Comment configurer un serveur RADIUS pour l'authentification WiFi
Ce guide de référence offre aux responsables informatiques et aux architectes réseau un plan d'action complet pour déployer un serveur RADIUS destiné à l'authentification WiFi d'entreprise. Il aborde les compromis d'architecture entre les déploiements sur site et dans le cloud, la sélection des méthodes EAP, l'intégration à Active Directory et l'attribution dynamique de VLAN. Les exploitants de sites et les équipes informatiques y trouveront des étapes de mise en œuvre concrètes, des études de cas réelles et des stratégies de réduction des risques pour passer d'un environnement PSK non sécurisé à une infrastructure 802.1X robuste dès ce trimestre.
Video overview
Écouter ce guide
Voir la transcription du podcast
Fait partie de notre série principale : Guide de sécurité WiFi pour les entreprises →
Synthèse
Pour les environnements d'entreprise - qu'il s'agisse d'un campus universitaire étendu, d'un stade à haute densité ou d'une chaîne de vente au détail distribuée - s'appuyer sur une clé pré-partagée (PSK) pour l'accès WiFi représente un risque de sécurité majeur. Un seul identifiant compromis expose l'ensemble du réseau, et la révocation de l'accès nécessite de changer le mot de passe de tous les appareils du parc. La mise en œuvre de l'authentification 802.1X via un serveur RADIUS élimine complètement ce problème : chaque utilisateur s'authentifie individuellement, l'accès peut être révoqué instantanément, et la segmentation du réseau est appliquée de manière dynamique.
Ce guide fournit une feuille de route définitive aux responsables informatiques et aux architectes réseau pour déployer l'authentification RADIUS. Nous couvrons les compromis architecturaux entre les déploiements sur site et hébergés dans le cloud, la configuration des méthodes EAP (Extensible Authentication Protocol) et l'intégration avec les services d'annuaire comme Active Directory. Nous démontrons également comment une couche d'authentification robuste s'intègre aux solutions de Guest WiFi pour offrir un accès transparent aux visiteurs, tout en collectant les WiFi Analytics qui transforment votre réseau en un outil d'intelligence d'affaires.
Analyse Technique Approfondie
L'Architecture 802.1X
La norme IEEE 802.1X définit le contrôle d'accès réseau basé sur les ports (PNAC). Dans un contexte sans fil, elle implique trois rôles principaux travaillant de concert :
| Rôle | Composant | Responsabilité |
|---|---|---|
| Supplicant | Appareil client (ordinateur portable, smartphone) | Présente les identifiants pour demander l'accès au réseau |
| Authentificateur | Point d'accès ou contrôleur WiFi | Applique le contrôle d'accès ; relais les messages EAP |
| Serveur d'Authentification | Serveur RADIUS | Valide les identifiants ; renvoie les attributs d'acceptation/refus et de politique |
Lorsqu'un supplicant s'associe à un point d'accès, l'AP bloque tout le trafic de données à l'exception des messages EAP (Extensible Authentication Protocol). L'AP encapsule ces messages EAP dans des paquets RADIUS et les transmet au serveur RADIUS. Le serveur vérifie les identifiants par rapport à une base de données d'annuaire - généralement LDAP ou Active Directory - et renvoie un message Access-Accept ou Access-Reject. S'il est accepté, l'AP débloque le port et le trafic du client s'écoule librement.
Choisir une Méthode EAP
La sécurité de votre déploiement RADIUS dépend fortement de la méthode EAP sélectionnée. Les deux plus courantes dans les déploiements d'entreprise sont :
EAP-TLS (Transport Layer Security) est la référence absolue. Il nécessite des certificats numériques à la fois sur le serveur RADIUS et sur chaque appareil client, éliminant totalement les mots de passe. Même si un attaquant intercepte l'intégralité de l'échange d'authentification, il n'y a aucun identifiant à extraire. Le compromis réside dans la charge administrative : le déploiement et la gestion des certificats clients nécessitent une infrastructure de clés publiques (PKI) opérationnelle et une solution MDM (par exemple, Microsoft Intune, Jamf) pour distribuer les certificats aux terminaux.
