Tant que l'on compte les points d'accès sur les doigts de la main, un réseau Wi-Fi n'est pas très compliqué à gérer. Il en est autrement quand il devient une réelle solution d'entreprise et comporte de nombreux points d'accès (AP ­ Access Point) répartis sur plusieurs sous-réseaux, ainsi que des centaines, voire des milliers d'utilisateurs. Pour cette raison, des constructeurs ont commencé à promouvoir une architecture centralisée avec des points d'accès légers, ne se chargeant que des communications sans fil à proprement parler.

Quasiment toutes les fonctions de gestion de l'environnement radio, tels l'attribution de canaux, le réglage de la puissance d'émission, ou l'équilibrage de charge, sont déportées vers un matériel centralisé. Le sont également les fonctions de gestion de la sécurité - l'authentification des utilisateurs et le chiffrement - et le roaming entre sous-réseaux pour autoriser un utilisateur à conserver son adresse IP, ou son appartenance à un réseau local virtuel (VLAN).

Parmi les constructeurs qui promeuvent l'architecture centralisée figurent de petites sociétés spécialisées, comme Airespace - lié à Nortel, Alcatel et NEC via des partenariats OEM -, Aruba, ou encore Trapeze, qui a signé un accord OEM avec 3Com. On retrouve aussi des constructeurs bien établis, tels le vétéran du sans-fil Symbol, ou l'équipementier Extreme Networks. Leur concept s'étend à la couverture de petits sites ne disposant pas de personnel qualifié, à l'instar de Trapeze qui vient d'annoncer un commutateur sans fil pour agences. Ce dernier est identique sur le plan fonctionnel aux modèles standards du constructeur, mais prévu pour gérer trois points d'accès, que le logiciel central se charge de configurer.

De même, Airespace compte lancer sous peu un matériel spécialisé (appliance) pour sites distants gérant six points d'accès. Par ailleurs, il propose aussi de gérer des points d'accès distants depuis un commutateur installé sur le site primaire. Aruba tente, de son côté, de pousser de nouveaux modèles de déploiement Wi-Fi, avec la notion de facturation à la consommation - une tarification à l'année de points d'accès muraux d'entrée de gamme. Et, en partenariat avec Ortronics, il introduit un concept de point d'accès sous forme de prise - combinée à une connectique Ethernet filaire ou non -, à déployer avec une infrastructure de câblage.

Certains constructeurs restent néanmoins partisans des points d'accès riches sur le plan fonctionnel, avec une intelligence distribuée dans le réseau. C'est le cas de la start up canadienne Colubris Networks. Celle-ci propose un point d'accès complet, qui se distingue par la possibilité de fournir plusieurs points d'accès virtuels. Cisco, figure de proue de l'architecture distribuée, a fini par adhérer à l'approche centralisée. Sans pour autant alléger ses points d'accès : la fonction WDS (Wireless Domain Server) peut même, pour les petites configurations, être embarquée dans l'un d'entre eux ; dès que l'on dépasse une cinquantaine de points d'accès, il faut choisir un module destiné à Catalyst 6500. En fait, rares sont les constructeurs qui se positionnent à l'un des deux extrêmes du spectre - points d'accès légers ramenés à leur plus simple expression ; ou riches se passant de toute gestion centrale.

L'IETF (Internet Engineering Task Force) planche sur l'évolution de ces mécanismes avec le groupe de travail Capwap (Control And Provisioning of Wireless Access Points). Celui-ci examine la répartition des fonctions et les interfaces nécessaires - dérivée de la proposition faite, l'an dernier, par Airespace sous l'appellation LWAPP (Lightweight Access Point Protocol). L'expression de la problématique et une taxonomie d'architecture ont été publiées en août dernier. L'IETF entend synchroniser ses travaux avec ceux du groupe de travail 802 de l'IEEE, qui définit toutes les normes Wi-Fi.

Les nouvelles générations de solutions Wi-Fi incluent, pour la plupart, des fonctions de surveillance de l'environnement radio. Et cela pour tenir compte de l'existence de points d'accès appartenant à des voisins et détecter un matériel installé par un utilisateur à l'insu du service informatique, ou par une personne extérieure mal intentionnée. De telles fonctions sont proposées, entre autres, par Cisco, Airespace, Aruba et Trapeze. Les trois start up savent notamment détecter les communications en mode ad hoc, c'est-à-dire directement entre deux PC. Cisco compte le faire d'ici à la fin de l'année.

