Radius Linux
Doc technique et install radius
Configuration et installation d’un serveur Radius
La configuration s’effectue en plusieurs étapes :
1 - Installation de NPS Windows 2022
2 - Installation de serveurs de certification
3 - Configuration dans la console Meraki (switchs et bornes wifi)
La première partie consiste à installer 4 serveurs Windows 2022 ainsi que 3 serveurs de certification (actuellement il en existe déjà un sur le domaine Vincennes, SP87).
La répartition de ces derniers est la suivante :
2 serveurs NPS pour l’authentification radius des agents en filaire et en wifi + 1 serveur de certification.
2 serveurs NPS pour l’authentification radius des écoles + 2 serveurs de certification
La seconde partie consiste à configurer tous les éléments dans la console web Meraki (switchs et bornes wifi)
Nous avons configuré les 2 serveurs suivants : SP124 et SP125(NPS) dans le vlan système pour l’authentification sur le domaine Vincennes.fr.
- Récupération de l’autorité de certification :
- Ajout du rôle NPS (Network Policy Server)
Choisir « Serveur de stratégie et d’accès réseau » puis installer
- Configuration du NPS :
Configurer les clients radius (réseau sur lequel se trouvent les switchs et les bornes wifi)
A noter que le secret partagé se trouve dans le keepass.
Onglet « Avancé »
Configuration de demande de connexion : s’applique aux éléments actifs (switchs et borne wifi)
Les stratégies réseaux sont configurées de manière à orienter les réseaux vers lesquels les agents vont se connecter en fonction du groupe auxquels ils appartiennent.
Les groupes sont configurés dans l’AD :
Sur les serveurs NPS du domaine Vincennes.fr, nous avons configuré 3 stratégies réseaux dans un premier temps :
ToIP, 802 1X_ADMIN et 802 1X_VILLE
Stratégie ToIP :
Comme son nom l’indique, elle permet aux téléphones de s’authentifier au serveur Radius via son ID de vlan (224) et via la méthode MD5-challenge activée sur ce dernier.
A noter qu’un fichier .reg a été créé afin de rajouter une configuration supplémentaire non incluse dans les paramètres classiques.
Il a été ajouté également l’option 43 sur le Lan-Toip avec la valeur 3a 02 00 e0 dans le serveur DHCP.
« 3a 02 » correspondant a Alcatel et « 00 e0 » a l’ID du vlan voix en hexadecimal (224).
Cela permet au téléphone de se monter sans avoir l’ID du vlan de cocher dans les paramètres IP.
Stratégie ADMIN :
Cette stratégie permet l’accès du réseau aux administrateurs. La configuration du PC admin doit être en DHCP avec réservation MAC et le vlan d’admin (205) sera monté automatiquement.
Le groupe AD dans lequel les PC Admins devront être sont ACCES_RADIUS_DINSI
Stratégie LAN-DATA :
Cette stratégie permet aux utilisateurs standard de se connecter sur le réseau (vlan 216)
Accès aux utilisateurs qui se trouvent dans le groupe ACCES_RADIUS_VILLE
Stratégie LAN_ECOLES :
2 serveurs ont été créés sur le domaine des écoles, il s’agit de SP129 et SP130.
2 serveurs de certification ont également été créés, il s’agit de SP131 et SP132.
Cette stratégie s’applique à tout le réseau des postes des écoles (Elèves, enseignants et directeur) sauf les postes des infirmeries, des gardiens ou du personnel des centres de loisirs.
Le groupe AD dans lequel les PCs des écoles devront être est le suivant :
Configuration sur le serveur AD des écoles :
Le PC doit être dans le groupe ECOLES.ORDINATEURS
Stratégie de groupe permettant l’activation du radius sur la carte réseau :
L’onglet « Authentification » apparaît suite a l’activation de la GPO « activation 802.1x »
Vue de l’autorisation d’accès depuis l’observateur d’évènement :
Configuration sur la console web Meraki
Il faut dans un premier temps ajouter les serveurs Radius dans la console via le menu « Organization » puis « Settings »
Ensuite il faut ajouter une politique d’accès via le menu « Switching » puis « Access policies »
Lorsque l’on clique sur la policy, on rentre dans les détails de celle-ci :
Radius Ville :
Radius Ecoles :
Concernant la partie wireless, nous avons configuré un SSID de test nommé « Test 802.1x » dans le network Ville de Vincennes.
Le vlan assigné est le 111 ce qui correspond au wifi publique. Nous avons également pu tester en mettant le vlan 216 ce qui correspond au vlan data et cela fonctionne parfaitement.
Il faut cependant par ailleurs configurer la borne pour qu’elle accepte la politique radius ce qui a été fait en taggant le SSID (Radius) puis en assignant le TAG au switch sur lequel la borne est connectée ce qui permet sa diffusion.
Ensuite, il faut aller sur le port de connexion de la borne wifi (ici le port 43 du switch que nous avons taggé précédemment) et le configurer avec le vlan correspondant au SSID.
Il faut ensuite ajouter ce vlan sur le port ou est connecté la borne comme cela :
La configuration concernant les ports filaires se font de la manière suivante avec l’Access Policy et le vlan :
L’utilisateur doit absolument être intégré au bon groupe si nous voulons que la stratégie se monte correctement.
Procedure_Mise_A_Jour_Version_Linux
PROCEDURE MISE A JOUR LINUX
MREMOTENG 2
SNAPSHOT 2
LINUX 4
Update and upgrade 4
Processus de mise à jour 4
VERIFICATION 7
Prérequis :
- Vsphere
- MremoteNG
MREMOTENG
Installer logiciel prise en main en ligne de commande car plus pratique
Renseigner l’host, mot de passe et ID root, changer le protocole en SSH version 2
SNAPSHOT
Il est IMPORTANT de toujours faire une snapshot avant de commencer la mise à jour du serveur.
Se rendre sur le serveur visé sur vSphere : Vsphere
Dans section Inventaire, aller dans Vincennes -> MEDIATHEQUE puis rechercher le serveur.
Cliquer sur ACTION >> Snapshots >> prendre un snapshot >> créer
Par précaution, il est conseillé de s’assurer que la snapshot a bien été prise.
LINUX
Update and upgrade
Se connecter à la VM
Puis faire la commande apt update && apt upgrade –y (update et upgrade du Linux)
Quand la maj se termine, redémarrer le serveur avec la commande reboot
Processus de mise à jour
Apres redémarrage, faire un do-release-upgrade pour débuter le processus de l’upgrade de la version.
Faire o (oui) pour continuer
Appuyer entrer continuer mise à jour
Entrée une nouvelle fois
Continuer avec o (oui)
NOTE :
Des pop-ups apparaitront à certains moments en fonction des applications présente dans celle-ci, par précaution, les laisser par défaut.
Exemple :
Dire NON en cas de perte de configuration :
Laisser les fichiers de configuration par DEFAUT (N) si demandé
OPTIONNEL mais supprimer les données inutiles, Continuer avec o.
Redémarrage nécessaire, oui (o)
VERIFICATION
Regarder si la version s’est bien appliqué avec la commande lsb_release – a
Mise à jour terminé, faire ensuite la même chose sur les prochains serveurs à mettre à jour.
Procedure retour arriere radius
Problème avec radius
En cas de dysfonctionnement lié au serveur radius, il sera peut-être nécessaire de rebasculer en arrière la configuration actuellement en place.
Exemple de configuration sur le port 1 du switch :
Modifier l’entrée « Access Policy » et la mettre sur « Open »
Modifier l’entrée VLAN et mettre l’ID du vlan ecole (210) ou VLAN DATA (216)
Valider