Configuration de l'authentification RADIUS pour les réseaux WiFi invités et collaborateurs

Résumé opérationnel

Dans les environnements d'entreprise modernes, la sécurisation des réseaux sans fil est une exigence opérationnelle critique. Les méthodes de sécurité héritées, telles que les clés prépartagées (PSK) uniques, introduisent d'importantes vulnérabilités de sécurité. Si un seul employé quitte une organisation, ou si un invité compromet un mot de passe partagé, c'est l'ensemble de la sécurité du réseau qui est compromis. Ce guide détaille comment implémenter un service RADIUS pour centraliser le contrôle d'accès, appliquer des politiques de sécurité granulaires et segmenter le trafic des invités et du personnel.

En passant à une architecture RADIUS centralisée, les organisations peuvent implémenter l'authentification 802.1X pour le personnel - garantissant que chaque appareil s'authentifie avec des identifiants uniques et révocables - tout en utilisant des Captive Portals sécurisés et le contournement de l'authentification MAC (MAB) pour les utilisateurs invités. Cette référence technique fournit les plans d'architecture, les étapes de configuration et les frameworks de dépannage nécessaires pour déployer une infrastructure d'authentification WiFi résiliente de classe entreprise.

Analyse technique approfondie

Le Framework AAA

RADIUS fonctionne sur le framework AAA, qui définit les phases clés du contrôle d'accès :

1. Authentification : Vérifier l'identité de l'utilisateur ou de l'appareil qui tente de se connecter au réseau WiFi. Cela s'effectue via des identifiants, des certificats numériques ou des jetons.
2. Autorisation : Déterminer le niveau d'accès réseau accordé à l'entité authentifiée. Cela inclut l'attribution de VLAN spécifiques, l'application de listes de contrôle d'accès (ACL) ou l'application de limites de bande passante.
3. Comptabilisation : Suivre la consommation des ressources réseau, y compris la durée de la session, les données transférées et les heures de connexion/déconnexion. Ces données sont cruciales pour l'audit, la conformité et la planification du réseau.
4. Audit : Examiner les données de comptabilisation collectées pour identifier les anomalies, les failles de sécurité ou les violations de politiques.

Composants de l'architecture RADIUS

Un déploiement RADIUS d'entreprise standard se compose de trois éléments principaux :

• Le Supplicant : Le logiciel client s'exécutant sur l'appareil de l'utilisateur (par exemple, ordinateur portable, smartphone) qui demande l'accès au réseau et fournit des identifiants ou des certificats.
• L'authentificateur (Serveur d'accès réseau / NAS) : L'appareil réseau physique ou virtuel - généralement un contrôleur LAN sans fil (WLC) ou un point d'accès (AP) - qui contrôle l'accès physique au réseau. L'authentificateur ne décide pas si les identifiants sont valides ; il agit comme un proxy, encapsulant la demande d'authentification dans des paquets RADIUS et les transmettant au serveur RADIUS.
• Le serveur d'authentification : Le serveur central (tel que FreeRADIUS, Cisco ISE, Aruba ClearPass ou le moteur RADIUS cloud de Purple) qui valide les identifiants par rapport à un répertoire d'identités (par exemple, Active Directory, LDAP ou un fournisseur d'identité cloud) et renvoie un message Access-Accept ou Access-Reject à l'authentificateur.

Méthodes EAP pour le WiFi du personnel

Pour les réseaux du personnel, le protocole d'authentification extensible (EAP) est utilisé au sein de l'infrastructure 802.1X pour négocier l'authentification. Les deux méthodes EAP d'entreprise les plus courantes sont :

• PEAP-MSCHAPv2 (Protected EAP) : cette méthode établit un tunnel TLS sécurisé et chiffré entre le suppliant et le serveur RADIUS à l'aide du certificat numérique du serveur. À l'intérieur de ce tunnel sécurisé, le nom d'utilisateur et le mot de passe de l'utilisateur sont authentifiés à l'aide du protocole MSCHAPv2. Cette méthode est très populaire en raison de sa facilité de déploiement, car elle ne nécessite pas l'installation de certificats sur les appareils clients.
• EAP-TLS : la méthode d'authentification la plus sécurisée disponible. Elle nécessite une authentification mutuelle, ce qui signifie que le serveur RADIUS et l'appareil client doivent tous deux présenter des certificats numériques valides. Cela élimine les attaques basées sur les mots de passe, mais nécessite une infrastructure à clés publiques (PKI) robuste pour gérer la distribution et la révocation des certificats.

