Configuration de 802.1X sur Juniper Mist avec cloud RADIUS

Pour configurer 802.1X sur Juniper Mist, créez un WLAN avec une sécurité WPA2 ou WPA3-Enterprise. Ajoutez vos serveurs RADIUS cloud pour l'authentification et la comptabilité (accounting), et activez RadSec si le service le prend en charge. Définissez le VLAN sur dynamique afin que les réponses RADIUS placent chaque appareil sur le bon segment. La chronologie des informations client de Mist et Marvis indiquent ensuite l'origine exacte de toute échec d'authentification.

À quoi sert réellement le 802.1X sur Juniper Mist ?

L'IEEE 802.1X est un contrôle d'accès au réseau basé sur les ports. Sur un réseau sans fil, il bloque le trafic d'un appareil jusqu'à ce que celui-ci prouve son identité auprès d'un serveur d'authentification. Le point d'accès agit en tant qu'authentificateur. Il relaye les messages EAP (Extensible Authentication Protocol) entre l'appareil et un serveur RADIUS. RADIUS est le protocole d'authentification défini par la norme RFC 2865.

Le serveur RADIUS vérifie les identifiants et renvoie un message Access-Accept ou Access-Reject. Un message Accept peut transporter des attributs, tels que le VLAN que l'appareil doit rejoindre. Chaque appareil génère ensuite ses propres clés de chiffrement, ce qui évite que deux employés partagent la même clé secrète.

Sur Juniper Mist, chaque point d'accès est un client RADIUS. Mist héberge la configuration WLAN dans son cloud et la déploie sur chaque point d'accès de chaque site. Il enregistre également chaque étape de chaque tentative de connexion, ce qui rend Mist extrêmement utile en cas d'échec d'authentification.

La méthode EAP détermine les éléments présentés par l'appareil :

• EAP-TLS : l'appareil et le serveur présentent tous deux des certificats. Il n'y a aucun mot de passe à hameçonner, à partager ou à renouveler.
• PEAP avec MSCHAPv2 : l'EAP protégé intègre un échange de mot de passe à l'intérieur d'un tunnel TLS. Il est plus simple à déployer mais moins sécurisé. Microsoft indique que Credential Guard, activé par défaut dans les versions récentes de Windows 11, bloque le single sign-on pour l'authentification basée sur MSCHAPv2.
• EAP-TTLS : une méthode tunnelisée similaire, courante lorsque le gestionnaire d'identités n'est pas Microsoft.

Mist ne négocie pas la méthode. L'appareil et le serveur RADIUS la conviennent entre eux, et le point d'accès relaye l'échange. Cela signifie que vous choisissez la méthode EAP du côté RADIUS et dans vos profils d'appareils, et non dans la console Mist.

De quoi avez-vous besoin avant de configurer 802.1X sur Mist ?

Rassemblez ces éléments avant d'ouvrir la console. La plupart des échecs de déploiement proviennent d'un élément manquant dans cette liste et non de la configuration de Mist.

• Accès Mist. Droits d'administration de l'organisation, avec les points d'accès ajoutés et assignés aux sites.
• Détails RADIUS cloud. Noms d'hôte des serveurs ou adresses IP, ports, clé partagée secret et détails RadSec si votre fournisseur le prend en charge.
• Une source d'identité. Microsoft Entra ID, Okta ou Google Workspace, connecté au service RADIUS, avec des groupes associés aux rôles réseau.
• Certificats. Un certificat de serveur RADIUS auquel vos appareils font confiance. Pour EAP-TLS, des certificats clients émis via votre MDM ou PKI.
• Réseau filaire. Les ports de switch vers les AP doivent transporter en trunk chaque VLAN que le serveur RADIUS pourrait renvoyer. Chaque VLAN nécessite une plage DHCP.
• Sortie pare-feu. UDP 1812 et 1813 pour le RADIUS standard, ou TCP 2083 pour RadSec, les ports assignés à chacun par l'IANA.
• Capacité des appareils. Le WPA3-Enterprise exige des trames de gestion protégées (PMF, IEEE 802.11w). Les scanners, imprimantes et terminaux portables plus anciens peuvent ne pas les prendre en charge.
• Couverture. L'authentification d'entreprise ajoute des allers-retours, de sorte qu'une faible couverture se traduit par des délais d'attente d'authentification dépassés. Si vous n'avez pas validé la couverture récemment, notre guide sur les études de site WiFi détaille la méthode à suivre.

