Wi-Fi : configuration, couverture, sécurité et diagnostic (PR25)

Ce que tu sauras faire, par écrit

L'épreuve pratique AMPCR se passe uniquement par écrit (consignes officielles 2026-2027/1, p. 3). Devant un plan, un relevé Wi-Fi ou une fiche de configuration, on attend de toi un choix de configuration justifié et un diagnostic prouvé, pas une liste de sigles. Tu dois savoir :

1. décrire l'architecture : point d'accès, client, routeur, répéteur, mesh, SSID et BSSID ;
2. situer les normes IEEE 802.11 utiles et choisir une bande (2,4, 5 ou 6 GHz), un canal et une largeur de canal ;
3. estimer la portée, l'effet des obstacles et des interférences, le débit réel, et organiser le roaming entre points d'accès ;
4. expliquer la connexion d'un client : association, authentification, DHCP, DNS ;
5. choisir la sécurité : WEP et WPA-TKIP obsolètes, WPA2 AES-CCMP, WPA3 SAE, Personnel ou Entreprise (802.1X/RADIUS), WPS et ses risques, mot de passe fort, réseau invités et isolation ;
6. configurer un point d'accès : SSID, bande et canal, sécurité, clé, DHCP, micrologiciel, placement ;
7. diagnostiquer : réseau invisible, mauvaise clé, mauvaise adresse IP, connecté sans Internet, interférence, répéteur mal placé.

Ce cours contient 3 procédures illustrées :

1. Configurer un point d'accès (8 étapes)
2. Étendre la couverture (7 étapes)
3. Dépanner un poste Wi-Fi (8 étapes)

Exigence travaillée dans ce cours

• AP-33 (p. 6) — « WIFI : principe, sécurisation, cryptage, répéteur. »

C'est une exigence officielle (consignes, p. 6). Le réseau de référence est celui de l'atelier de PR24 (dépannage réseau et Internet) ; les équipements (routeur, switch, point d'accès) sont vus en PR19, l'adressage IPv4 en PR20 et la protection des partages en PR23.

Lien avec la théorie

La théorie AMPCR présente le Wi-Fi : MC25 Wi-Fi : normes, bandes, canaux et couverture et MC26 Sécurité Wi-Fi : WPA2, WPA3, PSK, Enterprise. Ce cours-ci est pratique : schémas, relevés netsh wlan, fiches de configuration et calculs de couverture à analyser et à rédiger, comme dans un dossier d'examen ; il ajoute le répéteur, cité par l'exigence officielle et absent de la théorie.

Comment travailler ce cours

Lis les chapitres dans l'ordre : chacun donne ses objectifs, la théorie, la procédure professionnelle à rédiger, l'erreur fréquente, ce qu'on attend à l'écrit et un repère rapide, avec un renvoi vers les exercices liés. Étudie ensuite les cinq cas résolus, fais les 20 exercices corrigés (dont quatre schémas à compléter, des choix de configuration et des relevés à analyser), puis passe le mini-examen noté sur 20 dans l'onglet « Examen blanc ».

Important — les personnes, entreprises, réseaux et relevés de ce cours sont des supports fictifs construits pour s'entraîner (rédaction : octobre 2026). Les relevés reprennent le format réel de Windows (en français), en version simplifiée. Les signaux et débits calculés sont des estimations simplifiées : sur le terrain, la mesure fait foi, et la documentation du fabricant fait foi pour les menus. Aucun exercice n'est une question officielle ni une question déjà posée par le Jury.

Objectifs : nommer chaque élément d'un réseau sans fil et son rôle.

1.1 Qui fait quoi ?

• Le client (portable, smartphone, imprimante) a une carte Wi-Fi ; il s'associe à un point d'accès.
• Le point d'accès (AP, access point) relie les clients radio au réseau câblé. Il ne donne pas forcément les adresses : dans l'atelier, c'est SRV-01 (192.168.20.5) qui fait DHCP et DNS.
• Le routeur (la box, 192.168.20.1) relie le réseau local à Internet : passerelle, traduction d'adresses (NAT), pare-feu. Une box grand public réunit souvent routeur, switch, point d'accès et serveur DHCP dans un seul boîtier.
• Le répéteur reçoit le signal d'un point d'accès et le retransmet par radio, sans câble ; le mesh (système maillé) est un ensemble de bornes qui se relaient entre elles et se gèrent comme un seul réseau.