Flux d'authentification du WiFi invité

Les réseaux invités utilisent généralement un flux différent pour équilibrer la sécurité et la commodité d'utilisation. Au lieu de la norme 802.1X, les réseaux invités utilisent souvent un SSID ouvert associé à un Captive Portal.

Lorsqu'un invité se connecte, l'authentificateur utilise le contournement d'authentification MAC (MAB) ou une politique de redirection pour envoyer l'utilisateur vers un Captive Portal hébergé par une plateforme comme Purple. Une fois que l'utilisateur a terminé le processus d'enregistrement ou de connexion sur le portail, la plateforme du portail communique avec le serveur RADIUS, qui envoie ensuite un message Access-Accept au WLC/AP, autorisant l'adresse MAC de l'invité pour l'accès au réseau pendant une durée de session spécifiée.

Transport sécurisé : RadSec

Le trafic RADIUS traditionnel est envoyé en texte clair sur UDP (ports 1812 pour l'authentification et 1813 pour la comptabilité), seul le champ du mot de passe utilisateur étant masqué à l'aide d'un secret partagé. Cela introduit des risques de sécurité lors de l'acheminement du trafic d'authentification sur des connexions WAN publiques ou sur Internet.

Pour atténuer ce problème, il convient de mettre en œuvre RadSec (RADIUS sur TLS). RadSec enveloppe les paquets RADIUS standard dans un tunnel TLS sécurisé (utilisant généralement le port TCP 2083). Cela garantit que toutes les données d'authentification et de comptabilité, y compris les noms d'utilisateur, les adresses MAC et les attributs de session, sont entièrement chiffrées pendant le transit entre le réseau local et les serveurs RADIUS basés sur le cloud.

Guide d'implémentation

Étape 1 : Définir les clients RADIUS sur le serveur

Avant qu'un appareil réseau puisse communiquer avec le serveur RADIUS, il doit être enregistré en tant que client.

1. Connectez-vous à la console d'administration de votre serveur RADIUS.
2. Naviguez vers la section Clients ou Équipements réseau.
3. Ajoutez une nouvelle entrée de client pour chaque WLC ou AP.
4. Saisissez l'adresse IP ou le sous-réseau de l'authentificateur.
5. Générez un secret partagé à haute entropie. Ce secret doit comporter au moins 22 caractères, contenant un mélange de lettres majuscules, de lettres minuscules, de chiffres et de caractères spéciaux. Évitez d'utiliser des mots simples du dictionnaire.

Étape 2 : Configurer le contrôleur LAN sans fil (WLC) / les points d'accès (AP)

Configurez votre matériel sans fil pour pointer vers le serveur RADIUS pour l'authentification et la comptabilisation (accounting).

1. Connectez-vous à l'interface de gestion de votre WLC ou AP.
2. Accédez à Sécurité > AAA > RADIUS > Authentification.
3. Ajoutez un nouveau serveur d'authentification RADIUS :
   • Adresse IP du serveur : Saisissez l'adresse IP de votre serveur RADIUS principal.
   • Secret partagé : Saisissez le secret partagé exact configuré à l'étape 1.
   • Port : 1812 (ou 2083 si vous utilisez RadSec).
   • Délai d'attente (Timeout) : Réglez sur 5 secondes pour tenir compte de la latence du réseau.
   • Nombre de tentatives : Réglez sur 3.
4. Accédez à Comptabilisation RADIUS (RADIUS Accounting) et ajoutez une nouvelle entrée de serveur en utilisant le port 1813 (ou 2083 pour RadSec).
5. Répétez ces étapes pour ajouter un serveur RADIUS secondaire (de secours) afin de garantir une haute disponibilité.

