Qu'est-ce que RADIUS ?

RADIUS (Remote Authentication Dial-In User Service) est un protocole client-serveur distribué qui centralise l'authentification, l'autorisation et la comptabilisation des accès au réseau. Un périphérique réseau transmet les identifiants d'un utilisateur ou d'un périphérique à un serveur RADIUS, qui les vérifie par rapport à une base de données externe et renvoie une décision d'acceptation, de rejet ou de demande d'authentification supplémentaire.

Points clés à retenir

• RADIUS centralise l'authentification, l'autorisation et la comptabilité (AAA).
• Les messages « Access-Request », « Access-Accept » et « Access-Reject » régissent l'authentification.
• Le protocole 802.1X utilise RADIUS comme serveur d'authentification derrière l'authentificateur.
• Les fonctionnalités RADIUS Accounting et CoA étendent le protocole au-delà des décisions d'authentification.
• Les appareils VOS et le gestionnaire d'Versa s authentifient tous deux les utilisateurs via RADIUS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · RADIUS et Versa · FAQ

Pourquoi le protocole RADIUS est-il important ?

Avant l'apparition de RADIUS, chaque périphérique réseau gérait sa propre liste de noms d'utilisateur et de mots de passe ; ainsi, pour ajouter un utilisateur ou révoquer un accès, il fallait intervenir individuellement sur chaque commutateur ou concentrateur VPN. RADIUS a centralisé cette tâche : les périphériques ne prennent plus eux-mêmes les décisions d'authentification, mais s'adressent à une autorité de confiance ; ainsi, une modification de la politique se répercute partout simultanément, et un attaquant n'aurait besoin de compromettre qu'un seul magasin d'identifiants, et non plus des dizaines.

C'est grâce à cette centralisation que le protocole RADIUS a survécu à l'ère de l'accès par ligne commutée qui lui a donné son nom, devenant le système d'authentification par défaut pour l'accès aux ports 802.1X, les concentrateurs VPN et les connexions administratives : léger, indépendant des fournisseurs et pris en charge par tous les principaux systèmes d'exploitation réseau. Sa fonctionnalité de comptabilisation apporte un deuxième avantage : chaque session est enregistrée de manière centralisée, ce qui permet de réaliser des audits d'utilisation sans avoir à équiper chaque appareil.

Qu'est-ce que RADIUS ?

Un échange RADIUS implique trois rôles : un supplicant (l'utilisateur ou le périphérique demandant l'accès), un serveur d'accès au réseau (NAS) (le commutateur, le contrôleur ou la passerelle agissant en tant que client RADIUS) et le serveur RADIUS lui-même. Le NAS intègre les identifiants du supplicant dans un paquet UDP « Access-Request » – traditionnellement envoyé sur le port 1812 – accompagné d’attributs décrivant la requête, tels que « NAS-IP-Address », « NAS-Port » et « Service-Type ». Le serveur RADIUS répond par « Access-Accept », « Access-Reject » ou « Access-Challenge ».

Un secret partagé, configuré à la fois sur le NAS et sur le serveur, protège cet échange : il masque le champ du mot de passe et permet au serveur de vérifier que le message n’a pas été altéré, grâce à l’attribut « Message-Authenticator ». Le protocole étant basé sur des attributs, une réponse « Access-Accept » peut contenir bien plus qu’une simple réponse par « oui » ou par « non » : elle peut renvoyer une attribution de VLAN, un délai d’expiration de session ou d’autres données d’autorisation que le NAS applique ensuite.

Types de RADIUS

RADIUS est en réalité une famille d'échanges reposant sur un même protocole. L'authentification correspond à l'échange principal « Access-Request/Access-Accept/Access-Reject/Access-Challenge » décrit ci-dessus. La comptabilité, qui fait l'objet d'un échange distinct se déroulant traditionnellement sur le port 1813, utilise des enregistrements « Start », « Interim-Update » et « Stop » afin que le serveur puisse suivre la durée de la session et son utilisation.