1.2 SSID et BSSID

Le SSID est le nom du réseau affiché (ATELIER-PRO). Un même SSID peut être émis par plusieurs radios : chaque radio a son BSSID, l'adresse MAC de cette radio. Dans l'atelier, AP-01 et AP-02 émettent tous deux ATELIER-PRO, en 2,4 et en 5 GHz : quatre BSSID pour un seul SSID. netsh wlan show interfaces donne le BSSID, donc le point d'accès auquel le poste est associé.

1.3 Étendre la couverture

Procédure professionnelle (à rédiger) : faire le plan (box, switch, points d'accès, répéteur, clients), écrire pour chaque élément son rôle, sa liaison (câble ou radio) et son adresse ; noter quel appareil fait le DHCP.

Erreur fréquente : croire que « le Wi-Fi » donne l'adresse IP ; brancher un second appareil qui distribue aussi des adresses (deux serveurs DHCP).

À l'écrit : « AP-02 : point d'accès câblé au switch, SSID ATELIER-PRO, BSSID propre ; DHCP assuré par SRV-01 ».

Repère rapide : SSID = nom ; BSSID = une radio ; point d'accès ≠ routeur ; câble d'abord, mesh ensuite, répéteur en dernier. Exercices liés : E07, E19 (séquence « Exercices corrigés »).

Objectifs : choisir la bande selon les appareils, la distance et l'encombrement.

2.1 Les normes utiles

Les débits sont des maximums théoriques de la norme (toutes antennes, canal le plus large) : un portable courant n'en obtient qu'une petite partie (chapitre 4). Les noms commerciaux (Wi-Fi 4 à 7) sont ceux de la Wi-Fi Alliance. Un point d'accès récent reste compatible avec les anciennes normes de sa bande, mais un vieil appareil n'utilise que ce qu'il connaît : une carte 802.11g ne voit jamais un réseau émis en 5 GHz.

2.2 Trois bandes

• 2,4 GHz : porte plus loin, traverse mieux les murs, mais n'a que trois canaux sans chevauchement et beaucoup de voisins (réseaux voisins, Bluetooth, four à micro-ondes).
• 5 GHz : plus de canaux et plus de débit, portée plus courte ; en Europe, canaux 36 à 64 et 100 à 140 ; à partir du canal 52, le point d'accès doit détecter les radars (DFS) et changer de canal s'il en entend un.
• 6 GHz (Wi-Fi 6E et 7) : 5945 à 6425 MHz en Europe, 24 canaux de 20 MHz, très peu encombrés ; portée la plus courte ; WPA3 obligatoire ; seuls les appareils Wi-Fi 6E ou 7 le voient.

La liste exacte des canaux dépend du pays réglé dans le point d'accès (Belgique) : la réglementation fait foi.

Procédure professionnelle (à rédiger) : relever les normes des appareils (fiche technique, netsh wlan show drivers) ; activer les bandes qu'ils utilisent ; garder le 2,4 GHz pour les objets connectés et les anciens appareils ; donner le même SSID aux bandes, sauf besoin précis.

Erreur fréquente : couper le 2,4 GHz « parce que le 5 GHz est plus rapide » et rendre le réseau invisible pour une imprimante ou un vieux portable.

À l'écrit : « la carte ne gère que 802.11b/g/n en 2,4 GHz : le SSID émis en 5 GHz seul lui est invisible ».

Repère rapide : 2,4 = portée ; 5 = débit et canaux ; 6 = Wi-Fi 6E/7, WPA3, courte portée. Exercices liés : E06, E16 (séquence « Exercices corrigés »).

Objectifs : choisir un canal et une largeur qui limitent les interférences.

3.1 Le chevauchement en 2,4 GHz

En 2,4 GHz, le canal n est centré sur 2407 + 5 × n MHz (canal 1 = 2412 MHz, canal 13 = 2472 MHz) : 5 MHz séparent deux numéros, mais un canal occupe environ 22 MHz. Deux canaux distants de moins de 5 numéros se chevauchent et se gênent. Les seuls canaux sans chevauchement sont 1, 6, 11.