Étape 3 : Configurer le SSID du personnel (802.1X)

1. Créez un nouveau SSID nommé Staff_Enterprise.
2. Définissez le type de sécurité sur WPA3-Enterprise (ou le mode de transition WPA2/WPA3-Enterprise si la prise en charge des appareils existants est requise).
3. Sélectionnez 802.1X comme protocole de gestion des clés.
4. Associez le SSID aux serveurs d'authentification et de comptabilisation RADIUS configurés à l'étape 2.
5. Associez le SSID au VLAN sécurisé du personnel (par exemple, VLAN 10).

Étape 4 : Configurer le SSID invité avec Captive Portal

1. Créez un nouveau SSID nommé Guest_WiFi.
2. Définissez le type de sécurité sur Ouvert (ou Enhanced Open / OWE pour le chiffrement sans fil opportuniste).
3. Activez le filtrage MAC ou l'authentification MAC et pointez vers le serveur RADIUS.
4. Activez la redirection vers le Captive Portal / Portail Web.
5. Configurez l'URL de redirection pour pointer vers la page de connexion du Captive Portal de Purple.
6. Configurez le Walled Garden (ACL de pré-authentification) pour autoriser le trafic vers le domaine du Captive Portal, les serveurs DNS et les ressources CDN nécessaires avant la fin de l'authentification.
7. Associez le SSID à un VLAN invité isolé (par exemple, VLAN 20).

Bonnes pratiques

Haute disponibilité et redondance

Déployez toujours les serveurs RADIUS par paires redondantes (primaire et secondaire). Assurez-vous que ces serveurs sont situés sur des équipements physiques différents ou dans des zones de disponibilité cloud différentes. Configurez vos WLC pour qu'ils basculent de manière fluide vers le serveur secondaire si le serveur primaire ne répond plus. Implémentez la répartition de charge (load balancing) là où cela est approprié pour distribuer le trafic d'authentification de manière uniforme.

Gestion des certificats

Pour les déploiements PEAP et EAP-TLS, la validité et la confiance du certificat du serveur RADIUS sont primordiales.

• Utilisez un certificat émis par une autorité de certification (CA) publique de confiance pour les portails invités et les déploiements PEAP afin d'éviter les messages d'avertissement de certificat sur les appareils des utilisateurs.
• Pour EAP-TLS, établissez une autorité de certification privée interne dédiée pour émettre et gérer les certificats clients et serveurs.
• Surveillez de près les dates d'expiration des certificats et mettez en œuvre des processus de renouvellement automatisés (tels que SCEP ou ACME) pour éviter les pannes soudaines d'authentification sur l'ensemble du réseau.

Segmentation VLAN

Segmentez strictement le trafic de votre réseau à l'aide de VLANs. Le trafic invité doit être complètement isolé des ressources de l'entreprise. Implémentez des règles de pare-feu au niveau du commutateur central ou de la passerelle pour empêcher le routage inter-VLAN entre le VLAN invité et les VLANs du personnel ou de gestion. Autorisez uniquement le trafic invité à s'orienter directement vers Internet.

Délai d'expiration de session et intervalles de comptabilité

Configurez des délais d'expiration de session appropriés pour éviter que les sessions obsolètes ne consomment des adresses IP et des ressources réseau.

• Pour les réseaux du personnel, définissez un délai d'expiration de session de 8 à 12 heures, ce qui correspond à un quart de travail standard.
• Pour les réseaux invités, définissez un délai d'expiration de session plus court de 2 à 4 heures.
• Configurez l'intervalle d'intégration des mises à jour intermédiaires de comptabilité RADIUS sur 10 ou 15 minutes. Cela garantit que le serveur RADIUS reçoit des mises à jour régulières sur la connectivité des appareils et l'utilisation des données sans surcharger le serveur de paquets de comptabilité.

