Annuaire LDAP et RADIUS : authentification 802.1X avec NPS

LDAP (Lightweight Directory Access Protocol) est le protocole qui sert à interroger et à modifier un annuaire, comme Active Directory : une application s'en sert pour vérifier un mot de passe ou lire les groupes d'un utilisateur. RADIUS (Remote Authentication Dial-In User Service) est le protocole avec lequel un équipement réseau (switch, borne Wi-Fi, pare-feu, VPN) demande à un serveur central si un utilisateur ou un appareil a le droit de se connecter. Ce chapitre explique les deux, la façon dont les applications de Sorbier s'appuient sur l'annuaire, puis met en place l'authentification 802.1X des postes avec le serveur RADIUS de Windows, NPS.

Un annuaire, des noms distinctifs

Un annuaire LDAP range des entrées dans un arbre, le DIT (Directory Information Tree). Chaque entrée est un objet (un utilisateur, un groupe, un ordinateur, une unité d'organisation) avec des attributs (cn, mail, memberOf…), et ses types possibles sont définis par le schéma (l'attribut objectClass dit de quel type est l'entrée).

Une entrée est désignée par son nom distinctif (DN, Distinguished Name), qui décrit son chemin dans l'arbre, de l'entrée vers la racine :

CN=Julie Lefèvre,OU=Comptabilite,OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example

Active Directory est un annuaire LDAP (avec Kerberos et le DNS autour). Les attributs propres à AD les plus utilisés : sAMAccountName (l'identifiant d'ouverture de session, jlefevre), userPrincipalName (jlefevre@ad.sorbier.example), memberOf (les groupes de l'objet), userAccountControl (compte activé ou désactivé). L'organisation des OU et des groupes de Sorbier est décrite dans le cours Windows Server.

Les ports et la sécurité de LDAP

Une liaison (bind) est l'étape où le client s'authentifie auprès de l'annuaire. La liaison simple envoie l'identifiant et le mot de passe tels quels : sur le port 389 sans TLS, n'importe qui sur le réseau les lit. La liaison SASL (Kerberos, par exemple) n'envoie pas le mot de passe.

Interroger l'annuaire : filtres et outils

Une recherche LDAP précise une base (où commencer), une portée (cette entrée, un niveau, ou tout le sous-arbre), un filtre et les attributs à renvoyer. Les filtres s'écrivent en notation préfixée, entre parenthèses :

Depuis un serveur Debian (paquet ldap-utils) :

ldapsearch -H ldaps://srv-ad.ad.sorbier.example -D "svc-ldap@ad.sorbier.example" -W \
    -b "DC=ad,DC=sorbier,DC=example" \
    "(&(objectCategory=person)(objectClass=user)(sAMAccountName=jlefevre))" cn mail memberOf

-H donne l'adresse du serveur (ici en LDAPS), -D le compte de liaison, -W demande son mot de passe, -b la base de recherche. Le poste ou le serveur doit faire confiance à l'autorité qui a signé le certificat du contrôleur.

Sous Windows, le module Active Directory de PowerShell accepte les mêmes filtres :

Get-ADUser -LDAPFilter "(department=Comptabilité)" -Properties mail | Select-Object Name, mail

Les applications qui s'appuient sur l'annuaire

Plutôt que de créer des comptes dans chaque application, on les relie à l'annuaire : un salarié a un seul mot de passe, et la désactivation de son compte AD lui ferme tout d'un coup.

Chaque application utilise un compte de service dédié, sans droit particulier (lecture de l'annuaire seulement), avec un mot de passe long, et elle se connecte en LDAPS. Les groupes de l'annuaire (« GG_Admins_Pare-feu ») décident ensuite qui a quel rôle dans l'application.

RADIUS : le contrôle d'accès des équipements réseau

Un switch ou une borne Wi-Fi ne connaît pas les utilisateurs. Quand un appareil se connecte, l'équipement demande à un serveur RADIUS : « cet utilisateur, cet appareil, a-t-il le droit d'entrer, et avec quels réglages ? ». RADIUS fournit les trois « A » : authentification (qui es-tu ?), autorisation (qu'as-tu le droit de faire : quel VLAN ?) et traçabilité (accounting : quand t'es-tu connecté, combien de temps ?).

802.1X : l'authentification à la prise réseau

La norme IEEE 802.1X fait de chaque port de switch (ou de chaque association Wi-Fi) une porte fermée : tant que l'appareil ne s'est pas authentifié, le port ne laisse passer que les messages d'authentification. Trois acteurs :

1. Le poste se branche. Le switch (l'authentificateur) lui demande de s'identifier, en EAP transporté directement dans des trames Ethernet (EAPOL, EAP over LAN).
2. Le poste (le demandeur) répond. Le switch place cette réponse dans une requête RADIUS (Access-Request) vers NPS, en UDP 1812.
3. NPS (le serveur d'authentification) dialogue avec le poste à travers le switch, selon la méthode EAP choisie, et vérifie l'identité dans Active Directory.
4. NPS répond Access-Accept, éventuellement avec des attributs (le VLAN à attribuer), ou Access-Reject.
5. Le switch ouvre le port, dans le VLAN demandé, ou le laisse fermé.

