Publicité
3.3.12. RADIUS 802.1X
Afin de protéger le réseau Ethernet filaire, nous préconisons la mise en en place d'un serveur Radius.
La norme 802.1x permet l'authentification du matériel IP avant tout accès au réseau filaire ou Wifi.
Les authentifications sont sécurisées, et les échanges se font :
• sur un chiffrement Mode EAP « simple » : md5 ou MSCHAPv2
Ces deux modes nécessitent une identité et un password.
• des modes sécurisés EAP : PEAP, EAP-TTLS, EAP-TLS.
En mode EAP : PEAP ou TTLS l'ensemble fonctionne sur le principe d'un identifiant (identité) et d'un
password avec possibilité d'utiliser des certificats serveur / demandeur.
1. En fonction de la configuration du serveur dans chaque mode EAP il est possible de régler le protocole
d'authentification eap (2ème phase d'authentification) :
Pour le EAP-TTLS Authentification eap : PAP, MD5, CHAP, MSCHAPv2.
Pour le EAP-PEAP Authentification eap : PAP, MD5, CHAP, MSCHAPv2 et TLS.
Exemple serveur (Free Radius) :
Dans la configuration générale d'EAP, si besoin selon votre version, remplacer la ligne
default_eap_type = ttls
Dans la configuration du TTLS
ttls {
# The tunneled EAP session needs a default
# EAP type which is separate from the one for
# the non-tunneled EAP module ...
default_eap_type = md5
}
2. Ensuite, il est possible ou non d'utiliser la vérification d'un certificat serveur dans le procédé d'authen-
tification pour le Mode EAP : PEAP et TTLS. Cette nécessité de certificat se paramètre côté serveur.
Pour utiliser un certificat serveur auto-signé ou signé par une autorité de certification, il faut importer
le certificat CA.pem dans l'IPAC. Si aucun fichier de type .pem n'est importé, l'IPAC ne transmettra
pas le certificat au serveur (si nécessaire), et l'authentification échouera.
3. Certaines configurations de serveurs ne nécessitent pas le contrôle du certificat demandeur (IPAC)
et utilisent la méthode de certificat symétrique en utilisant le certificat et la clé privée du serveur lors
de la phase « Certificate server Key Exchange ».
Or dans certaines configurations serveur il est possible de demander à l'IPAC son propre certificat
ainsi que sa clé privée pour le processus d'authentification.
Notice_IP_GAP_D.xml
Mars 2019
Page 32 sur 63
Publicité
