Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe

  • Article

Chapitre 2 : Planification de l'implémentation de la sécurité des réseaux locaux sans fil

Dernière mise à jour le 03 avril 2004

Afficher toutes les rubriques d'aide consacrées à la sécurité 

Sur cette page

Présentation
Prérequis du chapitre
Fonctionnement de la sécurité d'un réseau local sans fil
Profil de l'organisation cible
Critères de conception
Architecture du réseau local sans fil
Mise à l'échelle pour de plus grandes organisations
Variations de l'architecture de la solution
Résumé
Références

Présentation

Ce chapitre décrit la conception globale de la solution de réseau local sans fil sécurisée. Son objectif est de vous faire connaître précisément la conception de la solution et les raisons pour lesquelles elle est conçue de cette manière. Il vise également à vous donner suffisamment d'informations pour vous permettre d'adapter la conception aux besoins spécifiques de votre organisation.

Le chapitre commence par une description de la manière dont la norme 802.1X et le protocole PEAP (Protected Extensible Authentication Protocol) sécurisent l'accès au réseau. Elle est suivie par une description de l'organisation cible de la solution et une découverte de ses besoins clés.

Le milieu du chapitre décrit la conception de la solution de réseau local sans fil, notamment : la conception du réseau ; le placement du serveur IAS (Internet Authentication Service) ; la sélection du matériel et des logiciels ; l'obtention des certificats et la configuration du client. Cette partie indique également comment migrer d'un réseau local sans fil non sécurisé vers la norme 802.1X et le protocole PEAP.

Les sections de la fin du chapitre traitent des variations possibles à partir de la conception de la solution de base. La notion la plus importante de ces variations de conception concerne la manière dont la solution peut être mise à l'échelle pour être utilisée dans des organisations plus étendues. Cette notion est abordée très largement. Les autres options de conception couvertes sont les suivantes :

  • réutilisation de l'infrastructure RADIUS pour la sécurité du réseau local sans fil ;

  • utilisation d'IAS pour l'authentification des accès à distance ;

  • déploiement de réseaux locaux sans fil dans des environnements SOHO.

Haut de page

Prérequis du chapitre

Dans le cadre de la planification de l'implémentation de votre réseau local sans fil sécurisé, vous devez vérifier que vous disposez de l'ensemble des compétences nécessaires dans votre organisation et que les personnes impliquées dans les décisions affectant le déploiement sont les plus adéquates.

Pour tirer le meilleur parti de ce chapitre, il est préférable d'être familier des sujets suivants :

  • concepts de mise en œuvre de réseaux, en particulier de réseaux locaux sans fil ;

  • Microsoft® 2000 Windows® ou Windows Server™ 2003 ;

  • concepts du service d'annuaire Microsoft Active Directory®, notamment les domaines et forêts Active Directory, les outils de gestion, l'utilisation des stratégies de groupe et la manipulation des utilisateurs, des groupes et d'autres objets Active Directory ;

  • concepts des services de certificats et des infrastructures de clés publiques (PKI) ;

  • concepts généraux de sécurité tels que l'authentification, l'autorisation et le cryptage ;

  • fonctionnalités de sécurité Windows telles que les utilisateurs, les groupes, les audits et les listes de contrôle d'accès (ACL) ;

  • application des paramètres de sécurité à l'aide de l'objet Stratégie de groupe.

    Remarque : bien que cette solution puisse être implémentée sans connaissances techniques pointues, il est préférable de bénéficier d'une certification MSCE (Microsoft Certified Systems Engineer) ou de compétences et d'expériences équivalentes.

Haut de page

Fonctionnement de la sécurité d'un réseau local sans fil

Différentes méthodes de sécurisation des réseaux locaux sans fil ont été traitées de manière plus ou moins développée dans le document d'introduction « Choix d'une stratégie pour la sécurité des réseaux sans fil ». Ce document se concentrait sur l'utilisation d'une authentification sûre au niveau du réseau local sans fil avec la norme 802.1X et le cryptage du trafic réseau avec les fonctionnalités de cryptage WEP (Wired Equivalent Privacy) dynamique ou WPA (WiFi Protected Access). Les points clés de ce document sont les suivants :

  • Le schéma de sécurité du réseau local sans fil 802.11 d'origine, appelé WEP (Wired Equivalent Privacy), présente des failles sérieuses de sécurité qui permettent à un pirate de découvrir la clé du réseau et d'y pénétrer. Ce schéma est appelé « WEP statique » car il utilise un accès réseau et une clé de cryptage fixes partagés par tous les membres du réseau local sans fil.

  • L'utilisation de la norme IEEE 802.1X fournit un mécanisme robuste de contrôle d'accès au réseau local sans fil. Elle doit être associée à une méthode de protocole EAP (Extensible Authentication Protocol) sécurisée. Le choix de la méthode EAP détermine le type d'informations d'authentification pouvant être utilisées pour authentifier les utilisateurs et les ordinateurs du réseau local sans fil.

  • Microsoft prend en charge l'utilisation du protocole PEAP avec MS-CHAP v2 pour l'authentification par mot de passe et EAP-TLS pour l'authentification par certificat et la recommande.

  • PEAP offre un moyen de protéger une autre méthode EAP (telle que MS-CHAP v2) au sein d'un canal sécurisé. L'utilisation de PEAP est essentielle pour empêcher les attaques de méthodes EAP basées sur un mot de passe.

  • Une protection sûre des données du trafic du réseau local sans fil peut être assurée par les fonctionnalités de cryptage WEP dynamique ou WPA. Des clés de cryptage principales de protection des données sont générées dans le cadre du processus d'authentification 802.1X (bien que le cryptage WEP dynamique ou WPA utilise ces clés différemment).

  • La distinction entre le cryptage WEP statique et le cryptage WEP dynamique est cruciale. Le cryptage WEP dynamique utilise les mêmes algorithmes de cryptage que le cryptage WEP statique mais actualise continuellement les clés de cryptage, faisant ainsi échouer les attaques connues du WEP statique. Le cryptage WEP dynamique s'applique au mécanisme de protection des données du réseau, l'authentification du réseau étant gérée séparément par 802.1X.

Fonctionnement de 802.1X avec PEAP et des mots de passe

Pour l'authentification du réseau local sans fil basée sur un mot de passe, Microsoft prend en charge l'utilisation de PEAP avec MS-CHAP v2. La figure 2.1 montre le fonctionnement de 802.1X avec PEAP et des mots de passe.

Figure 2.1 Authentification 802.1X et PEAP sur le réseau local sans fil

Cette figure montre les quatre composants principaux suivants :

  • Client sans fil : Ordinateur ou périphérique exécutant une application qui nécessite un accès aux ressources du réseau. Le détenteur des informations d'authentification utilisées pour authentifier le client sur le réseau peut être un utilisateur ou un ordinateur. Le client doit disposer d'une carte réseau local sans fil prenant en charge la norme 802.1X et le cryptage WEP dynamique ou WPA. Le client est également appelé station (STA) dans de nombreux documents standard sur le réseau.

    Avant que le client puisse être autorisé à accéder au réseau local sans fil, un ensemble d'informations d'authentification doit être approuvé par le service d'authentification (le serveur RADIUS et l'annuaire) lors d'une opération hors bande. Dans ce cas, les comptes de domaine de l'utilisateur et de l'ordinateur sont créés avant la connexion au réseau local sans fil. Le client connaît son mot de passe et le contrôleur de domaine (l'annuaire) est capable de vérifier ce mot de passe. Le client doit également être préconfiguré avec les paramètres du réseau local sans fil corrects, qui comprennent le nom d'un tel réseau et la méthode d'authentification à utiliser.

    Remarque : à proprement parler, un seul ensemble d'informations d'authentification (l'utilisateur ou l'ordinateur) doit être approuvé hors bande. Par exemple, vous pouvez vous connecter au réseau local sans fil en utilisant les informations d'authentification de l'utilisateur, puis joindre l'ordinateur au domaine. Cependant, cette solution suppose que les comptes utilisateur et ordinateur existent avant d'accéder au réseau local sans fil.

  • Point d'accès sans fil (AP) : le rôle du point d'accès sans fil est de contrôler l'accès au réseau local sans fil et de créer un pont entre une connexion client et le réseau local interne. Il doit prendre en charge la norme 802.1X et le cryptage WEP dynamique ou WPA. Dans la terminologie standard du réseau, le point d'accès joue le rôle de Service d'accès au réseau (NAS).

    Le point d'accès sans fil et le serveur RADIUS partagent également un secret qui leur permet de s'identifier l'un et l'autre en toute sécurité.

  • Le serveur RADIUS et l'annuaire : le serveur RADIUS utilise l'annuaire pour vérifier les informations d'authentification des clients du réseau local sans fil. Il accorde des autorisations en fonction de la stratégie d'accès au réseau. Il peut également collecter des informations de comptabilisation et d'audit sur l'accès au réseau du client. Cette opération est appelée Service d'authentification (AS) dans la terminologie standard du réseau.

  • Le réseau interne : il s'agit d'un réseau sécurisé auquel l'application cliente sans fil doit avoir accès.

Les étapes suivantes décrivent comment le client fait sa demande et est autorisé à accéder au réseau local sans fil et par là même au réseau interne. Ces numéros d'étape correspondent aux numéros de la figure 2.1.

  1. Lorsque l'ordinateur client est à proximité du point d'accès sans fil, il tente de se connecter au réseau local sans fil actif sur le point d'accès sans fil et est identifié par son SSID (Service Set Identifier). Le SSID est le nom du réseau local sans fil. Il est utilisé par le client pour identifier les paramètres corrects et le type d'informations d'authentification à utiliser pour ce réseau local sans fil.

  2. Le point d'accès sans fil est configuré pour autoriser uniquement les connexions sécurisées (authentifiées 802.1X). Lorsque le client essaie de s'y connecter, le point d'accès lance un défi au client. Le point d'accès configure ensuite un canal restreint, qui permet au client de communiquer uniquement avec le serveur RADIUS (bloquant l'accès au reste du réseau). Le serveur RADIUS accepte uniquement la connexion d'un point d'accès sans fil fiable ; c'est-à-dire, un point d'accès configuré comme un client RADIUS sur le serveur IAS et qui fournit le secret partagé de ce client RADIUS.

    Le client tente d'authentifier le serveur RADIUS via le canal restreint à l'aide de la norme 802.1X. Dans le cadre de la négociation PEAP, le client établit une session TLS (Transport Layer Security) avec le serveur RADIUS. L'utilisation d'une session TLS dans le cadre d'un PEAP offre les avantages suivants :

    • Elle permet au client d'authentifier le serveur RADIUS ; le client peut ainsi établir la session uniquement avec un serveur détenant un certificat approuvé.

    • Elle protège le protocole d'authentification -CHAP v2 contre la surveillance des paquets.

    • La négociation de la session TLS génère une clé pouvant être utilisée par le client et le serveur RADIUS pour définir des clés principales communes. Les clés permettant de crypter le trafic du réseau local sans fil sont dérivées des clés principales.

    Sécurisé au sein du canal PEAP, le client s'authentifie sur le serveur RADIUS à l'aide du protocole MS-CHAP v2 EAP. Lors de cet échange, le trafic du tunnel TLS est visible uniquement du client et du serveur RADIUS et n'est jamais exposé au point d'accès sans fil.

  3. Le serveur RADIUS vérifie les informations d'authentification du client en consultant l'annuaire. Une fois le client authentifié, le serveur RADIUS regroupe les informations qui lui permettent de décider s'il autorise le client à utiliser le réseau local sans fil. Il utilise les informations de l'annuaire (telles que l'appartenance de groupe) ainsi que les contraintes définies dans sa stratégie d'accès (par exemple, les moments de la journée auxquels l'accès au réseau local sans fil est autorisé) pour accorder ou refuser l'accès au client. Le serveur RADIUS transmet cette décision d'accès au point d'accès.

    Si l'accès est accordé au client, le serveur RADIUS transmet la clé principale du client au point d'accès sans fil. Le client et le point d'accès partagent alors un matériel de clé commun qu'ils peuvent utiliser pour crypter et décrypter le trafic du réseau local sans fil qui circule entre eux.

    Lorsque le cryptage dynamique WEP est utilisé pour crypter le trafic, les clés principales sont directement utilisées comme clés de cryptage. Ces clés doivent être modifiées régulièrement pour déjouer les attaques par récupération de clé WEP. Pour cela, le serveur RADIUS force régulièrement le client à se réauthentifier et à générer un nouveau jeu de clés.

    Si la fonctionnalité WPA est utilisée pour sécuriser les communications, le matériel de clé principale permet de dériver les clés de cryptage des données qui sont modifiées pour chaque paquet transmis. La fonctionnalité WPA n'a pas besoin de forcer des réauthentifications fréquentes pour assurer la sécurité des clés.

