802.1X and RADIUS : déployer le contrôle d'accès network (NAC)

Déploiement 802.1X with RADIUS for contrôle d'accès network (NAC). Authentifie user/device avant VLAN assignment. Essentiel for Zero Trust + NIS2. Guide déploiement FreeRADIUS/Cisco ISE/Aruba ClearPass sur access switches + WiFi.

Architecture

• Supplicant : client (PC, smartphone, IoT)
• Authenticator : switch/AP
• Authentication Server : RADIUS
• Backend : AD, LDAP, certificat PKI

Méthodes EAP

• EAP-TLS : certificats mutuels (le plus sécurisé)
• PEAP-MSCHAPv2 : username/password AD
• EAP-FAST : Cisco, similaire PEAP
• EAP-TTLS : alternative, used eduroam
• Recommandation 2026 : EAP-TLS for entrepriits matures, PEAP sinon

Config switch Cisco (dot1x)

• aaa new-model
• aaa authentication dot1x default group radius
• aaa authorization network default group radius
• aaa accounting dot1x default start-stop group radius
• radius server ISE
• address ipv4 10.0.0.50 auth-port 1812 acct-port 1813
• key RadiusKey123
• dot1x system-auth-control
• interface GigabitEthernet1/0/1
• switchport mode access
• authentication port-control auto
• authentication order dot1x mab
• authentication priority dot1x mab
• dot1x pae authenticator
• mab

MAB (MAC Authentication Bypass)

• Fallback for devithese without 802.1X supplicant (imprimantes, caméras)
• Authentification via MAC address
• Moins sécurisé (spoofing possible)
• OK for IoT, mais VLAN dédié isolé

Profiling devices

• ISE / ClearPass analyse : DHCP fingerprints, HTTP User-Agent, SNMP, Nmap
• Classifie automatiquement : Cisco IP Phone, Windows, Linux, Apple, printer, camera
• Policy dynamique selon profile

Posture

• Vérifie conformité endpoint : antivirus, patches, certificates
• ClearPass OnGuard, Cisco ISE Posture
• Quarantine VLAN si non-conforme

WiFi WPA3-Enterprise

• SSID configured WPA3-Enterprise EAP-TLS
• Clients : obtention certificats via MDM (Intune, Jamf)
• Pas de password partagé

Commander chez OPTINOC

Déploiement 802.1X + NAC. Cisco ISE, Aruba ClearPass, FortiNAC, FreeRADIUS. Intégration AD/MDM. Devis sous 48h.