« L'argument le plus décisif concernant l'approche avec points d'accès légers réside dans la facilité des mises à jour, due à une intelligence centralisée. Les partisans des points d'accès riches soulignent que ces derniers ont une plus grande capacité à évoluer, avec davantage de mémoire et de puissance CPU.

En réalité, les technologies sans fil évoluent si vite qu'il faudra, de toute façon, changer assez rapidement les points d'accès. Leur cycle de vie ne dépassant pas trois à cinq ans, peu importe qu'ils soient légers ou complets. Opérer un choix nécessite la prise en compte d'un grand nombre de caractéristiques fonctionnelles. Il faut aussi étudier la capacité du système à soutenir de lourdes charges. »

Les 350 collaborateurs européens d'Avid Technology, constructeur de solutions numériques pour la création, la gestion et la distribution des médias, sont éparpillés dans plusieurs pays. Il y a six mois, la société a décidé d'installer une infrastructure de réseau local sans fil.

« Celle-ci n'a pas du tout vocation à remplacer le réseau filaire. Elle est destinée à équiper des zones comme les salles de réunion, ou à autoriser des employés de passage, venant d'un autre site, à se connecter facilement », précise Jean-Christophe Mazoyer, responsable réseaux d'Avid pour l'Europe.

La société souhaite une solution à l'architecture centralisée, facile à déployer, à gérer et à mettre à jour. Elle compte de nombreux sites à effectif restreint - douze au moment de la réflexion initiale, et vingt aujourd'hui depuis le rachat de franchises en Europe du Nord. « Certains sites regroupent une dizaine de commerciaux seulement, et tous n'hébergent pas de responsable informatique », indique Jean-Christophe Mazoyer. Avid a testé les équipements d'Aruba, d'Airespace et ceux de Cisco. « Mais à l'époque, ce dernier ne proposait pas de solution réellement centralisée. »

La solution d'Aruba péchait au niveau des capacités de déploiement des points d'accès distants du commutateur central, qui devait être installé en Angleterre. « Par exemple, une borne en Espagne aurait dû diriger son trafic local vers le commutateur, explique Jean-Christophe Mazoyer.

« Le concept d'Airespace, avec ses points d'accès Wi-Fi n'ayant pas besoin d'être reliées au même sous-réseau que le commutateur, convient parfaitement à nos besoins. Le commutateur 4024 sert à l'authentification et aux fonctions intelligentes, mais le trafic reste en local. » Si les besoins augmentent, un deuxième commutateur sera adjoint au premier pour permettre une architecture redondante.

En matière de sécurisation des communications, Avid a fixé comme prérequis l'utilisation, pour la partie radio, de la technologie WPA (Wi-Fi Protected Access) et d'un chiffrement TKIP (Temporal Key Integrity Protocol). « Nous souhaitions utiliser 802.1X [conçu pour les réseaux filaires, NDLR] et un serveur Radius Microsoft puisant des informations dans Active Directory, qui recense tous nos utilisateurs », détaille Jean-Christophe Mazoyer. Ainsi, Avid emploie un seul identifiant de réseau Wi-Fi (SSID) et applique les mêmes droits d'accès, que les utilisateurs se connectent au réseau filaire ou au sans fil. L'architecture centralisée facilitera aussi la migration vers WPA2, le commutateur central gérant les mises à jour des points d'accès.

Avid a insisté sur la détection d'éventuels points d'accès pirates. « De plus en plus d'utilisateurs étant équipés de Wi-Fi chez eux, il était évident que des déploiements sauvages de bornes se produiraient », affirme Jean-Christophe Mazoyer. La solution d'Airespace permet d'effectuer cette surveillance, évitant ainsi la mise en place d'une infrastructure dédiée. « Elle sait aussi bloquer temporairement les communications du point d'accès pirate. Une fonction à utiliser avec précaution, pour ne pas bloquer les réseaux des voisins. »

Le responsable réseaux d'Avid a réalisé d'abord un déploiement pilote sur le site parisien. L'administration de l'ensemble des sites de la société y est assurée, chacun d'eux ayant par ailleurs accès à des fonctions de supervision. Puis il s'est rendu en Allemagne afin d'y valider la mise en oeuvre plug and play des points d'accès, « que nous enverrons tout simplement par La Poste pour les autres sites ».