Qu'est-ce que Cloud RADIUS ? Le guide complet du RADIUS-as-a-Service

Qu'est-ce que Cloud RADIUS ? Un guide complet du RADIUS-as-a-Service. Bienvenue dans le Podcast Purple WiFi Intelligence. Je suis votre hôte et, aujourd'hui, nous faisons un point approfondi sur Cloud RADIUS - ce que c'est, comment cela fonctionne sous le capot et, surtout, comment évaluer si c'est la bonne solution pour votre organisation ce trimestre. Que vous gériez un groupe hôtelier, un parc de points de vente, un stade ou un réseau du secteur public, ce sujet vous concerne. Plantons le décor. Introduction et contexte. Si vous avez déjà dû expliquer à un conseil d'administration pourquoi votre serveur d'authentification réseau est tombé en panne à 2 heures du matin - et pourquoi il a fallu trois heures pour le remettre en service - vous comprenez déjà le problème fondamental que Cloud RADIUS résout. L'infrastructure RADIUS sur site traditionnelle est puissante, mais elle entraîne des coûts opérationnels importants. Du matériel à acquérir, des cycles de correctifs à gérer, une redondance à concevoir manuellement et un point de défaillance unique situé dans votre salle de serveurs. Cloud RADIUS, ou RADIUS-as-a-Service, déplace cette couche d'authentification vers un environnement cloud managé et hautement disponible. Le protocole lui-même - Remote Authentication Dial-In User Service - n'a pas changé. Il reste le pilier du contrôle d'accès réseau IEEE 802.1X, toujours le mécanisme utilisé par vos points d'accès pour valider qui accède à votre réseau. Mais l'infrastructure qui l'exécute est désormais gérée par un tiers. Et dans l'informatique d'entreprise, c'est un changement important. Entrons donc dans les détails techniques. Analyse technique approfondie. RADIUS a été défini à l'origine dans la RFC 2865, publiée en 2000, et il est resté remarquablement durable. Le protocole fonctionne sur un modèle client-serveur. Votre équipement d'accès réseau - qu'il s'agisse d'un point d'accès WiFi, d'un concentrateur VPN ou d'un commutateur filaire - agit en tant que client RADIUS, également appelé serveur d'accès réseau ou NAS. Lorsqu'un utilisateur tente de se connecter, le NAS transmet un paquet Access-Request au serveur RADIUS, qui valide les identifiants par rapport à un annuaire d'utilisateurs - généralement Active Directory, LDAP ou un fournisseur d'identité cloud - et renvoie un Access-Accept ou un Access-Reject. C'est l'échange de base. Mais la véritable complexité réside dans ce qui se passe autour : méthodes EAP, attribution de VLAN, application des règles, enregistrements de comptabilité et gestion des certificats. Dans un déploiement sur site traditionnel, vous exécutez FreeRADIUS ou Microsoft NPS sur du matériel dédié, en gérant vos propres certificats, en configurant votre propre basculement et en maintenant la synchronisation de votre propre base de données utilisateurs. Pour un déploiement sur un seul site avec une équipe informatique compétente, c'est gérable. Pour un parc de points de vente de 50 sites ou un groupe hôtelier possédant des établissements dans plusieurs pays, cela devient une charge opérationnelle importante. Le Cloud RADIUS simplifie tout cela. La logique d'authentification, l'infrastructure de certificats, la redondance et le moteur de politiques sont tous fournis sous forme de service managé. Vos points d'accès pointent vers des terminaux RADIUS hébergés dans le cloud - généralement une adresse IP principale et secondaire - et le service gère tout le reste en arrière-plan. Parlons maintenant des méthodes d'authentification, car c'est là que les décisions techniques importent vraiment. La méthode EAP la plus courante dans le WiFi d'entreprise est PEAP - Protected EAP - qui encapsule MSCHAPv2 dans une session TLS. Elle est largement supportée, fonctionne nativement avec Active Directory et constitue le choix par défaut pour la plupart des appareils Windows et Android. Cependant, PEAP présente des vulnérabilités connues, notamment au niveau de la validation des certificats. Si vos appareils clients ne sont pas configurés pour vérifier le certificat du serveur, vous êtes exposé à des attaques de collecte d'identifiants via des points d'accès malveillants. EAP-TLS est la référence absolue. Il utilise une authentification mutuelle par certificat - le serveur et le client présentant tous deux des certificats - ce qui élimine totalement la surface d'attaque sur les mots de passe. Le compromis réside dans le déploiement des certificats clients, qui nécessite une infrastructure PKI et une intégration MDM. Pour les parcs d'appareils managés, c'est absolument le bon choix. Pour les environnements BYOD, c'est plus complexe. EAP-TTLS et EAP-FAST méritent également d'être connus. Le TTLS est particulièrement courant dans les