Radius Wifi Bourdet Adrien BTS SIO
Introduction Pour sécuriser les accès réseaux nous souhaitons mettre en place un serveur Radius. Le protocole Extended Authentication Protocol sert pour le transport des données nécessaire à l authentification. Ce protocole est extensible, car on peut définir de nouvelles méthodes d authentifications, il est indépendant de la méthode utilisé : EAP-MD5 : Authentification avec un mot de passe EAP-TLS : Authentification avec un certificat électronique EAP-TTLS : Authentification avec n importe quelle méthode d authentification, au sein d un tunnel TLS EAP-PEAP : Authentification avec n importe quelle méthode d authentification EAP, au sein d un tunnel TLS EAP-TLS (Transport Layer Security) Comme d'autres protocoles (SMTP-TLS, IMAP-TLS, HTTPS, etc.), EAP s'appuie sur TLS pour proposer une authentification sécurisée. Cette méthode s'appuie sur les certificats électroniques. Ainsi, chaque partie (serveur et client) doit posséder un certificat pour prouver son identité. Le serveur NPS Network Policy Server est mise en place via les services de stratégie de d accès réseau Au même titre qu un serveur RADIUS, NPS gère l authentification et les autorisations selon les différents modes de connexion (locale, VPN ) Il permet entre autre : L accès aux ressources locales via une connexion à distance (VPN ) Authentification via Active Directory Gestion des droits via GPO RADIUS Acronyme de Remote Authentication Dial-In Server, RADIUS est un protocole client-serveur dont le but est de centralisé les données d authentification à l aide de plusieurs modules. Le principal avantage de RADIUS est d être un protocole AAA, Authentication Authorization Accounting. Autrement dit, la première fonction du protocole est d identifier l utilisateur, lorsque ce dernier se connecte, il envoie une requête d accès au serveur, le serveur répond avec un paquet dit d Access Challenge dans lequel il demande alors les identifiants de l utilisateur (login, mot de passe ). Il s en suit l envoi d un paquet dit d Access Request dans lequel l utilisateur fournis ces informations, si le serveur possède assez d informations pour identifier l utilisateur il répondra à la demande de connexion, si des informations supplémentaires sont nécessaires le serveur renverra un autre paquet d Access Challenge le cycle recommence de manière identique. Cette identification peut être enchérie d une autorisation en définissant les paramètres de la connexion du client, le temps de connexion maximal ou encore son temps d inactivité avant déconnexion etc. Enfin RADIUS permet aussi l Accounting ou Comptabilisation. Ceci est la deuxième fonction du protocole RADIUS, elle permet de surveiller les accès au réseau, les temps de connexion, cette fonction est très utilisée par les fournisseurs d accès par exemple qui s en servent pour la facturation.
Dans un premier temps, nous devons configurer notre point d accès pour qu il puisse joindre notre serveur radius. Une clé secrète devra être commune au serveur et à la borne wifi. Adressage dynamique (DHCP) : Vos clients auront besoin de contacter un serveur DHCP pour récupérer une configuration IP. Vous pouvez utiliser le serveur DHCP de votre borne WIFI. Mais vous pouvez également utiliser un serveur DHCP situé dans votre LAN.
Création d une autorité de certification pour générer des certificats. Configuration du service
Installer le rôle NPS Configurez le serveur NPS
Ajouter un Client Radius, ici notre borne wifi
Création d une nouvelle stratégie réseau
Inscrire un serveur dans Active Directory
Utilisation du serveur WEB Vous allez pouvoir utiliser le serveur web pour demander des certificats pour vos clients ou récupérer le certificat CA de l autorité émettant nos certificats. http://ip_srvweb/certsrv Dans le cas de Radius utilisé pour sécuriser nos accès WIFI il nous faut récupérer le certificat CA puis l installer sur nos portables
Configuration des clients Récuperez le certificat de l autorité de certification de votre Entreprise (cert.new) Et installez le dans le magasin «Autorités de certification racines de confiance» Nous devons ensuite aller dans les propriétés de notre connexion
Sélectionnez le nom de l autorité de confiance que vous voulez utiliser. Nous utiliserons celui de notre certificat.
Dans Configurer, Vous devez décochez la ligne suivante. Vous pouvez maintenant vous connecter à votre borne wifi en vous identifiants avec un utilisateur de l active directory.