RADIUS avec attribution de VLAN Dynamiquement


Installation et Configuration du Rôle NPS

Installation

  1. Ouvrez le Gestionnaire de serveur.
  2. Cliquez sur Ajouter des rôles et fonctionnalités.
  3. Dans Rôles du serveur, sélectionnez Services de stratégie et d’accès réseau.
  4. Laissez les autres choix par défaut et terminez l’installation.

Configuration

Une fois l’installation terminée, nous allons commencer par enregistrer le serveur NPS dans l’Active Directory. Pour cela :

  1. Dans le Gestionnaire de serveur, cliquez sur Outils, puis sélectionnez Serveur NPS (Network Policy Server).
  2. Faites un clic droit sur NPS (Local), puis sélectionnez Inscrire un serveur dans Active Directory.
  3. Acceptez les choix proposés. Cela permettra au serveur de vérifier et d’écrire dans l’Active Directory afin de valider les demandes d’authentification.

Enregistrement des équipements clients RADIUS

Nous allons maintenant enregistrer les équipements qui utiliseront le service RADIUS. Dans cet exemple, il s’agit d’un switch HPE 5130 sous Comware 7 et d’un point d’accès UniFi.

  1. Allez dans Clients et serveurs RADIUS > Clients RADIUS.
  2. Faites un clic droit > Nouveau.
  3. Indiquez un nom (au choix) et l’adresse IP de l’équipement.
  4. Pour la partie secret partagé, choisissez l’option Manuel, puis définissez un mot de passe sécurisé.

    Astuce : Pour une meilleure compatibilité, utilisez une chaîne d’au moins 25 caractères, composée de lettres (minuscules et majuscules) et de chiffres et éviter les caractères spéciaux.

  5. Laissez les autres options par défaut et validez.
  6. Répétez ces étapes pour chaque équipement à enregistrer.

Création des stratégies d’attribution de VLANs dynamiques

  1. Accédez à Stratégies réseau.
  2. Faites un clic droit > Nouveau.
  3. Nommez la stratégie, par exemple : Accès_VLAN_Dynamique_Administrateurs.
  4. Dans l’onglet Conditions, cliquez sur Ajouter > Groupe d’utilisateurs.
  5. Ajoutez le groupe concerné (dans cet exemple : G_Administrateurs_Reseaux).
  6. Définissez l’accès sur Accès accordé.
  7. Dans les types de protocoles EAP, ajoutez Microsoft PEAP.
  8. Laissez les paramètres par défaut, puis accédez à la page de configuration des paramètres.

Paramètres à configurer :

  1. Cliquez sur Suivant, puis sur Terminer pour valider la création de la stratégie.

Il vous suffit maintenant de répéter ces étapes pour chaque VLAN à configurer, en adaptant les groupes, noms de stratégie et numéros de VLAN.

Configuration du switch

Configuration du switch

Pour configurer le switch, je vais vous fournir les captures d’écran de ma configuration, qui fonctionne dans mon cas.

1. Création d’un schéma RADIUS

Accédez à Security > RADIUS.

Validez la configuration.

image.png

Cliquez sur Apply

2. Configuration de l’ISP Domain

Accédez à Security > ISP Domains.

image.png

Cliquez sur Apply

3. Activation de RADIUS sur les ports souhaités

Accédez à Security > 802.1X.

Important : Il faut préalablement créer un VLAN "poubelle". Ce VLAN sert à rediriger les utilisateurs dont l’authentification échoue.
Vous pouvez soit le déclarer simplement, soit créer un VLAN réel avec des droits très restreints, selon vos besoins.

image.png

Cliquez sur Apply

4. Test de la configuration

Une fois toutes les configurations effectuées, testez le fonctionnement :

  1. Branchez un PC sur un des ports configurés.
  2. Une fenêtre de connexion devrait apparaître.
  3. Saisissez vos identifiants Active Directory Dans mon cas le fait de saisir l'identifiant seul fonctionne.
  4. Une fois la connexion réussie, vérifiez l’efficacité de l’attribution en regardant l’adresse IP reçue. Elle doit correspondre au VLAN attribué à l’utilisateur.

Configuration du point d'accès Wi-Fi

Pour configurer le point d’accès, commencez par vous connecter à la console de gestion UniFi.

⚠️ La borne doit être branchée sur un port configuré en mode trunk, avec un VLAN principal correspondant à l’adresse IP de management que vous souhaitez lui attribuer.

1. Déclaration des VLANs

  1. Dans l’interface UniFi, allez dans Settings > Networks.
  2. Cliquez sur New Virtual Network.
  3. Nommez le réseau selon votre convention (ex. : 40 - Administration).
  4. Attribuez l’ID de VLAN souhaité (ex. : 40).
  5. Répétez cette opération pour chaque VLAN dont vous avez besoin.

Capture d’écran 2025-07-09 213944.png

2. Création du profil RADIUS

  1. Rendez-vous dans Settings > Profiles > RADIUS.
  2. Cliquez sur Create New.
  3. Donnez un nom au profil (ex. : RADIUS).
  4. Décochez Wired Networks et cochez Wireless Networks.
  5. Ajoutez l’adresse IP de votre serveur RADIUS :
    • Dans la section Authentication Servers
    • Et dans Accounting Servers
  6. Saisissez la clé secrète précédemment créée.
  7. Cochez Interim Update Interval et définissez la valeur sur 3600 (secondes) pour des mises à jour de connexion régulières.

Capture d’écran 2025-07-09 214042.png

3. Création du SSID

  1. Allez dans Settings > WiFi, puis cliquez sur Create New.
  2. Donnez un nom au SSID.
  3. Activez le mode avancé (Advanced Settings) en manuel.
  4. Laissez les autres options par défaut.
  5. Dans Security Protocol, sélectionnez WPA2 Enterprise.
  6. Dans RADIUS Profile, sélectionnez le profil que vous venez de créer.
  7. Pour le champ NAS ID, vous pouvez indiquer la MAC de l’AP (par exemple : AP MAC).

    Ce champ est optionnel, mais peut être utile pour l’identification des équipements côté NPS.

Capture d’écran 2025-07-09 214247.png

Capture d’écran 2025-07-09 214146.png

Validez la configuration.

Vous pouvez maintenant tester la connexion Wi-Fi. Lorsqu’un utilisateur tente de se connecter, il devra s’authentifier avec ses identifiants Active Directory, et sera automatiquement placé dans le VLAN correspondant à sa stratégie RADIUS.