Vers quel serveur RADIUS principal un WLAN Juniper Mist doit-il pointer ?

L'infrastructure centrale détermine la manière dont les AP atteignent le serveur RADIUS, ce que votre pare-feu doit autoriser et la façon dont le serveur identifie chaque site.

Option	Transport depuis l'AP	Matériel sur site	Sortie pare-feu	Identification du site par RADIUS	Idéal pour
RADIUS sur site (Microsoft NPS, FreeRADIUS)	RADIUS sur UDP, via le LAN ou VPN	Serveur au siège social, plus un VPN vers chaque site	UDP 1812 et 1813 vers le siège social	IP source plus secret partagé	Un campus unique disposant déjà d'une salle serveur
Cloud RADIUS sur UDP	RADIUS sur UDP, via Internet	Aucun	UDP 1812 et 1813 sortants	IP publique du site plus secret partagé	Sites disposant d'adresses IP publiques statiques
Cloud RADIUS via RadSec	RADIUS dans du TLS sur TCP (RFC 6614)	Aucun	TCP 2083 sortant	Authentification réciproque par certificat	Parcs multi-sites sur connexions haut débit ou IP dynamiques
Cloud RADIUS via proxy Mist Edge	De l'AP au Mist Edge, puis du Mist Edge au RADIUS	Appareil physique ou machine virtuelle Mist Edge	Ports RADIUS depuis le Mist Edge uniquement	IP source du Mist Edge	Grands campus souhaitant un seul point de sortie

Juniper vend également Mist Access Assurance, son propre service de contrôle d'accès réseau basé sur le cloud. Ce guide traite d'un service cloud RADIUS externe, ce qui permet de conserver une politique d'authentification indépendante du fournisseur d'AP.

Comment configurer le 802.1X sur Juniper Mist avec un service cloud RADIUS ?

La console Juniper Mist évolue régulièrement ; référez-vous à la documentation Juniper Mist pour connaître les étapes actuelles champ par champ. La séquence ci-dessous explique le rôle de chaque étape et les décisions sous-jacentes.

Étape 1 : créer le WLAN WPA2 ou WPA3-Enterprise

Créez le WLAN dans un modèle WLAN au niveau de l'organisation si vous gérez plusieurs sites. Les modèles s'appliquent aux sites ou aux groupes de sites, de sorte qu'une seule modification s'applique à l'ensemble du parc. Créez-le au niveau du site s'il s'agit d'un projet pilote sur un site unique.

Nommez l'SSID et sélectionnez le type de sécurité d'entreprise (802.1X). Choisissez ensuite WPA2 ou WPA3.

• WPA3-Enterprise rend les PMF obligatoires et constitue la seule option d'entreprise sur les radios 6 GHz. Choisissez cette option pour les ordinateurs portables gérés et les téléphones récents.
• WPA2-Enterprise permet toujours de connecter des appareils plus anciens. Conservez-le sur un SSID séparé si un parc obsolète ne peut pas encore migrer, plutôt que de faiblir la sécurité de votre SSID principal.

Pensez à activer l'itinérance rapide avec IEEE 802.11r (Fast BSS Transition). Cela réduit le temps de réauthentification lorsqu'un appareil se déplace entre plusieurs points d'accès. Testez cette fonction avec des combinés vocaux et des clients plus anciens avant de l'activer sur l'ensemble de votre parc.