  4. Le point d'accès crée alors un pont entre la connexion au réseau local sans fil du client et le réseau local interne, permettant au client de communiquer librement avec les systèmes du réseau interne. Le trafic circulant entre le client et le point d'accès est alors crypté.

  5. Si le client requiert une adresse IP, il peut alors demander un bail DHCP (Dynamic Host Configuration Protocol) à partir d'un serveur du réseau local. Une fois l'adresse IP attribuée, le client peut commencer à communiquer normalement avec les systèmes du reste du réseau.

Authentification d'un utilisateur et d'un ordinateur sur le réseau local sans fil

Le processus que nous venons de décrire montre comment un client (un utilisateur ou un ordinateur) peut se connecter au réseau local sans fil. Windows XP authentifie l'utilisateur et l'ordinateur indépendamment. Lorsqu'un ordinateur démarre pour la première fois, il utilise son compte de domaine et son mot de passe pour s'authentifier sur le réseau local sans fil. L'autorisation d'accès de l'ordinateur au réseau local sans fil fait suite à toutes les étapes décrites dans la section précédente. Le fait que l'ordinateur se connecte au réseau local sans fil en utilisant ses propres informations d'authentification permet de le gérer même lorsque aucun utilisateur n'est connecté. Par exemple, il est possible d'appliquer des paramètres de stratégie de groupe à l'ordinateur et de lui distribuer des logiciels et des correctifs.

Lorsqu'un utilisateur se connecte sur l'ordinateur, le même processus d'authentification et d'autorisation est répété, mais cette fois avec le nom et le mot de passe de l'utilisateur. La session de l'utilisateur remplace la session réseau local sans fil de l'ordinateur ; cela signifie que les deux ne sont pas actifs simultanément. Cela implique également qu'un utilisateur non autorisé ne peut pas utiliser un ordinateur autorisé pour accéder au réseau local sans fil.

Remarque : Windows XP vous permet de modifier ce comportement et de spécifier uniquement l'utilisation des informations d'authentification de l'ordinateur ou de l'utilisateur. Ces configurations ne sont pas conseillées. La première permet aux utilisateurs de se connecter au réseau local sans fil sans autorisation. La deuxième empêche l'ordinateur de se connecter au réseau local sans fil tant qu'un utilisateur ne s'est pas connecté, ce qui entrave de nombreuses fonctions de gestion de l'ordinateur.

Haut de page

Profil de l'organisation cible

Cette solution est conçue pour une petite entreprise de 100 à 200 employés. Bien que l'organisation soit fictive, ses caractéristiques et ses besoins sont issus de nombreuses recherches en conditions réelles. Ces besoins réels sont à l'origine du style et du cadre de ce guide ainsi que des choix de conception.

Il est important de comprendre que cette solution ne se limite pas aux organisations de cette taille. La simplicité de la conception et les capacités d'évolution des composants utilisés impliquent que la même solution de réseau local sans fil basée sur PEAP peut être facilement mise à l'échelle pour des organisations bien plus grandes (avec des milliers d'utilisateur) ou bien plus petites. En prenant connaissance des caractéristiques de l'organisation cible, vous comprendrez mieux les hypothèses de conception et serez à même de les adapter à votre propre organisation.

L'utilisation de la solution dans de plus grandes organisations est traitée dans la section « Mise à l'échelle pour de plus grandes organisations » de ce chapitre. Pour les organisations bien plus petites, tous les composants requis peuvent être installés sur un seul serveur déjà en place.

Agencement de l'organisation

La figure suivante présente l'agencement physique et informatique de l'organisation.

Figure 2.2 Agencement physique et informatique de l'organisation cible

Un siège social étendu unique héberge la plupart des systèmes informatiques et la majorité des utilisateurs. Tous les contrôleurs de domaine Active Directory se trouvent à cet endroit. Le siège social dispose d'une connexion à Internet via un serveur pare-feu. Plusieurs clients de réseau local sans fil et points d'accès sans fil sont connectés au réseau interne.

Au moins une succursale dotée de très peu de services informatiques locaux se trouve au-delà de la connectivité réseau du siège social. Peu de clients (qui peuvent tous être sans fil) se trouvent dans cette succursale. Elle reçoit fréquemment des visiteurs du siège social qui apportent leurs clients de réseau local sans fil pour pouvoir se connecter à leurs applications et données du siège social.

La connectivité du réseau étendu (WAN) entre les succursales est fournie soit par des lignes privées (par exemple, une liaison T1–1,5 Mbits/s) soit par des connexions Internet DSL et une liaison de routeur à routeur de réseau privé virtuel (VPN) à travers Internet. La connexion WAN n'est généralement pas tolérante aux pannes.

Remarque : si la connexion WAN entre les succursales est fournie par une connexion VPN à travers Internet, chaque succursale est généralement protégée par un pare-feu des menaces d'Internet. La présence de ce pare-feu n'est pas pertinente dans ce document sur les réseaux locaux sans fil et a été omise pour plus de clarté.

Environnement informatique

L'annuaire Active Directory de cette organisation est une forêt à domaine unique comprenant au moins deux contrôleurs de domaine. Il authentifie les utilisateurs du domaine et fournit des services d'annuaire et d'authentification à plusieurs applications telles que Microsoft Exchange Server et Outlook® pour la messagerie électronique. Les contrôleurs de domaine ont récemment été mis à niveau de Windows 2000 Server à Windows Server 2003, Standard Edition. Les contrôleurs de domaine exécutent également des services supplémentaires tels que DNS (Domain Name System), DHCP et WINS (Windows Internet Name Service) pour quelques applications héritées.

Les systèmes informatiques sont principalement des technologies Microsoft, avec Windows XP sur les ordinateurs client et Windows Server 2003 sur les systèmes serveurs. Certains serveurs exécutent également Windows 2000, que l'entreprise prévoira de mettre à niveau après test et selon la prise en charge des applications. L'organisation a commencé à investir dans les systèmes mobiles tels que Windows XP, Édition Tablet PC et Pocket PC 2003 en particulier pour les départements des ventes, de la distribution et l'entrepôt.

Les applications serveur clés sont Microsoft Exchange Server, SQL Server (exécutant plusieurs applications d'entreprise), Internet Information Services (IIS) et Windows SharePoint™ Team Services.

Les applications sont déployées sur les ordinateurs client à l'aide de la stratégie de groupe Active Directory. Les correctifs de système d'exploitation sont déployés à l'aide de Microsoft Software Update Service (SUS) et du service Windows AutoUpdate.

La surveillance du système s'effectue directement sur les systèmes serveurs en analysant quotidiennement les journaux d'événements Windows, les journaux de performances et les journaux d'applications. Des alertes critiques concernant le matériel et les logiciels sont envoyées à l'administrateur informatique via des messages électroniques et des alertes sur les consoles du système.

L'organisation dispose de deux informaticiens à plein temps, qui vérifient la planification informatique, la fourniture de services et la prise en charge quotidienne. Le responsable informatique et l'ingénieur de support informatique sont dotés des certifications MCSE les plus récentes et de plusieurs années d'expérience dans l'informatique.

Haut de page

Critères de conception

L'organisation décrite dans la section précédente présente généralement les types de critères ci-après dans une solution de réseau local sans fil. Ces critères ont été étendus pour concerner le plus grand nombre d'organisations. La conception présentée dans le reste du chapitre utilise explicitement ces critères.

Tableau 2.1 : Critères de conception de la solution de réseau local sans fil

Élément de conception Critères
Exigences de sécurité - Authentification et autorisation robustes des clients sans fil. - Contrôle robuste des accès, afin de n'autoriser l'accès au réseau qu'aux clients autorisés. - Cryptage de haut niveau (128 bits) du trafic du réseau sans fil. - Gestion sécurisée des clés de cryptage.
Évolutivité – Nombre min/max d'utilisateurs pris en charge 25 à 5 000 ou plus d'utilisateurs du réseau local sans fil Voir le tableau 2.2 pour connaître les charges d'authentification des différentes tailles de réseau local sans fil.
Évolutivité – Nombre de sites pris en charge Base : site étendu unique avec contrôleurs de domaine et services informatiques locaux ; au moins un site plus petit sans contrôleurs de domaine. Le nombre minimum d'utilisateurs requis est de 25. Haut niveau : Site central unique avec plusieurs contrôleurs de domaine ; larges succursales avec un seul contrôleur de domaine et/ou une connectivité WAN fiable avec le siège social ; plusieurs petites succursales sans contrôleur de domaine, probablement pas de résilience WAN. Le nombre maximum d'utilisateurs autorisé est de 5 000. Pour une utilisation dans de plus grandes organisations, reportez-vous à l'annexe A, « Utilisation de PEAP dans l'entreprise ».
Impératifs de disponibilité L'utilisation de plusieurs points d'accès, IAS ou contrôleurs de domaine permet d'assurer la résilience du réseau local sans fil en cas de panne d'un seul composant dans de plus grandes succursales. Les réseaux locaux sans fil des petites succursales sont vulnérables aux pannes à moins qu'une connectivité redondante soit installée.
Prise en charge de la plate-forme Plates-formes de serveur : Windows Server 2003, Standard Edition ou Enterprise Edition (pour l'installation d'IAS et de l'autorité de certification). La version Standard Edition prend en charge un maximum de 50 points d'accès sans fil (clients RADIUS) par serveur. Plates-formes de client : Windows XP Édition Professionnel ou Tablet PC ; Pocket PC 2003.
Capacité d'extension (réutilisation des composants de la solution pour d'autres applications) D'autres applications d'accès au réseau (VPN d'accès à distance, accès au réseau câblé 802.1X et authentification de pare-feu) peuvent être prises en charge par la même infrastructure d'authentification.
Exigences informatiques de l'organisation L'installation et la gestion de la solution exigent des professionnels de l'informatique dotés de la certification MSCE la plus récente ou de compétences équivalentes ainsi que de 2 à 3 ans d'expérience dans le secteur informatique.
Impératifs de la capacité de gestion La solution nécessite d'être gérée un minimum pour assurer la disponibilité des opérations. Des alertes sont envoyées via des messages électroniques et/ou des journaux d'événements Windows (ou modifiées pour déclencher d'autres types d'alertes). Le composant IAS peut être contrôlé par la solution de surveillance de Windows (à l'aide des journaux d'événements et des compteurs de performances), par la journalisation RADIUS et par le système de gestion SNMP (Simple Network Management Protocol).
Conformité aux normes La solution prend en charge les normes suivantes : - normes réseau IEEE 802.11 (a, b ou g). - authentification IEEE 802.1X avec PEAP et MS-CHAP v2. Elle peut être utilisée avec d'autres méthodes EAP telles que l'EAP-TLS et le PEAP-EAP-TLS basés sur le certificat. - Protection du réseau local sans fil par cryptage WEP dynamique et WPA. Capacités et normes futures (par exemple, 802.11i). - Prise en charge RADIUS pour RFC 2865 et 2866.

Le tableau suivant donne une indication des exigences d'authentification du réseau local sans fil pour différentes tailles d'organisations. La colonne « Nouvelles authentifications par seconde » se base sur une charge constante et suppose une moyenne de quatre nouvelles authentifications complètes par utilisateur et par jour lorsque des utilisateurs se déplacent entre les points d'accès sans fil. La colonne « Nb. maximum de nouvelles authentifications par seconde » indique le type de charge attendu lorsque tous les utilisateurs sont authentifiés sur une période de 30 minutes (par exemple, au début de la journée). La colonne « Réauthentifications par seconde » indique le nombre de réauthentifications périodiques permettant de forcer le renouvellement des clés WEP dynamiques.

