Le réseau Wi-Fi invité des routeurs est souvent réduit à un rôle simple : fournir un mot de passe temporaire aux visiteurs. Pourtant, la séparation qu’il instaure entre le réseau privé et les appareils qui y sont connectés peut aussi servir à limiter l’accès de certains objets connectés. Cette distinction mérite d’être comprise, car elle ne se résume pas à un simple bouton d’activation.
Une séparation qui va au-delà du mot de passe
Lorsqu’un appareil est connecté au réseau invité, il accède normalement à Internet. La restriction apparaît lorsqu’il tente de joindre une ressource du réseau local : une interface d’administration, un stockage en réseau ou un matériel partagé. Sur de nombreux routeurs, le trafic invité est isolé du réseau privé ou empêché de l’atteindre, même si l’accès à Internet reste fonctionnel.
Cette séparation ne dépend pas de l’intention de l’utilisateur. Un téléphone de passage, un ordinateur en cours de dépannage ou un appareil domestique n’ont pas nécessairement besoin d’atteindre le serveur personnel. Le fait qu’un appareil navigue correctement ne garantit donc pas qu’il dispose d’un chemin direct vers les autres équipements de la maison.
Deux mécanismes d’isolation souvent confondus
Les routeurs exposent fréquemment deux limites distinctes sous des appellations proches. L’une détermine si un appareil invité peut atteindre le réseau privé. L’autre détermine si les appareils du réseau invité peuvent communiquer entre eux. Ces deux fonctions ne se confondent pas : le fait que deux téléphones invités puissent échanger ne renseigne pas sur leur capacité à joindre le réseau privé.
Le réglage à surveiller est donc celui qui contrôle l’accès au réseau local, et tous les fabricants ne le rendent pas évident. À titre d’exemple, les systèmes TP-Link Deco conservent une isolation automatique entre réseau principal et réseau invité en mode routeur. En mode point d’accès, une option nommée Allow Local Access détermine si les invités peuvent atteindre les ressources locales. Chez ASUS, le réglage Access Intranet joue un rôle comparable : une fois désactivé, les appareils invités sont limités dans leur accès aux équipements et services du réseau privé. Cette option s’applique en mode routeur sans fil, mais n’est pas disponible en mode point d’accès.
Disposer d’un réseau invité ne garantit donc pas une configuration unique. Ce qu’il peut réellement atteindre dépend du routeur, du mode de fonctionnement et des réglages retenus.
Vérifier la frontière plutôt que se fier au nom
Pour connaître le comportement réel de son réseau invité, une méthode simple consiste à comparer un même appareil connecté successivement au réseau principal puis au réseau invité. Sur le réseau principal, le serveur répond normalement. Après basculement vers le réseau invité, la navigation Internet reste possible, mais l’adresse locale du serveur ne répond plus : la connexion directe à cette ressource privée est bloquée.
Cette vérification est plus fiable qu’une simple détection automatique des appareils. Le fait qu’un serveur n’apparaisse pas dans une liste de découverte ne prouve pas qu’il refusera une connexion directe. Un test de type ping n’est pas non plus concluant, car un service peut rester actif et accepter des connexions même si le serveur ne répond pas au protocole utilisé par ping. Il est donc préférable de tester les services réellement utilisés.
Un résultat doit toutefois être interprété avec prudence. Même si l’accès à une ressource privée est bloqué, d’autres chemins entre les réseaux peuvent rester ouverts. Par ailleurs, le fait que l’interface d’administration du routeur réponde depuis le réseau invité ne signifie pas que l’isolation du réseau local a échoué : les routeurs peuvent traiter le trafic de gestion séparément de celui destiné aux appareils ordinaires du réseau privé.
Ce que cela change pour les appareils connectés
Comprendre ce que le réseau invité empêche réellement conduit à l’utiliser autrement. De nombreux appareils n’ont pas besoin d’accéder au serveur domestique. Une ampoule ou une prise connectée, par exemple, peut remplir toutes ses fonctions en se limitant à Internet. Il n’y a pas d’avantage évident à lui donner accès au réseau privé si elle n’en a pas besoin.
La question utile n’est pas de savoir si chaque objet connecté est dangereux par nature, mais si l’appareil a besoin d’accéder au réseau privé. En cas de compromission, ce qu’il peut atteindre directement reste limité lorsqu’il est maintenu à l’écart des autres machines. Les appareils placés sur le réseau invité continuent d’accéder à Internet et doivent toujours être sécurisés : ce seul placement ne garantit pas leur sécurité.
Le réseau invité devient alors une mesure du niveau d’accès accordé à un appareil, et non plus seulement un accès temporaire offert à une personne. Sa portée exacte dépend des réglages du routeur, qu’il appartient à l’utilisateur de vérifier plutôt que de supposer.