Étape 2 : orientez le WLAN vers votre service RADIUS cloud

Dans les paramètres du serveur d'authentification du WLAN, ajoutez les serveurs RADIUS de votre fournisseur.

• Serveurs d'authentification. Saisissez l'hôte, le port et le secret partagé pour au moins deux serveurs. Juniper Mist bascule sur le serveur suivant lorsqu'un serveur ne répond plus.
• Serveurs de comptabilité. Ajoutez-les séparément. La comptabilité enregistre les heures de début et de fin de session, des données utiles pour vos équipes d'audit et de gestion des incidents.
• Identifiant NAS. Définissez une valeur que le service RADIUS peut utiliser pour différencier les sites. Votre fournisseur pourra ainsi appliquer une politique spécifique à chaque site.

Avec le RADIUS standard sur UDP, les requêtes quittent chaque site depuis son adresse IP publique après le NAT. Votre fournisseur RADIUS cloud doit enregistrer cette adresse en tant que client. Un site disposant d'une IP dynamique perdra son authentification à chaque changement d'adresse. RadSec à l'étape 3 supprime cette dépendance.

Traitez le secret partagé comme un identifiant de connexion. Créez un secret long et aléatoire, puis conservez-le dans votre coffre-fort de mots de passe. En juillet 2024, des chercheurs ont révélé BlastRADIUS (CVE-2024-3596), une attaque par falsification ciblant RADIUS sur UDP. Vérifiez que votre fournisseur exige bien l'attribut Message-Authenticator, comme recommandé dans l'avis de sécurité, ou passez à RadSec.

Étape 3 : activez RadSec

Oui, Juniper Mist prend en charge RadSec. RadSec, défini dans la norme RFC 6614, achemine RADIUS dans une session TLS sur TCP. Les points d'accès Juniper Mist peuvent ouvrir cette session directement vers votre service RADIUS cloud.

Activez RadSec dans les paramètres RADIUS du WLAN et saisissez le nom d'hôte du serveur. Le nom d'hôte doit correspondre au nom figurant sur le certificat du serveur. Configurez ensuite la confiance dans les deux sens :

• Le point d'accès fait confiance au serveur. Ajoutez l'autorité de certification qui a signé le certificat de votre serveur RadSec dans les paramètres d'organisation de Juniper Mist.
• Le serveur fait confiance au point d'accès. Votre serveur RadSec doit faire confiance au certificat présenté par les points d'accès Juniper Mist. La documentation de Juniper explique où l'obtenir.

Ouvrez le port TCP 2083 en sortie depuis chaque site. RadSec offre trois avantages pratiques :

1. Chiffrement. Il chiffre l'intégralité du paquet RADIUS, y compris l'identité et l'adresse MAC qu'il contient. Le RADIUS standard ne masque que le mot de passe.
2. Pas d'enregistrement d'IP. Le certificat authentifie le point d'accès, et non l'adresse source. Les adresses IP à haut débit dynamiques ne posent plus de problème.
3. LIVRAISON FIABLE. Les messages EAP-TLS transportent des chaînes de certificats et dépassent souvent la taille d'un seul paquet. Sur UDP via Internet, les fragments sont abandonnés. TCP assure la retransmission.

Étape 4 : associez les attributs RADIUS aux VLAN dynamiques

L'attribution dynamique de VLAN rassemble chaque rôle sur un seul SSID et laisse le service RADIUS décider du segment. Dans les paramètres VLAN du WLAN, sélectionnez VLAN dynamique. Listez chaque identifiant ou nom de VLAN que le point d'accès peut recevoir, puis définissez une valeur par défaut pour les réponses ne contenant aucun VLAN.

Votre politique RADIUS renvoie ensuite trois attributs de tunnel, définis dans la norme RFC 2868 et appliqués au 802.1X dans la norme RFC 3580.

