Projet de Fin D39eacutetudes Impleacutementation D39une Solution Nac Avec Cisco Ise Anouar Abdallah

Département : STIC
Référence :
Licence Appliquée en Sciences et Technologies

de l’Information et des Communications
Projet de fin d'études :

« Implémentation d'une solution NAC »
Réalisé par : Anouar ABDALLAH
Classe : STIC L3 SR-A
Encadré par : M. Marouene BOUBAKRI

M. Hichem HARHIRA
Entreprise d'accueil : Next Step IT
Année Universitaire : 2014-2015

Remerciements
Mes vifs remerciements s’adressent à mes deux encadrants, M. Marouene

BOUBAKRI enseignant à l'ISET'Com et M. Hichem HARHIRA directeur technique de
« NEXT STEP IT », pour leur disponibilité, leur soutien et leurs précieux conseils tout au
long de ce projet.
Que les membres du jury trouvent ici mes profonds remerciements pour l’honneur
qu’ils m’ont fait en assistant à cette soutenance.
Je souhaite également faire part de ma reconnaissance à tous les ingénieurs,

techniciens et ouvriers au sein de l’entreprise pour leur pédagogie et leur assistance
durant ce stage ainsi qu’à l’ensemble du personnel.
« Celui qui prend une voie dans laquelle il
cherche à acquérir une science, Allah lui
facilite grâce à elle une voie pour le paradis
»
[Abou Hourayrah]
Résumé
Ce rapport s’inscrit dans le cadre de notre projet de fin d’études réalisé au sein de
l'entreprise Next Step IT, consistant à la mise en place d’une solution de contrôle d'accès au
réseau. Cette solution est constituée de plusieurs composants qui, en fonctionnant de façon
contigüe, permettront de filtrer l’accès au réseau en authentifiant tout hôte demandant l'accès
et d’effectuer, sur l’hôte authentifié, un ensemble de tests pour vérifier son état de « santé » et
le rendre conforme avec la stratégie de sécurité suivie.
Ces objectifs seront réalisés par l'implémentation d’une plateforme de sécurité fournie par
le leader mondial, Cisco Systems, et intégrée avec un service d’annuaire (Microsoft Active
Directory) afin d'assurer l’authentification, ainsi qu'un commutateur et un contrôleur de réseau
local sans fil servant à connecter les utilisateurs respectivement aux réseaux filaire et sans fil.
Abstract
This report is part of our graduation project realized within Next Step IT company,
consisting in the implementation of a network access control solution. This solution is
composed of several components, operating adjacently, allow to filter network access by
authenticating any host requesting access and to effect in this authenticated host a series of
tests to check its health status and whether it conforms with the followed security strategy.
This will be accomplished by implementing a security platform provided by the world

leader, Cisco Systems, and integrated with a directory service (Microsoft Active Directory) to
ensure authentication together with a switch and a Wireless LAN controller for connecting
users to the wired and wireless networks, respectively.
Sommaire
Introduction générale...........................................................................................................1
Chapitre 1 : Présentation du projet...........................................................................................2

1.1. Introduction..................................................................................................................3
1.2. Présentation de l'entreprise d'accueil..............................................................................3
1.2.1. Chiffres clés...........................................................................................................3
1.2.2. Les services offerts.................................................................................................3
1.3. Besoin d'une solution NAC............................................................................................5
1.4. Contribution..................................................................................................................5
1.5. Planification prévisionnelle du projet..............................................................................6
1.6. Gestion du projet...........................................................................................................6
1.7. Conclusion....................................................................................................................6
Chapitre 2 : État de l'art............................................................................................................7

2.1. Introduction..................................................................................................................8
2.2. La solution NAC............................................................................................................8
2.2.1. Principe de fonctionnement.....................................................................................8
2.2.2. Architecture...........................................................................................................9
2.2.3. Étude comparative des solutions disponibles.........................................................10
2.3. La plate-forme Cisco ISE.............................................................................................14
2.3.1. Définition.............................................................................................................14
2.3.2. Comparaison entre ACS et ISE.............................................................................15
2.3.3. Fonctionnement...................................................................................................16
2.3.4. Licences...............................................................................................................18
2.4. Conclusion..................................................................................................................19
Chapitre 3 : Réalisation...........................................................................................................20
3.1. Introduction.................................................................................................................21
3.2. Architecture du réseau...............................................................................................21
3.3. Installation et intégration de Cisco ISE et Active Directory..........................................23
3.3.1. Installation du contrôleur de domaine (Active Directory)......................................23
3.3.2. Installation et intégration de deux plates-formes Cisco ISE...................................23
3.3.3. Jointure des deux plates-formes au contrôleur Active Directory............................28
3.4. Configuration de l'ISE..................................................................................................29
3.4.1. Authentification...................................................................................................29
3.4.2. Posture & Client Provisioning...............................................................................32
Sommaire
3.4.3. Autorisation.........................................................................................................37
3.5. Configuration du Switch..............................................................................................38
3.5.1. Configuration globale...........................................................................................39
3.5.2. Configuration de l'interface...................................................................................41
3.6. Configuration du WLC................................................................................................43
3.7. Conclusion..................................................................................................................48
Chapitre 4 : Test et validation.................................................................................................49

4.1. Introduction.................................................................................................................50
4.2. Réseau filaire...............................................................................................................50
4.3. Réseau sans fil..............................................................................................................53
4.4. Conclusion..................................................................................................................58
Conclusion et perspectives.................................................................................................. 59
Références...........................................................................................................................61
Glossaire..............................................................................................................................62
Liste des figures
Figure 1: Logo de l'entreprise........................................................................................................3

Figure 2: Planification prévisionnelle............................................................................................6
Figure 3: Architecture globale d'une solution NAC........................................................................9
Figure 4: Architecture d'une solution Microsoft NAP..................................................................12
Figure 5: Architecture de la solution Juniper UAC......................................................................13
Figure 6: Déploiement d'une solution de contrôle d'accès basée sur ISE......................................15
Figure 7: Datagramme EAP........................................................................................................17
Figure 8: Encapsulation des messages EAP.................................................................................18
Figure 9: Résumé sur les caractéristiques du serveur....................................................................21
Figure 10: Architecture du réseau................................................................................................22
Figure 11: Ajout des rôles DNS et Active Directory....................................................................23
Figure 12: Téléchargement de l'image .iso sur la datastore...........................................................24
Figure 13: Paramètres de configuration réseau lors de l'installation..............................................25
Figure 14: Ajout des services de certificats Active Directory........................................................25
Figure 15: Interface WEB du service de certificats Microsoft Active Directory............................26
Figure 16: Importation du certificat d'autorité de certification dans la plate-forme ISE................26
Figure 17: Génération du certificat par le service des certificats AD............................................26
Figure 18: Détails du certificat généré pour le deuxième nœud....................................................27
Figure 19: Enregistrement du nœud secondaire...........................................................................27
Figure 20: Ajout des machines au serveur DNS...........................................................................28
Figure 21: Jointure des plates-formes ISE à Active Directory......................................................28
Figure 22: Ajout des plates-formes à la liste des machines...........................................................28
Figure 23: Ajout d'un groupe d'utilisateurs Active Directory à l'ISE.............................................29
Figure 24: Règles d'authentification...............................................................................................30
Figure 25: Définition de la séquence "Use_AD_then_local".........................................................30
Figure 26: Condition composée (exemple : MAB).......................................................................31
Figure 27: Succès de l'authentification au cas où l'adresse MAC est introuvable...........................31
Figure 28: Attributs RADIUS de l'authentification DOT1X sur le réseau filaire..........................32
Figure 29: Règles du Client Provisioning.....................................................................................33
Figure 30: Exemples de la liste des agents NAC..........................................................................33
Figure 31: Liste des vendeurs d'antivirus.....................................................................................34
Figure 32: Champs à remplir d'une condition d'antivirus..............................................................34
Figure 33: Choix des produits Mcafee dans la condition d'antivirus.............................................35
Figure 34: Ajout du fichier de remédiation..................................................................................35
Figure 35: Définition de la règle d'exigence.................................................................................36
Figure 36: Affichage d'un message avec l'agent NAC..................................................................36
Figure 37: Règle de posture.........................................................................................................36
Figure 38: Réévaluation régulière................................................................................................36
Figure 39: Profil d'autorisation CWA..........................................................................................37
Figure 40: Règles d'autorisation.....................................................................................................38
Figure 41: Cisco Catalyst 3650....................................................................................................38
Figure 42: Commandes globales saisies au niveau du Switch.......................................................40
Figure 43: Activation du CoA au niveau du Switch.....................................................................40
Figure 44: Activation de HTTP et HTTPS...................................................................................40
Figure 45: ACL de redirection.....................................................................................................41
Figure 46: Diagramme des méthodes d'authentification...............................................................42
Figure 47: Configuration de l'interface........................................................................................43
Figure 48: Cisco 2500 Series Wireless Controller.........................................................................43
Figure 49: Cisco Aironet 1041N..................................................................................................44
Figure 50: Détection du point d'accès au WLC............................................................................44
Figure 51: Diffusion de deux SSID.............................................................................................44
Figure 52: Activation du filtrage MAC........................................................................................45
Figure 53: Ajout du serveur RADIUS au WLC...........................................................................45
Figure 54: Ajout des serveurs d'authentification et d'autorisation.................................................46
Figure 55: Activation du CoA.....................................................................................................46
Figure 56: Configuration DHCP..................................................................................................47
Figure 57: Politique de sécurité du deuxième WLAN "PFE-NSIT2"............................................47
Figure 58: ACL de redirection.....................................................................................................48
Figure 59: Ajout et démarrage du service DOT1X.......................................................................50
Figure 60: Activation du DOT1X sur la carte Ethernet................................................................51
Figure 61: Fenêtre d'authentification............................................................................................51
Figure 62: Redirection vers la page de Client Provisioning..........................................................52
Figure 63: Message obtenu sur l'Agent NAC...............................................................................52
Figure 64: Évènements d'authentification observés au commutateur............................................53
Figure 65: Détails de l'authentification sur l'interface GigabitEthernet1/0/23.................................53
Figure 66: Détection des SSIDs...................................................................................................54
Figure 67: Authentification DOT1X pour le SSID "PFE-NSIT2"...............................................54
Figure 68: Accès restreint à un utilisateur du réseau sans fil.........................................................54
Figure 69: Portail invité..............................................................................................................55
Figure 70: Inscription via la version mobile du portail captif.......................................................55
Figure 71: Interface du portail responsable..................................................................................56
Figure 72: Création d'un compte Guest d'une durée de huit heures..............................................56
Figure 73: Validation de posture avec un agent temporaire..........................................................57
Figure 74: Accès complet au réseau.............................................................................................57
Figure 75: Log de la plate-forme ISE..........................................................................................58
Figure 76: Détails de la session...................................................................................................58
Liste des tableaux
Tableau 1 : Comparaison ACS vs ISE.........................................................................................15