PEAP-MSCHAPv2 (Protected EAP) est la méthode la plus largement déployée en pratique. Elle utilise un certificat côté serveur pour établir un tunnel TLS chiffré, au sein duquel le client s'authentifie à l'aide d'un nom d'utilisateur et d'un mot de passe. C'est nettement plus simple à déployer que EAP-TLS car un seul certificat - celui du serveur - doit être géré. Cependant, elle comporte une réserve essentielle : si les appareils clients ne sont pas explicitement configurés pour valider le certificat du serveur RADIUS, ils sont vulnérables aux attaques de type Man-in-the-Middle (MitM) via des points d'accès malveillants.
Note de sécurité critique : Le fait de ne pas imposer une validation stricte des certificats sur les appareils clients annule de fait les avantages de sécurité de PEAP-MSCHAPv2. Un attaquant peut déployer un point d'accès malveillant, présenter un faux certificat et intercepter les identifiants des utilisateurs en clair. Il ne s'agit pas d'un risque théorique - c'est un vecteur d'attaque bien documenté qui a été exploité dans des environnements réels.
Guide de mise en œuvre
Étape 1 : Décision architecturale - RADIUS sur site vs. Cloud
La première décision consiste à choisir où héberger l'infrastructure RADIUS. Il s'agit principalement d'une question opérationnelle et de coût, et non de sécurité - les deux modèles peuvent être déployés de manière sécurisée.
RADIUS sur site (par exemple, Microsoft NPS, FreeRADIUS, Cisco ISE) convient aux organisations disposant d'un personnel informatique dédié, d'une infrastructure d'annuaire sur site existante et de contraintes strictes en matière de souveraineté des données ou de conformité. Il ne dépend pas de la connectivité internet pour l'authentification, ce qui constitue un avantage certain pour les environnements où la disponibilité d'internet ne peut être garantie.
Cloud RADIUS est de plus en plus le modèle privilégié pour les environnements distribués - chaînes de Retail, groupes de Hospitality et hubs de Transport où le déploiement de serveurs sur chaque site est techniquement et opérationnellement irréalisable. Cloud RADIUS s'intègre nativement avec les fournisseurs d'identité cloud (Azure AD, Google Workspace, Okta) et offre une haute disponibilité intégrée ainsi qu'une évolutivité mondiale.
Étape 2 : Installer et configurer le serveur RADIUS
Pour un déploiement sur site utilisant Microsoft NPS (le choix le plus courant dans les environnements centrés sur Windows) :
- Installez le rôle Serveur de stratégie réseau (NPS) via le Gestionnaire de serveur.
- Enregistrez le serveur NPS dans Active Directory pour lui permettre de lire les propriétés de connexion des utilisateurs.
- Créez une entrée RADIUS Client pour chaque point d'accès ou contrôleur sans fil, en spécifiant l'adresse IP du point d'accès et un secret partagé fort et unique.
- Configurez une Network Policy définissant les conditions (par exemple, l'appartenance à un groupe d'utilisateurs) et les contraintes (par exemple, la méthode EAP, le délai d'expiration de la session) pour l'accès.
- Configurez la Connection Request Policy pour traiter les requêtes localement.
Pour FreeRADIUS sur Linux :
- Installez via le gestionnaire de paquets :
sudo apt-get install freeradius freeradius-ldap. - Configurez
/etc/freeradius/3.0/clients.confpour définir les clients RADIUS (les points d'accès) et leurs secrets partagés. - Configurez le module LDAP dans
/etc/freeradius/3.0/mods-available/ldappour pointer vers votre Active Directory ou serveur LDAP. - Activez le module LDAP :
sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/. - Définissez les méthodes EAP dans
/etc/freeradius/3.0/mods-available/eap.
Étape 3 : Configurer les points d'accès
Sur votre contrôleur sans fil ou vos points d'accès individuels :
- Définissez l'adresse ou les adresses IP du serveur RADIUS et le port d'authentification (par défaut : UDP 1812).
- Configurez le Shared Secret - utilisez un minimum de 22 caractères, en mélangeant des caractères alphanumériques et spéciaux. Utilisez un secret unique par emplacement ou par groupe de points d'accès.
- Configurez le SSID pour utiliser le mode de sécurité WPA2-Enterprise ou WPA3-Enterprise avec la gestion des clés 802.1X.
- Configurez un serveur RADIUS secondaire pour la redondance.