Choisir le canal : on relève les voisins (netsh wlan show networks mode=bssid) ; Windows affiche le signal en % : 0 % ≈ −100 dBm, 100 % ≈ −50 dBm, entre les deux on interpole (52 % ≈ −74 dBm). Convention du cours : un voisin gêne s'il est reçu à -80 dBm ou plus sur un canal qui chevauche. Parmi 1, 6 et 11, on garde celui qui a le moins de voisins gênants, puis le voisin le plus faible : ici, le canal 11.

3.2 Largeur de canal

Un canal plus large (40, 80, 160 MHz) donne plus de débit mais laisse moins de canaux libres et capte plus d'interférences.

• 2,4 GHz : toujours 20 MHz ; 40 MHz y occuperait presque toute la bande.
• 5 GHz : 40 ou 80 MHz selon l'encombrement ; 160 MHz seulement si la zone est libre.
• Fréquence centrale en 5 GHz : 5000 + 5 × n MHz (canal 36 = 5180 MHz) ; 19 canaux de 20 MHz autorisés en Europe.

3.3 Les autres interférences

Four à micro-ondes (vers 2,45 GHz quand il fonctionne), appareils Bluetooth, caméras sans fil, babyphones : ils gênent le 2,4 GHz. Le 5 GHz y échappe. Deux points d'accès d'un même bâtiment doivent être sur des canaux différents.

Procédure professionnelle (à rédiger) : relever les voisins à l'endroit d'utilisation ; convertir les % en dBm ; évaluer 1, 6, 11 ; régler 20 MHz en 2,4 GHz, 40 ou 80 MHz en 5 GHz ; contrôler le débit aux heures chargées.

Erreur fréquente : choisir le canal 3 ou 4 « parce qu'il est libre » : il chevauche le 1 et le 6 ; oublier qu'un voisin sur le canal 7 gêne aussi le 11.

À l'écrit : « canal 1 : 2 voisins forts ; 6 : 1 voisin à −71 ; 11 : 1 voisin à −79 → canal 11 en 20 MHz ».

Repère rapide : 1, 6, 11 · 20 MHz en 2,4 GHz · moins de 5 numéros = chevauchement · 5 GHz pour le débit. Exercices liés : E08, E11 (séquence « Exercices corrigés »).

Objectifs : estimer la couverture, l'effet des obstacles et le débit réel.

4.1 Le signal en dBm

Le signal reçu s'exprime en dBm (négatif) : plus il est proche de 0, plus il est fort. 3 dB de moins = moitié de la puissance. Repères du cours :

4.2 Distance et obstacles

Estimation simplifiée du cours : signal reçu = puissance rayonnée (20 dBm) − affaiblissement en espace libre − obstacles, avec l'affaiblissement en espace libre 20 log₁₀(distance en m) + 20 log₁₀(fréquence en MHz) − 27,55. À distance égale, le 5 GHz perd environ 6,5 dB de plus que le 2,4 GHz, et davantage dans les murs.

Ces valeurs sont des ordres de grandeur : une mesure sur place (application d'analyse Wi-Fi, netsh wlan show interfaces) fait foi.

4.3 Placement et débit réel

• Point d'accès central, en hauteur, hors armoire métallique, loin du four à micro-ondes, de l'aquarium et des miroirs.
• Le débit réel est bien inférieur au maximum de la norme : la liaison négociée baisse avec le signal (convention du cours, 802.11n 2×2 en 20 MHz : 144 Mb/s à −55 dBm, 52 Mb/s à −70 dBm, 13 Mb/s à −80 dBm), le débit utile en vaut environ la moitié, et il est partagé entre les clients actifs (18 Mb/s chacun pour quatre portables à −55 dBm).

4.4 Répéteur et roaming

Un répéteur à une radio reçoit puis réémet chaque paquet sur la même radio : le débit est divisé par deux, et il ne peut pas dépasser ce que lui permet son propre lien avec le point d'accès. Mal placé (près du client, -80 dBm reçus), il ne donne qu'environ 3,2 Mb/s ; à mi-chemin (-54 dBm reçus), environ 36 Mb/s.