Tableau 2 : Les services de l'ISE et les licences correspondantes..................................................19
Tableau 3 : Entrées de l'ACL de redirection.................................................................................41
Introduction générale
La sécurité des réseaux devient, de nos jours, un thème indispensable pour garantir la
disponibilité et l’efficacité des ressources sur le réseau. La spécification de l’accès au réseau
est devenue très importante pour la protection des ressources soit des tentatives d’intrusions
internes ou externes, lesquelles développent des nouvelles techniques de jour en jour, ou encore
des accès, aux données et informations de haute importance ou très confidentielles, par des
membres non qualifiés. C’est pour cela que chaque utilisateur ou machine, voulant accéder au
réseau, doit être identifié et subir quelques tests de compatibilité avec le réseau (intégration au
domaine, existence d’un antivirus bien défini sur la machine qui veut s’authentifier, etc.); il
sera, par la suite, dirigé selon son identité et les droits d’accès qui lui seront attribués vers les
ressources et les sous réseaux auxquels il aura accès.
Ce projet représente une mise en place d’une solution de sécurité et de conformité

réseau qui traitera des aspects de manque de sécurité. Cela se traduit par l'établissement d'un
mécanisme d’authentification automatique, lors du branchement du câble réseau ou en cas
d'utilisation du réseau sans fil. Ceci est valable pour un utilisateur permanent; alors que pour
un utilisateur temporaire (visiteur), l'authentification s'effectue via le portail Web. Une fois
authentifié, le client (poste de travail) subira quelques tests destinés à s’assurer de sa
conformité vis-à-vis de la stratégie de sécurité prédéfinie. Après avoir effectué ces tests et si le
client présente des vulnérabilités qui nécessitent l’installation ou la mise à jour d’un
composant, il aura un accès restreint lui offrant les mises à jour nécessaires pour établir les
remèdes appropriés et atteindre ainsi un état conforme et sain.
Aussi, le présent rapport décrit-il la mise en place de cette solution. Dans son premier
chapitre, il abordera le cadre général du projet. Le deuxième chapitre intitulé « État de l'art »
est dédié aux concepts théoriques relatifs à notre solution . Le troisième chapitre viendra détailler
les étapes d'installation et les configurations nécessaires des divers éléments composant la
solution. Dans le quatrième et dernier chapitre, nous clôturerons par l'exercice des tests nécessaires
tendant à nous prémunir d'un éventuel mauvais fonctionnement.
CHAPITRE 1 :
PRÉSENTATION DU
PROJET
Chapitre 1 Présentation du projet
1.1. Introduction
Au cours de ce chapitre, nous exposons le contexte général du projet. Aussi, nous
présentons, en premier lieu, l'entreprise d'accueil, le besoin de déploiement d'une solution
NAC ainsi que notre contribution reliée au besoin de l'entreprise et nous finissons par la
citation de la planification prévisionnelle et de la méthodologie de travail que nous aurons à
suivre.
1.2. Présentation de l'entreprise d'accueil

Au cours de cette section, nous allons essayer de présenter l'entreprise au sein de
laquelle s'est déroulé le stage et ce, en rappelant ses chiffres clés ainsi que les services qu'elle
offre.
1.2.1. Chiffres clés
Next Step IT est une société à responsabilité limitée, fondée au cours de l'année 2012,
implantée à Tunis, Mutuelleville et employant une quarantaine de personnes.
Next Step IT s’est trouvée sur une trajectoire de start-up réalisant quelques centaines
de milliers de dinars en 2012, trois millions de dinars en 2013 et le double en 2014.
Son logo est le suivant :
Figure 1: Logo de l'entreprise
1.2.2. Les services offerts

Ils se résument principalement en l'audit, l'étude et conseil, l'intégration, l'assistance
technique et le support et maintenance.
 Audit
Next Step IT propose le service d’audit des infrastructures des systèmes d'informations.
Les prestations d'audit ont
pour objectif d'établir un état des lieux des infrastructures
3 | Page
informatiques existantes afin d'évaluer les besoins et mettre en évidence tous les aspects
nécessaires pour optimiser l'environnement et l'organisation. Ainsi, Next Step IT accompagne
4 | Page
t-elle ses clients pour faire un choix stratégique sur l'évolution de son système d'information et ce
en toute connaissance de cause.
 Étude et conseil
La réussite d’une solution dépend du soin apporté à sa conception. Next Step IT étudie
des solutions sur mesure, s’adaptant au contexte et aux besoins des entreprises. Elle
accompagne ses clients dans cette démarche :
o Recueil des besoins
o Analyse de l’existant et visites des sites
o Définition des spécifications techniques, fonctionnalités, performances, etc.
o Identification des contraintes, du budget et des délais
o Démonstration, mise en place de maquette et accompagnement au test
o Assistance à la rédaction des cahiers des charges
 Intégration
Next Step IT est une spécialiste d'intégration de solutions d'infrastructure réseau, système,
sécurité et communications. Elle dédie une équipe composée d’un chef de projet, d’un
ingénieur commercial et d’ingénieurs et techniciens pour la durée du projet. Toute l’équipe
projet de Next Step IT est certifiée par les constructeurs partenaires. Elle est constituée de
techniciens et d’ingénieurs certifiés et formés en permanence sur ses solutions et sur les
différentes technologies qui touchent à son métier. Tous ses projets d'intégration passent par
une phase de préparation et planification, une phase de conception, une phase
d'implémentation et migration et enfin un transfert de compétence et une assistance au
démarrage.
 Assistance technique
Next Step IT associe la compétence technique de son équipe et les outils informatiques
nécessaires afin d'apporter l'assistance technique adéquate et à haute valeur ajoutée à ses
clients. Le professionnalisme et l'expertise de Next Step IT garantissent à ses clients :
o Réactivité : les équipes interviennent directement là où on le souhaite, en fonction des
contraintes des clients:
o Efficacité : les techniciens trouvent la solution la plus appropriée dans les meilleurs
délais
o Transparence : ses interventions font l’objet de rapports et de transfert de compétence
o Savoir-faire : le problème du client est pris en charge par une équipe qualifiée,
expérimentée et certifiée
5 | Page
 Support et maintenance
L'efficacité du centre de support qui accompagne le client dans la maintenance de ses

solutions réseaux garantit la résolution rapide des incidents et la maîtrise des évolutions de la
solution. Cette efficacité résulte de la rapidité de prise en compte de la demande et de la
compétence des intervenants qui traitent la demande
1.3. Besoin d'une solution NAC
Tout réseau informatique et particulièrement un réseau d'entreprise devrait demeurer sain.

Chaque administrateur est censé authentifier, autoriser, évaluer et corriger les équipements
filaires, sans fil et distants, avant de donner à leurs utilisateurs un accès au réseau.
Aussi, le responsable doit reconnaître les utilisateurs, leurs appareils et leurs rôles sur
le réseau. Cette première étape intervient au niveau de la phase d'authentification, avant que
d'éventuels codes malveillants puissent endommager le système.
Dans une seconde étape, la sûreté du réseau requiert la vérification de la conformité
des machines avec les politiques de sécurité. Ces politiques dépendent du type d'utilisateur, du
type d'équipement ou du système d'exploitation. En cas de non-conformité, des réactions
peuvent en résulter : blocage, isolation et réparation.
Le déploiement d'une solution NAC (Network Admission Control ou Network Access
Control) permettra à l'administrateur de bénéficier de l'ensemble de ces fonctions d'une
manière plus efficace et plus performante.
1.4. Contribution
La gestion et l'administration d'une solution NAC s'effectuent d'une manière

centralisée. Le noyau de toute solution similaire est le point de décision ou la plate-forme dans
laquelle sont définies les politiques de sécurité à appliquer vis-à-vis du client.
Cisco Systems, leader mondial des solutions réseaux, dispose d'un ensemble de
produits servant à mettre en place la solution NAC. Sa nouvelle politique tend à adopter la
plate-forme ISE ( ou Identity Services Engine). Cependant, les informations disponibles sur sa
mise en place et sa configuration sont limitées du moment qu'elle est récente.
La réalisation de ce projet constitue donc une opportunité pour expérimenter cette
plate- forme et peut être une occasion pour solutionner les éventuels obstacles techniques qui
peuvent être rencontrés lors du déploiement; d'ailleurs les mêmes solutions seront déployées,
à l'avenir, par Next Step IT, auprès de ses clients.
6 | Page
1.5. Planification prévisionnelle du projet
Le diagramme de Gantt suivant reproduit la planification prévisionnelle définie pour

l'implémentation de la solution NAC et la rédaction du rapport associé.
Février Mars Avril Mai Juin

Recherche et
documentation
Préparation de
l'environnement
Rédaction du
rapport
Réalisation d'un
scénario de test
Mise en place
de la solution
Figure 2: Planification prévisionnelle
1.6. Gestion du
projet
Lors de la discussion avec le représentant de l'entreprise, il s'est avéré que les services
à réaliser, lesquels sont intégrés dans la solution NAC, dépendent des fonctionnalités
disponibles dans la plate-forme ISE et des besoins des clients de Next Step IT. Par
conséquent, notre mise en place pourra subir de nombreuses modifications en fonction de
l'avancement.
Par ailleurs, nous avons opté pour une gestion de projet Agile, méthode plutôt adoptée
dans les développements informatiques et plus précisément la méthode SCRUM. Ses principales
caractéristiques sont :
 La transparence : un langage commun doit permettre à tout observateur d'obtenir
rapidement une bonne compréhension du projet.
 L'inspection : à intervalles réguliers, Scrum propose de faire le point sur les
différentes modifications produites, afin de détecter toute variation indésirable.
 L'adaptation : si une dérive est constatée pendant l'inspection, le processus devra
alors être adapté.
1.7. Conclusion
Dans ce qui précède, nous avons abordé le contexte général de notre projet et plus
précisément l'environnement de réalisation et la gestion suivie. De même que la précision des
7 | Page
objectifs du projet par une planification prévisionnelle nous a permis d'assurer le bon
déroulement et de garantir le respect des délais.
8 | Page
CHAPITRE 2 :
ÉTAT DE L'ART
Chapitre 2 État de l'art
2.1. Introduction
Notre projet consistant à implémenter une solution NAC à base de la plate-forme
Cisco ISE, ce chapitre sera donc l’occasion de mettre l'accent sur les détails de cette solution
et particulièrement la plate-forme ISE dans le but de mieux comprendre la partie réalisation qui
sera traitée ultérieurement.
2.2.La solution NAC

Dans cette partie, il est utile d'une part, de rappeler le principe de fonctionnement de la
solution NAC et son architecture globale et d'autre part, d'étudier certaines solutions disponibles.
2.2.1. Principe de fonctionnement
Le contrôle d’accès au réseau (ou NAC) est un terme qui englobe diverses
technologies développées pour contrôler/restreindre l’accès au réseau par les systèmes d’extrémité
en fonction de leur « état de santé ». L’idée de base est que les systèmes d’extrémité dangereux ou
vulnérables (« en mauvaise santé ») ne doivent pas communiquer sur le réseau de l’entreprise
dans la mesure où ils pourraient introduire un risque de sécurité pour les processus et les
services critiques. Une solution NAC empêchera un système d’extrémité en mauvaise santé
d’accéder normalement au réseau jusqu’à ce que la santé de ce système soit assurée.
Le bilan de santé d’un équipement connecté au réseau est également appelé « évaluation »
du système d’extrémité. Les systèmes d’extrémité peuvent être notamment des PC, des
imprimantes, des téléphones IP, des caméras de sécurité IP traditionnelles, etc. Cette
évaluation doit permettre de découvrir le niveau de vulnérabilité ou de menace acceptable
d’un système d’extrémité. Des éléments, tels que le niveau de patch de sécurité, la présence de
solutions antivirus/anticodes malveillants, les mises à jour de signatures antivirales/anticodes
malveillants, les applications en cours d’exécution et les ports ouverts peuvent tous être
analysés afin de déterminer l’état de santé global du système d’extrémité.
Après exécution du processus d’évaluation et d’autorisation du système d’extrémité,
s'il s'avère que ce dernier est non conforme aux politiques de sécurité du réseau, on peut lui
accorder un accès restreint ou encore le mettre en quarantaine réseau. Le processus
d’application des politiques de mise en quarantaine fait intervenir des politiques de
communication réseau très granulaires, c’est-à-dire à base de flux et non pas une simple
affectation à un VLAN. En effet, regrouper tous les systèmes d’extrémité « en mauvaise santé
» au sein du même VLAN de quarantaine revient à les laisser s’infecter mutuellement avec
8 | Page
de nouvelles vulnérabilités. Les
9 | Page
politiques réseau décrivent la manière dont le trafic entrant sur des ports de commutation doit
être traité au niveau du filtrage et du balisage.
Dans le cadre d’une solution NAC, la remédiation consiste à résoudre un problème à
des fins de conformité avec certaines politiques prédéfinies. Ce processus de remédiation
permet à l’utilisateur mis en quarantaine réseau de recouvrer sa conformité. Il est important que
ce dernier soit impliqué dans le processus de remédiation afin d’optimiser les performances
des processus métier. (Enterasys Secure Networks, 2007)
2.2.2. Architecture
L'implémentation d'une solution NAC nécessite l'existence d'un ensemble de

composants. Le diagramme ci-dessous montre l'ensemble de ces éléments et le flux de
communication échangé :
Figure 3: Architecture globale d'une solution NAC
 Périphériques essayant d'accéder au réseau ou "Agents" (A) : inclut les

