AAA et 802.1X

Définition

AAA désigne trois fonctions distinctes: l'authentification (qui es-tu?), l'autorisation (as-tu le droit de faire cela?) et la comptabilisation (qu'as-tu fait et quand?). On les centralise sur un serveur TACACS+ ou RADIUS côté équipements réseau, et côté accès filaire ou Wi-Fi avec 802.1X, un contrôle d'accès par port où le switch sert de relai vers un serveur d'authentification.

Contexte

Le blueprint 200-301 v1.1 attend au thème 5.8 de comparer les concepts AAA, et aux thèmes 5.9 et 5.10 de relier authentification et accès réseau. L'examen ne demande pas de déployer Cisco ISE, mais il pose des questions de départage: quel protocole pour l'administration des équipements, lequel pour la gestion des accès utilisateurs, quel port TCP ou UDP est utilisé, quel composant 802.1X joue quel rôle. Savoir lire une sortie show aaa servers ou show authentication sessions suffit.

Les trois A

Fonction	Question posée	Exemple côté réseau	Exemple 802.1X
Authentification	Qui es-tu?	Login console ou SSH avec identifiant et mot de passe	Serveur RADIUS valide le certificat du PC
Autorisation	Que peux-tu faire?	Command level 15 réservé au groupe admin	VLAN attribué selon le profil de l'utilisateur
Comptabilisation	Qu'as-tu fait?	Journal des commandes tapées sur le routeur	Début et fin de session horodatées

Sans serveur central, chaque équipement garde ses comptes locaux: à 120 switchs, un départ d'administrateur exige 120 suppressions de compte. Avec AAA, le répertoire est unique et la comptabilité permet de reconstituer qui a configuré quoi.

RADIUS et TACACS+ en comparaison

RADIUS (RFC 2865 et 2866) transporte l'authentification et l'autorisation dans le même message Access-Request sur UDP 1812, avec la comptabilisation sur UDP 1813; les anciens ports 1645 et 1646 restent tolérés. Seul le mot de passe est chiffré dans la requête, l'en-tête du paquet circule en clair. RADIUS est le choix obligé pour 802.1X, le Wi-Fi entreprise et l'accès des utilisateurs finaux, parce qu'il sait encapsuler EAP et pousser des attributs (VLAN, ACL de filtre) au switch.

TACACS+ (TCP 49, extension propriétaire Cisco) sépare les trois fonctions et chiffre l'intégralité de sa charge utile. Il connaît les niveaux de commande IOS (0 à 15) et permet d'autoriser show à un stagiaire tout en refusant reload. Pour l'administration des équipements, TACACS+ reste le standard des salles de réseau.

Critère	RADIUS	TACACS+
Transport	UDP 1812 et 1813	TCP 49
Chiffrement	Mot de passe seulement	Corps complet du paquet
AuthN et AuthZ	Combinées	Séparées
Granularité commandes	Non	Oui (niveaux IOS)
Usage typique	Accès utilisateurs, 802.1X, Wi-Fi	Administration des équipements

802.1X, le contrôle d'accès par port

802.1X (IEEE 802.1X-2010, framework EAP de la RFC 3748) divise le réseau en trois acteurs. Le supplicant est le client: wpa_supplicant sous Linux, client intégré à Windows, ou le téléphone SIP. L'authenticator est le switch ou le point d'accès: il ouvre un port contrôlé et un port non contrôlé, échange des trames EAP over LAN avec le client et convertit les messages en paquets RADIUS vers le serveur. L'authentication server (Cisco ISE, FreeRADIUS, Windows NPS avec un contrôleur de domaine en base) vérifie les credentials et renvoie accept ou reject.

La méthode EAP compte pour l'examen: EAP-TLS s'appuie sur des certificats des deux côtés, c'est la plus solide; PEAP encapsule TLS puis un challenge MS-CHAPv2; EAP-FAST utilise un Protected Access Credential. Tant que le port non contrôlé n'a pas reçu l'accept, seul le trafic EAP passe: un PC non authentifié ne peut pas lancer un scan du réseau.

Pour les imprimantes, caméras ou vieux postes sans supplicant, on active le MAC Authentication Bypass (MAB): le switch envoie la MAC de la machine comme identifiant et mot de passe au serveur RADIUS, qui autorise un profil machine et place le port dans le VLAN des objets.

Configuration IOS

S1(config)# aaa new-model
S1(config)# aaa authentication login default group TACACS+ local
S1(config)# aaa authentication enable default group TACACS+ enable
S1(config)# aaa authorization exec default group TACACS+ local
S1(config)# aaa accounting commands 15 default start-stop group TACACS+
S1(config)# tacacs+ server 10.10.1.50
S1(config-tacacs+)# key 7 08224552
S1(config-tacacs+)# source-interface Loopback0
!
S1(config)# dot1x system-auth-control
S1(config)# interface GigabitEthernet1/0/5
S1(config-if)# authentication port-control auto
S1(config-if)# authentication host-mode multi-auth
S1(config-if)# authentication event fail action authorize vlan 999
S1(config-if)# mab
S1# show authentication sessions interface GigabitEthernet1/0/5

Le premier groupe TACACS+ prime, local sert de filet de sécurité si le serveur est injoignable. La VLAN 999 est un réseau de quarantaine où l'on ne pousse que les correctifs.

Exemple concret

Un parc de 120 switchs était administré par six personnes avec un mot de passe unique en type 7. Lors d'un incident, impossible de savoir qui avait appliqué no switchport port-security un jeudi à 23 h. Après migration TACACS+: chaque opérateur a son compte, les commandes level 15 sont journalisées avec horodatage, et la reconstitution prend trois minutes au lieu de trois jours. Côté accès, 800 PC passent par 802.1X avec EAP-TLS; les 60 imprimantes héritées sont couvertes par MAB dans un VLAN d'impression isolé.