Attribut	Valeur	Ce que cela fait
Tunnel-Type	13 (VLAN)	Indique à l'AP que le tunnel est un VLAN
Tunnel-Medium-Type	6 (IEEE-802)	Spécifie un média IEEE 802
Tunnel-Private-Group-ID	L'ID ou le nom du VLAN répertorié sur le WLAN	Sélectionne le VLAN pour cette session

Construisez la politique autour des groupes d'identités. Les appareils du service d'étage aboutissent sur le VLAN du service d'étage. Les terminaux de paiement aboutissent sur un segment isolé. La norme PCI-DSS considère une segmentation appropriée comme un moyen de réduire la portée de l'environnement des données porteurs de cartes. Le même schéma isole les appareils cliniques du trafic des visiteurs dans le secteur de la santé.

Étape 5 : pilotez, puis déployez à l'échelle via le modèle

Attribuez d'abord le modèle à un seul site. Exécutez les vérifications de la section suivante. Une fois validées, attribuez le modèle aux sites ou groupes de sites restants. Chaque nouveau site hérite automatiquement du WLAN, des serveurs RADIUS, des paramètres RadSec et de la liste des VLAN.

Comment vérifier que le 802.1X fonctionne sur Juniper Mist ?

Testez chaque rôle, pas seulement un seul compte. Une acceptation fonctionnelle pour un groupe ne prouve rien concernant le mappage VLAN d'un autre.

1. Connectez un appareil de test par rôle. Dans la liste des clients de Juniper Mist, confirmez l'SSID, l'identité utilisée, le VLAN et une adresse IP dans le sous-réseau attendu.
2. Consultez les journaux RADIUS. Confirmez la présence d'un Access-Accept contenant les attributs de tunnel attendus, suivi d'un enregistrement d'audit (accounting start).
3. Effectuez une itinérance (roaming). Déplacez l'appareil entre les AP et confirmez que la session se maintient, en particulier si vous avez activé le 802.11r.
4. Révoquez. Désactivez un compte de test dans votre fournisseur d'identités. Confirmez que sa prochaine authentification est rejetée.
5. Surveillez les niveaux de service. L'attente de niveau de service (SLE) "Successful Connects" de Juniper Mist inclut un classificateur d'autorisation. Le temps de connexion ("Time to Connect") indique si l'authentification ralentit les connexions.

L'étape 4 comporte une subtilité. La désactivation d'un compte arrête la prochaine authentification, mais pas la session en cours. Pour mettre fin aux sessions actives, vérifiez si votre service RADIUS et votre WLAN prennent en charge le changement d'autorisation (CoA, RFC 5176). Le CoA permet au serveur de déconnecter une session à la demande.

Où Juniper Mist indique-t-il la raison de l'échec d'une authentification ?

Lecture de la chronologie d'analyse des clients (Insights)

Ouvrez le client en échec et accédez à sa page Insights. Juniper Mist répertorie chaque événement de connexion dans l'ordre : association, échange EAP, résultat RADIUS, puis DHCP. Lisez-le de gauche à droite. Le dernier événement réussi vous indique quelle couche a échoué.

• Échec avant tout événement RADIUS : un problème de radio ou d'association, pas de 802.1X.
• Dépassement de délai (timeout) RADIUS : un problème d'accessibilité ou de confiance entre l'AP et le serveur.
• Rejet RADIUS : le serveur a pris une décision. La raison se trouve dans les journaux de votre fournisseur RADIUS.
• Authentifié, puis échec DHCP : un problème de VLAN ou de réseau câblé.

La capture de paquets dynamique de Juniper Mist enregistre automatiquement les trames autour des échecs de connexion. Téléchargez la capture et ouvrez-la dans Wireshark pour voir le message EAP exact où l'échange s'est arrêté.

Requêtes Marvis qui accélèrent le diagnostic

Marvis, l'assistant conversationnel de Mist, accepte les questions en langage naturel et nécessite un abonnement Marvis. Les requêtes de ce type permettent de gagner le plus de temps :

• « Troubleshoot [nom du client ou adresse MAC] » renvoie le point de défaillance et la cause probable pour un équipement.
• « Troubleshoot [nom du site] » indique si les échecs se concentrent sur un seul site, ce qui oriente vers des problèmes de pare-feu ou de WAN.
• « Which clients failed to connect at [site] today? » permet de cibler le problème avant d'ouvrir les chronologies individuelles.