ordinateurs portables mobiles ou qui ne se connectent que rarement, les utilisateurs
invités ou les visiteurs ainsi que les utilisateurs de réseau habituels qui tentent d'accéder
au réseau d'entreprise.
 Périphérique de contrôle d'accès au réseau (B) : du point de vue du
périphérique demandeur, le périphérique d'accès réseau fonctionne en tant que
périphérique réseau de « premier saut » qui lance le traitement Posture Validation et le
processus d'authentification.
 Posture Validation Server (point de décision d'accès réseau) (C) : serveur en
arrière-plan dédié, également appelé "Posture Validation Server", qui évalue les références
10 |
Page
d'authentification Posture (statut des périphériques qui requièrent un accès) en fonction des
règles de conformité.
 Serveurs d'entreprise (D) : zone critique du réseau et que la solution NAC
protège des périphériques malsains, infectés ou vulnérables.
 VLAN de quarantaine (E) : zone de réseau protégée virtuelle dans laquelle
les périphériques peuvent être sécurisés et corrigés, ré-analysés, puis ils obtiennent un
accès complet au réseau d'entreprise, ou restent conservés avec un accès restreint aux
ressources de réseau telle que l'Internet. (LANDESK, 2013)
2.2.3. Étude comparative des solutions disponibles
Plusieurs solutions NAC sont disponibles. Elles peuvent être classifiées sous deux
principales catégories : commerciales et libres.
 Les solutions commerciales
De nombreuses solutions existent sur le marché. Les trois constructeurs suivants sont
les dominants : Cisco, Microsoft et Juniper. La solution CISCO est traitée avec pl+us de
détails vu qu'elle est utilisée lors de la réalisation de ce projet, alors que les deux autres seront
évoquées brièvement.
 Solution Cisco
La gamme Cisco peut être définie par les caractéristiques suivantes :
 Intégration de l’authentification avec ouverture de session unique
Cisco NAC joue le rôle de proxy d’authentification pour la plupart des formes
d’authentification, puisqu’il intègre de manière native Kerberos, LDAP (Lightweight
Directory Access Protocol), RADIUS, Active Directory et bien d’autres solutions encore.
Afin de minimiser la gêne pour les utilisateurs finaux, Cisco NAC supporte l’ouverture de session
unique pour les clients VPN, les clients sans fil et les domaines Windows Active Directory. Le
contrôle d’accès à base de rôles permet à l’administrateur de gérer de multiples profils utilisateurs
avec des niveaux de permission différents.
 Évaluation des vulnérabilités
Cisco NAC supporte l’analyse de tous les systèmes d'exploitation Windows, de Mac
OS, des machines Linux et des équipements de réseau autres que les PCs (consoles de jeu,
PDA, imprimantes, téléphones IP, etc.). Il effectue une analyse réseau et peut, si nécessaire,
utiliser des outils d’analyse personnalisés. Cisco NAC peut vérifier n’importe quelle application
identifiée par ses clés de registres, les services exécutés ou les fichiers systèmes.
11 | Page
 Mise en quarantaine
Cisco NAC peut placer les machines non conformes en quarantaine pour éviter la
propagation des infections tout en lui ouvrant un accès à des ressources de remédiation. La
quarantaine peut s’effectuer sur un sous réseau de petite taille (type /30) ou sur un VLAN de
quarantaine.
 Mises à jour automatisées des politiques de sécurité
Les mises à jour automatiques des politiques de sécurité fournies par Cisco dans le
cadre du service de maintenance logicielle standard permettent d’obtenir des politiques prédéfinies
pour les critères d’accès réseau les plus courants, notamment les politiques qui vérifient les mises à
jour critiques du système d'exploitation comme des signatures antivirus et anti logiciels
espions des principaux produits du marché. Cette fonction réduit les frais de gestion pour
l’administrateur réseau qui peut laisser au serveur Cisco NAC le soin de veiller à la mise à
jour permanente des politiques de sécurité.
 Gestion centralisée
La console de gestion Web du Cisco NAC permet à l’administrateur de définir les

types d’analyse exigibles pour chaque rôle ainsi que les outils de remédiation
nécessaires aux
« réparations ». Une même console de gestion peut administrer plusieurs serveurs.
 Remédiation et réparation
Les fonctionnalités de quarantaine donnent aux appareils un accès à des serveurs de

remédiation qui peuvent leur fournir des correctifs et des mises à jour du système
d'exploitation, des fichiers de définition de virus ou des solutions de sécurité pour points
d’extrémité comme Cisco Security Agent. L’administrateur peut autoriser les remédiations
automatiques grâce à l’option Cisco NAC Agent, initier le lancement automatique des mises à
jour Windows ou fournir une liste de pages Web contenant les instructions de remédiation.
(Cisco Systems, 2006)
 Solution Microsoft
La protection d’accès réseau (NAP) est un ensemble de composants du système

d’exploitation inclus dans les systèmes Windows Server 2008, 2012 et Windows Vista; cet
ensemble constitue une plate-forme permettant de s’assurer que des ordinateurs clients dans
un réseau privé répondent aux exigences définies par l’administrateur en matière d’intégrité
système. Les stratégies NAP définissent l’état de configuration et de mise à jour du système
12 | Page
d’exploitation et des logiciels critiques d’un ordinateur client.
13 | Page
Les déploiements de la technologie NAP exigent des serveurs dotés de Windows

Server 2008 ou 2012. De plus, cela suppose que des ordinateurs clients, exécutant Windows
XP, Windows Vista, Windows 7 ou Windows 8, soient disponibles.
Le serveur central chargé de l’analyse de détermination de l’intégrité pour la technologie
NAP est un ordinateur doté de Windows Server 2008 ou 2012 et d’un serveur NPS (Network
Policy Server). NPS est l’implémentation Windows du serveur et proxy RADIUS (Remote
Authentication Dial-In User Service). Le NPS remplace le service d’authentification Internet
(IAS ou Internet Authentication Service) dans le système d’exploitation Windows Server 2003.
Les périphériques d’accès et les serveurs NAP assument la fonction de clients
RADIUS pour un serveur RADIUS NPS. NPS effectue une tentative d’authentification et
d’autorisation d’une connexion réseau puis, en fonction des stratégies de contrôle d’intégrité ,
détermine la conformité de l’intégrité des ordinateurs et la manière de restreindre l’accès
réseau d’un ordinateur non conforme. (Microsoft, 2008)
Figure 4: Architecture d'une solution Microsoft NAP
 Solution Juniper
La solution Juniper ou Unified Access Control (UAC) s'appuie sur les normes de
l'industrie, notamment 802.1X, RADIUS, IPsec et IF-MAP de TNC, lesquelles permettent
l'intégration de la solution UAC à n'importe quel équipement de sécurité et réseau tiers.
Elle combine l'identité des utilisateurs, le statut de sécurité des dispositifs et les
informations sur l’emplacement dans le réseau pour créer une stratégie de contrôle des accès,
14 | Page
unique pour chaque utilisateur (qui fait quoi et quand?). La solution peut être activée en couche 2
à l’aide du protocole 802.1X, ou en couche 3 via un déploiement de réseaux superposés. UAC
2.0 peut également être mis en œuvre dans un mode mixte qui utilise le protocole 802.1X pour
contrôler les admissions sur le réseau et la couche 3 pour contrôler les accès aux ressources.
La solution UAC comprend Junos Pulse, Junos Pulse Access Control Service, les
passerelles Junos Pulse MAG Series, les équipements de contrôle d'accès unifié IC Series,
ainsi que des points de mise en application d'Unified Access Control (UAC) comprenant tous
les commutateurs ou points d'accès 802.1X conformes au protocole IF-MAP de l’architecture
Trusted Network Connect (TNC).
Parmi ces équipements figurent, par exemple, les commutateurs EX Series, les points
d'accès pour réseau local WLA Series et les passerelles SRX Series. (Juniper Networks, 2011)
La figure suivante présente un exemple d'architecture pour une solution UAC :
Figure 5: Architecture de la solution Juniper UAC
 Les solutions libres
Plusieurs solutions libres existent. Les plus répandues sont FreeNAC et PacketFence.
 FreeNAC
La solution FreeNAC effectue l'authentification via deux modes :

 Mode VMPS : les machines du réseau sont identifiées par leur adresse MAC.
Les utilisateurs ne sont pas authentifiés dans ce mode.
 Mode 802.1x : les machines du réseau peuvent être authentifiées par certificat
et les utilisateurs d'un domaine Windows par leur compte.
15 | Page
L'attribution d'un VLAN est basée sur l'adresse MAC d'une machine. En mode VMPS,
l'authentification et l'attribution ont lieu en une seule étape. En mode 802.1x,
l'authentification des utilisateurs (dans le domaine Windows), ou celle des machines (par
certificat), se déroule en premier, et ce n'est que par la suite que l'adresse MAC est utilisée
pour l'attribution du VLAN. (FreeNAC)
 PacketFence
PacketFence est une solution de conformité réseau (NAC, Network Access Control)
entièrement libre, supportée et reconnue. Elle procure une liste impressionnante de
fonctionnalités tels :
 L'enregistrement des composantes réseau grâce à un puissant portail captif
 Le blocage automatique, si souhaité, des appareils indésirables tels que les produits
Apple et Sony, bornes sans fil et autres
 L'enrayement de la propagation de vers et virus
 Le freinage des attaques sur les serveurs ou les diverses composantes du réseau
 La vérification de la conformité des postes présents sur le réseau (logiciels installés,
configurations particulières, etc.)
 La gestion simple et efficace des invités se connectant sur le réseau
 L'authentification des utilisateurs en se référant au standard 802.1X
 L'isolation niveau-2 des composantes problématiques
 L'intégration des détecteurs d'intrusions Snort et de vulnérabilités Nessus (Marcotte,
2013)
2.3.La plate-forme Cisco ISE

Dans ce qui suit, nous allons définir la plate-forme Cisco ISE, la comparer avec son
prédécesseur ACS et mettre l'accent sur les principaux standards auxquels elle fait appel pour
fonctionner et nous finissons par évoquer les licences requises pour bénéficier de ses services.
2.3.1. Définition
Identity Services Engine (ISE) est la dernière génération des plates-formes de contrôle
d'accès proposées par Cisco et qui permet aux entreprises d'imposer leurs politiques de
sécurité lors de l'accès, de renforcer la sécurité de leurs infrastructures et de rationaliser leurs
opérations de services.
L'architecture unique de Cisco ISE permet aux entreprises de recueillir les
informations concernant les utilisateurs et les périphériques, en temps réel à partir du réseau.
L'administrateur
16 | Page
peut ensuite utiliser ces informations pour prendre des décisions de gouvernance proactive en
liant l'identité à divers éléments du réseau, y compris les commutateurs, les contrôleurs de réseau
local sans fil (WLC) et les passerelles des réseaux privés virtuels (VPN).
Le schéma suivant montre un exemple de déploiement de l'ISE au sein du réseau :
Figure 6: Déploiement d'une solution de contrôle d'accès basée sur ISE
La plate-forme ISE peut être considérée comme étant un système de contrôle d'accès
consolidé, à base de règles et intégrant un sur-ensemble de fonctionnalités disponibles dans
les plates-formes existantes. Parmi ses caractéristiques, on peut citer :
 Fournit un support pour la découverte, le profilage "profiling", le placement à base de

règles et le suivi des périphériques d'extrémité sur le réseau.
 Combine l'authentification, l'autorisation, la traçabilité (AAA : authentication,
authorization, accounting), l'évaluation de posture et le profilage en une seule application.
 Prend en charge l'évolutivité nécessaire pour soutenir un certain nombre de scénarios
de déploiement, du petit bureau aux grands environnements d'entreprise.
2.3.2. Comparaison entre ACS et ISE
L'ACS ou Secure Access Control System est le prédécesseur de l'ISE. Le tableau

suivant présente une comparaison entre les deux :
Cisco ACS Cisco ISE
Support du protocole d'authentification
Oui Non
TACACS+ et ses services
Autorisation et authentification des
Oui Oui
machines et des utilisateurs
Profilage intégré Non Oui
Services "Guest" intégrés Non Oui
Security Group Access(SGA) Oui Oui
Tableau 1: Comparaison ACS vs ISE
17 | Page
2.3.3. Fonctionnement
Lors de la phase d'authentification et pour communiquer avec le client ou sa machine,

la plate-forme ISE fait appel à un ensemble de normes et de protocoles. Ce sont
principalement : 802.1X, EAP et RADIUS.
 802.1X
802.1 X est un standard qui définit un mécanisme d'authentification pour l'accès au