Étape 4 : Intégration de l'annuaire
Pour l'intégration d'un AD sur site, le serveur RADIUS doit être joint au domaine ou disposer d'un accès en lecture LDAP. Assurez-vous que les comptes de service utilisés pour la liaison LDAP disposent des autorisations minimales requises. Pour le RADIUS cloud, configurez la synchronisation basée sur l'API ou l'intégration SAML/OIDC avec votre fournisseur d'identité.
Définissez des groupes d'utilisateurs clairs dans votre annuaire, car ce sont eux qui dicteront les politiques d'autorisation. Structure de groupe recommandée :
| Groupe | VLAN | Niveau d'accès |
|---|---|---|
Corp_Staff |
VLAN 10 | Réseau interne complet |
Corp_Contractors |
VLAN 20 | Internet + ressources internes spécifiques |
Corp_IoT |
VLAN 30 | Isolé, ports spécifiques aux appareils uniquement |
Corp_Guests |
VLAN 100 | Internet uniquement via captive portal |
Étape 5 : Configuration des clients et validation des certificats
Il s'agit de l'étape la plus critique sur le plan opérationnel. Utilisez les stratégies de groupe (GPO) pour Windows et les profils MDM pour macOS/iOS/Android afin de déployer silencieusement les configurations WiFi sur les appareils gérés. Le profil doit spécifier :
- L'Autorité de certification racine (Root CA) qui a émis le certificat du serveur RADIUS.
- Le nom de serveur attendu (CN ou SAN du certificat du serveur).
- La méthode EAP et le protocole d'authentification interne.
Pour les appareils BYOD non gérés, fournissez des instructions d'intégration claires en libre-service, idéalement via un portail de contrôle d'accès au réseau (NAC).
Étape 6 : Implémenter l'attribution dynamique de VLAN
Configurez le serveur RADIUS pour renvoyer les attributs d'attribution de VLAN dans la réponse Access-Accept :
Tunnel-Type=VLAN(13)Tunnel-Medium-Type=IEEE-802(6)Tunnel-Private-Group-Id=<VLAN ID>
Le point d'accès lit ces attributs et place le client authentifié sur le VLAN spécifié - aucune reconfiguration manuelle n'est requise lorsque les utilisateurs changent de rôle ou d'emplacement.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.
Bonnes Pratiques
La redondance est non négociable. Déployez un minimum de deux serveurs RADIUS (primaire et secondaire) et configurez tous les points d'accès pour un basculement automatique. Pour les déploiements sur site, envisagez de placer le serveur secondaire dans un emplacement physique ou une zone de disponibilité différents. Une panne du serveur RADIUS signifie que personne ne peut s'authentifier, ce qui représente une panne réseau complète pour les SSID protégés par 802.1X.
Surveillez l'expiration des certificats de manière proactive. L'expiration d'un certificat de serveur RADIUS est l'une des causes les plus courantes d'échecs d'authentification soudains et généralisés. Mettez en place une surveillance pour alerter les administrateurs au moins 30 jours avant l'expiration. Cela s'applique à la fois au certificat du serveur et à tous les certificats de l'autorité de certification (CA) intermédiaire dans la chaîne.
Traitez le Secret Partagé comme une information d'identification essentielle. Le secret partagé entre le point d'accès et le serveur RADIUS chiffre les paquets RADIUS. Utilisez des secrets uniques par emplacement ou par groupe de points d'accès, stockez-les dans un gestionnaire de secrets et renouvelez-les périodiquement. Consultez notre guide sur la Protection de votre réseau avec un DNS solide et la sécurité pour des recommandations plus larges sur l'hygiène de la sécurité réseau.
S'aligner sur les référentiels de conformité. Pour les environnements soumis à PCI-DSS (par exemple, les réseaux de paiement du commerce de détail), l'authentification 802.1X prend directement en charge les exigences en matière de contrôle d'accès au réseau et de journalisation des audits. Pour la conformité GDPR, les journaux de comptabilité RADIUS (port 1813) fournissent une piste d'audit détaillée de qui a accédé au réseau, d'où et quand - ce qui est précieux pour la réponse aux incidents. Pour les environnements de Santé, la segmentation du réseau via l'attribution dynamique de VLAN prend en charge les exigences HIPAA pour la protection des informations de santé protégées électroniques (ePHI).
