{"id":943,"date":"2016-12-04T11:52:52","date_gmt":"2016-12-04T11:52:52","guid":{"rendered":"http:\/\/general.sio57.info\/wp\/?p=943"},"modified":"2021-04-09T10:39:37","modified_gmt":"2021-04-09T10:39:37","slug":"radius-nps-et-certificats-avec-windows-serveur-2012r2","status":"publish","type":"post","link":"https:\/\/general.sio57.info\/wp\/?p=943","title":{"rendered":"Radius NPS et 802.1x"},"content":{"rendered":"

Cet article est extrait du Lab cours du r\u00e9seau Certa https:\/\/www.reseaucerta.org\/sites\/default\/files\/Authentification-802.1x-V1.0.pdf<\/a><\/p>\n

Comprendre l’authentification Radius<\/h2>\n
\n
\n

Objectifs<\/h1>\n

Consiste \u00e0 la s\u00e9curisation des acc\u00e8s par une authentification \u00ab\u00a0forte\u00a0\u00bb de la personne qui cherche \u00e0 se connecter sur un port r\u00e9seau. Ainsi qu’\u00e0 la banalisation des prises r\u00e9seaux ;\u00a0 une prise r\u00e9seau quelconque ne sera plus affect\u00e9e \u00e0 tel ou tel VLAN. C’est \u00e0 partir de l’authentification de la personne qui cherche \u00e0 se connecter au r\u00e9seau que l’on va d\u00e9duire le p\u00e9rim\u00e8tre de s\u00e9curit\u00e9 dans lequel la placer :<\/p>\n

\u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Un refus pur et simple de connexion : aucun placement ;<\/p>\n

\u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Le placement dans un VLAN invit\u00e9 (\u00ab\u00a0guest\u00a0\u00bb) avec des pr\u00e9rogatives minimales, comme la simple obtention d’une adresse IP et d’un acc\u00e8s \u00e0 Internet ;<\/p>\n

\u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Le placement dans un VLAN d\u00e9di\u00e9, choisi en fonction notamment du service ou du groupe auquel appartient la personne ;<\/p>\n

\u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Le placement dans un VLAN \u00e0 pr\u00e9rogatives importantes, comme un VLAN d’administration.<\/p>\n

Les acteurs<\/h4>\n

\"\"<\/p>\n

Synonymes des termes d\u00e9signant les acteurs de la connexion 802.1x :<\/h5>\n

Supplicant<\/u> <\/b>: on trouve aussi les expressions \u00ab\u00a0client demandeur\u00a0\u00bb ou \u00ab\u00a0client final\u00a0\u00bb.<\/p>\n

Serveur d’authentification<\/u><\/b> : on parle quelquefois de serveur d’identification.<\/p>\n

Client RADIUS<\/b> <\/u>: on trouve \u00e9galement les synonymes suivants : \u00ab\u00a0Authenticator\u00a0\u00bb ou NAS (Network Access Server) ou encore \u00ab\u00a0contr\u00f4leur d’acc\u00e8s\u00a0\u00bb.<\/p>\n

Protocoles<\/h3>\n

RADIUS<\/h3>\n

Acronyme de Remote Authentication Dial-In User Service, c’ est un protocole client-serveur permettant de centraliser des demandes d’authentification relay\u00e9es par des \u00e9quipements de r\u00e9seau, comme des commutateurs ou bornes Wifi, consid\u00e9r\u00e9s alors comme ses clients.<\/p>\n

Par extension, un serveur qui centralise des demandes d’authentification et les soumet \u00e0 un service d’annuaire LDAP ou \u00e0 un service de base de donn\u00e9es SQL est appel\u00e9 serveur<\/i> RADIUS<\/i>.<\/p>\n

RADIUS doit A<\/b>uthentifier<\/b> les requ\u00eates qui sont issues des clients finaux, via les clients RADIUS. Cette authentification se basera soit sur un couple identifiant\/mot de passe, soit sur un certificat.<\/p>\n

RADIUS a pour mission de d\u00e9cider quoi faire du client authentifi\u00e9, et donc de lui d\u00e9livrer une A<\/b>utorisation<\/b>, RADIUS envoie des informations (on parle \u00ab\u00a0d’attributs\u00a0\u00bb) aux clients RADIUS. Un exemple typique d’attribut est un num\u00e9ro du VLAN dans lequel placer le client authentifi\u00e9<\/i> et<\/u> autoris\u00e9<\/i>.<\/p>\n

RADIUS va noter plusieurs donn\u00e9es li\u00e9es \u00e0 la connexion, comme la date et l’heure, l’adresse MAC de l’adaptateur r\u00e9seau du client final, le num\u00e9ro de VLAN…). C’est son r\u00f4le comptable<\/b> ou \u00ab\u00a0d’Accounting<\/b>\u00ab\u00a0.<\/p>\n

802.1x<\/h3>\n

Le protocole 802.1x est une solution de s\u00e9curisation de r\u00e9seaux mise au point par l’IEEE en 2001. 802.1x permet d’authentifier un utilisateur souhaitant acc\u00e9der \u00e0 un r\u00e9seau (c\u00e2bl\u00e9 ou Wifi) gr\u00e2ce \u00e0 un serveur central d’authentification.<\/p>\n

L’autre nom de 802.1x est \u00ab\u00a0Port-based Network Access Control\u00a0\u00bb ou \u00ab\u00a0User Based Access Control\u00a0\u00bb.<\/p>\n

802.1x<\/p>\n

\u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Permet de s\u00e9curiser l’acc\u00e8s \u00e0 la couche 2 (liaison de donn\u00e9e) du r\u00e9seau.<\/p>\n

\u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 A recours au protocole EAP (Extensible Authentification Protocol)<\/p>\n

\u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 N\u00e9cessite donc la pr\u00e9sence d’un serveur d’authentification<\/p>\n

Un port d’un commutateur r\u00e9gl\u00e9 en mode 802.1x peut se trouver dans deux \u00e9tats distincts :<\/p>\n