Le périmètre prime. Un seul équipement en échec concerne généralement un profil d'équipement. Tous les équipements d'un même site désignent généralement le chemin réseau. Tous les équipements, quel que soit l'endroit, désignent généralement le service RADIUS ou un certificat.

Échecs 802.1X fréquents sur Mist et leurs solutions

Ce que Mist affiche	Cause probable	Solution
Délai d'attente RADIUS dépassé, pas de réponse	Le pare-feu bloque le port UDP 1812 ou TCP 2083, l'IP source n'est pas enregistrée, ou le secret partagé ne correspond pas	Ouvrez le flux sortant, enregistrez l'IP du site ou passez à RadSec, saisissez à nouveau le secret des deux côtés
Access-Reject	Identifiants incorrects, compte désactivé, ou équipement hors de tout groupe de règles	Lisez le motif du rejet dans les journaux RADIUS et corrigez la règle ou le compte
L'EAP s'arrête après le certificat du serveur	L'équipement ne fait pas confiance à l'AC du serveur, ou le nom du serveur ne correspond pas	Déployez l'AC et le nom du serveur sur les équipements via votre profil MDM
Authentifié, aucune adresse IP	VLAN retourné non trunké vers l'AP, plage DHCP manquante, ou VLAN absent de la liste du WLAN	Trunkez le VLAN, ajoutez la plage, faites correspondre exactement le nom du VLAN
La session RadSec ne s'établit jamais	AC non approuvée d'un côté ou de l'autre, certificat expiré, ou erreur d'horloge	Vérifiez à nouveau les deux certificats, les dates d'expiration et le protocole NTP
Échecs EAP-TLS intermittents sur UDP	Paquets fragmentés abandonnés sur Internet	Passez à RadSec ou réduisez la chaîne de certificats
Les équipements WPA3 se connectent, les anciens équipements échouent	Les anciens équipements ne prennent pas en charge WPA3 ou PMF	Déplacez les anciens équipements vers un SSID WPA2-Enterprise séparé

À quoi cela ressemble-t-il dans un établissement réel ?

Ces deux scénarios sont illustratifs. Ils montrent comment la configuration modifie des résultats opérationnels mesurables.

Scénario concret : un hôtel de 200 chambres abandonne les clés du personnel partagées

Situation. Un hôtel de 200 chambres utilisait quatre SSID pour le personnel : réception, entretien, direction et maintenance. Chacun utilisait un mot de passe partagé. Lorsqu'un membre de l'équipe d'entretien partait, l'équipe devait soit modifier la clé sur des dizaines d'équipements, soit la laisser inchangée. Les clients utilisaient un cinquième SSID.

Ce qui a été fait. L'équipe a créé un unique SSID WPA3-Enterprise pour le personnel dans un modèle WLAN Mist. Les équipements gérés utilisaient EAP-TLS, avec des certificats déployés via MDM. Cloud RADIUS lisait l'appartenance aux groupes depuis Microsoft Entra ID et renvoyait un VLAN par service. Un SSID WPA2-Enterprise séparé a été conservé pour les tablettes du service d'étage plus anciennes. Les clients sont restés sur le WiFi invité.

Résultat. Quatre SSID pour le personnel sont devenus un seul, plus un SSID hérité, de sorte que l'hôtel diffuse trois réseaux au lieu de cinq. Moins de SSID signifie moins de trames balises en concurrence pour le temps d'antenne. Les clés partagées par le personnel sont passées de quatre à zéro. L'accès d'un collaborateur qui quitte l'entreprise prend fin dès que les RH désactivent le compte, sans renouvellement de clé. La même approche convient à la plupart des hôtels exploitant des réseaux PSK par service.