Le roaming est le passage d'un point d'accès à l'autre en se déplaçant. C'est le client qui décide de changer : il faut le même SSID, la même sécurité et la même clé sur tous les points d'accès, des canaux différents et des zones qui se recouvrent un peu. Les options 802.11k, v et r, si le matériel les propose, accélèrent ce passage.

Procédure professionnelle (à rédiger) : mesurer pièce par pièce ; expliquer chaque zone faible (distance, matériau) ; déplacer avant d'acheter ; câbler un second point d'accès ; mesh ou répéteur à mi-chemin en dernier ; mesurer de nouveau.

Erreur fréquente : poser le répéteur à côté du client ; ajouter un répéteur derrière un mur en béton ; promettre le débit « Wi-Fi 6 » de la boîte.

À l'écrit : « stock : −77 dBm en 2,4 GHz, insuffisant (béton + métal) → point d'accès câblé dans le stock, canal 11 ».

Repère rapide : objectif -67 dBm · 5 GHz = −6,5 dB en espace libre · dalle = −15 à −25 dB · répéteur à mi-chemin, débit ÷ 2 · même SSID, autres canaux. Exercices liés : E09, E10, E12, E19 (séquence « Exercices corrigés »).

Objectifs : décrire les étapes de la connexion pour situer une panne.

5.1 De la découverte à Internet

1. Découverte : les points d'accès émettent des balises (beacons) plusieurs fois par seconde ; le client écoute ou envoie des sondes et dresse la liste SSID, BSSID, signal, sécurité.
2. Association et authentification : le client choisit un BSSID et s'y associe. En WPA3, l'échange SAE a lieu à ce moment.
3. Clés : client et point d'accès prouvent qu'ils connaissent la clé par l'échange en 4 temps (4-way handshake) et en tirent les clés de chiffrement ; en Entreprise, le serveur RADIUS vérifie d'abord l'identifiant de la personne (802.1X).
4. DHCP : comme en filaire, découverte, offre, demande, accusé : adresse, masque, passerelle, DNS. Sans réponse : adresse 169.254.x.x (APIPA, PR20).
5. Passerelle et DNS : le client joint la box, puis résout les noms.

5.2 Lire l'état de la carte

C:\> netsh wlan show interfaces
    Nom              : Wi-Fi
    État             : connecté
    SSID             : ATELIER-PRO
    BSSID            : 9c:53:22:10:20:32
    Type de radio    : 802.11ac
    Authentification : WPA2 - Personnel
    Chiffrement      : CCMP
    Bande            : 5 GHz
    Canal            : 36
    Réception (Mb/s) : 433
    Signal           : 84%

Ce relevé dit : associé à ATELIER-PRO, authentifié en WPA2 avec chiffrement CCMP (AES), sur le BSSID de AP-01 en 5 GHz, canal 36, signal 84 % ≈ −58 dBm, liaison à 433 Mb/s. Il ne dit rien de l'adresse IP ni d'Internet : ipconfig, ping et nslookup le disent.

Procédure professionnelle (à rédiger) : pour chaque étape, citer la preuve : liste des réseaux (1), état « connecté » (2-3), adresse du bon réseau (4), ping de la passerelle et nslookup (5).

Erreur fréquente : conclure « le Wi-Fi marche » parce que l'icône est connectée, alors que le DHCP ou le DNS échoue.

À l'écrit : « associé et authentifié (connecté, WPA2 CCMP), mais 169.254 : l'échec est au DHCP ».

Repère rapide : radio → association → clés → DHCP → DNS ; connecté ≠ Internet. Exercices liés : E02, E13 (séquence « Exercices corrigés »).

Objectifs : choisir et justifier la sécurité d'un réseau sans fil.

6.1 Les modes

• WEP et WPA avec TKIP sont obsolètes : WEP se casse en quelques minutes, TKIP est retiré des appareils récents (et limite 802.11n à 54 Mb/s). On les refuse, même pour un vieil appareil : on le remplace ou on l'isole.
• WPA2 chiffre avec AES-CCMP ; en mode Personnel (PSK), tous partagent une clé : elle doit être longue, car un attaquant qui capture l'échange en 4 temps peut l'essayer hors ligne.
• WPA3-Personnel remplace la clé partagée par l'échange SAE, qui résiste aux attaques par dictionnaire hors ligne ; il est obligatoire en 6 GHz. Le mode de transition WPA2/WPA3-Personnel accepte les deux, le temps de remplacer les anciens appareils.
• WPA2/WPA3-Entreprise (802.1X) : chaque personne a son identifiant, vérifié par un serveur RADIUS relié à l'annuaire ; on le désactive au départ d'un employé, sans changer la clé de tous.

