Contrôle d'accès au réseau : 802.1X, RADIUS et portail captif

Le contrôle d'accès au réseau (NAC) consiste à authentifier un utilisateur ou un appareil avant de le laisser communiquer sur le réseau de l'entreprise. La norme IEEE 802.1X le fait sur chaque prise réseau et chaque connexion Wi-Fi : le switch ou la borne bloque le port tant qu'un serveur d'authentification, en général un serveur RADIUS, n'a pas validé l'identité. Pour les visiteurs, on utilise plutôt un portail captif, une page web qui demande un code ou une acceptation des conditions avant d'ouvrir l'accès à Internet.

Le problème : une prise réseau ouvre tout

Dans beaucoup de PME, n'importe qui peut brancher un portable sur une prise de la salle de réunion et obtenir une adresse IP sur le réseau des postes. Côté Wi-Fi, une clé partagée (WPA2-Personnel ou WPA3-Personnel) est connue de tous les salariés, des anciens salariés et des visiteurs à qui on l'a donnée un jour. Le réseau ne sait pas qui est connecté. 802.1X répond à ce problème : pas d'authentification, pas de réseau.

802.1X : trois rôles

Le déroulé :

1. le portable se branche ; le switch ne laisse passer que les trames d'authentification (EAPOL, EAP over LAN) ;
2. le switch demande l'identité ; le portable répond ;
3. le switch encapsule les messages EAP dans des paquets RADIUS et les relaie au serveur ;
4. le serveur et le portable déroulent la méthode EAP choisie (vérification de certificat, ou mot de passe dans un tunnel TLS) ;
5. le serveur répond Access-Accept (avec éventuellement un numéro de VLAN) ou Access-Reject ;
6. le switch ouvre le port, dans le bon VLAN, ou le laisse fermé.

Les méthodes EAP

EAP (Extensible Authentication Protocol) est un cadre : la méthode choisie détermine ce que le poste présente.

En Wi-Fi, 802.1X s'appelle le mode Entreprise : WPA2-Entreprise ou WPA3-Entreprise. Chaque utilisateur s'authentifie avec ses propres identifiants (ou son certificat) et reçoit ses propres clés de chiffrement : un départ se traite en désactivant un compte, pas en changeant la clé de tout le monde. Les normes Wi-Fi sont présentées dans le chapitre Wi-Fi du cours réseau.

RADIUS : le protocole AAA

RADIUS (Remote Authentication Dial-In User Service, RFC 2865 et 2866) est le protocole entre l'équipement d'accès et le serveur d'authentification. Il fait les trois A du chapitre 1 : authentification, autorisation (les attributs renvoyés, comme le VLAN) et traçabilité (accounting : début, fin et durée des connexions).

Pour placer l'appareil dans un VLAN, le serveur ajoute trois attributs standard à son Access-Accept :

RADIUS ne sert pas qu'à 802.1X : c'est aussi lui qui vérifie les identifiants des utilisateurs du VPN sur un pare-feu, et souvent un second facteur (chapitre 2), ou qui authentifie les administrateurs sur les équipements réseau.

Configurer : le switch, le serveur, l'annuaire

Chez Sorbier Logistique, Moussa Diallo déploie 802.1X sur les switchs d'accès. Le serveur RADIUS est le rôle NPS (Network Policy Server) d'un Windows Server membre du domaine, à l'adresse 10.0.10.5.

Sur un switch Cisco, la configuration classique :

aaa new-model
radius server NPS1
 address ipv4 10.0.10.5 auth-port 1812 acct-port 1813
 key <secret-long-et-aleatoire>
aaa group server radius GRP-NPS
 server name NPS1
aaa authentication dot1x default group GRP-NPS
aaa authorization network default group GRP-NPS
aaa accounting dot1x default start-stop group GRP-NPS
dot1x system-auth-control
!
interface GigabitEthernet1/0/10
 description Bureau compta
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator

Sur le serveur NPS :

1. déclarer chaque switch comme client RADIUS, avec son adresse et son secret ;
2. créer une stratégie réseau par profil : condition « groupe Windows = GG_Comptabilite » et « type de port NAS = Ethernet », méthode d'authentification PEAP ou EAP-TLS avec le certificat du serveur, attributs Tunnel-Type, Tunnel-Medium-Type et Tunnel-Private-Group-Id = 20 ;
3. une stratégie pour les imprimantes en MAB, qui les place dans le VLAN des périphériques ;
4. activer la journalisation des demandes acceptées et refusées.

Avec FreeRADIUS sous Linux, la déclaration d'un switch se fait dans /etc/freeradius/3.0/clients.conf :

client switch-etage1 {
    ipaddr = 10.0.99.11
    secret = <secret-long-et-aleatoire>
    shortname = sw-etage1
}

Le portail captif pour les invités

Un portail captif intercepte la première requête web d'un appareil connecté et le redirige vers une page d'accueil : saisie d'un code, d'un identifiant, ou simple acceptation des conditions d'utilisation. Tant que l'utilisateur n'a pas validé, le pare-feu ne laisse passer que cette page. C'est la solution des réseaux Wi-Fi d'hôtels, de gares et des salles de réunion pour les visiteurs.

Une mise en place propre pour les visiteurs de Sorbier Logistique, avec le portail captif de pfSense par exemple :

• un SSID dédié aux invités, sur un VLAN isolé qui n'a accès qu'à Internet, jamais au réseau interne ;
• des codes temporaires (vouchers) valables une journée, remis à l'accueil, ou une authentification par compte invité ;
• des règles de pare-feu qui bloquent tout accès du VLAN invités vers les réseaux internes, et une limitation de débit ;
• la journalisation des connexions (quel code, quelle adresse MAC, quelle adresse IP, à quelle heure), pour pouvoir répondre en cas d'usage abusif.

L'épreuve blanche E6 SISR n° 1 du site met en place justement un réseau pour les visiteurs.

Côté SLAM : ce qui te concerne

Le contrôle d'accès au réseau est surtout un sujet SISR, mais deux points touchent le développeur :

• la page d'un portail captif est une application web comme une autre : formulaire à protéger contre l'injection et le XSS, codes à générer aléatoirement, nombre d'essais à limiter ;
• une application interne ne doit pas considérer qu'un appareil est de confiance parce qu'il est sur le réseau interne : l'adresse IP n'est pas une identité. Chaque requête doit porter une authentification (session ou jeton), même derrière le pare-feu. C'est le principe du zéro confiance (zero trust).

Comment l'E7 l'interroge

• SISR : expliquer le rôle de chacun des trois acteurs de 802.1X ; choisir entre EAP-TLS et PEAP ; justifier l'attribution dynamique de VLAN ; donner les ports RADIUS à ouvrir sur le pare-feu ; proposer une solution d'accès pour les visiteurs ; lire le journal d'un serveur RADIUS ; expliquer pourquoi le Wi-Fi à clé partagée pose un problème au départ d'un salarié.
• SLAM : sécuriser le formulaire d'un portail ; justifier qu'une API interne exige une authentification malgré le pare-feu.
• Tronc commun : distinguer authentification de l'appareil et authentification de l'utilisateur ; relier RADIUS aux trois A.

Pour aller plus loin. La sécurité du Wi-Fi d'entreprise (WPA3, VLAN invités) et les autres protections des switchs sont traitées dans les chapitres Sécuriser le Wi-Fi et Sécurité des switchs du cours Cybersécurité des infrastructures.

Exercices