Qu'est-ce que le 802.1X ?

La norme IEEE 802.1X est une norme de contrôle d'accès par port qui authentifie un périphérique avant qu'il ne puisse envoyer du trafic via un port de commutateur ou un point d'accès sans fil. Un supplicant situé sur le terminal fournit ses identifiants, un authentificateur les transmet, puis un serveur d'authentification – généralement RADIUS – décide s'il convient d'ouvrir le port et quel VLAN attribuer.

Points clés à retenir

• Authentifie les appareils avant qu'ils n'atteignent un port de commutateur ou un réseau sans fil.
• Trois rôles : le demandeur, l'authentificateur et le serveur d'authentification.
• EAPOL transmet les identifiants ; RADIUS les valide généralement de manière centralisée.
• Le contournement de l'authentification MAC (MAB) concerne les appareils qui ne prennent pas en charge le protocole EAPOL.
• RADIUS peut attribuer dynamiquement un VLAN une fois l'authentification réussie.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · 802.1X et Versa · FAQ

Pourquoi la norme 802.1X est-elle importante ?

Les ports de commutateurs non gérés et les réseaux Wi-Fi ouverts constituent un moyen facile d’accéder à un réseau : il suffit de brancher un ordinateur portable ou un point d’accès non autorisé pour se retrouver sur le réseau local. La norme 802.1X comble cette faille en exigeant une authentification avant qu’un port ou un SSID ne transmette le moindre trafic, étendant ainsi les contrôles d’identité jusqu’aux couches physique et de liaison.

Cela revêt une importance particulière dans les lieux où un appareil non autorisé pourrait capter un signal filaire ou sans fil : bureaux en open space, bâtiments de campus, espaces de vente au détail et réseaux locaux (LAN) de succursales. La norme 802.1X étant une norme IEEE, les suppliants intégrés à tous les principaux systèmes d’exploitation sont interopérables avec les authentificateurs et les serveurs RADIUS de n’importe quel fournisseur. C’est pourquoi elle reste le mécanisme de contrôle par défaut pour l’accès aux réseaux locaux (LAN) et Wi-Fi de type « Zero Trust », plusieurs décennies après sa ratification.

Qu'est-ce que le 802.1X ?

La norme 802.1X définit trois rôles qui fonctionnent en synergie. Le « supplicant » est le logiciel client installé sur le terminal qui soumet les identifiants. L’« authentificateur » est le dispositif d’accès au réseau – un port de commutateur ou un point d’accès – qui transmet ces identifiants et applique la décision d’accès qui en résulte, sans décider lui-même s’il convient d’autoriser l’accès au dispositif. Le serveur d’authentification valide les identifiants et décide de l’accès à accorder ; il s’agit généralement d’un serveur RADIUS, bien que certains déploiements recourent plutôt à une authentification locale.

La communication entre le suppliant et l'authentificateur s'effectue via le protocole EAPOL (Extensible Authentication Protocol over LAN). L'authentificateur transmet l'échange au serveur d'authentification à l'aide d'attributs RADIUS tels que User-Name, NAS-Port et Framed-IP-Address. Les périphériques qui ne prennent pas en charge le protocole EAPOL sont identifiés par leur adresse MAC, via le contournement de l'authentification MAC (MAC Authentication Bypass), et sont placés sur un VLAN invité jusqu'à leur authentification. Une fois l'authentification réussie, le port s'ouvre et le serveur peut renvoyer une attribution de VLAN avec la réponse d'acceptation.

Types de 802.1X

Les déploiements 802.1X varient selon deux critères : le mode de validation des identifiants et le nombre de terminaux pris en charge par un port. L’authentification locale valide le certificat du supplicant par rapport à une base de données de certificats de confiance hébergée sur l’authentificateur lui-même, à l’aide du protocole EAP-TLS, sans recourir à un serveur externe. L’authentification RADIUS délègue cette décision à un serveur externe – ce qui constitue le choix le plus courant, car cela permet de centraliser les politiques sur l’ensemble des commutateurs.

