Introduction

RADIUS (Remote Authentication Dial-In User Service)

∙ protocole d'authentification standard

∙ basé sur un système client/serveur

∙ serveur RADIUS, client RADIUS (NAS)

 Introduction

 ACCEPT : l'identification a réussi.

 REJECT : l'identification a échoué.
 CHALLENGE : Demande d'informations .
 CHANGE PASSWORD : Demande de nouveau mot de passe.
Configuration du commutateur
∙Déclaration du VLAN 100
Vlan database
Vlan 100 name radius
apply

∙Configuration du VLAN 100

int vlan 100
ip address 192.168.0.4 255.255.255.0
no shut
Configuration du commutateur
∙Configuration de l'interface fa0/1 (PC N°1)

int fastethernet 0/1

switchport access vlan 100
switchport mode access
duplex full
dot1x port-control auto
 Configuration du commutateur
∙Configuration de l'interface fa0/2 (Serveur
Radius)

int fastethernet 0/2

switchport access vlan 100
switchport mode access
duplex full
 Configuration du commutateur
∙Configuration de l'interface fa0/3 (PC N°2)

int fastethernet 0/3

switchport access vlan 100
switchport mode access
duplex full
dot1x port-control auto
 Configuration du commutateur
∙Désactivation du VLAN 1
int vlan 1
no ip address
no ip route-cache
shutdown

∙Configuration de l'interface http

ip http server
 Configuration du commutateur
∙Mise en place de l’authentification Radius

#aaa new-model
#aaa authentification dot1x default group radius
#radius-server host 192.168.0.100 authentification-port
1812 account-port 1813 retransmit 3
#radius-server key bonjour
#dot1x system-auth-control en
 Présentation de deux plateformes
radius

 Windows Server 2003

 Service d’authentification internet

 Freeradius sous linux

 Présentation de la simulation

 Émulateur matériel Routeur Cisco 7200

 Dynamips 0.2.4

 IOS Cisco
 c7200-js-mz.122-15.T16

 Virtual PC 2004
 Présentation de la simulation
 Topologie
 Déploiement de Freeradius

 Installation sur une distribution Debian

 > sudo apt-get install freeradius

 Les fichiers importants

 Le fichier utilisateur (users)
 Le fichier client pour le NAS (clients.conf)

 Le fichier log (journal d’ évènement) (radius.log)

 Déploiement de Freeradius
 Le fichier utilisateur :

 etc/freeradius/users
 De nombreux exemples

 Création d’un utilisateur:

#Client1 Auth-Type:=Local,User-Password==« bonjour»
#Service-type=Callback-Login-User,
#Login-IP-Host=192.168.212.2,
#Login-Service=Telnet,
#Login-TCP-Port=Telnet,
 Déploiement de Freeradius
 Le fichier clients:
 /etc/freeradius/clients.conf
 Également de nombreux exemples

 Configuration d’un client:

 Client 192.168.211.1/24
 Secret = bonjour
 Shortname = NAS

 Possibilité de tester sur la boucle local:

 Sudo radtest client1 bonjour localhost 0 bonjour
 Déploiement sous Windows 2003
Server

 Modules nécessaires:

 Serveur d’applications
 Serveur DNS

 Contrôleur de domaine(Active directory)

 Service d’authentification Internet

 Déploiement sous Windows 2003
Server

 Le service d’ authentification Internet

 L’Ajout d’un client est « identique » à linux
 L’ authentification est soumise à deux stratégies
 Stratégies d’accès distant
 Stratégies de demande de connexion

 Mais également aux droits de l’utilisateur sur le

domaine.
 Déploiement sous Windows 2003
Server
 Stratégie d’accès distant:
 Le(s) groupe(s) d’utilisateur(s) ayant accès à la
ressource
 La méthode d’authentification(MD5,MS Chap…)

 Cryptage

 Stratégie de demande de connexion:

 Le protocole utilisé pour le transport (PPP)
 Le type de port NAS (virtual)
 Déploiement sous Windows 2003
Server
 Vôtre principal allié:
 L’observateur d’évènement
Type de l'événement : Avertissement
Source de l'événement : IAS
Description :
L'accès a été refusé à l'utilisateur clientvpn2.
Nom-Complet-Utilisateur = virtual.network/Users/clientvpn2
Adresse-IP-NAS = 192.168.211.1
Nom-Convivial-Client = fenrir
Adresse-IP-Client = 192.168.211.1
Type-Port-NAS = Virtual
Port-NAS = 19
Proxy-Policy-Name = fenrir
Authentication-Provider = Windows
Authentication-Server = <non déterminé>
Policy-Name = vpn
Authentication-Type = MS-CHAPv1
Reason = L'utilisateur a essayé d'utiliser une méthode
d'authentification qui n'est pas activée sur la stratégie d'accès
à distance correspondante.
Comparaison des deux plateformes
 Freeradius (linux):
 Installation/déploiement « rapide »
 Pas de modules supplémentaire « obligatoire »

 IAS (Windows 2003 server)

 « Usine à gaz »,nombreux modules nécessaires
 Facilité de gestion des utilisateurs

 Mise en place rapide de stratégies de connexions

 Configuration du client (Sous
XP)
Création d’une nouvelles connexion(Pour VPN)

 adresse de l’Hôte=adresse
de l’interface du NAS
 Type de réseau VPN:PPTP
 Nom d’utilisateur
 Mot de passe
 Réglage des paramètres
d’authentification et de
chiffrement
 Conclusion
 Protocole RADIUS:
 Simple à mettre en place
 Champs d’application très large

 Nombreux paramètres possibles

 Ressource
 Radius RFC n°2138-2139
 www.cisco.com