environnements où vous devez prendre en charge une large gamme d'appareils clients, y compris les systèmes Linux. EAP-FAST a été développé par Cisco comme une alternative à PEAP qui évite la dépendance à la validation des certificats, en utilisant à la place des Protected Access Credentials. Un service Cloud RADIUS bien conçu prend en charge toutes ces méthodes et vous permet de configurer des politiques par SSID - ainsi, votre SSID d'entreprise utilise EAP-TLS avec validation de certificat, votre SSID personnel utilise PEAP avec Active Directory, et votre réseau invité utilise un Captive Portal ou un flux de connexion via les réseaux sociaux entièrement distinct de la pile RADIUS. À ce propos, le RADIUS et le WiFi invité sont souvent confondus, mais ils répondent à des objectifs différents. Le RADIUS est votre couche d'authentification et d'autorisation pour les utilisateurs et appareils connus. Le WiFi invité utilise généralement un flux de Captive Portal, qui est un mécanisme entièrement différent. La plateforme de Purple, par exemple, gère l'authentification des invités via une couche d'identité distincte, capturant des données de première main et permettant l'automatisation du marketing, tandis que RADIUS gère le contrôle d'accès au réseau de l'entreprise et du personnel. Ce sont des systèmes complémentaires et non concurrents. Parlons maintenant de ce que signifie concrètement l'expression "hébergé dans le cloud". Un service RADIUS-as-a-Service correctement architecturé fonctionne sur plusieurs zones de disponibilité, avec basculement automatique. Les requêtes d'authentification sont réparties par équilibrage de charge sur plusieurs nœuds, et le service maintient des temps de réponse inférieurs à 100 millisecondes, même en cas de charge maximale. Pour un stade gérant 40 000 connexions simultanées lors d'un événement, ce profil de latence et de débit est critique. Un simple serveur sur site ne peut tout simplement pas rivaliser avec une telle élasticité. Du point de vue de la conformité, les fournisseurs de RADIUS-as-a-Service opérant au Royaume-Uni et dans l'UE doivent être conformes au GDPR dans leur gestion des journaux d'authentification et des données utilisateur. Pour les environnements de vente au détail et d'hôtellerie qui traitent également des données de cartes de paiement, les exigences PCI-DSS relatives à la segmentation du réseau et au contrôle d'accès sont directement applicables - RADIUS fait partie de votre environnement de contrôle, et votre QSA voudra des preuves de configuration correcte et de journalisation d'audit. Le WPA3 mérite également d'être abordé. La transition du WPA2 au WPA3 introduit l'authentification simultanée d'égaux - SAE - pour les réseaux personnels, et le WPA3-Enterprise pour les environnements d'entreprise. Le WPA3-Enterprise impose un mode de sécurité 192 bits pour la classification la plus élevée, ce qui nécessite des méthodes EAP et des suites de chiffrement spécifiques. Un service RADIUS-as-a-Service doit prendre en charge ces configurations pour être pérenne. Recommandations de mise en œuvre et pièges à éviter. Passons maintenant à la pratique. Si vous évaluez un RADIUS-as-a-Service pour un déploiement ce trimestre, voici les points sur lesquels je me concentrerais. Premièrement, l'intégration avec votre fournisseur d'identité. Votre service RADIUS-as-a-Service doit se synchroniser avec l'emplacement réel de vos utilisateurs, qu'il s'agisse de Microsoft Entra ID (anciennement Azure AD), Google Workspace, Okta ou d'un Active Directory sur site via un proxy LDAP. La qualité de cette intégration détermine votre charge opérationnelle. Un provisionnement natif SAML ou SCIM est bien préférable à des importations manuelles de fichiers CSV. Deuxièmement, la gestion des certificats. Si vous déployez EAP-TLS, vous devez avoir une réponse claire sur la manière dont les certificats clients sont émis, renouvelés et révoqués. Les meilleurs services RADIUS-as-a-Service incluent une PKI intégrée ou s'intègrent proprement avec votre autorité de certification existante. L'expiration des certificats est l'une des causes les plus courantes d'échec d'authentification sur le WiFi d'entreprise - elle est entièrement évitable grâce à une automatisation appropriée. Troisièmement, la compatibilité des équipements réseau. Vos points d'accès doivent prendre en charge l'authentification RADIUS - ce que font pratiquement tous les points d'accès de classe entreprise - mais vous devez vérifier les méthodes EAP spécifiques et les attributs RADIUS pris en charge par le service choisi par rapport à l'implémentation du fournisseur de vos points d'accès. Cisco, Aruba, Juniper Mist et Ruckus ont tous leurs propres nuances dans la gestion des attributs RADIUS et des messages CoA - Change of