Les modes « supplicant » permettent de gérer les ports multi-appareils : le mode « Single » n'authentifie que le premier appareil et autorise les autres à se connecter via cette session ; le mode « Single-secure » n'autorise qu'un seul appareil à la fois ; le mode « Multiple » authentifie chaque appareil individuellement. Outre l'authentification EAPOL standard, le contournement de l'authentification MAC (MAB) permet d'authentifier les imprimantes, les appareils photo et autres appareils dépourvus de « supplicant » à l'aide de leur adresse MAC plutôt qu'à l'aide d'identifiants.

802.1X & Versa

Les périphériques VOS prennent en charge les trois rôles 802.1X. Une interface VNI configurée en tant qu’authentificateur applique le protocole 802.1X sur un port de commutateur, soit en validant localement les suppliants par rapport à une base de données de certificats de confiance, soit en transférant les requêtes vers un serveur RADIUS externe via un profil d’authentification, comme décrit dans la section « Configurer l’authentification des périphériques IEEE 802.1X ». Cet article traite également du protocole MAB, du mode « fail-open » RADIUS (l’accès continue de fonctionner si le serveur devient inaccessible) et du suivi RADIUS permettant de détecter le retour d’un serveur.

L'attribution dynamique de VLAN permet, une fois l'authentification 802.1X ou MAB réussie, de déplacer un périphérique du VLAN invité vers le VLAN indiqué par le serveur RADIUS. Dans les déploiements SD-LAN, le protocole 802.1X est configuré à l’aide de profils de port et d’authentification réutilisables – voir « Configurer SD-LAN à l’aide de modèles de workflow (versions 22.1.4 et ultérieures) » et « Configurer SD-LAN à l’aide de modèles de workflow (version 22.1.3) », qui permettent de créer un profil de port 802.1X (mode supplicant), VLAN invité et VLAN d’authentification – ainsi qu’un profil pointant vers un ou plusieurs serveurs RADIUS.

Questions fréquentes

Quelle est la différence entre le protocole 802.1X et le contournement de l'authentification MAC ?

Le protocole 802.1X authentifie un périphérique en validant les informations d'identification que celui-ci transmet activement via EAPOL. Le contournement de l'authentification MAC (MAB) procède quant à lui à l'authentification à partir de l'adresse MAC du périphérique, pour les imprimantes, les appareils photo et autres terminaux ne disposant pas de supplicant 802.1X. Le MAB est généralement configuré comme solution de secours lorsque le protocole EAPOL ne répond pas.

Quels sont les trois rôles de l'authentification 802.1X ?

Le « suppliant » est le client qui demande l'accès ; l'« authentificateur » est le port de commutateur ou le point d'accès qui applique la décision ; le serveur d'authentification valide les identifiants et détermine le résultat. Un appareil peut être validé localement ou par un serveur RADIUS externe.

Qu'est-ce que l'attribution dynamique de VLAN dans la norme 802.1X ?

Il s'agit de la capacité d'un serveur d'authentification à renvoyer un identifiant de VLAN (VLAN ID) à l'issue d'une authentification réussie, ce qui permet de transférer le périphérique d'un VLAN par défaut ou « invité » vers le VLAN correspondant à son identité – par exemple, en séparant automatiquement les ordinateurs portables des employés authentifiés de ceux des invités non authentifiés.

Le protocole 802.1X permet-il d'authentifier des appareils sans RADIUS ?

Oui. L'authentification locale 802.1X vérifie la validité du certificat du supplicant par rapport à une base de données de certificats de confiance hébergée sur l'authentificateur lui-même, à l'aide du protocole EAP-TLS, sans faire appel à un serveur externe. La plupart des déploiements à grande échelle continuent toutefois d'utiliser RADIUS, car ce protocole permet de centraliser la politique d'authentification sur l'ensemble des commutateurs, plutôt que de configurer chacun d'entre eux individuellement.

Quelle est la différence entre EAPOL et MAB ?

Le protocole EAPOL (Extensible Authentication Protocol over LAN) est le protocole de transport qui achemine les identifiants d'un suppliant vers l'authentificateur dans le cadre de l'authentification standard 802.1X. Le protocole MAB ne prévoit aucun échange d'identifiants : il authentifie les périphériques non compatibles EAPOL en transmettant leur adresse MAC au serveur d'authentification.

En savoir plus sur la norme 802.1X

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au protocole 802.1X, voici quelques liens qui pourraient vous intéresser.