{"id":154,"date":"2026-08-30T22:09:48","date_gmt":"2026-08-30T20:09:48","guid":{"rendered":"https:\/\/asfy.fr\/index.php\/tutoriels\/unifi-dream-router-creer-3-reseaux-parents-enfants-iot-et-les-isoler-avec-le-pare-feu-par-zones\/"},"modified":"2026-08-30T22:16:15","modified_gmt":"2026-08-30T20:16:15","slug":"unifi-dream-router-creer-3-reseaux-parents-enfants-iot-et-les-isoler-avec-le-pare-feu-par-zones","status":"publish","type":"sv_tutoriel","link":"https:\/\/asfy.fr\/index.php\/tutoriels\/unifi-dream-router-creer-3-reseaux-parents-enfants-iot-et-les-isoler-avec-le-pare-feu-par-zones\/","title":{"rendered":"UniFi Dream Router : cr\u00e9er 3 r\u00e9seaux (Parents, Enfants, IoT) et les isoler avec le pare-feu par zones"},"content":{"rendered":"

L’UniFi Dream Router (UDR) r\u00e9unit dans un seul bo\u00eetier une passerelle, un point d’acc\u00e8s WiFi 6 et une console de gestion UniFi. Voici comment cr\u00e9er trois r\u00e9seaux s\u00e9par\u00e9s \u2014 Parents, Enfants et IoT \u2014 avec des r\u00e8gles de pare-feu qui les isolent correctement, en s’appuyant sur le pare-feu par zones<\/strong> introduit dans UniFi Network 9 (qui remplace l’ancien syst\u00e8me de r\u00e8gles r\u00e9seau par r\u00e9seau).<\/p>\n

\n\n \n UniFi Dream<\/text>\n Router<\/text><\/p>\n\n \n \n

\n Parents<\/text>\n VLAN 10 \u00b7 zone Internal<\/text><\/p>\n

\n Enfants<\/text>\n VLAN 20 \u00b7 zone Internal<\/text><\/p>\n

\n IoT<\/text>\n VLAN 30 \u00b7 zone d\u00e9di\u00e9e<\/text><\/p>\n\n \n acc\u00e8s mutuel autoris\u00e9<\/text>\n acc\u00e8s admin bloqu\u00e9<\/text><\/p>\n\n Internet uniquement<\/text>\n (tout le reste bloqu\u00e9)<\/text>\n<\/svg>

Parents et Enfants restent dans la m\u00eame zone (Internal) avec un acc\u00e8s administrateur restreint pour Enfants ; IoT est isol\u00e9 dans sa propre zone, sans acc\u00e8s aux autres r\u00e9seaux.<\/figcaption><\/figure>\n

Ce dont vous avez besoin avant de commencer<\/h2>\n
    \n
  • Un UniFi Dream Router d\u00e9j\u00e0 d\u00e9ball\u00e9, avec acc\u00e8s \u00e0 votre modem\/box pour le WAN.<\/li>\n
  • L’application UniFi Network (mobile ou web) \u00e0 jour \u2014 les captures d’\u00e9cran d’un tutoriel d’il y a deux ans ne ressemblent probablement d\u00e9j\u00e0 plus \u00e0 l’interface actuelle, c’est le rythme normal chez Ubiquiti.<\/li>\n
  • Un compte Ubiquiti (gratuit) pour l’adoption initiale de l’appareil.<\/li>\n<\/ul>\n

    Installation et adoption initiale, \u00e9tape par \u00e9tape<\/h2>\n

    \u00c9tape 1 \u2014 Branchement physique<\/h3>\n

    Reliez votre modem\/box au port WAN de l’UDR avec un c\u00e2ble Ethernet, branchez l’alimentation. Le voyant s’anime \u2014 c’est le signal qu’il est pr\u00eat \u00e0 \u00eatre configur\u00e9, pas qu’il a une vie int\u00e9rieure riche.<\/p>\n

    \u00c9tape 2 \u2014 Adoption via l’application UniFi Network<\/h3>\n

    Installez l’application UniFi Network (App Store \/ Google Play, ou version web), cr\u00e9ez ou connectez-vous \u00e0 votre compte Ubiquiti, et laissez l’application d\u00e9tecter l’UDR sur le r\u00e9seau. Suivez l’assistant : mise \u00e0 jour du firmware si propos\u00e9e, cr\u00e9ation du r\u00e9seau WiFi principal, mot de passe administrateur local.<\/p>\n

    \u00c9tape 3 \u2014 V\u00e9rifier la connectivit\u00e9 de base<\/h3>\n

    Avant de complexifier quoi que ce soit, connectez un appareil au WiFi principal et v\u00e9rifiez que l’acc\u00e8s Internet fonctionne. Un r\u00e9seau qui ne marche pas encore en version simple ne marchera pas mieux en version compliqu\u00e9e.<\/p>\n

