Test du MikroTik hAP ac²

Résumé Le MikroTik hAP ac² (RBD52G-5HacD2HnD-TC) est un routeur ARM quad-core compact avec Wi-Fi bi-bande et l’ensemble complet de fonctionnalités RouterOS — assez abordable pour les bureaux à domicile, assez capable pour les petites succursales. C’est le bon outil pour les charges SOHO et SMB typiques, et le mauvais outil pour l’agrégation VPN lourde ou le pare-feu Gigabit soutenu. Cet examen couvre ce qu’il fait bien, où il atteint ses limites, le réglage Wi-Fi qui en vaut la peine, et la liste de contrôle de durcissement avant déploiement.

Qu’est-ce que le MikroTik hAP ac² ?

Le MikroTik hAP ac² (RBD52G-5HacD2HnD-TC) est un routeur de bureau compact construit autour d’un SoC ARM quad-core Qualcomm IPQ-4018, avec Wi-Fi bi-bande (2.4 GHz et 5 GHz), cinq ports Gigabit Ethernet et l’ensemble complet des fonctionnalités RouterOS. La combinaison se situe dans un point d’équilibre prix-performance pour les sites SOHO et SMB — un « vrai routeur » avec VLAN, pare-feu, QoS, VPN et supervision dans une boîte qui vit tranquillement sur une étagère.

Pour un opérateur choisissant entre le hAP ac² et de plus gros MikroTik, la question est simple : peut-il router rapidement, rester stable et sécurisé sous votre charge réelle ? Pour les bureaux à domicile typiques, les sites de succursales et les configurations prosumer, la réponse est oui. Pour l’agrégation VPN à haut débit, le QoS profond à pleine vitesse ou les tables BGP complètes, la réponse est non — consultez notre test du RB5009 et notre test du hEX RB750Gr3 pour les options supérieures.

Matériel et architecture

Le hAP ac² est construit autour d’une plateforme ARM moderne pour sa classe de prix : quad-core IPQ-4018, Wi-Fi bi-bande, cinq ports Gigabit Ethernet et des fonctionnalités RouterOS habituellement trouvées dans des appareils beaucoup plus gros. Trois implications pratiques comptent le plus :

• Les fonctionnalités de routage sont riches. VLAN, pare-feu, QoS, VPN et supervision sont tous sur la table.
• FastTrack est une grande victoire. Lorsque votre profil de trafic correspond, FastTrack améliore considérablement le débit avec une charge CPU plus faible — c’est le bouton de configuration le plus impactant.
• Le Wi-Fi est capable, pas magique. Solide pour les appartements et les petits bureaux, mais les murs et les interférences finissent toujours par gagner.

Performances dans les vrais réseaux

Les benchmarks de performance se lisent souvent comme des tableaux de score. Ce qui importe plus, c’est le comportement quotidien. Avec un NAT de base plus pare-feu, le hAP ac² gère confortablement les connexions haut débit typiques. Avec des services plus lourds — plusieurs tunnels VPN, inspection profonde de paquets, arbres de files d’attente complexes — le CPU monte rapidement parce que chaque paquet emprunte le chemin lent. FastTrack sur le trafic de confiance libère le CPU pour tout le reste.

Une règle pratique : si le site a besoin de « tout entreprise » activé à la fois, prévoyez un routeur plus grand. Si vos besoins sont SMB ou prosumer typiques, le hAP ac² semble réactif.

Réglage sans fil qui aide vraiment

Le Wi-Fi bi-bande est la raison principale pour laquelle la plupart des acheteurs choisissent ce modèle. Le 5 GHz est plus rapide mais à portée plus courte ; le 2.4 GHz voyage plus loin mais est souvent encombré.

1. Placez le routeur dans une zone ouverte, pas à l’intérieur d’un meuble.
2. Préférez le 5 GHz pour les portables et téléviseurs ; gardez le 2.4 GHz pour l’IoT.
3. Utilisez WPA2/WPA3 ; évitez le chiffrement obsolète.
4. Scannez d’abord, puis choisissez le canal le plus calme — n’augmentez pas aveuglément la largeur du canal.

Durcissement de la sécurité

La plupart des incidents de routeur ne sont pas des zero-days. Ce sont des bases oubliées : firmware ancien, services admin exposés, mots de passe faibles ou règles de pare-feu permissives. Le modèle de durcissement aligné sur RouterOS :

/system package update check-for-updates
/system package update download
/system reboot

/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set www-ssl disabled=no
set api disabled=yes
set api-ssl disabled=yes

/ip firewall filter
add chain=input action=accept connection-state=established,related comment="allow established/related"
add chain=input action=drop connection-state=invalid comment="drop invalid"
add chain=input action=accept protocol=icmp comment="allow ping (optional)"
add chain=input action=drop in-interface-list=WAN comment="drop WAN input by default"

N’exposez jamais Winbox, SSH ou WebFig directement à Internet. Utilisez un VPN ou un réseau de gestion de confiance — consultez nos meilleures pratiques de sécurité Winbox pour le guide de durcissement plus large.

Quand le hAP ac² est le mauvais outil

Passez à un MikroTik plus gros (CCR2004, RB5009) lorsque vous avez besoin d’agrégation VPN à haut débit pour de nombreux utilisateurs, de files d’attente lourdes et de filtrage avancé sur des WAN saturés, d’une couverture Wi-Fi puissante sur plusieurs étages sans points d’accès dédiés, ou que vous prévoyez d’activer toutes les fonctionnalités gourmandes en CPU sur un lien Gigabit en même temps. Dans ces scénarios, concevez le site avec un routeur plus capable et des points d’accès dédiés au lieu de demander au hAP ac² de tout faire.

Astuces

• Associez le hAP ac² au tutoriel WireGuard pour un accès distant propre sans la surcharge d’OpenVPN.
• Configurez DNS sur HTTPS (consultez notre guide DoH) pour durcir le chemin DNS du LAN sans coût de performance.
• Documentez le VLAN de gestion et les IP source restreintes admin dès le premier jour — l’ajout après coup est plus difficile que prévu.

Passez à l’étape suivante

Même un excellent routeur devient un casse-tête quand vous le gérez un par un. MKController centralise le travail ennuyeux-mais-important sur de nombreuses unités hAP ac² : modèles de configuration standardisés, statut sur l’ensemble de la flotte et métriques clés dans un seul tableau de bord, posture de firmware et de sécurité cohérente entre sites, et modèles documentés qui remplacent la connaissance tribale.

Si vous opérez une poignée de MikroTik, le manuel fonctionne. À cinq, dix ou cinquante, la couche d’orchestration se paie d’elle-même dès le premier incident évité.

Démarrez votre essai gratuit MKController