réseau. 802.1X peut être comparé au protocole PPP, largement diffusé et nécessaire pour un
accès à Internet utilisant un modem. Le protocole PPP s'appuie sur un mécanisme embarqué,
chargé de l'authentification et pour lequel deux sous-protocoles étaient proposés au choix :
PAP et CHAP. Schématiquement, nous pourrions écrire :
Accès Internet = modem + PPP + (PAP ou CHAP) + TCP/IP.
Au cas où 802.1X est utilisé sur un équipement tel que le commutateur (Switch),
l'utilisateur connectant son ordinateur au réseau (filaire ou sans fil) est obligé à s'authentifier avant
d'entamer toute activité. A l'issue du processus d'authentification et en cas de succès, le client
reçoit un profil réseau (TCP/IP et VLAN) ainsi qu'un assortiment de règles de sécurité. (5)
Le standard 802.1X fait intervenir trois entités :
 Le client ou "supplicant" qui est typiquement un PC
 L'authentificateur (Switch, WLC)
 Le serveur d'authentification ou "authentifcation server" qui est un serveur RADIUS.
802.1x s'appuie sur EAP (Extensible Authentication Protocol) qui présente un moyen
pour transporter un protocole d'authentification. (Vincent REMAZEILLES, 2009)
 EAP (Extensible Authentication Protocol)
Le besoin de compatibilité avec des infrastructures d'authentification diversifiées et la

nécessité de disposer de secrets partagés dans des environnements multiples ont conduit à la
genèse du protocole EAP, capable de transporter des méthodes d'authentification
indépendamment de leurs particularités.
Le protocole EAP fournit un cadre peu complexe pour le transport de protocoles
d'authentification. Un message comporte un en-tête de 5 octets et des données optionnelles,
comme illustré dans la figure qui suit.
18 | Page
Figure 7: Datagramme EAP
Le protocole EAP est extensible puisque tout mécanisme d'authentification peut être
encapsulé à l’intérieur des messages EAP. Au niveau supérieur se trouvent les méthodes
d'authentification, comme TLS, MSChap, SIM, etc. La trame EAP elle-même est
encapsulée dans une trame de transport. Cette encapsulation peut s’effectuer soit dans une
trame EAP over Radius, c’est-à-dire dans une trame RADIUS, soit dans une trame EAPoL
(EAP over LAN) qui est utilisée dans les réseaux locaux, en particulier les réseaux locaux
sans fil de type Wi-Fi. (Pujolle, 2008)
 RADIUS (Remote Authentication Dial-In User Server)
Quel que soit le choix du mécanisme d'authentification entre le point d’accès et le serveur
d'authentification, les paquets EAP sont généralement acheminés grâce au protocole
RADIUS. RADIUS est depuis longtemps le protocole AAA (Authentication, Authorization,
Accounting) le plus largement adopté. Utilisé par les ISP pour authentifier les utilisateurs, il est
principalement conçu pour transporter des données d'authentification, d’autorisation et de
facturation entre des NAS (Network Access Server) distribués, qui désirent authentifier leurs
utilisateurs et un serveur d’ authentification partagé.
RADIUS utilise une architecture client-serveur qui repose sur le protocole UDP. Les
NAS, qui jouent le rôle de client, sont responsables du transfert des informations envoyées
par l’utilisateur vers les serveurs RADIUS. Ces derniers prennent en charge la réception des
demandes d’authentification, l’ authentification des utilisateurs et les réponses contenant
toutes les informations de configuration nécessaires aux NAS. Les serveurs RADIUS peuvent
également agir comme proxy pour d’autres serveurs RADIUS.
Si un équipement mobile a besoin d’accéder au réseau en utilisant RADIUS pour
l'authentification, il doit présenter au NAS des crédits d'authentification (identifiant utilisateur,
mot de passe, etc.). Ce dernier les transmet au serveur RADIUS en lui envoyant un ACCESS-
REQUEST. Le NAS et les proxys RADIUS ne peuvent interpréter ces crédits
d'authentification car ces derniers sont chiffrés entre l’utilisateur et le serveur RADIUS
19 | Page
destinataire. À la réception
20 | Page
de cette requête, le serveur RADIUS vérifie l'identifiant du NAS puis les crédits d'authentification
de l’utilisateur dans une base
de données LDAP (Lightweight Directory Access Protocol) ou
autre.
Les données d’autorisation échangées entre le client (le NAS) et le serveur RADIUS
sont toujours accompagnées d’un secret partagé. Ce secret est utilisé pour vérifier
l’authenticité et l’intégrité de chaque paquet entre le NAS et le serveur. (Pujolle, 2008)
 802.1X - EAP - RADIUS
Les messages EAP transportent les échanges d’authentification entre le client et le serveur
d'authentification. Le Switch ne fait que les relayer, toutefois de part et d’autre du Switch, les
messages EAP ne sont pas transportés de la même façon. Entre le client et le Switch, EAP est
directement dans la charge utile des trames Ethernet. Entre le Switch et le serveur RADIUS,
EAP est transporté dans les messages RADIUS. La figure suivante explique les deux
encapsulations :
Figure 8: Encapsulation des messages EAP
2.3.4. Licences
La stratégie des licences suivie par Cisco vise à minimiser le nombre de licences à
commander en combinant les différents services. Actuellement, quatre paquets de licence ISE
CISCO sont disponibles : Base, Advanced, Plus et Wireless. La licence d'évaluation est
incluse dans la plate-forme ISE, offrant tous les services pour une durée de trois mois. La
licence à commander reste valide durant un, trois ou cinq ans. Le tableau qui suit expose les
différents services et les licences correspondantes.
21 | Page
Services de ISE CISCO Licences

Services RADIUS incluant dot1x et MAB Base - Wireless
Authentification WEB Base - Wireless
MACsec Base - Wireless
Portail "Guest" & services du sponsor Base - Wireless
Posture Advanced - Wireless
Security Group Access Plus - Advanced - Wireless
Services de protection des terminaux Plus - Advanced - Wireless
Mobile Device Management(MDM) Advanced - Wireless
Enregistrement des périphériques via portail Plus - Advanced - Wireless
Profilage Plus - Advanced - Wireless
Profiler feed service Plus - Advanced - Wireless
Services RESTful externes Base - Wireless
Tableau 2: Les services de l'ISE et les licences correspondantes
2.4.Conclusion
Dans ce présent chapitre, nous avons essayé de mettre en relief le principe de

fonctionnement de toute solution NAC, son architecture globale ainsi que les différentes
solutions disponibles; néanmoins, nous nous sommes attardés sur une solution particulière
proposée par Cisco Systems, à savoir la plate-forme ISE.
La mise en place de cette plate-forme et la définition des politiques de sécurité dépendent

de l'architecture et de la nature du réseau à protéger, tels que type d’ utilisateurs, équipements
déployés et sous-réseaux existants.
22 | Page
CHAPITRE 3 :
RÉALISATION
Chapitre 3 Réalisation
3.1. Introduction
Après avoir achevé les notions théoriques, nous passons à la mise en place de notre
solution, laquelle représente notre tâche principale. Au cours de ce chapitre, nous nous
attarderons sur les différentes configurations requises pour assurer le contrôle d'accès des
utilisateurs des réseaux filaire et sans fil. Ceci revient essentiellement à paramétrer la plate-forme
ISE, le commutateur ainsi que le contrôleur du réseau sans fil ou le WLC.
3.2. Architecture du réseau
Afin d'implémenter notre solution, nous avons besoin d'une part, de deux équipements
et d'autre part, de quatre machines virtuelles.
Les équipements requis sont :

 Un commutateur (Switch)
 Un point d'accès
Les machines virtuelles requises serviront à installer :

 Un contrôleur de domaine
 Deux plates-formes Cisco ISE
 Un contrôleur du réseau local sans fil (WLC)
L'installation des machines virtuelles s'est déroulée sur le serveur de l'entreprise, lequel est
doté des caractéristiques suivantes :
Figure 9: Résumé sur les caractéristiques du serveur
21 | Page
Leur déploiement s'effectue au sein du réseau existant de l'entreprise. Par conséquent,

le choix des adresses est relié au plan d'adressage disponible ; les adresses à utiliser doivent
appartenir au réseau 172.25.0.0 et ayant comme masque 255.255.255.0 .
La figure ci-dessous explique l'architecture suivie.
Figure 10: Architecture du réseau
22 | Page
3.3. Installation et intégration de Cisco ISE et Active Directory

Avant d'entamer la configuration des trois principaux éléments de notre solution, nous
devrions passer par la préparation du terrain dans lequel la solution sera déployée. Ceci
consiste essentiellement à :
 Installer le contrôleur de domaine.
 Installer et intégrer deux plates-formes ISE.
 Joindre les deux plates-formes au contrôleur.
3.3.1. Installation du contrôleur de domaine (Active Directory)
Active Directory est un service d'annuaire, ou contrôleur de domaine, permettant de

référencer et d'organiser des objets tels que les comptes utilisateurs ou encore les autorisations
et ce à l'aide de groupes de domaine. Les informations peuvent ainsi être centralisées dans un
annuaire de référence afin de faciliter l'administration du réseau.
Le domaine représente l'unité de base chargée de regrouper les objets qui partagent un
même espace de nom. Par conséquent, notre domaine repose sur un système DNS.
Le serveur DNS et le contrôleur Active Directory sont deux rôles à ajouter à Windows
Server.
Figure 11: Ajout des rôles DNS et Active Directory
Le nom de domaine que nous avons choisi est : NSIT.local (abréviation du nom de
l'entreprise : Next Step IT)
3.3.2. Installation et intégration de deux plates-formes Cisco ISE

L'installation de l'ISE s'est déroulée sur l'un des serveurs de l'entreprise ayant comme
hyperviseur VMware ESXi. Nous y accédons à l'aide de VMware vSphere Client.
23 | Page
En premier lieu, nous devons télécharger l'image .iso sur la banque de données
"datastore" du serveur.
Figure 12: Téléchargement de l'image .iso sur la datastore
La plate-forme ISE requiert une machine virtuelle ayant au minimum les caractéristiques
suivantes :
 Mémoire vive de 4 GB
 Mémoire disque de 200 GB
 4 processeurs (CPUs)
 Deux cartes réseaux (2 NIC)
Lors du premier démarrage de la machine, certaines données ont été saisies pour
commencer l'installation, parmi lesquelles nous pouvons citer :
 ise-cisco2 : nom de la machine lequel, sera ajouté ultérieurement aux DNS et
Active Directory
 172.25.0.201 : adresse IP privée de la machine
 255.255.255.0 : masque de sous-réseau
 172.25.0.254 : passerelle par défaut
 nsit.local : nom de domaine que nous avons choisi
 172.25.0.27 : adresse IP du serveur NTP (Network Time Protocol) permettant de
synchroniser l'horloge de la plate-forme. Un serveur NTP a été installé sur Windows
Server et sur lequel pointe l'ISE.
24 | Page
Figure 13: Paramètres de configuration réseau lors de l'installation
La machine contenant la plate-forme ISE est appelée "node". Elle peut fonctionner
selon deux modes :
 Standalone : déploiement d'une seule plate-forme assurant les différents services
 Primaire-secondaire : déploiement distribué, permettant la séparation des services et le
basculement "failover" entre les deux nœuds.
Pour assurer la haute disponibilité, nous avons opté pour la mise en place de deux
plates-formes ISE. Leur intégration nécessite une authentification mutuelle basée sur les
certificats : chacune possède son propre certificat, lequel doit être généré par l'autorité de
certification (Certificate Authority). Dans notre cas, l'autorité est représentée par le contrôleur de
domaine. La génération du certificat est offerte par le service de certificats Active Directory.
Figure 14: Ajout des services de certificats Active Directory
Ce service est accessible via une interface WEB à l'adresse suivante :

https://172.25.0.27/certsrv où 172.25.0.27 représente l'adresse du serveur Windows. La
capture d'écran qui suit représente l'interface Web du service.
25 | Page
Figure 15: Interface WEB du service de certificats Microsoft Active Directory
L'ajout du certificat d'autorité de certification s'effectue manuellement. Nous l'avons

téléchargé à partir de l'interface Web et joint aux plates-formes pour assurer la reconnaissance
des deux certificats.
Figure 16: Importation du certificat d'autorité de certification dans la plate-forme ISE
L'étape suivante consiste à générer les demandes des certificats "Certificate Request" à
partir de l'ISE afin de les traiter au niveau du service des certificats Active Directory. Le fichier de
la demande est par la suite ouvert avec un éditeur de texte et son contenu est collé au service
approprié. Le modèle de certificat à choisir est "Serveur Web".
Figure 17: Génération du certificat par le service des certificats AD
26 | Page
Figure 18: Détails du certificat généré pour le deuxième nœud
Après avoir ajouté chaque certificat à la plate-forme correspondante, nous sommes à

même de les intégrer. L'enregistrement de la plate-forme secondaire au niveau de la primaire
nécessite la spécification de son FQDN (ise-cisco2.nsit.local) et des données d'authentification de
l'administrateur. Il est à préciser que l'intégration des deux plates-formes exige une conformité
d'horloge (NTP).
Figure 19: Enregistrement du nœud secondaire
Le nœud peut assurer un ou plusieurs des services suivants :