    Cr\u00e9er les 3 r\u00e9seaux : Parents, Enfants, IoT<\/h2>\n

    Le principe : un r\u00e9seau (VLAN) s\u00e9par\u00e9 par usage, chacun avec sa propre plage d’adresses IP, pour pouvoir ensuite leur appliquer des r\u00e8gles de pare-feu distinctes.<\/p>\n

    \u00c9tape 4 \u2014 Cr\u00e9er le r\u00e9seau \u00ab\u00a0Parents\u00a0\u00bb<\/h3>\n
      \n
    1. Dans l’application UniFi Network : Param\u00e8tres \u2192 R\u00e9seaux \u2192 Cr\u00e9er un nouveau r\u00e9seau<\/strong>.<\/li>\n
    2. Nom<\/strong> : \u00ab\u00a0Parents\u00a0\u00bb.<\/li>\n
    3. VLAN ID<\/strong> : 10 (choisissez un identifiant qui n’entre pas en conflit avec un r\u00e9seau d\u00e9j\u00e0 existant).<\/li>\n
    4. Passerelle \/ Sous-r\u00e9seau<\/strong> : par exemple 192.168.10.1\/24<\/code>.<\/li>\n
    5. Serveur DHCP<\/strong> : activ\u00e9, pour une attribution automatique des adresses.<\/li>\n
    6. Validez.<\/li>\n<\/ol>\n

      \u00c9tape 5 \u2014 Cr\u00e9er le r\u00e9seau \u00ab\u00a0Enfants\u00a0\u00bb<\/h3>\n

      M\u00eame proc\u00e9dure : nom \u00ab\u00a0Enfants\u00a0\u00bb, VLAN ID 20, sous-r\u00e9seau 192.168.20.1\/24<\/code>, DHCP activ\u00e9.<\/p>\n

      \u00c9tape 6 \u2014 Cr\u00e9er le r\u00e9seau \u00ab\u00a0IoT\u00a0\u00bb<\/h3>\n

      M\u00eame proc\u00e9dure : nom \u00ab\u00a0IoT\u00a0\u00bb, VLAN ID 30, sous-r\u00e9seau 192.168.30.1\/24<\/code>, DHCP activ\u00e9. C’est le r\u00e9seau qui accueillera ampoules connect\u00e9es, prises, cam\u00e9ras et autres appareils dont on ne sait jamais vraiment ce qu’ils envoient sur Internet en coulisses.<\/p>\n

      \u00c9tape 7 \u2014 Cr\u00e9er une SSID WiFi pour chaque r\u00e9seau<\/h3>\n

      Pour que les appareils puissent r\u00e9ellement rejoindre ces r\u00e9seaux en WiFi (pas seulement en filaire) :<\/p>\n

        \n
      1. Param\u00e8tres \u2192 WiFi \u2192 Cr\u00e9er un nouveau r\u00e9seau WiFi.<\/strong><\/li>\n
      2. Nommez-le clairement (ex. \u00ab\u00a0Maison-Parents\u00a0\u00bb, \u00ab\u00a0Maison-Enfants\u00a0\u00bb, \u00ab\u00a0Maison-IoT\u00a0\u00bb).<\/li>\n
      3. Dans les r\u00e9glages avanc\u00e9s, s\u00e9lectionnez le r\u00e9seau<\/strong> correspondant cr\u00e9\u00e9 aux \u00e9tapes pr\u00e9c\u00e9dentes.<\/li>\n
      4. D\u00e9finissez un mot de passe \u2014 pas le m\u00eame sur les trois, sinon l’int\u00e9r\u00eat de la s\u00e9paration devient purement d\u00e9coratif.<\/li>\n<\/ol>\n

        R\u00e9p\u00e9tez pour les trois r\u00e9seaux.<\/p>\n

        Isoler les r\u00e9seaux avec le pare-feu par zones<\/h2>\n

        Par d\u00e9faut, tous les r\u00e9seaux que vous venez de cr\u00e9er atterrissent automatiquement dans la zone \u00ab\u00a0Internal\u00a0\u00bb<\/strong> \u2014 et \u00e0 l’int\u00e9rieur d’une m\u00eame zone, les VLANs peuvent se joindre librement entre eux. Autrement dit : sans action suppl\u00e9mentaire, vos trois r\u00e9seaux flambant neufs peuvent d\u00e9j\u00e0 tous se parler. Il faut donc configurer explicitement l’isolation voulue.<\/p>\n