Les méthodes EAP

Configurer NPS sur Windows Server 2025

Chez Sorbier, NPS est installé sur srv-ad et srv-ad2, pour que l'authentification survive à la panne d'un serveur. Les étapes, sur srv-ad :

1. Installer le rôle et l'inscrire dans l'annuaire :

Install-WindowsFeature NPAS -IncludeManagementTools

Dans la console Serveur NPS (Network Policy Server), clic droit sur NPS (local) > Inscrire un serveur dans Active Directory : le serveur rejoint le groupe Serveurs RAS et IAS, qui lui donne le droit de lire les propriétés d'accès distant des comptes.

2. Déclarer les clients RADIUS. Dans Clients et serveurs RADIUS > Clients RADIUS > Nouveau : un nom, l'adresse de l'équipement et un secret partagé, long et différent pour chaque client. Ou en PowerShell :

New-NpsRadiusClient -Name "SW-ETAGE1" -Address "192.168.10.211" -SharedSecret (Read-Host "Secret")
New-NpsRadiusClient -Name "SW-ETAGE2" -Address "192.168.10.212" -SharedSecret (Read-Host "Secret")
Get-NpsRadiusClient

3. Créer la stratégie réseau. L'assistant de la page d'accueil, Configuration standard > Serveur RADIUS pour les connexions câblées ou sans fil 802.1X > Configurer 802.1X, crée d'un coup une stratégie de demande de connexion et une stratégie réseau. Pour le filaire de Sorbier :

Les stratégies réseau sont évaluées dans l'ordre, de haut en bas : la première dont les conditions correspondent s'applique, et elle accorde ou refuse l'accès. Une stratégie pour le groupe des techniciens qui renvoie le VLAN 99, placée avant la stratégie générale, attribue ainsi le VLAN d'administration aux seuls postes des techniciens.

4. Lire les journaux. Chaque décision est inscrite dans l'Observateur d'événements, journal Sécurité (événements 6272 : accès accordé ; 6273 : accès refusé, avec le motif) et dans la vue Rôles de serveur > Services de stratégie et d'accès réseau. Le motif d'un refus (stratégie qui ne correspond pas, certificat inconnu, compte désactivé) s'y lit directement.

Configurer le switch

Sur SW-ETAGE1 (Cisco), le switch devient client RADIUS de srv-ad et srv-ad2, puis chaque port d'accès exige 802.1X, avec MAB en repli pour les imprimantes :

SW-ETAGE1(config)# aaa new-model
SW-ETAGE1(config)# radius server NPS1
SW-ETAGE1(config-radius-server)# address ipv4 192.168.10.177 auth-port 1812 acct-port 1813
SW-ETAGE1(config-radius-server)# key <secret-partagé-1>
SW-ETAGE1(config)# radius server NPS2
SW-ETAGE1(config-radius-server)# address ipv4 192.168.10.181 auth-port 1812 acct-port 1813
SW-ETAGE1(config-radius-server)# key <secret-partagé-1>
SW-ETAGE1(config)# aaa group server radius GRP-NPS
SW-ETAGE1(config-sg-radius)# server name NPS1
SW-ETAGE1(config-sg-radius)# server name NPS2
SW-ETAGE1(config)# aaa authentication dot1x default group GRP-NPS
SW-ETAGE1(config)# aaa authorization network default group GRP-NPS
SW-ETAGE1(config)# aaa accounting dot1x default start-stop group GRP-NPS
SW-ETAGE1(config)# dot1x system-auth-control
SW-ETAGE1(config)# ip radius source-interface Vlan99
SW-ETAGE1(config)# interface range GigabitEthernet1/0/1 - 20
SW-ETAGE1(config-if-range)# switchport mode access
SW-ETAGE1(config-if-range)# switchport access vlan 10
SW-ETAGE1(config-if-range)# authentication port-control auto
SW-ETAGE1(config-if-range)# dot1x pae authenticator
SW-ETAGE1(config-if-range)# mab

show authentication sessions interface GigabitEthernet1/0/5 details affiche l'état d'un port : méthode utilisée (dot1x ou mab), résultat, VLAN attribué. La même logique s'applique au Wi-Fi : la borne ou le contrôleur est le client RADIUS, et le réseau des salariés est en WPA3-Entreprise (Cybersécurité des infrastructures).

NPS ou FreeRADIUS ?

Exercices