Authentification RADIUS

RADIUS (Remote Authentication Dial-In User Service) est un protocole réseau qui fournit une authentification centralisée, une autorisation et une comptabilité - les fonctions « AAA » - pour les utilisateurs connectés à un réseau. Conçu à l’ère du dial-up et standardisé en RFC 2865 (authentification et autorisation) et RFC 2866 (comptabilité), il reste aujourd’hui la colonne vertébrale du WiFi, du VPN et du contrôle d’accès aux points d’accès aux réseaux sociaux.

Comment fonctionne un échange RADIUS

1. Le serveur d’accès réseau - en WiFi, le point d’accès ou contrôleur - envoie une requête d’accès au serveur RADIUS (port 1812UDP) contenant les identifiants ou identifiants de l’utilisateur.
2. Le serveur les compare à son magasin utilisateur et répond avec Access-Accept, Access-Reject ou Access-Challenge (pour les méthodes à plusieurs étapes).
3. Un Access-Accept peut contenir des attributs qui façonnent la session : limites de temps, limites de bande passante, quotas de données ou une assignation dynamique de VLAN .
4. Les paquets comptables (port 1813UDP) enregistrent le début, l’arrêt et l’utilisation des sessions - la piste derrière les politiques de facturation et d’usage équitable.

RADIUS dans le WiFi invité

De nombreuses plateformes de portails captifs utilisent RADIUS en coulisses : le client se connecte sur la page d’accueil, le portail autorise l’appareil via RADIUS, et la durée de la session, les niveaux de vitesse pour le WiFi payant et les limites de bons sont appliqués via les attributs RADIUS et la comptabilité. FreeRADIUS, l’implémentation la plus répandue, alimente une grande partie de ces systèmes.

Normes connexes

Pour le personnel et les réseaux d’entreprise, RADIUS s’associe à IEEE 802.1X et EAP sous WPA2/WPA3-Enterprise : chaque utilisateur reçoit des identifiants individuels au lieu d’un mot de passe partagé, et l’accès est révoqué par personne. L’itinérance par point de passage authentifie également l’infrastructure RADIUS. En résumé : si l’accès réseau est décidé par utilisateur plutôt que par mot de passe partagé, c’est généralement RADIUS qui décide.