        \u00c9tape 8 \u2014 Isoler compl\u00e8tement le r\u00e9seau IoT (le plus important)<\/h3>\n

        La m\u00e9thode la plus robuste consiste \u00e0 sortir le r\u00e9seau IoT de la zone \u00ab\u00a0Internal\u00a0\u00bb et \u00e0 lui cr\u00e9er sa propre zone d\u00e9di\u00e9e \u2014 car une zone personnalis\u00e9e bloque tout le trafic vers les autres zones par d\u00e9faut<\/strong>, contrairement \u00e0 la zone \u00ab\u00a0Internal\u00a0\u00bb qui autorise tout en interne.<\/p>\n

          \n
        1. Param\u00e8tres \u2192 S\u00e9curit\u00e9 \u2192 Pare-feu \u2192 Zones.<\/strong><\/li>\n
        2. Cr\u00e9ez une nouvelle zone, nommez-la \u00ab\u00a0IoT\u00a0\u00bb.<\/li>\n
        3. Assignez le r\u00e9seau IoT (cr\u00e9\u00e9 \u00e0 l’\u00e9tape 6) \u00e0 cette nouvelle zone.<\/li>\n
        4. Retournez sur la matrice des zones : la zone IoT doit appara\u00eetre bloqu\u00e9e vers toutes les autres zones par d\u00e9faut \u2014 exactement ce qu’on veut.<\/li>\n
        5. Ajoutez une seule politique explicite : IoT \u2192 External, Autoriser<\/strong>, pour que vos objets connect\u00e9s gardent leur acc\u00e8s \u00e0 Internet (mises \u00e0 jour, applications mobiles associ\u00e9es) sans jamais pouvoir remonter vers vos autres r\u00e9seaux.<\/li>\n<\/ol>\n

          \u00c9tape 9 \u2014 Restreindre partiellement le r\u00e9seau Enfants<\/h3>\n

          Contrairement \u00e0 l’IoT, le r\u00e9seau Enfants a probablement besoin de rester dans la zone \u00ab\u00a0Internal\u00a0\u00bb (pour acc\u00e9der \u00e0 une imprimante partag\u00e9e, un NAS familial…), mais sans acc\u00e8s \u00e0 l’administration du routeur ni aux appareils du r\u00e9seau Parents. Cr\u00e9ez une politique cibl\u00e9e plut\u00f4t que de tout bloquer :<\/p>\n

            \n
          1. Param\u00e8tres \u2192 S\u00e9curit\u00e9 \u2192 Pare-feu \u2192 Table des politiques \u2192 Cr\u00e9er une nouvelle politique.<\/strong><\/li>\n
          2. Zone source<\/strong> : Internal, sp\u00e9cification \u00ab\u00a0R\u00e9seau Enfants\u00a0\u00bb.<\/li>\n
          3. Zone destination<\/strong> : Gateway (l’interface d’administration du routeur lui-m\u00eame).<\/li>\n
          4. Action<\/strong> : Bloquer.<\/li>\n
          5. \u00c9tat de connexion<\/strong> : ne cochez que \u00ab\u00a0New\u00a0\u00bb et \u00ab\u00a0Invalid\u00a0\u00bb \u2014 surtout pas \u00ab\u00a0Established\/Related\u00a0\u00bb, sous peine de bloquer aussi le trafic de retour l\u00e9gitime et de casser des connexions qui n’ont rien \u00e0 voir avec ce que vous vouliez restreindre.<\/li>\n<\/ol>\n

            Pour restreindre \u00e9galement l’acc\u00e8s direct vers les appareils du r\u00e9seau Parents, dupliquez cette politique en changeant la zone\/r\u00e9seau de destination.<\/p>\n

            \u00c9tape 10 \u2014 V\u00e9rifier le r\u00e9sultat<\/h3>\n

            Depuis un appareil connect\u00e9 au r\u00e9seau IoT, essayez de joindre un appareil du r\u00e9seau Parents (ping, ou simplement tenter d’acc\u00e9der \u00e0 son interface web si il en a une) \u2014 \u00e7a ne doit pas passer. V\u00e9rifiez ensuite que l’appareil IoT continue bien d’acc\u00e9der \u00e0 Internet normalement. Un pare-feu qui bloque tout, y compris ce qu’on voulait garder, n’est pas un succ\u00e8s, juste un probl\u00e8me diff\u00e9rent.<\/p>\n