 Administration : permet de manipuler les configurations systèmes reliées aux
fonctionnalités telles que l'authentification et l'autorisation.
 Monitoring : fournit les services de journalisation "log" et des outils de dépannage
"troubleshooting" avancés
 Services de la politique "Policy Service" : fournit l'accès au réseau, la validation de
posture, l'accès des visiteurs "Guests", "client provisioning" et les services de profilage.
Dans un déploiement assurant la haute disponibilité, le nœud administratif primaire est

le seul nœud actif, et sur lequel s'effectuent tous les changements. Le nœud secondaire est en
état
d'attente "standby" et reçoit d'une manière continue la configuration du nœud principal.
27 | Page
Par conséquent, il possède toujours une copie complète de la configuration. Au cas où le

nœud primaire est devenu hors service, le responsable doit se connecter à l'interface du nœud
secondaire et le promouvoir pour pouvoir configurer les règles.
3.3.3. Jointure des deux plates-formes au contrôleur Active Directory
L'intégration du contrôleur avec la plate-forme ISE sera utile lors de la phase

d'authentification. En effet, l'authentification peut être effectuée à partir d'une source externe
et ce en s'appuyant sur les comptes utilisateurs et leurs groupes respectifs.
La plate-forme doit être reconnue au niveau du contrôleur comme étant une machine.
Son FQDN (ise-cisco.nsit.local) doit aussi être résolu. Ceci nous conduit à ajouter un hôte au
niveau du serveur DNS, sinon une alerte s'affichera sur la plate-forme .
Figure 20: Ajout des machines au serveur DNS
La requête de jointure requiert la saisie des coordonnées du compte de l'administrateur du

domaine ou celles d'un compte ayant les permissions d'ajout des machines et d'accès à la liste des
groupes et utilisateurs.
Figure 21: Jointure des plates-formes ISE à Active Directory
Une fois la jointure réussie, et en consultant la liste des machines existantes sur le
contrôleur, nous pouvons constater que la machine sur laquelle est installée Cisco ISE est
automatiquement additionnée.
Figure 22: Ajout des plates-formes à la liste des machines
28 | Page
Après avoir effectué la jointure à Active Directory, nous devons importer les groupes
permettant d'authentifier les utilisateurs du domaine et servant à affecter le profil
d'autorisation approprié à chaque utilisateur. Pour afficher les groupes dont on a besoin, il faut
taper leurs noms, autrement il faut taper "*" pour lister les groupes existants. La figure qui suit
montre l'importation du groupe "Utilisateurs du domaine".
Figure 23: Ajout d'un groupe d'utilisateurs Active Directory à l'ISE
3.4. Configuration de l'ISE

La configuration de l'ISE se résume principalement à la configuration des politiques
d'authentification, de "Client Provisioning" et posture et d'autorisation.
3.4.1. Authentification
Les politiques d'authentification à définir au niveau de l'ISE servent à identifier les

différents utilisateurs ou machines demandant l'accès au réseau et ce en s'appuyant sur un
ensemble de protocoles tels que Password Authentication Protocol (PAP), Challenge-Handshake
Authentication Protocol (CHAP), Extensible Authentication Protocol (EAP) et Protected
Extensible Authentication Protocol (PEAP). Lors de l'ajout de la règle, nous devons choisir
les protocoles permis pour une telle méthode d'authentification et la source des identités
(Identity Store).
Les sources qui peuvent être utilisées sont les suivantes :
 Utilisateurs internes
 Utilisateurs "Guest" (groupe d'utilisateurs défini sur la plate-forme)
 Terminaux internes
 Active Directory
 Bases de données LDAP
 RADIUS Token Server
29 | Page
Trois méthodes d'authentification sont supportées par l'ISE :

 802.1X (abordé au cours du chapitre précédent)
 MAC Authentication Bypass (MAB) : certains périphériques, tels que
l'imprimante réseau et le téléphone IP, ne supportent pas l'authentification 802.1X.
Dans ce cas, elle pourra être effectuée en se référant à l'adresse MAC
 L'authentification Web via un portail captif
Les règles d'authentification qui ont été définies se limitaient aux deux premières
méthodes. La première règle permet de vérifier l'existence des adresses MAC des périphériques
dans la liste interne. Cette règl sera aussi utile pour la troisième méthode, laquelle est reportée à
la phase d'autorisation. La seconde règle sert à authentifier les comptes utilisateurs, en premier
lieu à partir du contrôleur Active Directory, puis à partir de la liste interne. En d'échec
d'authentification pour un utilisateur de domaine, la seconde règle donne la possibilité de
tester avec un utilisateur local. Ceci nous permettra de mieux localiser la défaillance ; il
pourrait s'agir d'une erreur d'intégration avec Active Directory ou d'une erreur au niveau de
l'authentification en se référant au domaine.
Figure 24: Règles d'authentification
Afin d'autoriser plus qu'une source d'authentification pour une seule règle, il a fallu
ajouter une séquence de source d'identité ou "Identity Source Sequence" permettant de vérifier
les identités en consultant les sources par ordre. La figure suivante montre la séquence définie
:
30 | Page
Figure 25: Définition de la séquence "Use_AD_then_local"
31 | Page
Il est possible de définir des règles avec des conditions simples ou composées. Une
condition simple est basée sur un opérande, un opérateur tels que "equal to" et "not equal to"
ainsi qu'une valeur. Ces conditions peuvent être définies au niveau de la librairie et appelées
directement lors de la définition de la règle pour une meilleure organisation. Une condition
composée rassemble deux conditions simples ou plus avec un opérateur OR ou AND. La figure
suivante montre le rassemblement de deux conditions existantes dans la librairie avec un
opérateur OR pour la règle "MAB".
Figure 26: Condition composée (exemple : MAB)
Une fois l'authentification réussie, la session procède à la phase d'autorisation. Des

options offertes par l'ISE permettent de vérifier la conformité avec les politiques d'autorisation
même en cas d'échec d'authentification. Ces options sont indispensables pour faire fonctionner
l'authentification WEB. L'authentification MAB sera considérée comme réussie même si l'adresse
MAC de la machine est introuvable. Ceci est réalisable en changeant l'action à "Continue"
pour l'option "If user not found", comme indiqué sur la figure qui suit.
Figure 27: Succès de l'authentification au cas où l'adresse MAC est introuvable
La définition des règles repose sur les attributs du protocole RADIUS. Les attributs
constituent le principe le plus important du protocole Radius, aussi bien dans sa version
initiale que pour ses extensions. Les champs attributs sont le fondement du protocole. Par
conséquent, la bonne compréhension de leur signification et de leur rôle est indispensable pour
tirer le meilleur parti de Radius. Chaque attribut possède un numéro approprié, auquel est
associé un nom. Il existe un grand nombre d’attributs dans le protocole Radius, mais peu
d’entre eux sont utiles
32 | Page
dans le cas qui nous préoccupe ici :

 User-Name : cet attribut est envoyé par le NAS et contient l’identifiant qui va servir
de point d’entrée dans la base du serveur d’authentification
 User-Password : il s’agit du mot de passe associé à User-Name, transmis par le NAS. Le
serveur d’authentification valide ce mot de passe en fonction de la valeur enregistrée dans
sa base de données
 !NAS-Port : il s’agit du numéro de port du NAS sur lequel est connecté le poste de
travail. Cet attribut est transmis par le NAS. Son utilisation permettra d’authentifier un
poste de travail à condition qu’il soit connecté via ce numéro de port. Dans le cas d’un
commutateur, il s’agit du port physique sur lequel est connecté le poste de travail.
 Service-Type : indique le type de service demandé ou le type de service à fournir. Pour
une utilisation avec la norme 802.1X, seulement les valeurs Framed,
Authenticate Only
et Call check ont un sens.
A titre d'exemple, la condition prédéfinie "Wired_802.1X" affecte les valeurs suivantes
aux attributs Service-Type et NAS-Port :

Figure 28: Attributs RADIUS de l'authentification DOT1X sur le réseau filaire
3.4.2. Posture & Client Provisioning
Les services de posture fournis par Cisco ISE permettent de vérifie la disponibilité des
dernières mises à jour au niveau de la machine du client ou l'existence de certaines
applications tels que les anti-virus et les anti-spywares. Afin d'évaluer la machine, le client doit
disposer de l'un de ces deux Agents :
 Cisco NAC Web Agent : un agent temporaire que les clients installent lors du login et
qui disparait une fois la session de login terminée. Il est recommandé pour des utilisateurs
ayant un accès pour une période bien déterminée.
 Cisco NAC Agent : un agent persistant qui, une fois installé, subsiste sur une machine
Windows ou Mac pour permettre l'évaluation lors des prochaines
connexions. Il est
généralement utilisé avec les utilisateurs du domaine.
33 | Page
Par ailleurs, ces agents peuvent faciliter la remédiation des machines en affichant un
message expliquant la procédure et en fournissant des fichiers à télécharger et installer. La
plate- forme ISE donne la possibilité de rediriger les clients vers une page de téléchargement des
agents pour ceux qui n'en disposent pas et ce grâce à une option à configurer au niveau du
profil d’autorisation. Ce service est appelé "Client Provisioning". La figure qui suivra expose les
règles de "Client Provisioning" définies : la première fournit l'agent temporaire "Web Agent" aux
invités "Guests", alors que la deuxième fournit l'agent persistant aux autres utilisateurs qui
sont principalement les membres du domaine. Il est à préciser que l'ordre des règles est
primordial pour assurer une bonne affectation. Par exemple, en inversant l'ordre, tous les
utilisateurs téléchargeront l'agent persistant et la deuxième règle ne sera jamais appliquée.
Figure 29: Règles du Client Provisioning
Pour pouvoir choisir l'agent approprié, nous avons dû le télécharger directement sur la
plate-forme et ce à partir du site Cisco . Par conséquent, le nom de domaine cisco.com doit
être résolu à partir de l'ISE. La liste qui suit présente des versions multiples des deux types
d'agents NAC, temporaires et persistants.
Figure 30: Exemples de la liste des agents NAC
Après avoir fourni les agents permettant l'évaluation de posture aux clients, nous
devons procéder à la phase de définition des règles de posture. Une règle s'écrit :
Si condition(s) alors exigence
Aussi, une exigence peut être décomposée comme suit :
Si condition(s) alors action de remédiation
34 | Page
Dans une règle d'exigence, une condition simple peut être :

 un fichier : vérifier l'existence d'un fichier, la date du fichier ainsi que sa version
 un registre : s'assurer de l'existence d'une clé de registre ou la valeur de la clé
 une application : vérifier si une application est en train de fonctionner
 un service : vérifier si un service est en exécution
Nous pouvons aussi former une condition composée à base de conditions simples ou
composées. En outre, des conditions composées intégrées avec l'ISE existent : Antivirus et
Antispywares. Lors de l'ajout d'une condition d'antivirus et après le choix du système
d'exploitation, la liste des vendeurs s'affiche :
Figure 31: Liste des vendeurs d'antivirus
Pour une telle condition, Cisco ISE donne la possibilité d'examiner la machine pour
vérifier l'existence de l'antivirus ou même la disposition d'une version récente. Ceci est réalisable
en analysant le fichier de définition de la version par les Agents NAC. En conséquence, les
versions reconnues par l'ISE doivent être mises à jour continuellement.
Figure 32: Champs à remplir d'une condition d'antivirus
35 | Page
Comme l'entreprise Next Step IT est un revendeur des produits Mcafee, nous avons
opté pour l'utilisation de ce vendeur dans la définition de la règle. Tout utilisateur demandant
l'accès au réseau doit disposer d'une version de l'antivirus Mcafee.
Figure 33: Choix des produits Mcafee dans la condition d'antivirus
Après avoir défini la condition d'antivirus, nous devons choisir l'action de remédiation.
Il est possible de permettre l'accès à des adresses IP bien définies servant à télécharger et
mettre à jour l'anti-virus tel que le site officiel de Mcafee et ce lors de la déclaration de la liste
d'accès (ACL), ou d'offrir le fichier exécutable directement. Dans notre cas, nous avons
importé le fichier d'installation de l'antivirus sur la plate-forme pour qu'il soit téléchargeable
directement.
Figure 34: Ajout du fichier de remédiation
Comme la condition d'antivirus et l'action de remédiation ont été ajoutées, il est

