Doc technique et install radius

Configuration et installation d’un serveur Radius

La configuration s’effectue en plusieurs étapes :

1 - Installation de NPS Windows 2022

2 - Installation de serveurs de certification

3 - Configuration dans la console Meraki (switchs et bornes wifi)

La première partie consiste à installer 4 serveurs Windows 2022 ainsi que 3 serveurs de certification (actuellement il en existe déjà un sur le domaine Vincennes, SP87).

La répartition de ces derniers est la suivante :

2 serveurs NPS pour l’authentification radius des agents en filaire et en wifi + 1 serveur de certification.

2 serveurs NPS pour l’authentification radius des écoles + 2 serveurs de certification

La seconde partie consiste à configurer tous les éléments dans la console web Meraki (switchs et bornes wifi)

Nous avons configuré les 2 serveurs suivants : SP124 et SP125(NPS) dans le vlan système pour l’authentification sur le domaine Vincennes.fr.

1. Récupération de l’autorité de certification :

1. Ajout du rôle NPS (Network Policy Server)

Choisir « Serveur de stratégie et d’accès réseau » puis installer

1. Configuration du NPS :

Configurer les clients radius (réseau sur lequel se trouvent les switchs et les bornes wifi)

A noter que le secret partagé se trouve dans le keepass.

Onglet « Avancé »

Configuration de demande de connexion : s’applique aux éléments actifs (switchs et borne wifi)

Les stratégies réseaux sont configurées de manière à orienter les réseaux vers lesquels les agents vont se connecter en fonction du groupe auxquels ils appartiennent.

Les groupes sont configurés dans l’AD :

Sur les serveurs NPS du domaine Vincennes.fr, nous avons configuré 3 stratégies réseaux dans un premier temps :

ToIP, 802 1X_ADMIN et 802 1X_VILLE

Stratégie ToIP :

Comme son nom l’indique, elle permet aux téléphones de s’authentifier au serveur Radius via son ID de vlan (224) et via la méthode MD5-challenge activée sur ce dernier.

A noter qu’un fichier .reg a été créé afin de rajouter une configuration supplémentaire non incluse dans les paramètres classiques.

Il a été ajouté également l’option 43 sur le Lan-Toip avec la valeur 3a 02 00 e0 dans le serveur DHCP.

« 3a 02 » correspondant a Alcatel et « 00 e0 » a l’ID du vlan voix en hexadecimal (224).

Cela permet au téléphone de se monter sans avoir l’ID du vlan de cocher dans les paramètres IP.

Stratégie ADMIN :

Cette stratégie permet l’accès du réseau aux administrateurs. La configuration du PC admin doit être en DHCP avec réservation MAC et le vlan d’admin (205) sera monté automatiquement.

Le groupe AD dans lequel les PC Admins devront être sont ACCES_RADIUS_DINSI

Stratégie LAN-DATA :

Cette stratégie permet aux utilisateurs standard de se connecter sur le réseau (vlan 216)

Accès aux utilisateurs qui se trouvent dans le groupe ACCES_RADIUS_VILLE

Stratégie LAN_ECOLES :

2 serveurs ont été créés sur le domaine des écoles, il s’agit de SP129 et SP130.

2 serveurs de certification ont également été créés, il s’agit de SP131 et SP132.

Cette stratégie s’applique à tout le réseau des postes des écoles (Elèves, enseignants et directeur) sauf les postes des infirmeries, des gardiens ou du personnel des centres de loisirs.

Le groupe AD dans lequel les PCs des écoles devront être est le suivant :

Configuration sur le serveur AD des écoles :

Le PC doit être dans le groupe ECOLES.ORDINATEURS

Stratégie de groupe permettant l’activation du radius sur la carte réseau :

L’onglet « Authentification » apparaît suite a l’activation de la GPO « activation 802.1x »

Vue de l’autorisation d’accès depuis l’observateur d’évènement :

Configuration sur la console web Meraki

Il faut dans un premier temps ajouter les serveurs Radius dans la console via le menu « Organization » puis « Settings »

Ensuite il faut ajouter une politique d’accès via le menu « Switching » puis « Access policies »

Lorsque l’on clique sur la policy, on rentre dans les détails de celle-ci :

Radius Ville :

Radius Ecoles :

Concernant la partie wireless, nous avons configuré un SSID de test nommé « Test 802.1x » dans le network Ville de Vincennes.

Le vlan assigné est le 111 ce qui correspond au wifi publique. Nous avons également pu tester en mettant le vlan 216 ce qui correspond au vlan data et cela fonctionne parfaitement.

Il faut cependant par ailleurs configurer la borne pour qu’elle accepte la politique radius ce qui a été fait en taggant le SSID (Radius) puis en assignant le TAG au switch sur lequel la borne est connectée ce qui permet sa diffusion.

Ensuite, il faut aller sur le port de connexion de la borne wifi (ici le port 43 du switch que nous avons taggé précédemment) et le configurer avec le vlan correspondant au SSID.

Il faut ensuite ajouter ce vlan sur le port ou est connecté la borne comme cela :

La configuration concernant les ports filaires se font de la manière suivante avec l’Access Policy et le vlan :

L’utilisateur doit absolument être intégré au bon groupe si nous voulons que la stratégie se monte correctement.