Dépannage et atténuation des risques
| Mode de défaillance | Symptôme | Résolution |
|---|---|---|
| Expiration du certificat | Échecs d'authentification de masse soudains | Surveiller l'expiration ; renouveler et redéployer le certificat |
| Désynchronisation NTP | Échecs EAP-TLS intermittents | S'assurer que le serveur RADIUS et les contrôleurs de domaine se synchronisent sur la même source NTP |
| Perte de connectivité LDAP | L'authentification échoue lorsque l'AD est inaccessible | Déployer des contrôleurs de domaine redondants ; configurer RADIUS pour mettre en cache les authentications récentes |
| Secret Partagé incorrect | Les journaux du point d'accès affichent RADIUS timeout ou Bad authenticator |
Vérifier que le secret correspond à la fois sur le point d'accès et sur le serveur RADIUS |
| Incohérence du certificat client | Échecs EAP-TLS pour des appareils spécifiques | Vérifier que le certificat client est émis par une autorité de certification de confiance ; vérifier la période de validité du certificat |
| VLAN non attribué | Utilisateur authentifié mais sur le mauvais segment de réseau | Vérifier que les attributs RADIUS sont correctement renvoyés ; vérifier la configuration VLAN du point d'accès |
Pour approfondir le processus de configuration 802.1X lui-même, le guide Comment configurer l'authentification WiFi 802.1X : Un guide étape par étape propose des procédures de configuration détaillées et spécifiques à chaque constructeur.
ROI et impact commercial
Le passage d'un PSK à un système 802.1X basé sur RADIUS nécessite un investissement initial en configuration, et potentiellement en licences pour les solutions cloud ou en matériel pour les déploiements sur site. Le calcul du ROI est simple :
Atténuation des risques : Le coût moyen d'une violation de données au Royaume-Uni dépasse les 3 millions de livres sterling (rapport IBM sur le coût d'une violation de données). Un PSK compromis peut exposer l'ensemble du réseau. Le protocole 802.1X limite la zone d'impact à un seul compte utilisateur compromis, qui peut être désactivé en quelques secondes via l'annuaire.
Efficacité opérationnelle : L'attribution dynamique de VLAN élimine la reconfiguration manuelle du réseau lors des changements de rôle du personnel. L'intégration d'un nouvel employé consiste simplement à l'ajouter au bon groupe Active Directory - son accès au réseau suit automatiquement.
Posture de conformité : Pour les organisations soumises aux normes PCI-DSS, ISO 27001 ou Cyber Essentials Plus, le 802.1X est un contrôle direct que les auditeurs s'attendent à voir. Son déploiement renforce votre conformité et réduit les coûts de correction des audits.
Expérience invité et analyses : Pour les exploitants de sites, l'intégration de RADIUS pour l'authentification du personnel avec la plateforme Guest WiFi de Purple pour l'accès des visiteurs crée un modèle d'accès unifié et hiérarchisé. Le personnel s'authentifie de manière transparente via 802.1X ; les invités se connectent via un portail captif personnalisé. La plateforme WiFi Analytics de Purple offre ensuite une visibilité en temps réel sur les temps de séjour des visiteurs, les taux de visites répétées et les indicateurs d'engagement - des données qui influencent directement les dépenses marketing et les décisions d'exploitation des sites.
Pour aller plus loin, consultez le guide Como Configurar a Autenticação 802.1X WiFi: Um Guia Passo a Passo pour obtenir des conseils de mise en œuvre en portugais, et l'article Qu'est-ce qu'une ligne louée ? Internet professionnel dédié pour savoir comment s'assurer que la connectivité sous-jacente répond aux exigences de l'entreprise.
Définitions clés
RADIUS (Remote Authentication Dial-In User Service)
Un protocole réseau fournissant une gestion centralisée de l'Authentification, de l'Autorisation et de la Comptabilité (AAA) pour les utilisateurs se connectant à un service réseau. Défini dans la RFC 2865.
Le composant serveur central qui valide les identifiants des utilisateurs auprès d'un annuaire avant d'accorder l'accès au WiFi. Tout déploiement de WiFi d'entreprise utilisant le protocole 802.1X requiert un serveur RADIUS.
802.1X
Une norme IEEE pour le contrôle d'accès réseau basé sur les ports (PNAC). Elle fournit un mécanisme d'authentification aux appareils souhaitant se connecter à un LAN ou WLAN, bloquant tout trafic non-EAP jusqu'à ce que l'authentification réussisse.