La modification d’autorisation (CoA), normalisée dans la RFC 5176, permet au serveur d’imposer des modifications à une session déjà authentifiée – en la déconnectant ou en modifiant ses attributs – sans que le client ait à se réauthentifier. Un quatrième modèle, le contournement de l’authentification MAC (MAB), réutilise l’authentification RADIUS classique pour les périphériques qui ne peuvent pas exécuter la norme 802.1X : le NAS envoie l’adresse MAC du périphérique à la fois comme nom d’utilisateur et comme mot de passe, permettant ainsi aux clients non-EAPOL, tels que les imprimantes et les téléphones IP, de s’authentifier de la même manière.

RADIUS & Versa

Les périphériques VOS utilisent RADIUS comme serveur d’authentification pour l’authentification des périphériques IEEE 802.1X: l’interface VOS fait office d’authentificateur, en transmettant les informations d’identification du supplicant à un objet serveur RADIUS configuré (adresse IP, port, instance de routage, secret partagé et priorité de redondance). Un profil d’authentification 802.1X de type RADIUS contient les attributs échangés avec le serveur – identifiant NAS, adresse IP NAS, port NAS, port COA, MTU encadré – ainsi que, en option, la comptabilité RADIUS, le mode « Fail Open » RADIUS (qui maintient les clients en ligne si le serveur est inaccessible) et le suivi RADIUS (qui effectue une nouvelle tentative dès qu’un serveur en panne redevient opérationnel). Les clients non-EAPOL s’authentifient de la même manière via le contournement de l’authentification MAC, l’attribution du VLAN étant renvoyée de manière dynamique dans la réponse – le tout configurable par interface via les profils de connexion LAN.

Au niveau de l’organisation, la section « Gérer les paramètres de l’organisation » propose un profil RADIUS d’entreprise pour l’authentification des utilisateurs finaux – associé aux règles d’authentification de la même manière que les profils LDAP ou SAML – ainsi qu’un profil RADIUS Wi-Fi distinct pour les points d’accès Wi-Fi. Le logiciel « Versa Director » prend lui-même en charge le protocole RADIUS pour l’authentification des administrateurs.

Questions fréquentes

Quel port utilise RADIUS ?

Traditionnellement, l'authentification RADIUS utilise le port UDP 1812 et la comptabilité le port UDP 1813, bien que ces paramètres soient configurables au niveau de chaque objet serveur plutôt que fixés par le protocole. Certains déploiements plus anciens fonctionnent encore sur les anciens ports 1645 et 1646 ; un serveur peut donc être amené à prendre en charge ces deux paires de ports.

Quelle est la différence entre l'authentification RADIUS et la comptabilisation RADIUS ?

L'authentification détermine si un utilisateur ou un appareil obtient l'accès, à l'aide des messages « Access-Request », « Access-Accept » et « Access-Reject » échangés avant le début d'une session. La comptabilisation est un échange distinct qui enregistre l'utilisation de la session (début, mises à jour intermédiaires et fin) une fois l'accès accordé.

Qu'est-ce que le contournement de l'authentification MAC (MAB) ?

Le protocole MAB authentifie les périphériques qui ne prennent pas en charge la norme 802.1X, tels que les imprimantes ou les téléphones IP, en transmettant l'adresse MAC du périphérique au serveur RADIUS à la fois comme nom d'utilisateur et comme mot de passe. Il permet aux clients non-EAPOL d'accéder au réseau via la même infrastructure RADIUS que les suppliants 802.1X.

Qu'est-ce que le changement d'autorisation (CoA) RADIUS ?

La fonctionnalité CoA, définie dans la RFC 5176, permet à un serveur RADIUS de modifier ou de mettre fin à une session déjà authentifiée sans que le client ait à se réauthentifier – par exemple, pour mettre à jour l'affectation à un VLAN ou déconnecter un utilisateur dont l'accès doit être révoqué immédiatement, sans attendre l'expiration du délai d'attente.

En quoi RADIUS diffère-t-il de LDAP ?

RADIUS est un protocole d'authentification et de comptabilisation qui repose sur un échange de type « demande/acceptation/refus » pour les décisions d'accès au réseau. LDAP est un protocole d'accès à un annuaire permettant d'interroger des informations sur les utilisateurs et les groupes. De nombreux déploiements utilisent ces deux protocoles conjointement : RADIUS gère la décision, tandis que LDAP fournit les données d'identité qui la sous-tendent.

En savoir plus sur RADIUS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au protocole RADIUS, voici quelques liens qui pourraient vous intéresser.