Tableau 2.2 : Exigences d'authentification du réseau local sans fil

Nombre d'utilisateurs du réseau local sans fil Nouvelles authentifications par seconde Nb. maximum de nouvelles authentifications par seconde Réauthentifications par seconde
100 > 0.1 0.1 0.1
1000 0.1 0.6 1.1
10,000 1.4 5.6 11.1
Ces chiffres sont rappelés ultérieurement dans ce chapitre dans la partie sur le dimensionnement du serveur IAS. [](#mainsection)[Haut de page](#mainsection) ### Architecture du réseau local sans fil Cette section traite de l'architecture de la solution. #### Conception du réseau La figure suivante montre l'agencement de base du réseau du siège social. [![](images/Dd491890.PEAP_203(fr-fr,TechNet.10).gif)](https://technet.microsoft.com/fr-fr/dd491890.peap_203_big(fr-fr,technet.10).gif) **Figure 2.3 Agencement du réseau du siège social** La figure montre des clients sans fil, au moins deux points d'accès sans fil, deux serveurs IAS s'exécutant sur des contrôleurs de domaine Active Directory, un serveur DHCP et d'autres serveurs, clients et périphériques connectés au réseau. À l'exception des clients du réseau local sans fil, tous les éléments sont connectés sur un réseau local unique à l'aide d'un ou plusieurs commutateurs de niveau 2. Un seul sous-réseau est utilisé pour la totalité du réseau interne de ce site. Des connexions (n'apparaissant pas sur la figure) sont routées à travers le pare-feu jusqu'à Internet et d'autres succursales. Les organisations les plus étendues sont plus à même de disposer d'un environnement routé sur un seul site. Bien que ceci ne change en rien l'infrastructure d'authentification, il est possible qu'il y ait un impact sur la manière dont les points d'accès sans fil sont connectés au reste du réseau. Pour que les utilisateurs circulent plus facilement entre plusieurs points d'accès d'un site, on place habituellement tous les points d'accès sans fil et les clients du réseau local sans fil sur le même sous-réseau IP. Les utilisateurs peuvent ainsi circuler entre les points d'accès sans fil tout en conservant la même adresse IP. Ce sujet sortant du cadre de ce guide, il n'y est pas discuté en détail. Il est traité de manière plus détaillée dans le chapitre « Deploying a Wireless LAN » du *Kit de déploiement de Windows Server 2003.* Dans votre conception réseau, vous devez vérifier les éléments suivants : - Les points d'accès sans fil peuvent être connectés aux serveurs IAS principal et secondaire. Si les points d'accès se trouvent sur un VLAN/sous-réseau différent des serveurs IAS, le trafic doit pouvoir être acheminé entre ces sous-réseaux. - Les clients du réseau local sans fil doivent pouvoir être connectés aux serveurs DHCP. Si les serveurs ne se trouvent pas sur le même sous-réseau, vous devez disposer d'agents relais DHCP/BOOTP pour transférer la demande DHCP du client vers un DHCP dont l'étendue est définie pour ce sous-réseau. Les clients auront bien sûr également besoin d'être connectés aux services réseau normaux tels que les contrôleurs de domaine, les serveurs de fichiers, etc. ##### Sélection du matériel du réseau sans fil Vous devez vérifier que vos points d'accès sans fil et vos adaptateurs de réseau sans fil prennent en charge les éléments suivants : - cryptage WEP 128 bits (en cas d'utilisation du cryptage WEP dynamique) ou cryptage TKIP (RC4) ou cryptage AES (en cas d'utilisation de WPA) ; - authentification 802.1X ; - mise à jour de clé dynamique (cryptage WEP uniquement) ; - prise en charge WPA (même si vous utilisez le cryptage WEP dynamique, le fournisseur doit s'engager fermement à fournir la mise à jour du microprogramme pour assurer la prise en charge WPA). Vous devez disposer de suffisamment de points d'accès sans fil pour assurer la couverture des clients du réseau local sans fil à travers les emplacements physiques que vous devez prendre en charge. Vous devez également prévoir le placement du point d'accès sans fil de manière à ce que la couverture de secours soit suffisante pour tous les emplacements en cas de panne d'un point d'accès sans fil. Le placement des points d'accès sans fil est traité de manière plus détaillée dans le chapitre « Deploying a Wireless LAN » du *Kit de déploiement de Windows Server 2003* également répertorié dans la section « Références » à la fin de ce chapitre. Il est également conseillé de lire l'article « Recommendations for IEEE 802.11 Access Points » référencé à la fin de ce chapitre. #### Placement du serveur IAS L'objectif du placement du serveur IAS est de fournir un service de réseau local actif résilient tout en maintenant les coûts d'implémentation et de gestion au plus bas. Un service de réseau local actif tolérant à la panne d'un seul composant présente les caractéristiques suivantes : - toutes les zones physiques dans lesquelles vous avez besoin d'une couverture de réseau local sans fil doivent être dotées d'au moins deux points d'accès sans fil ; - chaque point d'accès sans fil doit être capable de communiquer avec un serveur IAS de secours en cas de panne du serveur IAS principal ou de défaillance de la connexion réseau avec ce serveur ; - les services dont dépendent IAS et les clients du réseau local sans fil (par exemple, Active Directory, DHCP et DNS) doivent également assurer cette résilience. La seconde caractéristique est la plus significative pour la planification du placement du serveur IAS. Dans cette solution, IAS se trouve sur les contrôleurs de domaine existants. Cette configuration est celle qui offre les performances les plus élevées ainsi que des coûts d'implémentation et de gestion assez bas. Il est recommandé pour les organisations de toutes tailles de déployer IAS sur chaque site doté d'un contrôleur de domaine (bien que vous n'ayez pas besoin d'installer IAS sur chaque contrôleur de domaine). La figure suivante montre le placement des serveurs IAS dans l'organisation. IAS est déployé sur deux contrôleurs de domaine existants au niveau du siège social. L'autorité de certification du réseau (reportez-vous à la section « Obtention de certificats pour les serveurs IAS » ultérieurement dans ce chapitre) est également installée sur l'un de ces contrôleurs de domaine. Tous les points d'accès du siège social sont configurés pour utiliser ces serveurs IAS. [![](images/Dd491890.PEAP_204(fr-fr,TechNet.10).gif)](https://technet.microsoft.com/fr-fr/dd491890.peap_204_big(fr-fr,technet.10).gif) **Figure 2.4 Infrastructure du siège social et de la succursale** L'organisation comprend une petite succursale qui n'est pas équipée d'un contrôleur de domaine. Les points d'accès sans fil de ce site utilisent les deux serveurs IAS du siège social pour toutes les demandes d'authentification. Cela signifie que les utilisateurs ne peuvent pas s'authentifier sur le réseau local sans fil si la connexion WAN avec le siège social échoue. Ceci peut présenter un risque inacceptable pour de nombreuses organisations. Pour y remédier, il est conseillé d'installer une connectivité WAN redondante ou d'installer un IAS et un contrôleur de domaine locaux. Même si le coût d'une telle installation semble peu raisonnable pour ce type de succursale, il faut savoir qu'une panne du WAN peut également entraîner la défaillance de nombreux autres services réseau (par exemple, des serveurs de fichiers locaux) qui n'ont pas accès à un contrôleur de domaine. En rectifiant ce problème, vous améliorerez la fiabilité de ces services ainsi que du réseau local sans fil. Le déploiement de contrôleurs de domaine dans des succursales est traité dans la section « Mise à l'échelle pour de plus grandes organisations » ultérieurement dans ce chapitre. Dans les petites succursales où la connectivité du réseau local sans fil est très peu fiable et où le déploiement d'un contrôleur de domaine local n'est pas envisageable, vous pouvez déployer un réseau local sans fil autonome. Pour plus d'informations à ce sujet, lisez la section « Environnements SOHO » ultérieurement dans ce chapitre. ##### Affectation de points d'accès aux serveurs RADIUS Vous devez affecter tous vos points d'accès sans fil aux serveurs IAS. Chaque point d'accès sans fil requiert un serveur RADIUS principal et secondaire. Le point d'accès sans fil peut ainsi utiliser le serveur RADIUS secondaire en cas de panne du serveur principal ou d'impossibilité de le contacter. Cette disposition est illustrée dans la figure suivante. ![](images/Dd491890.PEAP_205(fr-fr,TechNet.10).gif) **Figure 2.5 Répartition des points d'accès entre les serveurs IAS principal et secondaire** La figure montre comment chaque point d'accès sans fil est configuré avec les différents serveurs RADIUS principaux et secondaires. Ceci permet d'équilibrer la charge entre les serveurs. Les points d'accès sans fil des sites sans serveur IAS local suivent le même modèle en utilisant les serveurs IAS du siège social comme serveurs RADIUS principal et secondaire. Pour les points d'accès sans fil des sites dotés d'un seul serveur IAS local, le serveur local doit toujours être le serveur principal et le serveur du siège social (ou de tout autre emplacement adapté permettant une connexion fiable avec un serveur IAS) doit être le serveur secondaire. C'est ce qu'illustre la figure ci-dessous. [![](images/Dd491890.PEAP_206(fr-fr,TechNet.10).gif)](https://technet.microsoft.com/fr-fr/dd491890.peap_206_big(fr-fr,technet.10).gif) **Figure 2.6 Configuration des points d'accès utilisant des serveurs IAS distants et locaux** Si vous disposez de nombreux points d'accès, il est conseillé de documenter sérieusement l'affectation des points d'accès aux serveurs IAS. Vous pouvez utiliser ce document pour vérifier que chaque point d'accès a été affecté à un serveur principal et secondaire et que la charge des points d'accès est répartie de manière homogène à travers les serveurs disponibles. **Remarque** **:** tous les points d'accès sans fil basculeront vers le serveur IAS secondaire lorsque le serveur IAS principal ne sera pas disponible. Cependant, la plupart des points d'accès ne réutilisent pas le serveur principal lorsqu'il est de nouveau disponible (ils basculent vers celui-ci uniquement lorsque le serveur secondaire tombe à son tour en panne). Cela ne pose pas un trop gros problème lorsque les deux serveurs IAS se trouvent au même endroit ; la charge répartie entre les serveurs est simplement moins homogène. Cependant, lorsque le serveur IAS secondaire se trouve à distance, une panne temporaire du serveur principal conduit tous les points d'accès qui s'authentifient sur le serveur secondaire à utiliser une liaison WAN non optimale. Si vos points d'accès ne basculent pas automatiquement vers le serveur principal désigné, vous devrez peut-être reconfigurer les points d'accès pour qu'ils démarrent en utilisant le serveur IAS local après sa restauration. Des conditions réseau temporaires peuvent également entraîner le basculement des points d'accès vers leurs serveurs RADIUS secondaires. Vous devez donc vérifier régulièrement les événements de demande d'authentification dans les journaux d'application du serveur IAS pour repérer les points d'accès qui n'utilisent pas l'IAS approprié. ##### Co-emplacement d'IAS et des contrôleurs de domaine Dans cette solution, IAS est installé sur les contrôleurs de domaine existants. Les coûts d'implémentation sont ainsi maintenus au plus bas et les performances sont améliorées par rapport à celles obtenues lorsqu'on utilise IAS sur un serveur membre séparé. En effet, IAS pouvant communiquer avec Active Directory sur le même ordinateur sans entraîner de ralentissement du réseau, les performances augmentent. Vous devez tout de même être conscient des inconvénients de l'installation d'IAS sur des contrôleurs de domaine. Même s'ils ne posent pas de problème pour de nombreuses organisations, vous devez les connaître avant de continuer : - Vous ne pourrez pas définir une configuration unique pour tous vos contrôleurs de domaine, à moins que vous choisissiez d'installer IAS sur tous les contrôleurs de domaine. - Vous ne pourrez pas séparer l'administration d'IAS et l'administration du domaine. L'installation d'IAS sur des contrôleurs de domaine exige que les administrateurs IAS soient également membres du groupe Administrateurs de domaines intégré. - Une charge élevée sur les fonctions du contrôleur de domaine affectera également les performances d'IAS et vice versa. Vous pouvez la répartir sur des serveurs séparés pour mieux contrôler les performances individuelles et le fonctionnement des services. #### Configuration matérielle et logicielle requise pour IAS Dans une organisation cible de 100 à 200 utilisateurs, la charge IAS sur les serveurs ne posera probablement pas de problème tant que vous utiliserez les spécifications matérielles recommandées pour Windows Server 2003. Cependant, cela peut poser un problème aux organisations plus étendues, en particulier si elles exécutent IAS sur des contrôleurs de domaine existants. La charge de l'IAS sera affectée par les éléments suivants : - nombre d'utilisateurs et de périphériques requérant une authentification RADIUS ; - choix des options d'authentification telles que le type EAP et fréquence des réauthentifications ; - journalisation RADIUS activée ou désactivée. Vous pouvez utiliser les chiffres donnés dans le tableau 2.2 de la section précédente « Critères de conception » pour estimer le nombre d'authentifications par seconde auquel vous pouvez vous attendre pour une population donnée d'utilisateurs. Vous devez prendre en compte la charge stable qui correspond à des utilisateurs s'authentifiant normalement et la « pire » charge qui correspond aux périodes d'utilisation intensive. Si l'on extrapole les chiffres de ce tableau, 200 utilisateurs génèrent une charge stable de moins d'une authentification complète toutes les 50 secondes et une réauthentification rapide toutes les dix secondes. Ces chiffres sont si petits que la seule chose à prendre réellement en compte est le temps nécessaire pour authentifier tous les utilisateurs après une interruption – lorsque tous les utilisateurs doivent se reconnecter immédiatement au réseau local sans fil. Il s'agit là d'une utilisation bien plus intensive que lors de la connexion de début de journée, qui s'étend sur au moins 30 minutes. Les options d'authentification ont un effet considérable sur la charge du serveur IAS. Lors de la première connexion, les protocoles tels que PEAP effectuent un chiffrage de clé publique gourmand en ressources processeur ; par contre, lors des réauthentifications suivantes, les informations de session mises en cache sont utilisées pour permettre une « reconnexion rapide ». Si vous utilisez le chiffrage WEP dynamique, les clients se réauthentifieront toutes les 15-60 minutes pour générer de nouvelles clés de cryptage. Toutefois, le chiffrage WPA permet de relancer la réauthentification bien moins souvent, généralement toutes les 8 heures. Le tableau suivant indique le nombre approximatif d'authentifications par seconde pour IAS sur un serveur Intel Pentium 4 2 GHz exécutant Windows Server 2003, Active Directory se trouvant sur un serveur séparé. **Remarque** **:** les informations du tableau suivant sont tirées des tests effectués par Microsoft Solutions for Security. Elles sont fournies sans aucune garantie et doivent uniquement servir de repère pour planifier les capacités et non pour comparer les performances. **Tableau 2.3 : Authentifications par seconde**