Le cadre de référence global qui définit la manière dont le Supplicant, l'Authentificateur et le serveur d'authentification communiquent. Lorsque les équipes informatiques parlent de "sécurité WiFi d'entreprise", elles font généralement référence au WPA2/WPA3-Enterprise avec 802.1X.
Supplicant
L'appareil client - ou plus précisément, la pile logicielle 802.1X sur cet appareil - qui lance le processus d'authentification en présentant des identifiants au réseau.
Sur Windows, le supplicant intégré est le service de configuration automatique sans fil. Sur macOS et iOS, il est natif au système d'exploitation. S'assurer que le supplicant est correctement configuré (particulièrement pour la validation des certificats) est la source la plus fréquente de problèmes de déploiement.
Authentificateur
L'appareil réseau - généralement un point d'accès WiFi ou un contrôleur sans fil - qui agit comme intermédiaire entre le Supplicant et le serveur RADIUS, appliquant le contrôle d'accès en fonction du résultat de l'authentification.
L'AP bloque tout le trafic de données sur le port jusqu'à ce qu'il reçoive un Access-Accept du serveur RADIUS. Il lit également les attributs RADIUS (par exemple, l'attribution de VLAN) de la réponse Access-Accept et les applique à la session.
EAP (Extensible Authentication Protocol)
Un cadre d'authentification défini dans la RFC 3748 qui fournit un mécanisme de transport standardisé pour diverses méthodes d'authentification (TLS, PEAP, TTLS, etc.) entre le Supplicant et le serveur d'authentification.
L'EAP est la "langue" parlée entre le client et le serveur RADIUS. Le choix de la méthode EAP (EAP-TLS par rapport à PEAP) détermine le niveau de sécurité et la complexité de déploiement du système d'authentification.
PEAP (Protected EAP)
Une méthode EAP qui établit d'abord un tunnel TLS à l'aide du certificat du serveur, puis effectue une authentification secondaire (généralement MSCHAPv2 avec nom d'utilisateur/mot de passe) à l'intérieur de ce tunnel chiffré.
La méthode d'authentification WiFi d'entreprise la plus courante en raison de son équilibre entre sécurité et simplicité de déploiement. Elle ne nécessite qu'un certificat côté serveur, ce qui la rend beaucoup plus facile à déployer que l'EAP-TLS.
Attribution dynamique de VLAN
Une fonctionnalité RADIUS par laquelle le serveur inclut des attributs spécifiques au VLAN (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-Id) dans la réponse Access-Accept, ordonnant à l'AP de placer le client authentifié sur un VLAN spécifique.
Permet à un seul SSID de desservir plusieurs populations d'utilisateurs ayant des exigences de sécurité différentes. Élimine le besoin de diffuser plusieurs SSID pour différents groupes d'utilisateurs, réduisant ainsi la surcharge RF et simplifiant l'expérience utilisateur.
Secret partagé
Une chaîne de caractères préconfigurée connue uniquement de l'Authentificateur (AP) et du serveur RADIUS, utilisée pour signer et chiffrer les paquets RADIUS, garantissant l'intégrité et l'authenticité de la communication.
Un élément critique de la configuration de sécurité. Si le secret partagé est faible ou compromis, un attaquant pourrait falsifier des réponses RADIUS Access-Accept, accordant ainsi un accès réseau non autorisé. Utilisez des secrets uniques par emplacement et stockez-les dans un gestionnaire de secrets.
Contournement de l'authentification MAC (MAB)
Un mécanisme d'authentification de secours dans lequel l'adresse MAC d'un appareil est utilisée comme identifiant, permettant l'accès au réseau pour les appareils qui ne prennent pas en charge les supplicants 802.1X.
Utilisé pour les appareils sans interface utilisateur (imprimantes, capteurs IoT, caméras IP). Les adresses MAC étant visibles publiquement et faciles à usurper, le MAB fournit une identification de l'appareil plutôt qu'une authentification forte. Associez-le toujours à une attribution de VLAN restrictive.
Exemples concrets
Une chaîne nationale de vente au détail comptant 500 points de vente doit mettre en œuvre un WiFi sécurisé pour les tablettes des directeurs de magasin et les terminaux de point de vente. Elle utilise actuellement une clé PSK unique pour l'ensemble des magasins, qui est fréquemment partagée avec du personnel et des sous-traitants non autorisés. Elle s'appuie sur Azure AD pour la gestion des identités et ne dispose d'aucun personnel informatique dédié dans les succursales.