Authorisation.Quatrièmement, la configuration de la redondance. Configurez toujours une IP de serveur RADIUS principale et secondaire. Le délai d'expiration de basculement sur vos appareils NAS est important - s'il est configuré trop haut, les utilisateurs subiront un retard d'authentification de 30 secondes lorsque le serveur principal est inaccessible. Un délai d'expiration de 3 à 5 secondes avec un basculement immédiat est la bonne configuration pour la plupart des environnements. Cinquièmement - et c'est celui que les gens oublhent - la comptabilisation (accounting). Les enregistrements de comptabilisation RADIUS constituent votre piste d'audit. Ils vous indiquent qui s'est connecté, depuis quel appareil, à quelle heure et pendant combien de temps. À des fins de conformité, en particulier dans les environnements de santé et du secteur public, ces enregistrements doivent être conservés et accessibles. Assurez-vous que votre fournisseur de Cloud RADIUS vous donne accès aux données de comptabilisation, et pas seulement aux journaux d'authentification. Pièges courants : la complexité du secret partagé. Votre secret partagé RADIUS - la clé pré-partagée entre votre NAS et le serveur RADIUS - doit être long et aléatoire. Des secrets partagés courts ou faciles à deviner constituent un véritable vecteur d'attaque. Utilisez au moins 32 caractères, générés de manière aléatoire, et changez-les régulièrement. Faites également attention à la mise sur liste blanche des IP. De nombreux services Cloud RADIUS vous obligent à inscrire sur liste blanche les IP sources de vos appareils NAS. Dans un environnement cloud dynamique où votre plateforme de gestion d'AP peut utiliser le NAT, cela peut provoquer des échecs d'authentification inattendus. Confirmez le comportement NAT de votre réseau avant le déploiement. Questions-réponses rapides. Laissez-moi passer en revue quelques questions que l'on me pose régulièrement. Le Cloud RADIUS peut-il prendre en charge les environnements multi-locataires ? Oui - la plupart des services Cloud RADIUS d'entreprise prennent en charge l'isolation des locataires, de sorte qu'un fournisseur de services gérés peut exécuter des politiques RADIUS distinctes pour plusieurs clients à partir d'une plateforme unique. Quelle est la latence typique pour une authentification Cloud RADIUS ? Moins de 100 millisecondes pour un service bien conçu. La négociation 802.1X elle-même ajoute une certaine surcharge, mais pour la plupart des méthodes EAP, le temps total d'authentification devrait être inférieur à 500 millisecondes de bout en bout. Le Cloud RADIUS fonctionne-t-il avec OpenRoaming ? Oui. OpenRoaming - le cadre de roaming de la Wireless Broadband Alliance - utilise la fédération RADIUS à la base. Un service Cloud RADIUS qui prend en charge Hotspot 2.0 et OpenRoaming permet à vos utilisateurs de s'authentifier automatiquement sur les réseaux participants à l'échelle mondiale. Purple prend en charge OpenRoaming sous sa licence Connect, en agissant comme un fournisseur d'identité dans la fédération. Le Cloud RADIUS est-il adapté aux environnements hautement sécurisés ? Pour la plupart des environnements d'entreprise, oui. Pour les environnements contenant des données classifiées ou des classifications de sécurité gouvernementales spécifiques, vous devrez peut-être évaluer si un service cloud géré répond à vos exigences d'accréditation spécifiques. Résumé et prochaines étapes. Pour résumer : Cloud RADIUS est une approche mature et prête pour la production en matière de contrôle d'accès réseau, qui élimine la charge opérationnelle de l'infrastructure RADIUS sur site sans compromettre la sécurité ni les fonctionnalités. Pour les organisations multi-sites, l'analyse du ROI est simple - vous éliminez les dépenses d'investissement matériel, réduisez les frais généraux informatiques, bénéficiez d'une redondance intégrée et obtenez un service qui s'adapte à l'évolution de votre parc. Les décisions clés sont les suivantes : quelle méthode EAP est la mieux adaptée à votre flotte d'appareils, comment vous intégrer à votre fournisseur d'identité existant, et si le service choisi vous offre les capacités de conformité et d'audit requises par votre organisation. Si vous gérez un groupe hôtelier, une chaîne de magasins ou des réseaux du secteur public, je vous recommande de commencer par une preuve de concept sur un seul site - configurez correctement votre RADIUS, validez l'intégration avec votre fournisseur d'identité et mesurez la latence d'authentification avant de déployer la solution sur l'ensemble de votre parc. Pour en savoir plus sur l'analyse WiFi, la gestion des réseaux invités et la manière dont la plateforme de Purple s'intègre à l'authentification basée sur RADIUS, visitez purple.ai. Merci pour votre écoute.