Vous gérez un Hotspot Wi-Fi pour un hôtel, un café, ou une résidence étudiante ? Vous avez sûrement déjà vécu ce cauchemar : un client malin installe une application comme NetCut ou lance un scan Wireshark sur son PC. En quelques secondes, il coupe la connexion de tous les autres clients pour s’octroyer toute la bande passante, ou pire, il intercepte les données non chiffrées de ses voisins de chambre. C’est le fléau des réseaux publics. Si vos clients peuvent « se voir » entre eux, votre réseau est une passoire de sécurité.

Dans cet article technique, nous allons voir comment verrouiller votre réseau MikroTik grâce à l’Isolation Client (Client Isolation). Nous allons passer en revue les méthodes Layer 2 et Layer 3 pour empêcher vos utilisateurs de communiquer entre eux, tout en leur laissant l’accès à Internet.

LIRE AUSSI : Comment convertir un serveur Ubuntu en routeur MikroTik

Pourquoi l’Isolation est CRITIQUE ?

Par défaut, un switch ou un point d’accès Wi-Fi agit comme une place de village : tout le monde entend tout le monde.

• Risque 1 : ARP Poisoning & Man-in-the-Middle. Un pirate dit à votre PC « Je suis le routeur ». Votre PC le croit et lui envoie tout le trafic.
• Risque 2 : Broadcast Storms. Une carte réseau défectueuse peut inonder le réseau de paquets inutiles et ralentir tout le monde.
• Risque 3 : Accès aux partages Windows. Un client pro connecte son PC sans pare-feu, et tout l’hôtel peut voir ses dossiers partagés « Compta ».

L’objectif est simple : Chaque client doit vivre dans une bulle étanche. Il ne doit voir que la porte de sortie (le routeur).

Méthode 1 : La Solution Wi-Fi Pure (Default Forwarding)

C’est la méthode la plus simple, mais elle ne fonctionne que pour les clients connectés sans fil sur la même carte Wi-Fi.

Sur MikroTik, chaque interface Wireless a une case magique : « Default Forwarding ».

• Cochée (Par défaut) : Les clients Wi-Fi discutent entre eux directement sans passer par le CPU du routeur.
• Décochée : Les clients ne peuvent plus se parler. Ils ne peuvent parler qu’au routeur.

Procédure :

1. Allez dans le menu Wireless.
2. Double-cliquez sur votre interface (ex: wlan1 ou wlan2).
3. Décochez la case Default Forwarding.
4. Cliquez sur OK.

Limitation majeure : Cela n’isole que les clients d’une même antenne. Si vous avez plusieurs points d’accès reliés par un switch, cette option ne suffit pas.

Méthode 2 : L’Arme Absolue (Bridge Horizon)

C’est la méthode professionnelle pour isoler tout le monde (Wi-Fi et Câble) au niveau 2 (Layer 2 – Mac Address), sans consommer de ressource CPU.

Le concept « Horizon »

Imaginez que vous donnez un numéro de « groupe » à chaque port de votre Bridge. La règle MikroTik est simple : Un port ne peut pas envoyer de données à un autre port qui a le MÊME numéro d’Horizon.

Si tous vos ports (wlan1, ether2, ether3…) ont l’Horizon « 10 », ils ne peuvent plus se parler. Mais ils peuvent parler au CPU (le routeur) qui n’a pas d’horizon définit.

Procédure :

1. Allez dans Bridge > onglet Ports.
2. Double-cliquez sur l’interface de vos clients (ex: ether2-hotspot).
3. Dans l’option Horizon, mettez une valeur arbitraire (ex: 10).
4. Faites de même pour wlan1. Mettez aussi Horizon : 10.

Résultat : Un paquet entrant par ether2 (Horizon 10) veut aller vers wlan1 (Horizon 10) ? BLOCKED. Le paquet veut aller vers Internet (Le Bridge lui-même) ? ALLOWED.

C’est la méthode la plus propre et la plus performante. Elle bloque NetCut instantanément.

Méthode 3 : Le Firewall IP (Layer 3)

Si pour une raison obscure vous ne pouvez pas utiliser d’Horizon (architecture routée complexe), vous pouvez utiliser le Firewall. C’est plus lourd pour le CPU, mais très efficace.

L’idée est de dire : « Tout ce qui vient du réseau Hotspot et qui va vers le réseau Hotspot est INTERDIT, sauf si c’est pour le routeur. »

Le Script :

/ip firewall filteradd chain=forward action=drop src-address=192.168.88.0/24 dst-address=192.168.88.0/24 comment="Drop Client-to-Client"

Pourquoi c’est moins bien ? Parce que les attaques Layer 2 (ARP Poisoning) passent sous le radar du Firewall IP. NetCut peut donc encore fonctionner partiellement au sein du même segment broadcast. Cette méthode est à utiliser en complément, pas en solution unique.

Cas Particulier : Le « Private VLAN » (Switch Chip)

Si vous utilisez des switchs MikroTik (CRS – Cloud Router Switch), vous pouvez faire de l’isolation matérielle (Switch Rule). C’est ce qu’on appelle le Port Isolation ou Private VLAN.

Sur un switch CRS3xx :

/interface ethernet switch port-isolationadd port=ether2 forwarding-override=ether1-uplink type=dstadd port=ether3 forwarding-override=ether1-uplink type=dst

Ici, on dit explicitement : « Le port 2 ne peut parler QU’AU port 1 (Uplink/Internet) ». Il devient physiquement aveugle aux autres ports.

5. Comment vérifier que ça marche ? (Pentest)

Ne croyez jamais votre configuration sur parole. Testez-la.

1. Prenez deux PC (PC A et PC B) connectés au Hotspot.
2. Récupérez l’IP du PC B (ex: 192.168.88.25).
3. Depuis le PC A, lancez une invite de commande (CMD).
4. Tapez : ping 192.168.88.25.

• Si ça répond : ❌ ÉCHEC. Vos clients peuvent s’attaquer.
• Si « Délai d’attente dépassé » : ✅ SUCCÈS. Ils sont isolés.
• Vérifiez ensuite que vous avez toujours accès à Google (ping 8.8.8.8). Si Google répond mais pas le voisin, c’est la configuration parfaite.

La Sécurité n’est pas une Option

Dans un environnement Hotspot Public (Afrique de l’Ouest, Café, Hôtel), l’isolation client n’est pas un « plus », c’est une obligation. Sans cela, vous exposez vos clients au vol de données.

La méthode Bridge Horizon est celle que je recommande à 100%. Elle est robuste, simple à déployer sur tous les ports, et bloque radicalement toutes les tentatives de nuisances locales.

À vos Winbox !