Déployez une solution Cloud RADIUS intégrée directement avec Azure AD. Cela élimine la nécessité de déployer et de gérer des serveurs RADIUS sur site dans 500 points de vente. L'équipe informatique utilise Microsoft Intune pour pousser un profil WiFi configuré pour PEAP-MSCHAPv2 vers toutes les tablettes des directeurs de magasin et les terminaux de point de vente, en imposant strictement la validation du certificat du serveur Cloud RADIUS. La politique de Cloud RADIUS vérifie l'appartenance de l'utilisateur aux groupes Azure AD avant d'accorder l'accès : le groupe "Store_Managers" reçoit le VLAN 10 (accès complet aux terminaux de point de vente et au back-office), tandis que le groupe "Contractors" reçoit le VLAN 20 (accès internet uniquement). À la fin de la mission d'un sous-traitant, le fait de le retirer du groupe Azure AD révoque immédiatement son accès WiFi sur l'ensemble des 500 points de vente simultanément - aucun changement de clé PSK n'est nécessaire.
Un hôtel de centre-ville de 400 chambres doit fournir un WiFi sécurisé à la fois pour son personnel (réception, entretien, direction) et pour ses clients. Le personnel doit accéder au système de gestion hôtelière (PMS) et aux serveurs internes. Les clients ont uniquement besoin d'un accès à internet. L'hôtel dispose d'un unique environnement Windows Server sur site.
Déployez Microsoft NPS sur une machine virtuelle Windows Server dédiée. Configurez deux SSID sur l'infrastructure sans fil : "Hotel_Staff" (WPA2-Enterprise, 802.1X) et "Hotel_Guest" (ouvert ou WPA2-Personal, avec redirection vers un Captive Portal). Pour le SSID du personnel, NPS valide les identifiants auprès d'Active Directory et renvoie des attributions dynamiques de VLAN : groupe AD "Management" → VLAN 10 (accès complet), "FrontDesk" → VLAN 20 (accès au PMS), "Housekeeping" → VLAN 30 (accès internet et application de planification uniquement). Pour les clients, intégrez le Captive Portal avec la plateforme de WiFi invité de Purple afin d'offrir une expérience de connexion personnalisée aux couleurs de la marque, de collecter des données de premier niveau (e-mail, consentement marketing) et d'obtenir des analyses sur le temps de séjour et les visites récurrentes. Le modèle à double SSID sépare complètement le trafic du personnel et des clients au niveau de la couche réseau.
Questions d'entraînement
Q1. Votre organisation migre 2 000 ordinateurs portables Windows d'une clé PSK partagée vers le 802.1X avec PEAP-MSCHAPv2. Votre équipe de sécurité signale que PEAP est vulnérable à la collecte d'identifiants via des points d'accès malveillants. Quelle est l'étape de configuration la plus importante pour atténuer ce risque, et comment la déployez-vous à grande échelle ?
Conseil : Réfléchissez à ce qui empêche un client de faire confiance à un serveur RADIUS frauduleux présentant un certificat auto-signé.
Voir la réponse type
L'étape critique consiste à imposer une validation stricte du certificat de serveur sur chaque appareil client. À l'aide d'objets de stratégie de groupe (GPO), déployez un profil WiFi sur les 2 000 ordinateurs portables spécifiant : (1) le certificat de l'autorité de certification (CA) racine exact qui a émis le certificat du serveur RADIUS, (2) le nom de serveur attendu (CN/SAN), et (3) que le client ne doit pas inviter l'utilisateur à faire confiance à de nouveaux certificats. Cela garantit que même si un attaquant déploie un point d'accès malveillant avec un faux certificat, le client rejettera la liaison TLS et refusera d'envoyer les identifiants. Sans cette configuration, PEAP n'offre aucune protection significative contre les attaques de points d'accès malveillants.
Q2. Un directeur informatique d'hôpital doit fournir un accès réseau à 300 appareils IoT médicaux (pompes à perfusion, équipements de surveillance) qui ne prennent pas en charge le 802.1X. Ces appareils côtoient les postes de travail du personnel sur la même infrastructure sans fil. Comment l'infrastructure RADIUS doit-elle gérer ces appareils, et quels contrôles réseau doivent être mis en place ?