Scénario concret : une chaîne de 120 magasins passe à RadSec

Situation. Une chaîne de 120 magasins utilisait des AP Mist sur du haut débit professionnel. L'authentification s'effectuait vers un serveur RADIUS sur site au siège social via un VPN site à site. Lorsqu'un VPN de magasin tombait, les appareils du personnel et les scanners portables ne pouvaient plus s'authentifier.

Actions réalisées. La chaîne est passée à un service RADIUS dans le cloud et a activé RadSec sur le modèle WLAN Mist. La confiance dans les certificats a été définie une fois pour toutes dans les paramètres d'organisation de Mist. Les magasins ont ouvert le port TCP 2083 en sortie. Les terminaux de paiement ont reçu un VLAN isolé grâce à l'attribution dynamique, garantissant la segmentation PCI-DSS.

Résultat. Le serveur RADIUS a cessé de suivre 120 entrées d'utilisateurs IP par magasin ; les certificats les ont toutes remplacées. L'authentification ne dépendait plus du VPN. Un nouveau magasin bénéficie désormais de 802.1X dès que son site rejoint le modèle. Ce modèle convient parfaitement aux réseaux du secteur de la vente au détail où la connectivité des magasins s'effectue par haut débit avec des adresses IP dynamiques.

Combien cela coûte-t-il et quel est le retour sur investissement ?

Vous n'avez pas besoin de nouveaux points d'accès. 802.1X, RadSec et les VLAN dynamiques fonctionnent sur les AP Mist que vous possédez déjà. Notre article expliquant pourquoi votre prochaine mise à niveau WiFi ne nécessite pas de nouveau matériel traite de ce modèle de superposition cloud plus en détail.

Le coût se répartit en quatre éléments :

• Abonnements Juniper. Les attentes de niveau de service et Marvis dépendent de votre niveau d'abonnement Mist. Confirmez la couverture avec votre partenaire Juniper.
• Le service RADIUS. Un serveur RADIUS sur site implique des coûts de serveurs, de licences, de correctifs et de VPN. Le RADIUS dans le cloud est un abonnement sans aucun matériel.
• Certificats. EAP-TLS nécessite une PKI et un MDM pour délivrer des certificats. La plupart des entreprises gèrent déjà les deux.
• Temps d'ingénierie. La configuration de Mist est la partie la plus rapide. La distribution des certificats aux appareils détermine le rythme.

Ce que vous obtenez en retour est mesurable. Les clés partagées passent à zéro. La révocation suit le fournisseur d'identités, pas un projet de renouvellement de clé. Le nombre de SSID diminue. La segmentation réduit le périmètre PCI-DSS. Le diagnostic commence à partir d'une chronologie et d'une requête Marvis au lieu d'une visite sur site.

Le service RADIUS-as-a-Service de Purple est une option RADIUS cloud pour Mist. Il est indépendant du matériel sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Il associe l'accès réseau à l'identité dans Microsoft Entra ID, Okta ou Google Workspace, de sorte que les arrivées, les changements de poste et les départs sont mis à jour automatiquement. Purple est certifié ISO 27001 et Cyber Essentials, et conforme au GDPR. Nos propres données montrent une disponibilité de 99,999 % et 440 millions de connexions en 2024 sur plus de 80 000 sites actifs. Vérifiez la prise en charge de RadSec auprès de chaque fournisseur que vous sélectionnez, y compris Purple. Si vous évaluez également le coût du réseau invité, consultez notre comparaison des modèles de tarification des portails captifs.

Foire aux questions

Juniper Mist prend-il en charge RadSec en natif ?

Oui. Les points d'accès Mist peuvent ouvrir une session RadSec directement vers un service RADIUS cloud, en acheminant RADIUS dans TLS sur TCP comme défini dans la norme RFC 6614. Vous l'activez dans les paramètres RADIUS du WLAN et gérez la confiance des certificats dans les paramètres de l'organisation. Les sites ont besoin du port TCP 2083 sortant. RadSec chiffre l'intégralité du paquet RADIUS et évite d'avoir à enregistrer l'adresse IP publique de chaque site auprès de votre fournisseur.