Type d'authentification Nouvelles authentifications Authentifications avec reconnexion rapide
Authentifications PEAP par seconde 36 166
Délai pour authentifier 200 utilisateurs 6 s 2 s
Délai pour authentifier 1 000 utilisateurs 30 s 7 s
Ces chiffres ont été calculés alors que la journalisation RADIUS était activée et qu'Active Directory s'exécutait sur un autre serveur ; ces deux facteurs réduisant les performances d'IAS, on peut considérer qu'il s'agit là d'une estimation pessimiste. Comme le montrent ces chiffres, ce type de serveur permettra à 200 utilisateurs du réseau local sans fil de s'authentifier sur le réseau en six secondes et à 1 000 utilisateurs de s'authentifier en 30 secondes. ##### Utilisation de Windows Server Standard Edition ou Enterprise Edition Cette solution utilise Windows Server 2003, Standard Edition pour tous les serveurs IAS ; ceci permet de maintenir le coût des licences de serveur au plus bas et autorise un déploiement sur des serveurs existants, qu'ils utilisent Standard Edition ou Enterprise  Edition. La limite d'IAS sous Windows Server 2003, Standard Edition est que chaque serveur peut prendre en charge uniquement 50 clients RADIUS et deux groupes de routage de serveur RADIUS. **Remarque** **:** les clients RADIUS ne sont pas identiques aux clients du réseau local sans fil. Le client RADIUS se réfère aux points d'accès sans fil mais également à d'autres serveurs d'accès au réseau, tels que les serveurs VPN et les pare-feu qui utilisent les services d'authentification RADIUS. Pour l'organisation cible de 1 à 200 utilisateurs, un maximum de 50 points d'accès par serveur est largement suffisant. Pour les plus grandes organisations, cette limite peut poser un problème pour les succursales étendues ou lorsque de nombreuses succursales satellites utilisent un ou deux serveurs IAS. Si l'on compte 15 utilisateurs par point d'accès sans fil, cela signifie qu'un seul serveur IAS sur Windows Server 2003, Standard Edition peut prendre en charge environ 750 utilisateurs. Ce calcul prend en compte le nombre total de points d'accès qui utiliseront un serveur comme serveur RADIUS principal ou secondaire ; par conséquent, deux serveurs prendront en charge 50 points d'accès et non pas 100. Si l'un de vos serveurs IAS doit prendre en charge plus de 50 points d'accès, vous devez utiliser Windows Server 2003, Enterprise Edition. Bien sûr, vous pouvez également mélanger et adapter les deux éditions en utilisant Windows Server 2003, Enterprise Edition dans les grandes succursales et les succursales satellites, et Windows Server 2003, Standard Edition dans les succursales plus petites. #### Configuration d'IAS Les paramètres d'IAS peuvent être répartis en quatre catégories principales : - paramètres du serveur IAS ; - configuration de la journalisation RADIUS ; - stratégies d'accès à distance ; - stratégies de demande de connexion. Ces catégories sont décrites en détail dans les sous-sections ci-après. Tous ces paramètres sont communs à tous les serveurs IAS utilisés dans cette solution ; on peut ainsi configurer les paramètres sur un serveur IAS et les copier sur les autres. Cette technique est utilisée dans le chapitre 5, « Création de l'infrastructure de sécurité des réseaux locaux sans fil » pour vérifier que les paramètres IAS sont cohérents à travers tous les serveurs de votre organisation. En outre, pour chaque serveur IAS, un ou plusieurs points d'accès sans fil seront configurés comme clients RADIUS. Les clients RADIUS ont été décrits dans la section précédente « Affectation de points d'accès aux serveurs RADIUS ». Le jeu de clients RADIUS est généralement différent pour chaque serveur. Par conséquent, il n'est pas répliqué entre les serveurs de la même manière que les autres paramètres. ##### Paramètres du serveur IAS Cette catégorie comprend les éléments suivants : - Journalisation des demandes d'authentification dans le journal d'événements Windows. La journalisation des succès et des échecs est activée dans cette solution. **Remarque** **:** la journalisation des demandes sera couverte dans la section « Journalisation RADIUS » ultérieurement dans ce chapitre. - Les ports UDP (User Datagram Protocol (UDP) que le serveur IAS écoute pour l'authentification RADIUS et la comptabilisation des demandes. Cette solution utilise les ports RADIUS 1812 et 1813 par défaut, respectivement dédiés à l'authentification et à la comptabilisation. ##### Stratégies RADIUS Les stratégies IAS contrôlent l'authentification et l'autorisation d'accès des comptes au réseau. Il existe deux types de stratégies : - stratégie d'accès à distance ; - stratégie de demande de connexion. La stratégie d'accès à distance dirige et contrôle l'autorisation de connexion au réseau. Une stratégie d'accès à distance contient un ensemble de conditions de filtre qui déterminent si cette stratégie s'applique à une demande de connexion donnée. Voici quelques exemples de conditions de filtre : spécifier le groupe de sécurité Windows dont un client doit être membre, spécifier le type de connexion (tel que sans fil ou VPN) du client demandeur et spécifier l'heure de la journée à laquelle le client tente de se connecter. Chaque stratégie d'accès à distance doit prendre une mesure stratégique, qui consiste à *autoriser* ou *refuser* une demande de connexion. Les demandes de connexion répondant aux conditions de filtre de la stratégie d'accès à distance se verront accorder ou refuser l'accès au réseau en fonction de la mesure stratégique configurée. Une stratégie d'accès à distance contient également un jeu de paramètres qui s'appliquent à une connexion autorisée, appelé Profil de stratégie d'accès à distance. Ces paramètres indiquent les méthodes d'authentification acceptables pour cette connexion, la manière dont une adresse IP doit être affectée au client et la durée pendant laquelle le client peut rester connecté avant qu'une réauthentification soit requise. Il peut y avoir plusieurs stratégies d'accès à distance sur un IAS ; chaque demande de connexion est évaluée par rapport à ces stratégies (par ordre de priorité) jusqu'à ce qu'une stratégie d'accès à distance correspondante accorde ou refuse la demande. La stratégie d'accès à distance de cette solution est configurée comme indiqué dans le tableau suivant. **Tableau 2.4 : Configuration de la stratégie d'accès à distance**

Élément de configuration Paramètre
Nom de la stratégie Autoriser l'accès au réseau local sans fil
Type de stratégie Autoriser
Conditions de la stratégie d'accès à distance  
Correspondances NAS - Port - Type IEEE 802.11 sans fil Autre sans fil
Correspondances Windows - Groupe Accès au réseau local sans fil
Profil de stratégie d'accès à distance  
Contraintes d'appel entrant – Délai du client 60 minutes (WEP dynamique) 8 heures (WPA)
Affectation d'adresse IP Les paramètres du serveur déterminent l'affectation IP
Filtrage IP Aucun
Authentification Toutes désactivées à l'exception d'EAP
Authentification – Type d'EAP utilisé EAP protégé (PEAP)
Authentification – Type de PEAP EAP utilisé EAP MS-CHAP v2
Authentification – Reconnexion rapide Activé
Attributs RADIUS Ignore-User-Dialin-Properties = « True » Termination Action = « RADIUS-Request »

Le filtre de condition correspond à tous les clients sans fil et à tous les membres du groupe de domaine Accès au réseau local sans fil. Les paramètres qui ne sont pas pertinents pour l'accès au réseau local sans fil, tels que les paramètres de cryptage Multilink et MPPE (Microsoft Point-to-Point Encryption), ne sont pas inclus dans le tableau. Pour plus de détails sur l'utilisation des groupes de sécurité avec la stratégie d'accès à distance, reportez-vous à la section « Modèle d'administration d'un utilisateur et d'un ordinateur du réseau sans fil » ultérieurement dans ce chapitre.

Le paramètre Contraintes d'appel entrant – Délai du client peut avoir un impact sur la sécurité et la fiabilité de la solution. Les raisons pour lesquelles des valeurs différentes de celles données dans le tableau peuvent être utilisées sont traitées dans la section « Options de sécurité du cryptage WEP dynamique » ultérieurement dans ce chapitre.

L'attribut RADIUS « Ignore-User-Dialin-Properties » permet d'ignorer le contrôle des autorisations d'accès au réseau par utilisateur. Consultez la section « Modèle d'administration d'un utilisateur et d'un ordinateur du réseau sans fil » pour en savoir plus sur le contrôle d'accès par utilisateur et par groupe.

Une stratégie de demande de connexion décide de traiter la demande sur un serveur RADIUS particulier ou de l'envoyer vers un autre serveur RADIUS (appelé proxy RADIUS). Les proxy RADIUS sont généralement utilisés lorsque le serveur RADIUS ne dispose pas des informations nécessaires pour traiter lui-même la demande et doit la transférer à un serveur RADIUS faisant autorité, par exemple, un serveur d'une autre forêt Active Directory. Les proxy RADIUS ne sont pas utilisés dans cette solution et sortent du cadre de ce guide.

Pour plus d'informations sur les stratégies d'accès à distance et de demande de connexion, et sur l'utilisation des proxy RADIUS, consultez la section « Références » à la fin de ce chapitre.

Journalisation RADIUS

Il est possible de configurer les serveurs IAS pour qu'ils consignent deux types d'informations facultatives dans un journal :

  • événements d'authentifications réussies et événements d'authentifications ratées ;

  • informations d'authentification et de comptabilisation RADIUS.

Les événements d'authentifications réussies et d'authentification ratées générés par des périphériques et des utilisateurs tentant d'accéder au réseau local sans fil sont enregistrés dans le journal d'événements système de Windows Server 2003 sur le serveur IAS. Le journal des événements d'authentification est le mieux adapté à la résolution des problèmes d'authentification, bien que ces informations puissent également être utilisées à des fins d'audit et d'avertissement de sécurité.

Initialement, il est nécessaire d'activer la journalisation des événements d'authentification, puis de la désactiver quand le système est stabilisé. Les événements d'accès réussi au réseau local sans fil risquent de saturer le journal d'événements système mais peuvent être utiles à des fins d'audit.

Si vous utilisez un outil de contrôle et d'avertissement tel que MOM (Microsoft Operations Manager), il est conseillé d'ajouter une règle pour signaler les événements de panne d'authentification IAS dans le journal d'événements système. Vous pouvez également utiliser un outil de requête de journal d'événements tel que eventquery.vbs pour rechercher les pannes d'authentification dans le journal d'événements (voir l'entrée « Eventquery.vbs » dans l'aide en ligne). Les événements uniques ne sont généralement pas significatifs, mais une série de tels événements peut indiquer une tentative d'intrusion.

IAS permet également d'enregistrer les informations d'authentification et de session d'accès au réseau sous la forme de journaux de demandes RADIUS. La journalisation RADIUS est généralement utilisée pour facturer l'utilisation du réseau (par exemple, en tant que fournisseur d'accès à Internet (FAI), vous devez facturer en fonction du temps de connexion) ou pour obtenir des informations d'audit de sécurité spécialisées (bien que la plupart du temps, celles-ci soient couvertes par les événements d'authentification enregistrés dans le journal d'événements).

Pour plus d'informations sur la journalisation RADIUS, reportez-vous à la section « Références » située à la fin de ce chapitre.

Sécurité IAS

Il est conseillé de traiter l'IAS avec les mêmes précautions de sécurité que celles utilisées pour un contrôleur de domaine. Le contrôle sécurisé de votre réseau dépend de la sécurité de votre infrastructure IAS. Il existe plusieurs mesures simples que vous pouvez mettre en œuvre pour améliorer la sécurité d'IAS :

  • Utiliser des mots de passe sûrs pour vos clients RADIUS (points d'accès sans fil). La solution comprend des scripts pour générer des mots de passe aléatoires afin de compliquer les attaques par dictionnaire.