Conseil : Pensez à la méthode d'authentification disponible pour les appareils sans écran et à la manière de compenser sa faiblesse intrinsèque.
Voir la réponse type
Configurez le MAC Authentication Bypass (MAB) sur le serveur RADIUS pour ces appareils spécifiques. Enregistrez l'adresse MAC de chaque appareil dans un groupe Active Directory dédié ou dans une base de données RADIUS. Les adresses MAC étant faciles à usurper, le serveur RADIUS doit utiliser l'attribution dynamique de VLAN pour placer tous les appareils authentifiés par MAB sur un VLAN dédié et hautement restreint (par exemple, le VLAN 30 - IoT). Ce VLAN doit être protégé par un pare-feu pour autoriser uniquement la communication avec des adresses IP de serveurs médicaux spécifiques et bloquer tout autre trafic, y compris l'accès à internet et les mouvements latéraux vers les VLAN du personnel. Les postes de travail du personnel s'authentifient via 802.1X et sont placés sur un VLAN distinct. Cette architecture répond aux exigences de segmentation réseau de la norme HIPAA pour les appareils adjacents aux ePHI.
Q3. Vous êtes l'architecte réseau d'une chaîne de 50 restaurants. L'authentification fonctionne correctement dans 49 établissements à l'aide de Cloud RADIUS, mais un établissement spécifique signale que tous les appareils échouent à s'authentifier. Le portail de gestion Cloud RADIUS indique qu'aucune demande d'authentification n'arrive de cet établissement. Quelle est votre approche de diagnostic ?
Conseil : Si le serveur RADIUS ne reçoit aucune demande, le problème se situe sur le chemin de communication entre l'authentificateur et le serveur, et non dans la logique d'authentification elle-même.
Voir la réponse type
Puisque le serveur RADIUS ne reçoit aucune demande de cet établissement, le problème se situe entre les points d'accès et le serveur cloud RADIUS. Étapes de diagnostic dans l'ordre : (1) Vérifiez l'adresse IP et le port du serveur RADIUS (UDP 1812) configurés sur les points d'accès ou le contrôleur sans fil de l'établissement - une faute de frappe à ce niveau est la cause la plus fréquente. (2) Vérifiez les règles du pare-feu local ou du routeur de cet établissement pour confirmer que le trafic sortant UDP 1812 est autorisé vers la plage IP du cloud RADIUS. (3) Vérifiez que le secret partagé configuré sur les points d'accès correspond au secret configuré pour cet établissement dans le portail Cloud RADIUS - une non-correspondance amène le serveur RADIUS à rejeter silencieusement les paquets. (4) Vérifiez si la connexion internet de l'établissement fonctionne - le cloud RADIUS nécessite une connectivité internet fiable. L'exécution d'une capture de paquets sur le point d'accès ou le routeur en amont confirmera si les paquets RADIUS sont envoyés et si les réponses sont reçues.
Continuer la lecture de cette série
Guide de l'administrateur réseau pour la configuration de l'authentification RADIUS pour le WiFi invité
Une référence technique complète pour les administrateurs réseau sur le déploiement de l'authentification RADIUS pour le WiFi invité. Couvre l'architecture, les étapes de configuration indépendantes du constructeur, les meilleures pratiques de sécurité et le dépannage des échecs de déploiement courants.
Mise en œuvre de SCEP pour un accès WiFi 802.1X et BYOD sécurisé dans l'enseignement supérieur
Ce guide technique explique en détail comment les équipes informatiques de l'enseignement supérieur peuvent automatiser l'inscription aux certificats 802.1X pour des milliers d'appareils BYOD à l'aide de SCEP. Il présente l'architecture, les avantages en matière de sécurité et les étapes de déploiement concrètes pour remplacer l'intégration manuelle par un modèle d'accès réseau sécurisé et sans contact.
Configuration de l'authentification RADIUS pour les réseaux WiFi invités et collaborateurs
Ce guide de référence technique présente l'architecture, la configuration et le déploiement de l'authentification RADIUS pour les réseaux WiFi d'entreprise destinés aux invités et aux collaborateurs. Il fournit aux architectes réseau et aux responsables informatiques les protocoles exacts, les normes de sécurité et les méthodologies de dépannage requis pour concevoir des systèmes de contrôle d'accès sans fil sécurisés et évolutifs.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.