6.2 WPS, clé, invités

• WPS (bouton ou code PIN à 8 chiffres) : le code PIN se devine par essais ; on désactive WPS.
• Mot de passe fort : de 8 à 63 caractères en WPA2 ; règle du cours : 12 caractères au moins, de trois types, ou une phrase de 20 caractères et plus ; rien de devinable (nom du réseau, de l'entreprise, mot de passe courant). On change aussi le mot de passe d'administration d'usine.
• Réseau invités : SSID séparé (ATELIER-INVITES), réseau séparé (VLAN 30, 10.30.0.0/24, passerelle 10.30.0.1) sans accès au réseau interne 192.168.20.0/24, isolation des clients (les invités ne se voient pas entre eux), clé distincte.
• Fausses protections : masquer le SSID (le nom circule quand même et la connexion devient plus difficile) ou filtrer les adresses MAC (elles se recopient) ne remplacent pas le chiffrement.

Procédure professionnelle (à rédiger) : inventaire des appareils et de ce qu'ils gèrent ; WPA3-Personnel si tous le gèrent, sinon WPA2/WPA3-Personnel ; Entreprise au-delà d'une vingtaine de personnes ou avec beaucoup de passages ; WPS coupé ; clé notée sur la fiche, pas sur une étiquette visible ; invités isolés.

Erreur fréquente : garder WEP « pour une imprimante » ; laisser WPS activé ; donner la clé du personnel aux visiteurs.

À l'écrit : « WPA2-Personnel AES avec clé de 26 caractères : acceptable ; passage en WPA2/WPA3-Personnel recommandé ; WPS désactivé ».

Repère rapide : WEP/TKIP non · WPA2 AES minimum · WPA3 SAE ou Entreprise · WPS coupé · invités isolés · SSID masqué ≠ sécurité. Exercices liés : E04, E18, E20 (séquence « Exercices corrigés »).

Objectifs : configurer un point d'accès de bout en bout et le documenter.

7.1 Où régler quoi ?

L'interface d'administration s'ouvre dans un navigateur à l'adresse du point d'accès (ici http://192.168.20.30), de préférence par câble : une erreur de réglage radio ne coupe alors pas la session.

7.2 La configuration pas à pas

• Placement : central, en hauteur, câblé (chapitre 4).
• Administration et micrologiciel : mot de passe d'usine changé ; micrologiciel mis à jour (failles corrigées) ; sauvegarde de la configuration une fois terminée.
• SSID : nom neutre, sans nom de famille, adresse ou modèle du matériel.
• Bande, canal, largeur : chapitres 2 et 3.
• Sécurité et clé : chapitre 6.
• DHCP : une seule source d'adresses par réseau ; si la box ou un serveur la fournit déjà, le point d'accès (ou le répéteur) a son DHCP désactivé (mode point d'accès ou pont).
• Invités : SSID, VLAN, isolation.
• Test et fiche : connexion depuis chaque zone, signal et débit, fiche remise au client (SSID, sécurité, canaux, emplacement, version du micrologiciel, où est rangée la clé).

Procédure professionnelle (à rédiger) : rédiger la fiche de configuration ligne par ligne, avec pour chaque paramètre la valeur choisie et sa justification.

Erreur fréquente : laisser le DHCP du répéteur ou du second routeur actif (deux sources d'adresses) ; oublier la sauvegarde de configuration avant une mise à jour.

À l'écrit : « SSID ATELIER-PRO diffusé ; WPA2/WPA3-Personnel ; canal 11 en 20 MHz et 36 en 80 MHz ; WPS désactivé ; DHCP : SRV-01 seul ; invités en VLAN 30 isolé ; micrologiciel à jour et sauvegardé ».

Repère rapide : placer · administrer · SSID · canal · sécurité · un seul DHCP · invités · tester · fiche. Exercices liés : E01, E17 (séquence « Exercices corrigés »).

Objectifs : trouver, preuves à l'appui, pourquoi un poste ne se connecte pas ou n'a pas Internet.