  • Activer l'authentificateur de message RADIUS pour tous les clients RADIUS afin d'éviter l'usurpation des adresses IP des points d'accès sans fil. Il est activé dans cette solution.

  • Vérifier que les paramètres de sécurité de votre serveur sont appropriés. Ce point est couvert dans le chapitre 3, « Préparation de votre environnement ».

  • Vérifier que vos serveurs sont corrigés avec les derniers correctifs de sécurité et que vos correctifs sont constamment mis à jour. Ce point est également couvert dans le chapitre 3, « Préparation de votre environnement ».

  • Vérifier que vous utilisez des paramètres de compte de domaine sûrs. Vous devez en particulier vérifier que les mots de passe sûrs et la modification régulière des mots de passe sont activés. Vous pouvez également envisager de verrouiller le compte de domaine pour bloquer les attaques par découverte du mot de passe. Cependant, il est conseillé d'activer le verrouillage de compte uniquement si vous disposez des ressources de support nécessaires pour déverrouiller les comptes des utilisateurs rapidement.

  • Penser à utiliser IPSec pour sécuriser le trafic RADIUS et renforcer l'authentification mutuelle entre vos points d'accès sans fil et vos serveurs IAS. Cependant, tous les points d'accès ne prennent pas en charge l'utilisation d'IPSec à cette fin.

Pour plus d'informations sur les mesures de sécurité IAS, reportez-vous à la section « Références » située à la fin de ce chapitre.

Modèle d'administration d'un utilisateur et d'un ordinateur du réseau local sans fil

Dans cette solution, l'accès au réseau local sans fil est contrôlé à l'aide des groupes de sécurité du domaine. Bien qu'il soit possible d'utiliser les propriétés d'appel entrant des objets utilisateur du domaine pour autoriser et refuser l'accès à des individus, cette méthode est fastidieuse pour la plupart des utilisateurs.

Cette solution utilise un schéma très simple permettant d'autoriser l'accès au réseau local sans fil à tous les utilisateurs et les ordinateurs du domaine. Pour de nombreuses organisations, le contrôle de l'accès via l'appartenance au domaine représente un contrôle suffisamment sûr et réduit le surplus de gestion associé au réseau local sans fil. Cependant, pour que les organisations qui le souhaitent bénéficient d'un plus grand contrôle, il est possible d'utiliser des groupes de sécurité qui déterminent qui est autorisé à accéder au réseau local sans fil.

Comme décrit dans la section « Stratégies RADIUS », la stratégie d'accès à distance de l'IAS utilise une condition de filtre qui autorise tous les membres du groupe Accès au réseau local sans fil à accéder au réseau local sans fil. Le tableau suivant indique l'appartenance du groupe Accès au réseau local sans fil.

Tableau 2.5 : Groupes Accès au réseau sans fil autorisant tous les utilisateurs et ordinateurs

Groupe universel de niveau supérieur (accès autorisé dans la stratégie d'accès à distance) Membres du premier niveau (groupes globaux de domaine) Membres du second niveau (groupes globaux de domaine)
Accès au réseau local sans fil Utilisateurs du réseau local sans fil Utilisateurs du domaine
Accès au réseau local sans fil Ordinateurs du réseau local sans fil Ordinateurs du domaine
Le groupe de la première colonne, Accès au réseau local sans fil, compte deux membres répertoriés dans la deuxième colonne : Utilisateurs du réseau local sans fil et Ordinateurs du réseau local sans fil. Ces groupes de « Premier niveau » comptent eux-mêmes des membres (apparaissant dans la troisième colonne – « Membres du second niveau ») appelés respectivement Utilisateurs du domaine et Ordinateurs du domaine. Cet arrangement de groupes imbriqués permet à tous les utilisateurs et ordinateurs du domaine de se connecter au réseau local sans fil. Si votre organisation trouve qu'autoriser tous les utilisateurs et ordinateurs à accéder au réseau local sans fil est bien trop permissif, vous pouvez supprimer de ces groupes Utilisateurs du domaine ou Ordinateurs du domaine, ou les deux. Vous devrez ensuite ajouter les comptes ou groupes utilisateur et ordinateur spécifiques aux groupes Accès au réseau local sans fil. Le tableau suivant montre comment utiliser la structure du groupe Accès au réseau local sans fil de cette manière. **Tableau 2.6 : Groupes Accès au réseau sans fil autorisant les utilisateurs et ordinateurs sélectionnés**

Groupe universel de niveau supérieur (accès autorisé dans la stratégie d'accès à distance) Membres du premier niveau (groupes globaux de domaine) Membres du second niveau (groupes globaux de domaine)
Accès au réseau local sans fil Utilisateurs du réseau local sans fil Utilisateur1
Utilisateur2 Utilisateur3
Accès au réseau local sans fil Ordinateurs du réseau local sans fil Ordinateur1
Ordinateur2
Ordinateur3

Pour plus d'informations sur l'utilisation de ces groupes de sécurité dans une forêt de plusieurs domaines, reportez-vous à la section « Mise à l'échelle pour de plus grandes organisations » ultérieurement dans ce chapitre.

Obtention de certificats pour les serveurs IAS

Les serveurs IAS doivent avoir des certificats pour authentifier les clients du réseau local sans fil. Les certificats de serveur sont requis pour créer le tunnel de cryptage TLS entre les serveurs IAS et les clients. TLS permet de protéger l'échange d'authentification entre le serveur et les clients.

Remarque : TLS est une norme RFC basée sur le protocole similaire Secure Sockets Layer version 3.0 (SSL 3.0). Tous deux sont couramment utilisés pour sécuriser le trafic Web dans le cadre du protocole HTTPS (Hypertext Transfer Protocol, Secure).

Autorité de certification intégrée contre autorité de certification commerciale

Pour fournir ces certificats, vous pouvez soit installer vous-même une autorité de certification, soit acheter les certificats auprès d'un fournisseur de certificats. Ces deux options sont valables et le fait d'en choisir une plutôt qu'une autre ne crée pas de réelle différence technique pour la solution de réseau local sans fil.

Les principaux avantages et inconvénients de l'utilisation d'une autorité de certification interne par rapport à l'achat de certificats auprès d'un fournisseur sont résumés dans le tableau suivant.

Tableau 2.7 : Avantages et inconvénients de l'utilisation de votre propre autorité de certification par rapport aux certificats commerciaux

