ADR-0012 : Point d'accès WiFi dédié (Cudy AP3000)¶
- Statut : Acceptée
- Date : 2026-11-06
Contexte¶
En v1, le WiFi était assuré par une VM Debian (hostapd) avec une carte Intel AX200 en passthrough : instable, et contraire au principe « une responsabilité par composant ». La v2 sépare le WiFi dans un point d'accès dédié, un SSID par VLAN.
Un MikroTik wAP ax avait été envisagé. Le matériel retenu est un Cudy AP3000 (WiFi 6 AX3000, port 2.5GbE PoE), alimenté par un injecteur Cudy POE200H (802.3at, 30 W, 2.5GbE).
Contraintes vérifiées¶
- Le firmware d'usine de la gamme ne gérait ni le multi-SSID ni les VLANs par SSID ; ils sont disponibles après mise à jour du firmware (vérifié : champ VLAN présent par SSID).
- En mode point d'accès, l'appareil attend une adresse DHCP du routeur principal ; INFRA n'en ayant pas, l'IP de gestion est fixée en statique (10.0.1.3), avec passerelle et DNS explicites.
- Un SSID se configure séparément par bande : un SSID sans VLAN sur une bande enverrait ses clients, non étiquetés, dans INFRA.
Décision¶
| SSID | Bandes | Chiffrement | VLAN | Isolation des clients | Isolation entre SSID |
|---|---|---|---|---|---|
| Principal | 2,4 + 5 GHz (même nom) | WPA2/WPA3 | 10 | Non | Oui |
| Invités | 2,4 GHz | WPA2/WPA3 | 50 | Oui | Oui |
| IoT (prévu) | 2,4 GHz | WPA2 (compatibilité ESP32) | 30 | Oui | Oui |
- Gestion de l'AP : VLAN 1 non étiqueté, port du switch en trunk (U1 + T10/30/50).
- SSID visibles, noms neutres : masquer un SSID n'apporte aucune sécurité et oblige les clients à le chercher activement partout, ce qui diffuse son nom hors du domicile.
- WPS désactivé.
Conséquences¶
- L'AP n'a qu'une adresse IP (INFRA) et ne route rien : il étiquette les trames selon le SSID.
- L'indicateur « internet » de l'AP ne reflète que sa propre connectivité (gestion), pas celle des clients.