possible de définir la règle d'exigence ou "requirement". Cette règle sera utile pendant la
définition de la règle de posture.
36 | Page
Figure 35: Définition de la règle d'exigence
Avec le fichier de remédiation, nous avons la possibilité d'afficher un message expliquant

la procédure et la cause de non-conformité. Dans notre cas, le message suivant sera affiché :
Figure 36: Affichage d'un message avec l'agent NAC
La règle de posture définie exige la disposition d'un antivirus Mcafee pour tous les
utilisateurs de l'environnement Windows en faisant appel à celle qui vient d'être déclarée et
nommée "Mcafee".
Figure 37: Règle de posture
Après avoir eu accès, un client peut désinstaller son anti-virus, ou d'une autre manière,
détourner la règle définie. Ceci nous oblige à revérifier la machine périodiquement. Dans
notre cas, nous avons appliqué une réévaluation régulière d'une heure comme décrit dans la
figure suivante.
Figure 38: Réévaluation régulière
37 | Page
3.4.3. Autorisation
Les politiques d'autorisation à définir mettent en application les politiques

d'authentification et de posture ; ces politiques sont déclarées comme étant des conditions. Sur
la base de ces conditions, l'utilisateur aura l'autorisation appropriée. Pour résumer, une règle
d'autorisation s'écrit :
Si conditions (attributs ou groupes d'utilisateurs) alors permissions (profil
d'autorisation).
Dans notre cas, nous avons besoin des attributs d'authentification et de posture ainsi
que des groupes d'utilisateurs. Afin de vérifier l'état de la machine par rapport à la règle de
posture, nous avons recours à l'attribut "PostureStatus" . Cet attribut peut avoir trois valeurs :
 Unknown : aucune donnée n'a été obtenue pour évaluer la machine; l'agent NAC
n'est pas disponible
 Noncompliant : la machine n'est pas conforme avec une ou plusieurs règles
 Compliant : la machine est conforme avec les règles
Afin de vérifier l'identité de l'utilisateur du domaine, nous avons recours à l'attribut

"ExternalGroups" et ce en prenant comme valeur le nom d'un groupe du domaine.
Les utilisateurs inscrits sur le portail captif sont affectés directement à un groupe
d'utilisateur nommé "Guest", lequel peut être exploité lors de l'ajout de la règle.
Avant d'additionner une règle, nous devons créer le profil d'autorisation associé. Dans
un tel profil, nous avons le choix entre plusieurs options telles que l'affectation à un VLAN, la
redirection vers un URL (portail d'authentification Web, portail de Client Provisioning, URL
externe, etc.), à base d'une liste de contrôle d'accès, et même l'application d'un ACL sur le
port du commutateur.
A titre d'exemple, nous avons créé le profil d'autorisation CWA permettant de rediriger
les utilisateurs vers le portail captif en se référant à la liste d'accès définie au niveau des WLC
et Switch et sur laquelle on s'attardera ultérieurement.
Figure 39: Profil d'autorisation CWA
38 | Page
Après avoir terminé la création des profils, nous pouvons définir les règles. Ces règles
autorisent l'accès aux utilisateurs authentifiés au domaine ou via le portail Web et ayant des
machines conformes aux règles de posture. Un utilisateur de domaine ne disposant pas de
l'agent
NAC ou non conforme avec les politiques de posture est redirigé vers la page de Client
Provisioning . Sinon, l'utilisateur est redirigé vers le portail Web incluant une phase de validation
de posture.
Figure 40: Règles d'autorisation
3.5. Configuration du Switch
Dans cette partie, nous allons nous intéresser à la configuration du Switch qui
représente l'authentificateur pour les utilisateurs du réseau filaire. En effet, le commutateur
jouera le rôle d'intermédiaire entre le serveur RADIUS (ISE) et le client.
Tout au long de la mise en place de notre solution, nous avons travaillé avec trois
modèles différents, à savoir le Cisco Catalyst 3560, le Cisco Catalyst 3650 et le Cisco
Catalyst 2960 et ce selon la disponibilité de l'un ou de l'autre, autrement dit, selon les
différents besoins des employés de l'entreprise.
Figure 41: Cisco Catalyst 3650
Afin d'accéder au Switch, nous pouvons nous connecter directement en utilisant un

câble console ou à distance via SSH. Le service SSH est par défaut désactivé au niveau du
39 | Page
commutateur.
40 | Page
Pour l'activer, nous avons recours aux commandes suivantes :

 crypto key generate RSA : générer la clé de chiffrement
 line vty 0 4 : permettre quatre sessions d'accès à distance simultanément
 transport input ssh : activer le service SSH au lieu de Telnet
 username <nom d'utilisateur> password <mot de passe> : spécifier les données
d'authentification
Il est à rappeler que des ports existant sur un commutateur peuvent fonctionner selon
différents modes. Dans les deux sections qui vont suivre nous allons évoquer, en premier lieu,
la configuration globale s'appliquant sur la totalité du Switch et en second lieu, nous procédons
à la configuration de l'interface.
3.5.1. Configuration globale
La commande aaa new-model permet d'activer les fonctions d'authentification,

d'autorisation et de comptabilité du Switch . Les commandes qui suivront définissent les services
du serveur RADIUS qui aura la charge d'authentifier les utilisateurs, de leur affecter des
profils d'autorisation basés sur les listes d'accès ou les VLANs et de garder une trace sur leur
activité :
 aaa authentication dot1x default group radius

 aaa authorization network default group radius
 aaa accounting dot1x default start-stop group radius
La commande suivante dont nous avons besoin est dot1x system-auth-control servant à
activer le 802.1x pour tout le Switch. Après avoir activé le AAA et dot1x, il est nécessaire de
déclarer l'adresse du serveur RADIUS fournissant les services demandés ainsi qu'une clé
d’authentification. Cette déclaration est effectuée à l'aide de la commande radius-server host
172.25.0.200 key nextstep où 172.25.0.200 et nextstep représentent respectivement l'adresse IP
de Cisco ISE et la clé d'authentification entre le commutateur et le serveur, laquelle est
mentionnée lors de l'ajout du Switch à la liste des périphériques réseaux au niveau de l'ISE.
Les ordres d'application des ACLs au niveau des ports, d'affectation des interfaces aux
VLANs ou même de redirection vers des URLs émis du Cisco ISE au Switch, font appel à un
ensemble d'attributs avancés du protocole RADIUS nommés VSA (Vendor Specific Attribute)
. Ces attributs sont échangés lors de l'attribution des profils d'autorisation. Afin de bénéficier
de ces fonctionnalités, il est indispensable d'appliquer les commandes radius-server vsa
send accounting et radius-server vsa send authentication. La figure suivante représente
les différentes commandes citées précédemment, étant précisé que la commande de
41 | Page
déclaration du
42 | Page
serveur a été saisie deux fois, la première incluant l'adresse du nœud primaire alors que la seconde
inclut l'adresse du nœud secondaire.
Figure 42: Commandes globales saisies au niveau du Switch
Un utilisateur tentant d'accéder au réseau peut, en premier lieu, avoir un accès restreint
pour raison de non-conformité et ce avant d'avoir un accès plus étendu. Cela se traduit par
l'affectation de multiples profils d'autorisation pour une même session. Afin de supporter les
requêtes de changement du profil d'autorisation émanant de l'ISE, le CoA (Change of
Authorization) doit être activé au niveau du Switch à l'aide de la commande aaa server
radius dynamic-author. Aussi, l'adresse du serveur émettant les requêtes doit être spécifiée en
tapant la commande client <server ip-address> server-key <server-key string>.
Figure 43: Activation du CoA au niveau du Switch
Lors de la définition des profils d'autorisation, il est possible de rediriger les

utilisateurs vers la page Web du portail captif pour s'authentifier ou vers la page de
téléchargement des agents NAC. Dans ce cas, le Switch interceptera le flux HTTP et répondra
à la commande GET de HTTP avec l'URL spécifié, étant rappelé que ces URLs sont envoyés
de l'ISE au Switch via les attributs VSA. Pour assurer cette fonction de redirection, il est
indispensable d'activer les services HTTP et HTTPS via les commandes ip http server et ip
http secure-server.
Figure 44: Activation de HTTP et HTTPS
43 | Page
Pour savoir quel trafic rediriger, Cisco ISE réfère à une liste d'accès déclarée au niveau du
Switch ; tout flux ayant comme réaction "permit" doit être redirigé . Il est à préciser que tout
trafic à rediriger autre que HTTP et HTTPS sera rejeté. Le tableau suivant expose les
différentes règles déclarées sous la liste d'accès :
Entrées de l'ACL Description

deny udp any eq bootpc any eq bootps Refuser tout trafic DHCP
deny udp any any eq domain Refuser tout trafic DNS
deny udp any host 172.25.0.200 eq 8905 Refuser tout trafic sur le port 8905 consacré à
deny tcp any host 172.25.0.200 eq 8905 la communication Nac Agent - ISE
Refuser tout trafic sur le port 8905 dédié aux
deny tcp any host 172.25.0.200 eq 8443
portails CWA et CPP
deny tcp any host 172.25.0.200 eq 8909 Refuser tout trafic sur le port 8905 dédié au
deny udp any host 172.25.0.200 eq 8909 "client provisioning"
permit ip any any Permettre tout autre trafic
Tableau 3: Entrées de l'ACL de redirection
Cette figure rassemble les différentes entrées de l'ACL de redirection.
Figure 45: ACL de redirection
3.5.2. Configuration de l'interface
Une fois la configuration globale est achevée, nous procédons à la configuration de

l'interface permettant de mettre en application les politiques d'authentification définies
précédemment et ce au niveau de Cisco ISE.
Le commutateur offre la possibilité de définir plus qu'une méthode d'authentification
sur un même port. Cependant, l'ordre de vérification devrait être mentionné. Dans notre cas,
nous avons recours aux deux méthodes, MAB et Dot1x. L'authentification Web est incluse
avec l'authentification MAB.
44 | Page
Le diagramme suivant récapitule les méthodes d'authentification suivies :
Figure 46: Diagramme des méthodes d'authentification
Nous commençons par affecter l'interface au VLAN 340 utilisé pour le réseau local de
l'entreprise et la faire fonctionner en mode Access du moment qu'un PC sera directement
connecté.
Afin d'activer l'authentification 802.1X sur le port et interdire tout trafic sauf celui du
protocole EAPOL (Extensible Authentication Protocol over LAN), nous utilisons la
commande dot1x port-control auto. En combinant cette commande avec la commande
dot1x pae authenticator, le Switch devrait initier l'authentification dès le branchement du câble,
autrement dit, dès que l'interface change son état de "down" à "up".
Pour que l'authentification MAB (Mac Authentication Bypass) soit activée, il suffit de
taper la commande mab tout court.
A cet instant, les deux méthodes d'authentification sont activées et il nous reste à
favoriser le dot1x par rapport au MAB. Ceci est réalisable à l'aide la commande
authentication order dot1x mab.
45 | Page
La figure suivante regroupe les différentes commandes appliquées à l'interface :
Figure 47: Configuration de l'interface
3.6. Configuration du WLC