Dépannage et atténuation des risques

Modes de défaillance courants et solutions

1. Incohérence du secret partagé

• Symptôme : Les journaux du contrôleur LAN sans fil (WLC) affichent « RADIUS server not responding » et les journaux du serveur RADIUS indiquent « Packet dropped - invalid authenticator » ou « Bad authenticator in request ».
• Cause principale : Le secret partagé configuré sur le WLC ne correspond pas à celui configuré sur le serveur RADIUS.
• Atténuation : Saisissez à nouveau le secret partagé sur les deux appareils, en veillant à ce qu'aucun espace de fin ni caractère masqué ne soit copié.

2. Problèmes de confiance de certificat

• Symptôme : Les appareils clients ne parviennent pas à se connecter au SSID du personnel, affichant des erreurs telles que « Untrusted Server Certificate » ou « Connection Rejected ».
• Cause principale : L'appareil client ne fait pas confiance à l'autorité de certification (CA) qui a signé le certificat du serveur RADIUS, ou le certificat a expiré.
• Atténuation : Assurez-vous que les certificats de l'autorité de certification racine et intermédiaire sont installés dans le magasin de certificats racine de confiance de l'appareil client. Pour les appareils gérés par l'entreprise, déployez ces certificats via un MDM ou une stratégie de groupe.

3. Blocages de pare-feu

• Symptôme : Aucun trafic n'est reçu par le serveur RADIUS en provenance du WLC, bien que le routage soit vérifié.
• Cause principale : Les pare-feu intermédiaires bloquent les ports UDP 1812 et 1813.
• Atténuation : Créez des règles de pare-feu explicites pour autoriser les ports UDP 1812 et 1813 (ou TCP 2083 pour RadSec) entre l'IP de gestion du WLC et l'IP du serveur RADIUS.

4. Délais d'expiration induits par la latence

• Symptôme : Échecs d'authentification intermittents, en particulier pendant les heures de pointe ou lors de l'utilisation de serveurs RADIUS basés sur le cloud.
• Cause principale : La latence du réseau dépasse le seuil de délai d'expiration RADIUS du WLC, ce qui amène le WLC à supposer que le serveur est hors ligne.
• Atténuation : Augmentez le paramètre de délai d'expiration RADIUS du WLC de sa valeur par défaut (généralement 2 secondes) à 5 ou 7 secondes. Optimisez le routage WAN ou implémentez des proxys RADIUS locaux pour mettre en cache les demandes d'authentification.

ROI et impact commercial

La transition vers un modèle d'authentification RADIUS centralisé offre une valeur commerciale mesurable dans plusieurs domaines clés :

• Frais opérationnels réduits : Élimine l'effort manuel requis pour renouveler les mots de passe WiFi partagés lorsque le personnel quitte l'entreprise. Les comptes d'utilisateurs peuvent être instantanément désactivés dans Active Directory ou votre fournisseur d'identité, révoquant immédiatement leur accès au réseau.
• Posture de sécurité renforcée : Atténue le risque de violations de données causées par le vol d'identifiants ou l'accès non autorisé au réseau. En imposant l'authentification 802.1X et par certificat, les organisations garantissent que seuls les appareils autorisés et conformes peuvent accéder aux ressources d'entreprise sensibles.
• Opérations de site optimisées : En intégrant le WiFi invités à la plateforme cloud RADIUS de Purple, les exploitants de sites capturent des données démographiques et comportementales précieuses. Ces données peuvent être utilisées pour concevoir des campagnes marketing ciblées, améliorer l'engagement des visiteurs et optimiser l'utilisation de l'espace physique sur la base des analyses de fréquentation.
• Conformité réglementaire : Les journaux de comptabilité RADIUS centralisés fournissent une piste d'audit des accès réseau, aidant les organisations à respecter les exigences de conformité pour des normes telles que PCI-DSS, ISO 27001 et GDPR.