Autorité de certification interne Autorité de certification commerciale
Pas de coût par certificat Coût par certificat
Logiciel d'autorité de certification à installer et à gérer Pas de logiciel de serveur
Inscription et renouvellement automatiques Processus d'inscription plus complexe, installation manuelle des certificats
Votre choix dépend de la complexité et du coût de la gestion de votre propre autorité de certification. Si le coût de l'installation d'une autorité de certification locale est faible et que la gestion est simple, cette proposition est souvent préférable à l'achat de certificats externes. Cette solution utilise une autorité de certification interne simple pour fournir les certificats. Les termes « Autorité de certification intégrée » et « Autorité de certification réseau » sont utilisés dans ce guide pour désigner une autorité de certification spécifique, invisible aux yeux des utilisateurs et des administrateurs et qui émet des certificats d'un seul type. La fonctionnalité limitée de l'autorité de certification de cette solution implique qu'elle peut être installée et utilisée avec peu ou pas d'intervention de l'utilisateur, ni gestion. Par exemple, dans cette solution, l'autorité de certification peut émettre un certificat dont la durée de vie est de 25 ans ; vous n'aurez donc pas à le renouveler durant toute la durée de vie de la solution. L'inscription et le renouvellement automatiques des certificats du serveur IAS impliquent qu'il n'est pas nécessaire de procéder à une distribution manuelle des certificats. Comparez cela avec l'utilisation de certificats externes. Vous devez vous rappeler de renouveler les certificats de tous les serveurs IAS tous les ans ou tous les deux ans. Vous devez chaque fois créer manuellement la demande de certificat sur chaque serveur IAS, envoyer la demande à l'autorité de certification commerciale puis récupérer et installer le certificat émis. Si vous ne le faites pas, les utilisateurs ne pourront pas se connecter au réseau local sans fil. Pour de nombreuses organisations, le surplus de gestion qu'implique cette méthode est bien plus onéreux que l'autorité de certification interne décrite et utilisée dans cette solution. ##### Limites de l'autorité de certification de la solution Cette solution utilise une configuration d'autorité de certification spéciale pour émettre des certificats sur les serveurs IAS. Elle a été conçue uniquement pour répondre à ce besoin spécifique et ne peut pas jouer le rôle d'une autorité de certification dont l'objectif est plus général. Les certificats numériques sont utilisés dans de nombreuses applications, telles que la navigation sécurisée dans les messageries électroniques et sur le Web, la sécurité IP (IPSec), les réseaux privés virtuels (VPN), le système de cryptage de fichier (EFS) et bien d'autres. Chacune de ces applications a ses propres exigences de sécurité. Votre organisation aura ses propres exigences de sécurité uniques par rapport à ces applications. Pour ces raisons, Microsoft recommande fortement de ne pas tenter d'utiliser l'autorité de certification de cette solution à d'autres fins. Si vous prévoyez d'utiliser ces applications de certificats ou d'autres applications, basez votre infrastructure de certificats sur leurs exigences. Les éléments que vous devez prendre en compte sont les suivants : - l'autorité de certification de la solution étant une autorité de certification racine auto-signée, vous ne pouvez pas la révoquer (vous devez révoquer les certificats émis en cas de compromission d'une autorité de certification) ; - les règlements de l'industrie ou de votre région peuvent exiger que vous utilisiez une hiérarchie d'autorités de certification à plusieurs couches pour certains types de certificats, voir tous ; - Microsoft ne recommande pas l'installation d'une autorité de certification sur un contrôleur de domaine pour l'utilisation de certificats de haute sécurité. Pour plus d'informations sur la planification détaillée d'une conception d'architecture PKI plus générique, consultez le chapitre 4, « Conception de l'infrastructure PKI » de la solution associée, *Sécurisation des réseaux locaux sans fil – Une solution des services de certificats*. Vous devez également vous rappeler que l'installation de l'autorité de certification sur Windows Server 2003, Standard Edition implique certaines contraintes. Bien qu'elle soit appropriée pour cette solution, Standard Edition prend en charge un jeu de fonctionnalités limité par rapport à Windows Server 2003, Enterprise Edition. Les fonctionnalités clés qui ne sont pas disponibles dans Windows Server 2003, Enterprise Edition sont les suivantes : - **Inscription automatique des certificats des ordinateurs et des utilisateurs :** le service de demande automatique de certificat (tel qu'il est utilisé dans Windows 2000 Server et Windows Server 2003, Standard Edition) prend uniquement en charge l'inscription automatique des certificats des ordinateurs. Les certificats des utilisateurs ne peuvent pas être inscrits automatiquement. - **Modèles de certificat de la version 2 :** De nombreux types de certificats utilisés par Windows Server 2003 et Windows XP utilisent les fonctionnalités avancées des modèles de la version 2. Cependant, une autorité de certification basée sur Windows Server 2003, Standard Edition ne peut pas émettre de certificats des modèles de la version 2. - **Modèles de certificats modifiables :** Les modèles de la version 1 ne peuvent pas être modifiés ou créés pour produire de nouveaux types de certificats. - **Prise en charge de l'archivage des clés**. Si vous avez besoin de l'une de ces fonctionnalités, vous devez utiliser une autorité de certification basée sur les capacités les plus avancées de Windows Server 2003, Enterprise Edition. Pour une description détaillée des différences entre Enterprise Edition et Standard Edition, consultez l'article « PKI Enhancements in Windows XP Professional and Windows Server 2003 » répertorié dans la section « Références » à la fin de ce chapitre. Si, pour le moment, vous n'avez pas d'exigences claires concernant d'autres types de certificats, vous pouvez tout de même déployer l'autorité de certification décrite dans cette solution sans fermer la porte aux différentes options dans l'avenir. Vous pourrez ultérieurement identifier d'autres exigences pour les certificats et déployer une infrastructure de clé publique plus sophistiquée en parallèle à cette solution. Vous serez alors libre de les exécuter côte à côte ou de choisir d'émettre tous les certificats à partir de la nouvelle infrastructure de clé publique. #### Clients du réseau local sans fil La solution de réseau local sans fil prend en charge plusieurs types différents de clients de réseau local sans fil, que ce soit explicite ou implicite. Cette solution prend en charge les clients Windows XP, Édition Professionnel, Windows XP, Édition Tablet PC et Pocket PC 2003. Pour des instructions spécifiques sur la configuration et l'utilisation de ces clients avec la solution, reportez-vous au chapitre 6, « ,Configuration des clients d'un réseau local sans fil ». Le guide ne couvre pas l'utilisation d'autres types de clients prenant en charge 802.1X avec PEAP-MS-CHAP v2. Bien que d'autres types de clients fonctionnent (Windows 2000 Édition Professionnel, par exemple), ce guide ne comporte aucune instruction pour leur configuration et l'équipe Microsoft Solutions for Security ne les a pas testés pour cette solution. ##### Windows XP ; Windows XP, Édition Professionnel et Windows ,XP, Édition Tablet PC sont entièrement pris en charge dans cette solution. Tous les clients Windows XP doivent être mis à jour avec le Service Pack 1 ou ultérieur. Les ordinateurs doivent être membres du même domaine que les serveurs IAS ou membres d'un autre domaine de la même forêt. L'appartenance au domaine est requise pour que les ordinateurs puissent s'authentifier sur le réseau local sans fil et télécharger les paramètres du réseau local sans fil spécifiés dans la Stratégie de groupe. L'authentification de l'ordinateur sur le réseau local sans fil est utilisée lorsque aucun utilisateur n'est connecté sur l'ordinateur. L'ordinateur peut ainsi obtenir les paramètres de l'objet Stratégie de groupe (GPO), exécuter les scripts de démarrage et télécharger les correctifs. Elle est également requise lors des premières étapes de la connexion d'un utilisateur. L'utilisateur ne peut commencer à s'authentifier sur le réseau local sans fil qu'une fois le profil utilisateur chargé ; par conséquent les scripts de connexion, les autres paramètres GPO et les profils itinérants ne fonctionneront pas si l'ordinateur ne dispose d'aucune connexion au réseau avant que l'utilisateur se connecte. Les ordinateurs Windows XP qui ne sont pas membres d'un domaine pourront toujours être utilisés avec la solution, mais présenteront les inconvénients suivants : - vous devrez configurer les paramètres du client réseau local sans fil manuellement ; - l'authentification de l'ordinateur sur le réseau local sans fil sera difficile à obtenir ; - l'authentification de l'utilisateur sur le réseau local sans fil nécessitera d'entrer un nom d'utilisateur et un mot de passe supplémentaires, ainsi que les informations d'authentification du domaine. Microsoft recommande également fortement d'activer un pare-feu personnel sur tous les ordinateurs client à l'aide du réseau sans fil. ##### Pocket PC 2003 Pocket PC 2003 prend en charge la norme 802.1X et le protocole PEAP. Cependant, vous devrez peut-être obtenir des mises à jour auprès du fournisseur de votre périphérique et de Microsoft pour bénéficier de toutes les fonctionnalités du réseau local sans fil. Il est également possible d'utiliser des versions de Pocket PC antérieures à 2003, mais Microsoft n'intègre pas de prise en charge de la norme 802.1X pour les versions antérieures. Vous pourrez obtenir une prise en charge spécifique auprès du fournisseur de votre périphérique Pocket PC ou utiliser un logiciel client de réseau local sans fil tiers. Les systèmes Pocket PC n'intègrent pas le concept du compte de domaine de l'ordinateur et sont toujours authentifiés sur le réseau local sans fil à l'aide des informations d'authentification de l'utilisateur. Normalement, pour se connecter au réseau local sans fil, un utilisateur doit à chaque fois entrer son nom d'utilisateur et son mot de passe de domaine. Il est possible d'enregistrer les informations d'authentification pour que le périphérique se connecte automatiquement, mais ceci n'est pas recommandé à moins que votre périphérique Pocket PC intègre des fonctionnalités de sécurité très robustes. En outre, les Pocket PC ne comprennent pas la stratégie de groupe. Leurs paramètres de réseau local sans fil ne peuvent donc pas être réglés automatiquement par le biais de celle-ci. Vous devez configurer manuellement les paramètres du réseau local sans fil. ##### Autres clients 802.1X Les clients autres que Windows XP et Pocket PC 2003 peuvent fonctionner avec cette solution s'ils prennent en charge la norme 802.1X et le protocole PEAP-MS-CHAP v2. Les clients Windows 2000 sont pris en charge à l'aide du client d'authentification Windows 2000 Microsoft 802.1X. Vous trouverez des détails sur la manière d'obtenir le client d'authentification Windows 2000 Microsoft 802.1X dans les références à la fin de ce chapitre. Les clients Windows autres que Windows 2000 (tels que Windows NT 4.0, Windows 9*x* et Windows Me) sont pris en charge avec un client disponible via Microsoft Premier Support. Vous pouvez également obtenir le client de ces plates-formes ou d'autres plates-formes auprès de fournisseurs de logiciels réseau tiers. Il est également conseillé de consulter l'annexe C, « Versions du système d'exploitation prises en charge ». ##### Prise en charge du cryptage WPA La solution de réseau local sans fil décrite dans ce document prend en charge l'utilisation de la protection du réseau local sans fil par cryptage WPA au lieu du cryptage WEP dynamique. Le cryptage WPA est généralement préféré au cryptage WEP car il fournit une meilleure gestion des clés et implémente un algorithme de cryptage du réseau plus robuste Le cryptage WPA prend également en charge l'utilisation du cryptage AES, si le matériel (point d'accès sans fil et adaptateurs réseau) fournit le support nécessaire. Bien que le cryptage WPA fournisse bien plus d'avantages que le cryptage de clés dynamique, son utilisation présente certains inconvénients. Ces inconvénients sont les suivants : - La prise en charge de l'objet Stratégie de groupe (GPO) pour la configuration des paramètres WPA sur les clients du réseau local sans fil ne sera disponible qu'avec Windows Server 2003 Service Pack 1. - La prise en charge du client n'est pas disponible pour des systèmes autres que Windows XP. Même si Microsoft fournit la prise en charge du cryptage WPA sur Pocket PC 2003 dans le futur, Windows 2000 et les autres clients Microsoft ne seront pas pris en charge (les fournisseurs tiers assurent peut-être la prise en charge du cryptage WPA pour ces clients). - Il est peu probable que l'on puisse mettre à niveau l'équipement du réseau local sans fil existant (points d'accès sans fil et adaptateurs réseau) pour prendre en charge le cryptage WPA. Le coût de l'achat et du déploiement d'un nouveau matériel peut également être prohibitif. La prise en charge de l'objet Stratégie de groupe et de Pocket PC 2003 par WPA sera bientôt disponible, ce qui fera du cryptage WPA le choix idéal. Pour le moment, le cryptage WEP dynamique associé à l'authentification 802.1X fournit un niveau de protection des réseaux locaux sans fil très élevé et est le choix par défaut pour cette solution. Pour plus d'informations sur le cryptage WPA, reportez-vous à la section « Références » située à la fin de ce chapitre. #### Migration à partir d'un réseau local sans fil existant Si vous disposez déjà d'un réseau local sans fil, il est conseillé de planifier la stratégie de migration pour garantir une perturbation minimale des utilisateurs et de l'environnement. De nombreuses organisations disposent de réseaux locaux sans fil basés sur la norme 802.11 qui fonctionnent sans authentification ni cryptage du réseau. D'autres organisations ont implémenté le cryptage WEP statique en combinant généralement le cryptage de clés partagées au filtrage d'adresse MAC (Media Access Control). Le processus de migration vers un réseau local sans fil sécurisé 802.1X à partir de l'un de ces scénarios se compose des étapes suivantes : 1. **Déploiement de certificats sur les serveurs IAS :** pour plus de détails sur le déploiement de certificats sur un serveur IAS,consultez le chapitre 4, « Création de l'autorité de certification réseau » de ce guide. 2. **Configuration des stratégies d'accès à distance au réseau sans fil sur les serveurs IAS :** les étapes de la configuration d'une stratégie d'accès à distance au réseau local sans fil sont décrites dans le chapitre 5, « Création de l'infrastructure de sécurité des réseaux sans fil » de ce guide. 3. **Déploiement d'une configuration de réseau local sans fil du nouveau réseau sans fil sur les ordinateurs client :** le nouveau réseau prêt pour la norme  802.1X requiert un nouvel SSID (Service Set Identifier) réseau. Les paramètres de réseau du nouveau réseau local sans fil peuvent ensuite être déployés par l'objet Stratégie de groupe Active Directory. La stratégie de groupe du réseau local sans fil doit être déployée bien avant la reconfiguration des points d'accès sans fil afin de s'assurer que les ordinateurs mobiles accédant occasionnellement au réseau local recevront la configuration. Ce point est couvert dans le chapitre 6, « Configuration des clients d'un réseau local sans fil ». 4. **Configuration des points d'accès sans fil pour la sécurité 802.1X :** cette configuration se fait généralement site par site (par exemple, par bâtiment ou campus) et est effectuée en dehors des heures ouvrées ou après avoir averti les utilisateurs des interruptions potentielles du réseau local sans fil. Il est conseillé de créer des entrées de client RADIUS pour l'IAS de tous les points d'accès du site, de configurer les points d'accès avec les adresses des serveurs pour les entrées RADIUS des points d'accès et de terminer en changeant de point d'accès pour autoriser uniquement les clients authentifiés 802.1X. Pour faciliter la restauration, vous pouvez sauvegarder les paramètres des points d'accès sans fil avant cette étape, de manière à pouvoir les restaurer en cas d'urgence. Ce type de déploiement réduit les perturbations des utilisateurs et permet de restaurer un site facilement en cas de problème. Les utilisateurs rencontreront inévitablement des problèmes lors du basculement. Il est donc conseillé de les tenir régulièrement informés de la migration et de vous préparer à gérer davantage d'appels de support que d'habitude. Comme pour toutes les stratégies de migration, la planification et le test sont essentiels. Les étapes impliquées dans la configuration des ordinateurs client et des points d'accès sans fil peuvent entraîner des perturbations de l'environnement si elles ne sont pas testées sérieusement pour régler les problèmes naissants. La planification détaillée de la migration à partir de réseaux locaux sans fil non sécurisés et WEP statiques ou à partir de schémas de sécurité du réseau local sans fil sécurisés n'est pas incluse dans ce guide. Toutes ces migrations se basent sur un principe similaire et suivent le modèle décrit ci-dessus. Cependant, si vous avez besoin d'aide supplémentaire pour la planification de votre migration, consultez votre partenaire Microsoft ou contactez la filiale Microsoft la plus proche de chez vous qui vous mettra en rapport avec un partenaire Microsoft de votre région ou avec des professionnels des services de conseil Microsoft. [](#mainsection)[Haut de page](#mainsection) ### Mise à l'échelle pour de plus grandes organisations Cette section décrit certains des éléments clés à prendre en compte pour l'utilisation de cette solution dans une grande organisation (comprenant, par exemple, plusieurs milliers d'utilisateurs). L'utilisation de l'authentification avec PEAP et un mot de passe dans l'entreprise est détaillée dans l'annexe A, « Utilisation de PEAP dans l'entreprise ». #### Placement du serveur IAS À mesure que vous augmentez le nombre d'emplacements prenant en charge des réseaux locaux sans fil, vous devez décider comment ces points d'accès sans fil seront desservis par les serveurs IAS. Il existe essentiellement deux approches : - **Utiliser un petit nombre de serveurs IAS centraux :** utilisation d'un petit nombre de serveurs IAS centraux pour gérer tout le trafic d'authentification du réseau local sans fil (deux peuvent largement suffire). Vous devez vous assurer que les connexions du réseau local sans fil entre les succursales concernées et les serveurs IAS sont résilientes. - **Répartir des serveurs IAS dans chaque succursale :** Cette répartition n'a de valeur économique que si la taille de la succursale n'est pas inférieure à une certaine limite, mais l'expérience a prouvé que toute succursale suffisamment grande pour intégrer son propre contrôleur de domaine peut intégrer un serveur IAS local (généralement installé sur le contrôleur de domaine). Bien que l'investissement dans la résilience du réseau puisse sembler coûteux, il faut le comparer au coût d'administration lié à la gestion de nombreux serveurs distribués. Même si le serveur IAS est installé sur le même serveur physique qu'un contrôleur de domaine existant, la gestion de chaque serveur IAS aura un coût. En pratique, la plupart des grandes organisations utilisent une solution hybride réunissant ces deux approches de la manière suivante : - centralisation des serveurs IAS et investissement dans la résilience du réseau étendu (WAN) partout où cela est possible ; - répartition de serveurs IAS dans les succursales où la résilience du WAN est impossible ou a un coût prohibitif ; - utilisation de réseaux locaux sans fil WPA à clé pré-partagée dans de très petites succursales avec peu de possibilités de connexion ou dans les bureaux à domicile des employés. La stratégie IAS centralisée a été décrite dans la section « Placement du serveur IAS » plus haut dans ce chapitre. L'utilisation d'un contrôleur de domaine local et d'un serveur IAS dans une succursale est illustrée dans la figure suivante. Elle montre une succursale plus grande reliée au siège social par un réseau étendu (WAN) (illustré précédemment dans la figure 2.4). [![](images/Dd491890.PEAP_207(fr-fr,TechNet.10).gif)](https://technet.microsoft.com/fr-fr/dd491890.peap_207_big(fr-fr,technet.10).gif) **Figure 2.7 Succursale plus grande avec un contrôleur de domaine et un serveur IAS locaux** Sur ce site, les points d'accès sont configurés pour utiliser leur serveur IAS local comme serveur RADIUS principal et l'un des serveurs IAS du siège social comme serveur RADIUS secondaire. Cela signifie que les clients d'un réseau local sans fil peuvent être authentifiés, même si le serveur IAS local ou la connectivité du réseau local tombent en panne. Cependant, si vous disposez d'une connectivité WAN résiliente (par exemple, plusieurs liaisons WAN avec différents fournisseurs), il y a peu à gagner en déployant des serveurs supplémentaires dans les succursales ; ceci ne fait qu'ajouter à la complexité et augmenter la gestion. #### Domaines multiples La conception de la solution de base peut être mise à l'échelle de manière transparente pour des forêts à domaines multiples. Les points clés à prendre en compte pour l'utilisation de la solution avec plusieurs domaines sont les suivants : - Les serveurs IAS doivent être enregistrés dans chaque domaine comprenant des utilisateurs ou des ordinateurs qui accéderont au réseau local sans fil. Pour plus de détails, reportez-vous au chapitre 5, « Création de l'infrastructure de sécurité des réseaux locaux sans fil ». - Les objets Stratégie de groupe des paramètres du serveur et des paramètres de demande de certificat automatique doivent être importés dans chaque domaine où sont installés des serveurs IAS. Les étapes à suivre sont détaillées dans le chapitre 3, « Préparation de votre environnement » et dans le chapitre 4, « Création de l'autorité de certification réseau ». - L'objet Stratégie de groupe qui contrôle les paramètres de réseau local sans fil de l'ordinateur client doit être créé dans chaque domaine comprenant des ordinateurs client qui accéderont au réseau local sans fil. Pour plus de détails, consultez le chapitre 6, « Configuration des clients d'un réseau local sans fil ». - Les groupes de sécurité utilisés par IAS pour filtrer les stratégies d'accès à distance doivent être configurés pour prendre en charge plusieurs domaines. Les trois premiers éléments s'expliquent pratiquement d'eux-mêmes et les étapes de configuration de ces domaines multiples sont traitées dans les chapitres suivants. L'utilisation des groupes de sécurité est légèrement plus complexe et est couverte en détail dans la section suivante. ##### Utilisation des groupes de sécurité dans des domaines multiples Le tableau suivant montre comment organiser les groupes de sécurité décrits dans la section « Modèle d'administration d'un utilisateur et d'un ordinateur du réseau local sans fil » dans une forêt à domaines multiples. **Tableau 2.8 : Groupes Accès au réseau sans fil autorisant tous les utilisateurs et ordinateurs**