Une seconde catégorie d'utilisateurs peut accéder au réseau : ce sont les utilisateurs du
réseau sans fil . Leurs machines doivent être connectées au point d'accès, lequel peut
fonctionner selon deux modes :
 Mode léger (Lightweight) : dans une architecture centralisée, le point d'accès
fonctionne en mode léger ; le contrôleur du réseau local sans fil ou Wireless LAN
Controller (WLC) auquel est connecté, gère la configuration et contrôle les transactions.
 Mode autonome : chaque point d'accès est configuré séparément et contrôle son
propre trafic.
Un WLC Cisco peut être déployé en tant qu'équipement ou sur une machine virtuelle
(virtual WLC). Dans ce projet, le contrôleur a été installé sur une machine ; un fichier ayant
l'extension .OVA, et téléchargé à partir du site officiel, a été importé sur le serveur de
l'entreprise. La figure suivante représente un WLC Hardware :
Figure 48: Cisco 2500 Series Wireless Controller
46 | Page
Le modèle de point d'accès utilisé est Cisco Aironet 1041N. Il a été branché sur une
prise RJ45 pour pouvoir communiquer avec le contrôleur installé sur le serveur.
Figure 49: Cisco Aironet 1041N
Après lui avoir affecté une adresse IP et précisé l'adresse du WLC, le point d'accès est
automatiquement détecté au niveau du contrôleur grâce au protocole CAPWAP.
Figure 50: Détection du point d'accès au WLC
Les utilisateurs tentant de bénéficier de l'accès sans fil se classifient sous deux catégories,
les utilisateurs temporaires (ou visiteurs) et les utilisateurs persistants appartenant au domaine.
Cela se traduit par la diffusion de deux SSID différents ; chaque WLAN possède ses propres
politiques de sécurité.
Figure 51: Diffusion de deux SSID
Le premier SSID diffusé "PFE-NSIT" est dédié aux visiteurs, sur lequel nous devons
activer le filtrage par adresse MAC équivalent à l'authentification MAB. Bien que la machine
ne soit pas connue par l'ISE, elle sera considérée comme étant authentifiée avec l'option "If
user not found" configurée précédemment au niveau de la plate-forme.
47 | Page
Figure 52: Activation du filtrage MAC
L'authentification auprès de la plate-forme nécessitait l'addition du serveur

d'authentification RADIUS inclus à la plate-forme au WLC. La figure suivante montre les
différents champs disponibles et qui doivent être configurés lors de l'ajout .
Figure 53: Ajout du serveur RADIUS au WLC
L'activation de "Support for RFC 3576", comme indiqué dans la figure précédente, est
similaire à la commande aaa server radius dynamic-author saisie au niveau du Switch. En effet,
cette option permet d'accepter les requêtes de changement d'autorisation (CoA). Aussi, nous
précisons la clé secrète partagée entre l'ISE et le WLC.
Une fois le serveur d'authentification ajouté, il a fallu l'additionner à la configuration
de ce WLAN sous l'onglet "AAA Servers"; par défaut, l'authentification s'effectue
localement. La même configuration a été appliquée pour le serveur de comptabilité pour avoir
une traçabilité de l'utilisateur, comme mentionné sur la capture qui suit.
48 | Page
Figure 54: Ajout des serveurs d'authentification et d'autorisation
Aussi, et pour autoriser l'affectation dynamique des profils d'autorisation (CoA), nous
devions cocher la case "Allow AAA Override" et changer la valeur de NAC State à Radius NAC.
Figure 55: Activation du CoA
L’attribution des adresses IP privées aux machines s’effectue automatiquement à l’aide du

serveur DHCP déclaré. La plage d’adresses est déjà définie au niveau du pare-feu « Cyberoam
» de l’entreprise, il suffit de mentionner son adresse au WLC comme nous pouvons l'observer
sur la figure qui suit.
49 | Page
Figure 56: Configuration DHCP
La même configuration est à reprendre avec le deuxième WLAN sauf que la politique
de sécurité qui doit être changée par WPA2-802.1X au lieu de Mac Filtering. Contrairement
au commutateur, une seule méthode d'authentification peut être activée sur un même WLAN.
Figure 57: Politique de sécurité du deuxième WLAN "PFE-NSIT2"
Après avoir terminé la configuration des deux WLANs, et à l’instar de la liste d’accès
déclarée au niveau du Switch, nous devons ajouter une ACL permettant de préciser le type de
trafic à rediriger, étant précisé que les entrées doivent être déclarées inversement au Switch ;
50 | Page
une règle « permit » est remplacée par « deny » et vice versa. Nous n’avons pas eu recours à
additionner une règle pour le trafic DHCP tant qu’il est autorisé par défaut.
Figure 58: ACL de redirection
3.7. Conclusion
Tout au long de ce troisième chapitre, nous avons essayé d'aborder les configurations
nécessaires des différents éléments constituant notre solution et ce, en alternant entre la
citation des principes de fonctionnement et celle des configurations appliquées, tout en
illustrant avec les figures explicatives.
Bien que la solution soit configurée et mise en place, une phase de test est
indispensable afin de valider le comportement des différents composants vis-à-vis des
machines tentant d'accéder au réseau.
51 | Page
CHAPITRE 4 :
TEST ET VALIDATION
Chapitre 4 Test et validation
4.1. Introduction
Une fois la solution mise en place, nous procédons à la phase de test dans le but de
nous assurer du bon fonctionnement des équipements et de la configuration. La vérification
consiste à essayer de se connecter, aux réseaux filaire et sans fil, avec des scénarios différents
et ce, en variant la méthode d'authentification et en faisant intervenir des machines avec des
états de "santé" divers.
4.2.Réseau filaire
Le premier test à effectuer nous permettra de nous garantir du bon déroulement de
l’authentification au domaine et de la validation de posture pour un utilisateur du réseau câblé.
Par défaut sur un système Windows, l’authentification 802.1X est désactivée sur les cartes
réseau Ethernet. Par conséquent, nous devons ajouter et démarrer le service « Configuration
automatique de réseau câblé », responsable de l’exécution de l’authentification IEEE 802.1X
sur les interfaces Ethernet.
Après avoir lancé "services.msc" et cliqué sur le service correspondant, la fenêtre suivante
s'affiche pour démarrer le service .
Figure 59: Ajout et démarrage du service DOT1X
50 | Page
L’étape suivante consiste à activer l’authentification 802.1X sur l’interface Ethernet.

La méthode d’authentification par défaut (PEAP) a été conservée tant qu’elle est supportée
par la plate-forme ISE.
Figure 60: Activation du DOT1X sur la carte Ethernet
Dès le branchement du câble sur l’interface Ethernet, une fenêtre s’affiche demandant
de saisir le nom d’utilisateur et le mot de passe pour s’authentifier au niveau du domaine
du moment que les données de la session existante ne sont pas automatiquement utilisées.
Figure 61: Fenêtre d'authentification
Après avoir saisi les données du compte utilisateur, et en essayant d’accéder à la page
http://www.google.fr , nous nous sommes trouvés redirigés vers la page de "Client
Provisioning" fournissant l’Agent NAC persistant.
51 | Page
Figure 62: Redirection vers la page de Client Provisioning
En cliquant sur le bouton « Cliquez pour installer l’agent », le téléchargement de l’Agent

se lance. En l’exécutant, nous recevons un message indiquant la non-conformité de notre
machine avec la politique de sécurité et fournissant un accès temporaire pour télécharger le
fichier de remédiation tant que l’antivirus Mcafee n’est pas disponible sur notre machine. La
figure qui suit représente une capture du message reçu au niveau de l’agent.
Figure 63: Message obtenu sur l'Agent NAC
Le deuxième test que nous effectuons consiste à vérifier l'authentification MAB . Pour
le faire, nous désactivons l'authentification 802.1X sur l'interface pour que l'authentification
par adresse MAC soit automatiquement utilisée.
52 | Page
Au niveau du Switch, nous pouvons observer le déroulement de l'authentification :
Figure 64: Évènements d'authentification observés au commutateur
Pour nous assurer de la bonne affectation du profil d'autorisation, nous pouvons avoir
recours au commutateur et utiliser la commande show authentication session interface
GigabitEthernet1/0/23 detail. Les résultats affichés dans la section Server Policies confirment
le téléchargement de l'URL de redirection à partir de l'ISE et l'utilisation de l'ACL adéquat
pour connaître quel trafic doit être redirigé.
Figure 65: Détails de l'authentification sur l'interface GigabitEthernet1/0/23
4.3. Réseau sans fil

Nous débutons par la vérification de la diffusion des deux SSIDs (PFE-NSIT et PFE-
NSIT2) et ce en consultant la liste des réseaux sans fil disponibles à partir de notre PC.
53 | Page
Figure 66: Détection des SSIDs
En tentant de nous connecter à PFE-NSIT2 et après avoir activé l'authentification

802.1X, deux champs s'affichent demandant la saisie du nom d'utilisateur et du mot de passe
comme illustré sur la figure suivante.
Figure 67: Authentification DOT1X pour le SSID "PFE-NSIT2"
Après avoir tapé les coordonnées, nous sommes redirigés vers la page de CCP (Client
Provisioning Portal) pour télécharger l'agent NAC. Une fois installé, cet Agent nous indique
que notre accès au réseau est restreint pour raison de non-conformité tel qu'il est montré sur la
figure et nous suggère la réparation de la machine pour avoir un accès complet.
Figure 68: Accès restreint à un utilisateur du réseau sans fil
54 | Page
Un invité, n'appartenant pas au domaine, est appelé à se connecter à PFE-NSIT. Dès

qu'il se connecte, il se trouve redirigé vers le portail captif sur son navigateur.
Figure 69: Portail invité
Comme nous l'observons sur la figure précédente, un lien d'inscription est disponible.
Le mot de passe du compte "Guest" est généré aléatoirement alors que son nom d'utilisateur se
génère à partir du nom et du prénom . Aussi, une version mobile du portail invité est fournie :
Figure 70: Inscription via la version mobile du portail captif
Nous pouvons aussi désactiver l'enregistrement automatique des membres sur le portail et
nous limiter à la création des comptes via le portail responsable ou "Sponsor", lequel est
accessible au lien suivant : https://172.25.0.200:8443/sponsorportal/. L'authentification sur
55 | Page
ce portail s'est effectué avec un compte utilisateur créé au niveau de la plate-forme et doté des
privilèges d'un "sponsor".
Figure 71: Interface du portail responsable
Lors de la création du compte, nous devons choisir la durée de vie du compte en lui
affectant un des profils existants sur la plate-forme . Dans l'exemple qui suit, le compte sera
actif durant une période de huit heures.
Figure 72: Création d'un compte Guest d'une durée de huit heures
Après la saisie du nom d'utilisateur et du mot de passe au niveau du portail invité,

nous sommes redirigés vers la page de Client Provisioning. L'agent temporaire se lance pour
vérifier la posture de la machine du moment que nous utilisons un compte Guest. Cet agent est
lancé sous une fenêtre du navigateur. Une fois l'analyse est terminée, il nous indique la non-
conformité avec la politique de posture.
56 | Page
Figure 73: Validation de posture avec un agent temporaire
Nous avons testé de nouveau et ce après avoir installé l'antivirus Mcafee. L'agent NAC
nous a présenté un accès plus étendu au réseau, comme mentionné sur la figure ci-dessous.
Figure 74: Accès complet au réseau
En consultant le log de la plate-forme ISE, nous pouvons constater l'évolution suivante :