            Un mot sur le contr\u00f4le parental<\/h2>\n

            Le r\u00e9seau \u00ab\u00a0Enfants\u00a0\u00bb isol\u00e9 de l’administration r\u00e9seau est un bon d\u00e9but, mais ne remplace pas un vrai contr\u00f4le parental (horaires de coupure, filtrage de contenu). L’application UniFi Network propose des profils et plages horaires par r\u00e9seau ou par appareil sous Param\u00e8tres \u2192 R\u00e9seaux \u2192 [Enfants] \u2192 Contr\u00f4le parental \/ Filtrage de contenu<\/strong> selon la version \u2014 une piste \u00e0 explorer une fois l’isolation r\u00e9seau en place.<\/p>\n

            La m\u00e9thode rapide : le bouton \u00ab\u00a0Isolation r\u00e9seau\u00a0\u00bb<\/h2>\n

            Avant de vous lancer dans la configuration manuelle des zones (\u00e9tape 8), sachez qu’UniFi propose une option plus simple pour une isolation basique : sous Param\u00e8tres \u2192 R\u00e9seaux \u2192 [s\u00e9lectionnez le r\u00e9seau IoT] \u2192 Isolation r\u00e9seau<\/strong>, un simple interrupteur configure automatiquement les r\u00e8gles de pare-feu n\u00e9cessaires pour bloquer le trafic inter-VLAN vers ce r\u00e9seau.<\/p>\n

            C’est suffisant pour un usage domestique basique. La m\u00e9thode par zones d\u00e9taill\u00e9e plus haut reste pr\u00e9f\u00e9rable si vous voulez un contr\u00f4le fin (autoriser explicitement certains flux pr\u00e9cis, avoir une politique nomm\u00e9e et visible dans la matrice, journaliser les tentatives bloqu\u00e9es) \u2014 mais si vous cherchez juste \u00ab\u00a0IoT ne doit parler \u00e0 personne d’autre que Internet\u00a0\u00bb sans complication, cet interrupteur suffit largement et prend dix secondes \u00e0 activer.<\/p>\n

            Isolation des appareils entre eux sur le r\u00e9seau IoT<\/h2>\n

            L’isolation r\u00e9seau (\u00e9tape 8) emp\u00eache le r\u00e9seau IoT de joindre vos autres r\u00e9seaux \u2014 mais par d\u00e9faut, deux appareils IoT connect\u00e9s au m\u00eame WiFi peuvent encore se parler entre eux. Pour une ampoule connect\u00e9e compromise, ce n’est pas anodin : elle pourrait potentiellement sonder ou attaquer votre cam\u00e9ra sur le m\u00eame r\u00e9seau.<\/p>\n

            Activez la Isolation des clients (Client Device Isolation)<\/strong> sur le SSID IoT : Param\u00e8tres \u2192 WiFi \u2192 [r\u00e9seau WiFi IoT] \u2192 r\u00e9glages avanc\u00e9s \u2192 Isolation des clients<\/strong>. Une fois activ\u00e9e, chaque appareil connect\u00e9 \u00e0 ce WiFi ne peut plus voir ni joindre les autres appareils du m\u00eame r\u00e9seau \u2014 seulement Internet (et ce que vos r\u00e8gles de pare-feu autorisent explicitement). C’est le compl\u00e9ment naturel de l’isolation r\u00e9seau : l’une isole le r\u00e9seau IoT du reste de la maison, l’autre isole les appareils IoT entre eux.<\/p>\n

            Filtrage de contenu pour le r\u00e9seau Enfants<\/h2>\n

            UniFi propose un filtrage de contenu au niveau DNS, applicable par r\u00e9seau \u2014 utile pour bloquer les cat\u00e9gories de sites inappropri\u00e9s directement sur le r\u00e9seau \u00ab\u00a0Enfants\u00a0\u00bb, sans d\u00e9pendre d’une extension install\u00e9e sur chaque appareil (facilement contournable par un enfant qui sait d\u00e9sinstaller une application, disons-le franchement).<\/p>\n

            Sous les r\u00e9glages de s\u00e9curit\u00e9\/filtrage de contenu de l’application, appliquez la politique de filtrage au r\u00e9seau \u00ab\u00a0Enfants\u00a0\u00bb sp\u00e9cifiquement, en s\u00e9lectionnant les cat\u00e9gories \u00e0 bloquer. Combin\u00e9 \u00e0 la restriction d’acc\u00e8s \u00e0 l’administration du routeur (\u00e9tape 9), \u00e7a couvre d\u00e9j\u00e0 une bonne partie du besoin, m\u00eame si \u00e7a ne remplace pas une vraie conversation avec vos enfants sur les usages du num\u00e9rique \u2014 un pare-feu, aussi bien configur\u00e9 soit-il, n’a jamais \u00e9lev\u00e9 personne.<\/p>\n

            V\u00e9rifier que tout fonctionne (et ce qui peut casser)<\/h2>\n

            Tester les 3 r\u00e9seaux m\u00e9thodiquement<\/h3>\n