Groupe universel de niveau supérieur (accès autorisé dans la stratégie d'accès à distance) Membres du premier niveau (groupes globaux de domaine) Membres du second niveau (groupes globaux de domaine)
DomaineRacine\Accès au réseau local sans fil DomaineUtilisateur1\Utilisateurs du réseau local sans fil Domaine Utilisateur1\Utilisateurs du domaine
DomaineRacine\Accès au réseau local sans fil DomaineUtilisateur2\Utilisateurs du réseau local sans fil Domaine Utilisateur2\Utilisateurs du domaine
DomaineRacine\Accès au réseau local sans fil DomaineUtilisateur3\Utilisateurs du réseau local sans fil DomaineUtilisateur3\Utilisateur1
DomaineUtilisateur3\Utilisateur2
DomaineUtilisateur3\Utilisateur2
DomaineRacine\Accès au réseau local sans fil DomaineUtilisateur1\Ordinateurs du réseau local sans fil DomaineUtilisateur1\Ordinateurs du domaine
DomaineRacine\Accès au réseau local sans fil DomaineUtilisateur2\Ordinateurs du réseau local sans fil DomaineUtilisateur2\Ordinateurs du domaine
DomaineRacine\Accès au réseau local sans fil DomaineUtilisateur3\Ordinateurs du réseau local sans fil DomaineUtilisateur3\Ordinateurs RH
DomaineUtilisateur3\Ordinateurs des finances

Le tableau montre le même arrangement de groupes imbriqués que les tableaux de la section « Modèle d'administration d'un utilisateur et d'un ordinateur du réseau local sans fil ». Les membres du groupe de la première colonne apparaissent dans la seconde colonne ; les membres des groupes répertoriés dans la seconde colonne apparaissent dans la troisième colonne.

Les noms utilisés dans ce tableau sont fictifs. Par exemple, DomaineRacine est le nom du domaine dans lequel les serveurs IAS sont installés et DomaineUtilisateur1 et DomaineUtilisateur2 sont d'autres domaines contenant des utilisateurs et des ordinateurs attendant l'autorisation d'accès au réseau local sans fil.

Dans l'exemple illustré, tous les utilisateurs et les ordinateurs de DomaineUtilisateur1 et DomaineUtilisateur2 sont implicitement autorisés à accéder au réseau local sans fil car les groupes Utilisateurs du domaine et Ordinateurs du domaine de ces domaines sont membres des groupes Utilisateurs du réseau local sans fil et Ordinateurs du réseau sans fil du même domaine. Cependant, les utilisateurs de DomaineUtilisateur3 sont ajoutés individuellement au groupe Utilisateurs du réseau local sans fil de DomaineUtilisateur3. Les ordinateurs sont autorisés à accéder au réseau en utilisant les groupes de sécurité de l'entité commerciale (par exemple, tous les ordinateurs du département RH).

Les groupes globaux de chaque domaine, c'est-à-dire Utilisateurs du réseau local sans fil et Ordinateurs du réseau local sans fil, sont ensuite ajoutés en tant que membres du groupe universel Accès au réseau local sans fil. Tous les membres de ce dernier groupe sont autorisés à accéder au réseau local sans fil dans la stratégie d'accès à distance IAS.

Architecture PKI

Comme nous l'avons mentionné dans la section précédente « Obtention de certificats pour les serveurs IAS », de nombreuses applications peuvent utiliser des certificats. Il est important de savoir que bien qu'adaptée à cette solution, l'autorité de certification autonome ne pourra pas répondre aux besoins variés des plus grandes organisations. Avant d'implémenter l'autorité de certification décrite dans ce guide, pensez aux futures utilisations que vous ferez des certificats et envisagez des architectures PKI plus adaptées à ces scénarios.

Pour plus de détails sur la planification d'une architecture PKI, consultez le chapitre 4, « Conception de l'infrastructure PKI » de la solution associée, Sécurisation des réseaux locaux sans fil – Une solution des services de certificats. Bien qu'elle soit plus sophistiquée que l'autorité de certification de ce guide, l'infrastructure de clé publique (PKI) traitée dans cette solution reste relativement simple : elle utilise uniquement deux autorités de certification, par exemple. Cependant, elle sert de base à un éventail bien plus large de besoins de certificats.

Si vous décidez d'implémenter une infrastructure de clé publique plus sophistiquée que celle-ci, vous pouvez toujours utiliser les instructions du chapitre 4 de ce guide, « Création de l'autorité de certification réseau ». Cependant, vous devrez apporter les modifications suivantes aux instructions fournies dans ce chapitre :

  • Installer l'autorité de certification sur son propre serveur au lieu de l'installer sur un contrôleur de domaine.

  • Utiliser Windows Server 2003, Enterprise Edition, pour disposer de davantage de souplesse dans le futur.

  • Utiliser le service d'inscription automatique de Windows Server 2003 au lieu d'utiliser le service de demande de certificat automatique. Pour obtenir des instructions sur l'utilisation de l'inscription automatique, consultez la documentation produit de Windows Server 2003 Enterprise Edition.

  • Utiliser le modèle de certificat « Serveur RAS et IAS » ou créer un type de certificat client pour les certificats du serveur IAS au lieu d'utiliser le modèle « Ordinateur ».

    Remarque : dans le nom du modèle de certificat « RAS » signifie Service d'accès à distance.

Vous trouverez des instructions pour appliquer ces modifications dans la section « Public Key Infrastructure » de la documentation produit Windows Server 2003 et dans le chapitre 4 « Conception de l'infrastructure PKI », le chapitre 7, « Implémentation de l'infrastructure de clés publiques », et le chapitre 9 « Implémentation de la sécurité d'un réseau local sans fil à l'aide de 802.1x » de la solution associée Sécurisation des réseaux locaux sans fil – Une solution des services de certificats.

Haut de page

Variations de l'architecture de la solution

Cette section traite des variations de la conception de base. Les sous-sections suivantes offrent des alternatives aux paramètres de sécurité par défaut de la solution, en utilisant les serveurs IAS pour l'authentification de réseau câblé et d'accès à distance, en créant des réseaux locaux sans fil invités pour les visiteurs et en déployant des réseaux locaux sans fil dans des environnements très petits tels que des bureaux à domicile.

Options de sécurité du cryptage WEP dynamique

La section « Fonctionnement de 802.1X avec PEAP et des mots de passe » qui se trouve plus haut dans ce chapitre présentait l'utilisation du cryptage WEP dynamique dans la solution. La sécurité du cryptage WEP dynamique repose sur sa capacité à renouveler les clés de cryptage à intervalles réguliers pour faire échouer les attaques du protocole WEP. IAS vérifie que les clés de chaque client sans fil sont renouvelées à un intervalle défini par le délai de session client, qui force le client à se réauthentifier sur le réseau local sans fil.

Le fait de réduire le délai de la session client augmente la sécurité mais peut réduire la fiabilité et les performances. Un délai de 60 minutes fournit la sécurité nécessaire dans la plupart des conditions et certainement pour les réseaux 802.11b 11 Mbits/s. Normalement, les clients sans fil doivent transmettre moins de données en 60 minutes qu'il n'en faut à un pirate pour récupérer une clé WEP.

Une recherche récente indique que les clés WEP statiques peuvent être récupérées en capturant entre 1 et 5 millions de paquets réseau cryptés avec la même clé. Ce point est discuté dans le livre technique « Using the Fluhrer, Mantin, and Shamir Attack to Break WEP » d'Adam Stubblefield, John Ioannidis et Aviel D. Rubin employés chez AT&T Labs – reportez-vous aux références à la fin de ce chapitre).

Remarque : le chiffre d'1 million de paquets a été obtenu suite au test des réseaux sans fil WEP statiques utilisant des clés relativement faibles (une phrase secrète mémorisable par l'utilisateur) et ne s'applique pas directement aux réseaux locaux sans fil WEP dynamiques. Contrairement aux réseaux locaux sans fil WEP statiques standard, le cryptage WEP dynamique utilise des clés de cryptage robustes aléatoires et diminue l'efficacité de l'une des optimisations de clé décrite par les auteurs. Toutefois, la meilleure pratique de sécurité consiste à rester prudent et à se baser sur le chiffre pessimiste de 1 million de paquets pour évaluer la menace de sécurité des réseaux locaux sans fil WEP dynamiques.

Un million de paquets équivaut généralement à environ 500 Mo de données (en supposant une taille de paquet moyenne de 500 octets). Pour que les données cryptées soient sécurisées, le délai de la session doit être configuré de manière à forcer le renouvellement de chaque clé de client avant que le client envoie une quantité de données supérieure à ce montant.

Pour une utilisation standard du réseau client, telle que la messagerie électronique, la navigation sur le Web et le partage de fichiers, les taux moyens de transfert des données sont de 160 Kbits/s maximum. Avec un tel débit, si l'on se base sur une taille de paquet de 500 octets, il faudrait environ 7 heures à un pirate pour accumuler suffisamment de données afin de récupérer la clé de cryptage actuelle du client.

Remarque : en laboratoire, 500 Mo ont pu être transmis en bien moins de 7 heures ; environ 10 minutes sur un réseau local sans fil 11 Mbits/s ou moins de 3 minutes sur un réseau sans fil de 54 Mbits/s. Cependant, ces chiffres supposent qu'un seul client utilise le réseau local sans fil de manière exclusive et diffuse des paquets UDP non reconnus dans une direction. Ce scénario, ou tout autre scénario s'en approchant, est extrêmement improbable dans un réseau local sans fil en conditions réelles.

Un délai de 60 minutes convient tout à fait à la plupart des organisations. Cela signifie qu'un client moyen peut transmettre environ 150 000 paquets avant chaque actualisation de clé ; soit bien moins que le seuil d'1 million de paquets requis pour le décodage d'une clé WEP. Cependant, vous pouvez utiliser une valeur de délai plus courte pour l'une ou plusieurs des raisons suivantes :

  • Si vous disposez de clients sans fil qui envoient ou reçoivent de grandes quantités de données sur le réseau local sans fil dans des délais relativement courts, il est conseillé de configurer le délai sur une durée plus courte que celle nécessaire à un seul client pour envoyer et recevoir 75 Mo (ce qui représente moins de 20 pour cent de la quantité de données requise pour récupérer une clé WEP, et laisse donc une grosse marge de sécurité).