1) Succès de l'authentification MAB
2) Succès de l'authentification via le portail invité
3) Validation de posture de la machine
4) Succès de l'autorisation dynamique ou CoA (changement du profil d'autorisation de
CWA à PermitAccess)
57 | Page
Figure 75: Log de la plate-forme ISE
D'autres détails sont aussi disponibles au niveau du log de Cisco ISE, tels que les
attributs VSA échangés avec le WLC et précisant l'ACL et l'URL de redirection, ainsi que
l'attribut Called-Station-ID mentionnant l'adresse MAC du point d'accès et le SSID associé.
Figure 76: Détails de la session
4.4.Conclusion
Cette partie du rapport était consacrée à l'essai de la solution avec différents scénarios afin
de prouver son bon fonctionnement et son efficacité et ce, en essayant de connecter une
machine au réseau, ou encore en se référant aux services disponibles au sein des composants,
tel que le système de journalisation de la plate-forme Cisco ISE.
58 | Page
Conclusion et perspectives
Dans le cadre de ce projet réalisé au sein de l'entreprise Next Step IT, et partant d’un
souci de sécurité et d’un besoin de protection des ressources critiques et vitales d'une manière
permanente, nous avons mis en place une solution de contrôle d'accès relative aux réseaux
filaire et sans fil. La solution est encore plus nécessaire quand on sait que, dans certains
établissements, le nombre d’utilisateurs qui sollicitent fréquemment le réseau est très
important.
La solution adoptée, lors de la réalisation du projet, s'appuie sur des produits propriété
Cisco : le point d'accès, le commutateur, le contrôleur du réseau local sans fil (WLC) ainsi
que la plate-forme ISE représentant la dernière génération des plates-formes de contrôle
d'accès proposées par Cisco, étant précisé que l'entreprise Next Step IT est spécialiste
d'intégration de solutions d'infrastructure réseau reposant essentiellement sur les équipements
Cisco.
Une fois déployée, la solution a permis de réagir, en temps réel, à toute tentative de
connexion au réseau par référence aux politiques de sécurité prédéfinies au niveau de la plate-
forme Cisco ISE. En effet et en premier lieu, l'utilisateur est appelé à s'authentifier en
présentant son compte utilisateur et le mot de passe associé au cas où il appartient au domaine,
sinon et s'il s'agit d'un utilisateur invité, il s'authentifie à travers un portail Web en s'y
inscrivant temporairement ou bien il obtient un compte créé par le responsable et autorisant
aussi un accès momentané. L’étape qui suit la vérification de la légitimité de l'utilisateur est celle
de la validation de l'état des machines ; chacune doit disposer de l'antivirus Mcafee. Dans le
cas contraire, l'utilisateur bénéficie d'une période de grâce, au cours de laquelle, un fichier de
remédiation lui est offert afin de pouvoir accéder.
A l'instar du test de l'antivirus, d'autres balayages, proposés par la plate-forme,

pourront être effectués, telle que la vérification de l'état de mise à jour du système
d'exploitation et de l'existence de certaines applications de sécurité et ce, dans le but de
garantir davantage la sûreté du réseau.
Bien évidemment, différentes techniques d'attaque existent; elles tendent à retrouver
par tous les moyens le mot de passe, ce qui permet aux intrus d’usurper l'identité de l'un des
utilisateurs pour accéder au réseau. Afin de les confronter, nous pouvons avoir recours à une
authentification forte, concaténant au moins deux facteurs d'authentification, tels que les
certificats numériques et les mots de passe à usage unique (OTP) ; ceci est réalisable en
intégrant la plate-forme Cisco ISE avec des sources d'identité externes.
Références
Cisco Systems Description de la gamme Cisco NAC [En ligne]. - 2006. - 4 Février 2015.
Enterasys Secure Networks Network Access Control (Contrôle d’accès au réseau) [En ligne]. -
2007. - 2 Mars 2015.
FreeNAC Contrôle d'accès réseau [En ligne]. - 20 Mars 2015. -

http://freenac.net/fr/solutions/lanaccesscontrol.
Juniper Networks Unified Access Control [En ligne]. - Novembre 2011. - 15 Mars 2015.
LANDESK Centre d'aide Compréhension des composants NAC de base Centre d'aide
LANDESK [En ligne] // site Web LANDESK Help Center. - 2013. - 12 Mars 2015. -
https://help.landesk.com/Topic/Index/FRA/LDMS/9.5/Content/Windows/nac_c_basic_com
ponents.htm.
Marcotte Ludovic PacketFence 4.1 : une solution BYOD/NAC dans la cour des grands [En
ligne] // Linuxfr. - 17 Décembre 2013. - 22 Mars 2015. - http://linuxfr.org/news/packetfence-
4- 1-une-solution-byod-nac-dans-la-cour-des-grands.
Microsoft Protection d’accès réseau (NAP) [En ligne] // Microsoft. - Janvier 2008. - 12 Mars
2015. - https://technet.microsoft.com/fr-fr/library/cc753550%28v=ws.10%29.aspx.
Pujolle Guy Les réseaux [Livre]. - [s.l.] : Eyrolles, 2008. - p. 880.
Vincent REMAZEILLES La sécurité des réseaux avec Cisco [Livre]. - [s.l.] : Editions ENI,
2009. - p. 40.
61 | Page
Glossaire
802.1X : standard permettant de contrôler l'accès aux équipements du réseau
AAA (Authentication, Authorization, Accounting) : AAA correspond à un protocole qui réalise trois
fonctions : l'authentification, l'autorisation, et la traçabilité
ACL (Access Control List) : les ACLs servent principalement au filtrage des paquets sur les interfaces
physiques
CHAP (Challenge Handshake Authentication Protocol) : protocole d'authentification pour PPP à

base de challenge, ce qui le rend bien plus sûr que son précédent PAP.
CA (Certificate Authority) : a pour mission, après vérification de l'identité du demandeur du

certificat, de signer, émettre et maintenir les certificats
CPP (Client Provisioning Portal) : portail appartenant à la plate-forme ISE et permettant de fournir
les Agents NAC
CWA (Central Web Authentication) : portail Web qui permet aux utilisateurs de s'inscrire et de
s'authentifier. Aussi, elle peut inclure la validation de posture (CPP).
DHCP (Dynamic Host Configuration Protocol) : permet, à partir d'un serveur, de télécharger la
configuration réseau vers un ordinateur (adresse IP, paramètre TCP/IP, etc.)
DNS (Domain Name System) : service de noms reposant sur des serveurs et permettant de convertir
un nom en une adresse IP
EAP (Extensible Authentication Protocol) : protocole de communication réseau embarquant de

multiples méthodes d'authentification, pouvant être utilisé sur les liaisons point à point, les réseaux filaires
et les réseaux sans fil
FQDN (Fully Qualified Domain Name) : est un nom de domaine qui révèle la position absolue d'un
nœud dans l'arborescence DNS en indiquant tous les domaines de niveau supérieur jusqu'à la racine
LDAP (Lightweight Directory Access Protocol) : est à l'origine un protocole permettant

l'interrogation et la modification des services d'annuaire. Il a cependant évolué pour représenter une
norme pour les systèmes d'annuaires.
MAB (Mac Authentication Bypass) : authentification de niveau 2 basée sur les adresses MAC et
fournie par Cisco
MAC (Medium Access Control) : couche logicielle qui a pour rôle de structurer les bits
d'information en trames adaptées au support physique et de gérer les adresses physiques des cartes
réseaux (Adresses MAC)
62 | Page
Glossaire
MS-CHAP : version améliorée du protocole CHAP proposée par Microsoft
NAS (Network Access Server) : client RADIUS faisant office d'intermédiaire entre l'utilisateur final et le
serveur
NTP (Network Time Protocol) : protocole permettant de synchroniser l'horloge d'une machine sur une
référence d'horloge
PAP (Password Authentication Protocol) : protocole d'authentification pour PPP. Les données sont
transmises en texte clair sur le réseau ce qui le rend par conséquent non sécurisé.
PEAP (Protected Extensible Authentication Protocol) : dérivé du protocole EAP, fournissant un

canal de transmission plus sécurisé (tunnel TLS).
PPP (Point-to-Point Protocol) : protocole de la couche liaison utilisé sur les lignes série téléphoniques
ou spécialisées
RADIUS (Remote Authentication Dial-In User Server) : protocole client-serveur permettant de

centraliser des données d'authentification
RSA (River Shamir et Adelman) : algorithme de chiffrement à clés publiques et à clés secrètes portant le
nom de ses concepteurs.
TACACS+ : version plus récente du protocole TACACS (protocole AAA fourni par Cisco)
TCP/IP (Transport Network Protocol/Internetwork Protocol) : protocole de transport des

données sous forme de paquets, universellement utilisé sur les réseaux LAN et WAN
TLS : protocole qui garantit la confidentialité entre les applications communicantes et leurs utilisateurs sur
Internet.
UDP (User Datagram Protocol) : équivalent de TCP mais en mode non connecté, sans les
mécanismes de contrôle de flux, de reprise sur erreur et autres options
VLAN (Virtual Local Area Network) : ce mécanisme permet de créer plusieurs réseaux virtuels au
sein d’un même réseau physique et d’allouer des configurations spécifiques pour chaque réseau virtuel
créé
VMware ESXi : hyperviseur développé par VMware et permettant de déployer des machines virtuelles
VPN (Virtual Private Network) : technique qui simule un réseau privé dans un réseau public dans le but
d'offrir plus de sécurité
VSA (Vendor Specific Attributes) : RADIUS est extensible; de nombreux fournisseurs de matériels et
de logiciels RADIUS mettent en œuvre leurs propres variantes en utilisant des attributs VSA
WLC (Wireless LAN Controller) : permet de gérer le réseau local sans fil en contrôlant les points
d'accès, gérant les interférences, assurant le handover, etc.
63 | Page

Projet de Fin D39eacutetudes Impleacutementation D39une Solution Nac Avec Cisco Ise Anouar Abdallah

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Projet de Fin D39eacutetudes Impleacutementation D39une Solution Nac Avec Cisco Ise Anouar Abdallah

Transféré par

Droits d'auteur :

Formats disponibles

Département : STIC

Licence Appliquée en Sciences et Technologies

Projet de fin d'études :

Réalisé par : Anouar ABDALLAH

Classe : STIC L3 SR-A

Encadré par : M. Marouene BOUBAKRI

Entreprise d'accueil : Next Step IT

Année Universitaire : 2014-2015

Mes vifs remerciements s’adressent à mes deux encadrants, M. Marouene

Je souhaite également faire part de ma reconnaissance à tous les ingénieurs,

This will be accomplished by implementing a security platform provided by the world

Chapitre 1 : Présentation du projet...........................................................................................2

Chapitre 2 : État de l'art............................................................................................................7

Chapitre 4 : Test et validation.................................................................................................49

Figure 1: Logo de l'entreprise........................................................................................................3

Tableau 1 : Comparaison ACS vs ISE.........................................................................................15

Ce projet représente une mise en place d’une solution de sécurité et de conformité

1.2. Présentation de l'entreprise d'accueil

1.2.1. Chiffres clés

Son logo est le suivant :

Figure 1: Logo de l'entreprise

1.2.2. Les services offerts

L'efficacité du centre de support qui accompagne le client dans la maintenance de ses

1.3. Besoin d'une solution NAC

Tout réseau informatique et particulièrement un réseau d'entreprise devrait demeurer sain.

La gestion et l'administration d'une solution NAC s'effectuent d'une manière

1.5. Planification prévisionnelle du projet

Le diagramme de Gantt suivant reproduit la planification prévisionnelle définie pour

Février Mars Avril Mai Juin

Figure 2: Planification prévisionnelle

2.2.La solution NAC

2.2.1. Principe de fonctionnement

L'implémentation d'une solution NAC nécessite l'existence d'un ensemble de

Figure 3: Architecture globale d'une solution NAC

 Périphériques essayant d'accéder au réseau ou "Agents" (A) : inclut les

2.2.3. Étude comparative des solutions disponibles

 Évaluation des vulnérabilités

 Mises à jour automatisées des politiques de sécurité

La console de gestion Web du Cisco NAC permet à l’administrateur de définir les

Les fonctionnalités de quarantaine donnent aux appareils un accès à des serveurs de

La protection d’accès réseau (NAP) est un ensemble de composants du système

Les déploiements de la technologie NAP exigent des serveurs dotés de Windows

Figure 4: Architecture d'une solution Microsoft NAP

La figure suivante présente un exemple d'architecture pour une solution UAC :

Figure 5: Architecture de la solution Juniper UAC

 Les solutions libres

La solution FreeNAC effectue l'authentification via deux modes :

2.3.La plate-forme Cisco ISE

Figure 6: Déploiement d'une solution de contrôle d'accès basée sur ISE

 Fournit un support pour la découverte, le profilage "profiling", le placement à base de

2.3.2. Comparaison entre ACS et ISE

L'ACS ou Secure Access Control System est le prédécesseur de l'ISE. Le tableau

Tableau 1: Comparaison ACS vs ISE

Lors de la phase d'authentification et pour communiquer avec le client ou sa machine,

802.1 X est un standard qui définit un mécanisme d'authentification pour l'accès au

 EAP (Extensible Authentication Protocol)

Le besoin de compatibilité avec des infrastructures d'authentification diversifiées et la

Figure 7: Datagramme EAP

 RADIUS (Remote Authentication Dial-In User Server)

 802.1X - EAP - RADIUS

Figure 8: Encapsulation des messages EAP

Services de ISE CISCO Licences

Tableau 2: Les services de l'ISE et les licences correspondantes