter ce problème est pénalisante. Il me semble nettement préférable d'utiliser l'interface bleue. Pouvez vous préciser quelles ressources situées sur vert sont accédées depuis bleue ?
Il me semble aussi nécessaire d'affiner les contrôles en installant BOT sur ipcop.

[tyoan]

Cet accès sans fil serait strictement filtré au niveau du point d'accès via les adresses MAC. Le but n'est pas de donner un accès public, mais juste à quelques personnes bien précises.

Filtrage des adresses MAC au niveau du point d'accès avec le SSDI caché en option plus le BOT activé comme ccnet le suggère, d'où peut venir le problème?

[ccnet]

Du simple fait que c'est un segment Wifi donc particulièrement vulnérable. Un SSID non broadcasté est néanmoins détectable. Spoofer une adresse mac est trivial. Si l'on connait une ou plusieurs des machines habituellement connectée, on possède déjà la moitié de l'adresse mac. Il est souhaitable d'avoir un ids sur le point d'accès capable de verrouiller le contrôleur wifi lors de tentative d'accès à répétition, d'utiliser une authentification 802.1x et mettre tout se trafic dans un vlan isolé sur le réseau filaire.

[tyoan]

Du simple fait que c'est un segment Wifi donc particulièrement vulnérable. Un SSID non broadcasté est néanmoins détectable. Spoofer une adresse mac est trivial. Si l'on connait une ou plusieurs des machines habituellement connectée, on possède déjà la moitié de l'adresse mac. Il est souhaitable d'avoir un ids sur le point d'accès capable de verrouiller le contrôleur wifi lors de tentative d'accès à répétition, d'utiliser une authentification 802.1x et mettre tout se trafic dans un vlan isolé sur le réseau filaire.

Tres bonne analyse ccnet, merci pour vos lumieres. Meme si ce post ne m'etait pas adresse a l'origine, je m'en inspirerai pour sur.