  • Si vous utilisez des réseaux locaux sans fil 802.11a ou 802.11g 54 Mbits/s, il est plus facile de transmettre de grandes quantités de paquets dans un temps donné. Vous pouvez réduire le délai de session à 15 minutes sur ces réseaux locaux sans fil plus rapides.

  • Si les capacités des techniques de décodage de clé WEP s'améliorent considérablement, moins de données seront nécessaires pour récupérer les clés WEP. Par exemple, si une nouvelle technique cryptanalytique permettant de récupérer des clés avec seulement 100 000 paquets est découverte, vous devrez réduire le délai de session pour éviter que les clients sans fil atteignent cette limite avant d'avoir renouvelé leurs clés de cryptage.

  • Si vous avez des besoins de sécurité particuliers, vous pouvez abaisser le délai sous le seuil auquel même les attaques théoriques du WEP peuvent réussir (10 minutes ou 3 minutes comme indiqué dans la remarque précédente). Cependant, pour prendre cette décision, vous devez tenir compte des inconvénients décrits plus loin dans cette section. Si les données sont sensibles au point de requérir ce niveau de précaution, il est conseillé d'utiliser uniquement la protection de données WPA sur le réseau local sans fil et de recourir à la sécurité IP pour protéger les données qui se déplacent sur les réseaux locaux câblés.

La réduction du délai de session présente les deux inconvénients suivants :

  • Diminution de la fiabilité du réseau local sans fil : des délais très courts de session de WLAN peuvent entraîner l'échec de la réauthentification des clients et leur déconnexion du réseau local sans fil en cas de perte temporaire de communication avec un contrôleur de domaine ou un serveur IAS.

  • Augmentation de la charge sur les serveurs IAS : Plus le délai est court, plus le client doit se réauthentifier souvent avec un serveur IAS et un contrôleur de domaine. Par conséquent, la charge des serveurs IAS et des contrôleurs de domaine augmente. Étant donné qu'IAS met en cache les sessions d'authentification du client, l'augmentation de la charge ne sera significative que pour les organisations comptant un très grand nombre de clients sans fil ou lorsque des valeurs de délai de session très courtes seront utilisées.

Autres services d'accès au réseau

Le composant RADIUS utilisé dans la présente solution offre des services d'authentification, d'autorisation et de compatibilité pour d'autres serveurs d'accès au réseau, comme l'authentification de réseau câblé 802.1X et l'authentification de VPN et d'accès à distance.

Authentification du réseau câblé 802.1X

L'authentification du réseau câblé 802.1X est l'application la plus simple et ne requiert aucune modification de la conception RADIUS de base. Pour les organisations dont l'infrastructure de réseau câblé est très distribuée, il est très difficile de contrôler les intrusions dans le réseau. Parfois, il est compliqué d'empêcher les visiteurs de connecter des portables ou les employés de connecter au réseau des ordinateurs non autorisés. Certaines parties du réseau, comme les centres de données, peuvent requérir une sécurité accrue. Ces réseaux ne doivent autoriser que les périphériques habilités, et même rester hors de portée des employés utilisant des ordinateurs de l'entreprise.

La figure ci-dessous illustre l'intégration d'une solution d'accès au réseau câblé dans la conception.

Figure 2.8 Utilisation de l'authentification du réseau câblé 802.1X

La zone à bords escarpés représente les composants câblés 802.1X et les autres zones contiennent les services pertinents. Comparez cette figure à la figure 2.4. Seul le siège social apparaît dans cette figure.

Les commutateurs de réseau prêts pour 802.1X jouent un rôle identique aux points d'accès sans fil de la solution principale et peuvent exploiter la même infrastructure RADIUS pour authentifier des clients et autoriser un accès sélectif au segment de réseau approprié. Cette solution présente l'avantage évident de centraliser la gestion de compte dans l'annuaire d'entreprise tout en laissant l'administrateur de la sécurité du réseau contrôler les stratégies d'accès au réseau.

Authentification du VPN et de l'accès à distance

Le VPN et l'accès à distance forment un autre service d'accès au réseau pouvant utiliser les composants RADIUS. La conception actuelle requiert quelques ajouts, tels que l'ajout de proxy RADIUS, en particulier dans les organisations les plus grandes. Cette solution étendue est illustrée dans la figure suivante.

Figure 2.9 Prise en charge du VPN grâce à l'extension du composant RADIUS

Dans cette variante, les serveurs VPN ont le même rôle fonctionnel que les points d'accès sans fil de la conception principale. Ils transfèrent les demandes d'authentification de client vers l'infrastructure RADIUS. Il est possible de transférer directement les demandes RADIUS vers les serveurs IAS internes. Cependant, de nombreuses organisations préfèrent ajouter une couche supplémentaire de proxy RADIUS pour créer un niveau de sécurité additionnel et acheminer les demandes jusqu'aux serveurs IAS internes.

Tout comme la sécurité du réseau câblé, cette solution offre l'avantage de réutiliser l'infrastructure existante et de centraliser la gestion des comptes. D'autres améliorations sont possibles, comme par exemple l'utilisation de l'authentification des utilisateurs basée sur une carte à puce. La solution VPN interne d'accès à distance de Microsoft utilise pratiquement la même architecture VPN et RADIUS avec des cartes à puce pour l'authentification des utilisateurs.

L'accès à distance fonctionne de manière similaire en utilisant la fonctionnalité de serveur d'accès à distance au lieu des fonctions VPN du service Routage et accès à distance de Windows Server.

Le principal avantage que présente l'utilisation d'IAS pour le VPN et l'accès à distance est la capacité d'utiliser le contrôle de la mise en quarantaine de l'accès au réseau de Windows Server 2003. Le contrôle de la mise en quarantaine utilise les capacités du client d'accès à distance amélioré de routage, RAS (Remote Access Server) et Windows (Connection Manager) pour accorder et refuser l'accès en fonction de l'état de sécurité de l'ordinateur client. Il procède à des contrôles du client au moment de la connexion ; il vérifie par exemple que le client est doté d'un logiciel antivirus à jour ou qu'il exécute une version de système d'exploitation approuvée par l'entreprise. Si le client échoue à ces contrôles, le serveur RADIUS lui refuse l'accès au réseau. Par conséquent, même un utilisateur ou un ordinateur correctement authentifié peut se voir refuser l'accès s'il présente une menace de sécurité potentielle pour le réseau de l'entreprise.

Pour en savoir plus sur la fonctionnalité de mise en quarantaine de Windows Server 2003, consultez les références à la fin de ce chapitre.

Amorçage des ordinateurs client

La plupart des ordinateurs prêts pour le sans fil ont une interface de réseau câblé. Les clients peuvent ainsi relativement facilement se joindre au domaine et télécharger les paramètres du réseau local sans fil avant de se connecter au réseau local sans fil. Cependant, ce n'est pas toujours le cas. Ainsi, les périphériques portables sont uniquement dotés d'adaptateurs de réseau sans fil et non d'adaptateurs de réseau câblé. Ceci pose un problème pour l'amorçage du client avant sa connexion au réseau local sans fil car il n'intègre pas les paramètres et les informations d'authentification nécessaires pour se connecter au réseau local sans fil.

Ce problème se complique encore lorsqu'une organisation décide d'utiliser une sécurité 802.1X à la fois câblée et sans fil, car un client ne peut pas se connecter à un réseau local câblé sans avoir au préalable acquis les paramètres et informations d'authentification corrects.

Il existe deux approches permettant d'amorcer un client si vous ne pouvez pas utiliser un réseau local câblé pour récupérer les paramètres et les informations d'authentification ; ce sont les suivantes :

  • utilisation d'un réseau local Invité et utilisation d'une autre connexion authentifiée (par exemple, une connexion VPN) pour obtenir les paramètres et les informations d'authentification ;

  • configuration manuelle des clients.

Actuellement, Microsoft prend uniquement en charge la seconde option. Microsoft sortira bientôt un service d'approvisionnement sans fil qui permettra d'utiliser un réseau local sans fil « Invité » pour amorcer la configuration du réseau local sans fil de l'ordinateur client. D'ici là, la configuration manuelle est le moyen le plus simple d'y parvenir. Pour configurer les paramètres de l'ordinateur client et le joindre au domaine, la personne configurant l'ordinateur doit être membre du groupe Administrateurs local sur l'ordinateur.

Pour amorcer un ordinateur grâce à la configuration manuelle :

  1. Configurez manuellement les paramètres du réseau local sans fil du SSID associé correct.

  2. Connectez-vous au réseau local sans fil en utilisant des informations d'authentification de domaine utilisateur valides. Vous ne pourrez pas vous connecter à l'aide d'un compte ordinateur tant que l'ordinateur n'aura pas rejoint le domaine.

  3. Joignez l'ordinateur au domaine, puis redémarrez-le.

  4. Après le redémarrage, le client pourra se connecter au réseau local sans fil en utilisant le compte ordinateur et téléchargera les paramètres de l'objet Stratégie de groupe du réseau local sans fil. Ces paramètres remplaceront simplement les paramètres configurés manuellement.

  5. L'utilisateur et l'ordinateur pourront alors se connecter au réseau local sans fil.

Environnements SOHO

Il se peut que vous deviez déployer des réseaux locaux sans fil dans des emplacements où il est impossible ou peu pratique d'authentifier des utilisateurs à l'aide de votre infrastructure IAS. Par exemple, les bureaux personnels des utilisateurs qui travaillent régulièrement à leur domicile ou les petites succursales dont la connexion au réseau principal de l'entreprise est très peu fiable ou faible.

Auparavant, la seule solution était de configurer une sécurité WEP statique et d'espérer que personne ne serait suffisamment déterminé pour attaquer votre réseau local sans fil. Une bien meilleure solution consiste à utiliser le cryptage WPA en mode PSK (clé pré-partagée). Tous les points d'accès sans fil certifiés Wi-Fi intègrent désormais une sécurité WPA (les points d'accès les plus anciens ne la prennent peut-être pas en charge). Vous devez vérifier que vos points d'accès prennent en charge le cryptage WPA PSK car il apporte une valeur de sécurité supplémentaire. Contrairement au cryptage WEP statique, la clé d'authentification WPA n'est pas récupérable à partir du trafic crypté ; par conséquent, un pirate aura bien plus de difficultés à pénétrer le réseau. Vous devez également vérifier que vos utilisateurs utilisent des clés WPA robustes, qu'ils les changent régulièrement et qu'ils comprennent les implications du non-respect de cette règle. Pour implémenter le cryptage WPA PSK, vous avez besoin d'un point d'accès sans fil, d'adaptateurs de réseau sans fil et d'un système d'exploitation client (tel que Windows XP) prenant en charge WPA. Vous n'avez pas besoin d'un serveur RADIUS ou d'une autre infrastructure de serveur.

Haut de page

Résumé

Nous avons commencé ce chapitre par une description du fonctionnement de la sécurité des réseaux locaux sans fil 802.1X. Pour mieux cerner la conception, nous vous avons fourni une description de l'organisation cible ainsi que les critères de conception clés de l'organisation pour la solution de réseau local sans fil. Par la suite, nous avons présenté les principaux aspects de la conception de réseau local sans fil choisie. Cette conception comprend le réseau, le placement du serveur IAS et la configuration IAS, l'utilisation des certificats et les différents types de clients sans fil. Nous avons également souligné les points clés de la migration à partir d'un réseau local sans fil existant.

Les deux sections de la fin du chapitre vous ont présenté les variations importantes possibles à partir de la conception de base. Nous vous avons d'abord indiqué comment mettre la solution à l'échelle de plus grandes organisations, puis nous vous avons fourni des instructions sur la manière de gérer les principaux points de divergence à partir de la solution principale. Nous vous avons ensuite indiqué comment utiliser la même infrastructure d'authentification de base pour prendre en charge d'autres services réseau tels que l'accès à distance, le VPN et la sécurité du réseau câblé ; et nous vous avons montré comment gérer les problèmes gênants d'amorçage des clients et de déploiement de réseaux locaux sans fil dans des environnements SOHO.

Le chapitre suivant commence l'implémentation de la solution en vous aidant à préparer votre réseau, Active Directory et la sécurité du serveur pour le déploiement des composants du réseau local sans fil.

Haut de page

Références

Cette section fournit des références à des informations complémentaires importantes ou à d'autres documents généraux pertinents pour ce chapitre.

Télécharger la solution complète

Sécurisation des réseaux locaux sans fil avec PEAP et des mots de passe

Haut de page