Ai-je besoin d'un Mist Edge pour utiliser le RADIUS cloud ?

Non. Les AP Mist peuvent envoyer des requêtes RADIUS ou RadSec directement à un service cloud sans matériel supplémentaire. Un proxy Mist Edge est utile sur les grands campus où vous souhaitez que chaque requête RADIUS sorte par un seul point contrôlé. Il convient également aux sites où les AP ne peuvent pas accéder directement à Internet. Pour la plupart des sites multiples, le RadSec direct depuis les AP est la conception la plus simple.

Puis-je maintenir Microsoft NPS en fonctionnement pendant ma transition vers le RADIUS cloud ?

Oui, mais planifiez le basculement par groupe plutôt que par ordre de serveur. Mist bascule entre les serveurs d'authentification uniquement lorsque l'un d'eux cesse de répondre, et non lorsqu'un serveur rejette une requête. Lister NPS et un service cloud sur le même WLAN donne donc des résultats imprévisibles. Créez un second SSID pointant vers le RADIUS cloud, migrez un service à la fois, puis retirez NPS.

Le service RADIUS-as-a-Service de Purple fonctionne-t-il avec Juniper Mist ?

Oui. Purple est indépendant du matériel et fonctionne comme une superposition cloud sur Juniper Mist, ainsi que sur Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Il relie l'accès réseau à Microsoft Entra ID, Okta ou Google Workspace, de sorte que les accès évoluent lorsqu'un compte est modifié. Vous conservez vos AP Mist existants, sans aucun remplacement de matériel nécessaire.

WPA3-Enterprise est-il requis pour le 802.1X sur Mist ?

Non. Le 802.1X fonctionne avec WPA2-Enterprise ou WPA3-Enterprise. WPA3 ajoute les trames de gestion protégées (PMF) obligatoires et constitue la seule option entreprise sur les radios 6 GHz. Utilisez WPA3 pour les ordinateurs portables et téléphones récents. Conservez un SSID WPA2-Enterprise séparé pour les scannés, imprimantes ou tablettes plus anciens qui ne prennent pas en charge les PMF, plutôt que de réduire le niveau de sécurité de votre SSID principal.

Le 802.1X sur Mist nécessite-t-il une licence Juniper supplémentaire ?

Aucune licence supplémentaire n'est requise pour le WLAN lui-même. Pointer un WLAN Mist vers un serveur RADIUS externe est une configuration standard. Les outils de dépannage diffèrent : Marvis nécessite un abonnement Marvis, et les attentes relatives aux niveaux de service dépendent de votre niveau d'abonnement Mist. La solution Mist Access Assurance propre à Juniper est un produit distinct. Confirmez votre niveau auprès de votre partenaire Juniper avant de vous appuyer sur Marvis pour le tri.

Comment le 802.1X affecte-t-il la conformité GDPR ?

RADIUS et les journaux de comptabilité contiennent des données personnelles : identités, adresses MAC des appareils et durées de session. En vertu du GDPR, vous avez besoin d'une base légale, d'une durée de conservation définie et d'un accord de traitement des données avec votre fournisseur RADIUS. RadSec facilite cela en chiffrant les identités en transit. Purple est conforme au GDPR, certifié ISO 27001 et traite les données d'authentification dans le cadre d'un accord de traitement des données.

Combien de temps prend un déploiement 802.1X sur Mist ?

La configuration de Mist prend le moins de temps ; la distribution des certificats donne le rythme. La création du WLAN, l'ajout de serveurs RADIUS et l'activation de RadSec représentent une modification unique dans un seul modèle. L'attribution de certificats à chaque appareil géré via MDM, ainsi que la migration des anciens appareils, prend plus de temps. Réalisez un pilote sur un site, testez chaque rôle, puis attribuez le modèle aux sites restants.