8.1 L'ordre des contrôles

Le premier contrôle en échec désigne la piste : inutile de changer de canal si la clé est refusée.

8.2 Les quatre pannes de connexion

• Réseau invisible : radio coupée (point d'accès éteint, programmation horaire, interrupteur ou mode avion du portable), SSID masqué, bande non prise en charge par la carte (5 GHz ou 6 GHz), hors de portée. Preuve : netsh wlan show networks (le poste voit-il d'autres réseaux ?) et netsh wlan show drivers.
• Mauvaise clé : « Impossible de se connecter à ce réseau » ; clé changée et profil enregistré avec l'ancienne (« Oublier » le réseau puis ressaisir), majuscules, ou mode de sécurité non géré par la carte (WPA3 seul).
• Mauvaise adresse IP : connecté mais 169.254.x.x (pas de réponse DHCP : point d'accès qui n'est plus relié au switch, serveur DHCP arrêté, plage pleine), ou adresse d'un autre réseau (un répéteur ou une seconde box qui distribue ses propres adresses).
• Connecté sans Internet (« Pas d'Internet ») : on teste dans l'ordre la passerelle (ping 192.168.20.1), une adresse Internet (ping 198.51.100.20), un nom (nslookup) ; DNS mal saisi, liaison de la box coupée. Le dépannage complet est en PR24.

Procédure professionnelle (à rédiger) : relever le message exact et l'étendue ; suivre l'ordre ; noter chaque preuve (commande et résultat) ; appliquer la correction minimale ; tester ; consigner.

Erreur fréquente : « réinitialiser la box » au premier symptôme, ce qui efface la configuration de tous ; désactiver la sécurité pour « tester ».

À l'écrit : « réseau visible, connecté, mais 169.254 sur les postes associés à AP-02 seulement → pas de bail DHCP : liaison de AP-02 au switch à vérifier ».

Repère rapide : visible → clé → adresse → Internet ; un poste ou tous ? ; profil oublié puis ressaisi ; un seul DHCP. Exercices liés : E03, E05, E13, E14, E15, E16 (séquence « Exercices corrigés »).

Objectifs : diagnostiquer les pannes de qualité : signal faible, interférence, répéteur mal placé.

9.1 Signal faible

Connecté, mais lent ou coupé par moments : on lit le signal (netsh wlan show interfaces) et on le convertit : 46 % ≈ -77 dBm, insuffisant. La cause est la distance ou les obstacles (béton, dalle, métal). Correction durable : point d'accès déplacé ou ajouté (câblé) ; pas un répéteur dans la zone déjà mal couverte.

9.2 Interférence

Signal correct, Internet correct, mais lenteurs à certaines heures ou près d'un appareil : on relève les voisins et leurs canaux, on repère les chevauchements (canal 3 ou 4, voisin sur 7 qui gêne 11), on cherche un micro-ondes ou un appareil Bluetooth. Correction : canal 1, 6 ou 11 le moins gêné, 20 MHz, passage des appareils compatibles en 5 GHz.

9.3 Répéteur mal placé

Le client affiche un excellent signal, mais Internet est lent : il est associé au répéteur, qui lui-même reçoit mal le point d'accès. On lit la page d'état du répéteur (signal reçu du point d'accès) : sous -67 dBm, on le rapproche du point d'accès, à mi-chemin, ou on le remplace par un point d'accès câblé.

Procédure professionnelle (à rédiger) : mesurer le signal au poste ; s'il est bon, mesurer le lien du répéteur ; s'il est bon aussi, relever les canaux voisins ; corriger, mesurer de nouveau, noter avant/après.

Erreur fréquente : augmenter la puissance du point d'accès (le client, lui, n'émet pas plus fort) ; passer en 40 MHz en 2,4 GHz « pour aller plus vite ».

À l'écrit : « signal du portable −45 dBm (près du répéteur) mais lien répéteur → point d'accès −79 dBm : répéteur mal placé, débit utile ≈ 3 Mb/s ; à rapprocher à mi-chemin ».

Repère rapide : % → dBm · lent partout = couverture · lent à heure fixe = interférence · beau signal mais lent = répéteur. Exercices liés : E05, E10, E11, E12 (séquence « Exercices corrigés »).