Spørgsmål og svar om RADIUSaaS
Alle spørgsmål fra dette websted samlet og sorteret efter emne. Hvert svar har sit eget link, så du kan sende en kollega direkte til det.
Hvad dit netværk kræver
01Erstatter RADIUSaaS NPS?
Ja. RADIUSaaS er RADIUS-serveren til din Wi-Fi, kabelbaseret 802.1X og VPN: dine access points, switches og VPN-gateways sender deres anmodninger til din instans i stedet for til NPS, og enheder godkendes med det certifikat, dit MDM udrulller, uden nogen Active Directory-konto bag det. Det er netop, hvad Entra-tilsluttede enheder kræver, da NPS verificerer et enhedscertifikat mod en computerkonto i Active Directory. Hybrid-tilsluttede enheder med device writeback kan fungere med NPS, men writeback kan halte bagud, og Windows Autopilot-klargøring løber ind i et timingproblem, så vi fraråder at bygge på det. Enheder, der ikke kan have et certifikat, får en konto i RADIUSaaS.
02Har vi brug for en server, appliance eller agent et sted?
Nej. RADIUSaaS kører i vores klynger, og dine access points og switches når det over internettet, via RadSec direkte eller gennem en RADIUSaaS-proxy. På enhederne er der intet ud over det certifikat og den netværksprofil, dit MDM allerede pusher.
03Hvad bør vi sammenligne mellem cloud RADIUS-tjenester?
Spørg, om du får en dedikeret instans, hvordan udstyr uden RadSec forbinder, hvordan tilbagekaldelse verificeres, og hvad licenserne tæller. RADIUSaaS giver hver kunde en dedikeret instans med sin egen RadSec-server på en dedikeret offentlig IP, sin egen portal og et separat logområde, og forbinder RADIUS-only-udstyr via proxyer med faste IP'er. Det verificerer tilbagekaldelse pr. CA via OCSP eller CRL; med SCEPman som CA tilbagekaldes certifikater for deaktiverede enheder automatisk. Det licenseres pr. bruger, fra 50 brugere.
04Vores access points taler kun RADIUS. Er det sikkert nok?
Ja. Mellem access point og proxy beskytter RADIUS anmodningen med den delte hemmelighed, og den del, der bærer certifikatet eller adgangskoden, sidder inde i en EAP-tunnel krypteret med TLS. Fra proxyen og videre rejser alt over RadSec. Med certifikater krydser ingen hemmelighed netværket i nogen af delene.
05Kan vi bruge MAC-godkendelsesbypas til gamle enheder?
Ja, som MAB-to-EAP: switchen godkender på enhedens vegne via PEAP-MSCHAPv2 eller EAP-TTLS-PAP med MAC-adressen som brugernavn og adgangskode. Giv disse enheder et fallback-VLAN med minimal adgang via en regel. Klassisk MAB over PAP eller CHAP virker ikke.
Login og tilbagekaldelse
01Kan brugere logge ind på Wi-Fi med deres Entra ID-adgangskode?
Nej, og det er bevidst. Login med adgangskode virker kun med konti oprettet i RADIUSaaS, til enheder, der ikke kan have et certifikat. At sende katalogadgangskoder gennem netværket udvider angrebsfladen; med certifikater rejser ingen hemmelighed overhovedet.
02Hvad sker der, hvis vores OCSP-responder går ned?
Med soft fail aktiveret, som er standard, fortsætter folk med at logge ind, og certifikater, som RADIUSaaS allerede ved er tilbagekaldt, forbliver afvist. Slå soft fail fra for en CA, hvis du hellere vil låse ud end lade uverificerede ind. Tilbagekaldelseslister kræver slet ikke en aktiv responder.
RADIUSaaS med Microsoft Cloud PKI
01Fungerer RADIUSaaS med en Cloud PKI, der bruger din egen root (BYOCA)?
Ja. RADIUSaaS har tillid til enhver CA, der udsteder klientcertifikater, så du giver din egen root og den Cloud PKI udstedende CA, der er forankret til den, tillid, hver med sit tilbagekaldelsestjek. Vores guide forudsætter, at Cloud PKI hoster begge CA'er; de øvrige trin er de samme.
02Hvorfor CRL og ikke OCSP?
Fordi Microsoft Cloud PKI udelukkende publicerer tilbagekaldelser som CRL'er og ikke kører en OCSP-responder. OCSP ville være det bedre valg, da det svarer for hvert certifikat på tidspunktet for login, men denne CA tilbyder det ikke. Intune hoster et distributionspunkt for hver CA og opdaterer sin CRL ved hver tilbagekaldelse. RADIUSaaS tjekker disse CRL'er hver time og downloader hver af dem igen, når den udløber, eller når kopien er tre timer gammel.
03Har vi stadig brug for SCEPman?
Delvist. Cloud PKI dækker klientcertifikater til enheder, som Intune administrerer: hvis det er alt, du har brug for til Wi-Fi, LAN eller VPN, udsteder Intune certifikaterne og RADIUSaaS verificerer dem. SCEPman, som en Service i din RADIUSaaS-portal eller som Enterprise Edition, dækker resten: enheder i Jamf Pro eller et andet MDM, RadSec-klientcertifikater til dine access points og switches, dit RADIUSaaS-servercertifikat fra din egen CA, fornyet automatisk, samt webserver-, TLS-inspektions- og domænecontrollercertifikater. Dens OCSP-responder lader desuden RADIUSaaS registrere en tilbagekaldelse ved næste login i stedet for ved næste CRL.
04Kan vi tildele VLAN'er efter afdeling?
Ja. En regel kan læse VLAN'et fra et certifikatfelt, f.eks. OU i subject, og falde tilbage til et standard-VLAN, når intet matcher.
Sikkerhed og tilgængelighed
01Er RADIUSaaS påvirket af Blast-RADIUS?
Nej. RADIUSaaS accepterer kun EAP-baseret godkendelse, og angrebet (CVE-2024-3596) virker ikke mod EAP, som alle komponenter implementerer korrekt. Det er stadig værd at tjekke med din netværksleverandør, at dit udstyr er opdateret.
02Hvor opbevares vores data?
I den hosting-lokation du vælger til din instans: Australien, EU, Storbritannien eller USA. Proxyer kører i de regioner, du vælger til dem, hvilket ikke ændrer, hvor din instans er hostet. Logs opbevares i 75 dage; konfiguration og hemmeligheder gemmes i Azure Key Vault.
03Hvor kan vores instans hostes?
I den hosting-lokation du vælger: Australien, EU, Storbritannien eller USA. Proxyer, til access points, der kun taler RADIUS, kører i 19 regioner på seks kontinenter, og du vælger regionen for hver enkelt.
04Hvad sker der, hvis vores instans ikke kan nås?
Tilgængelighedsmålet er 99,5 % pr. måned. For mere redundans tilføjer du et andet RadSec-endpoint med sin egen IP mod ekstra betaling: dine proxyer skifter derefter selv til det nærmeste sunde endpoint, og access points, der bruger RadSec direkte, skifter til den anden adresse, du konfigurerer.
Sådan licenseres RADIUSaaS
01Hvordan licenseres RADIUSaaS?
Pr. bruger, der kan godkendes på mindst én enhed, fra 50 brugere. Hver bruger må forbinde op til fem stationære og fem mobile enheder. Detaljerne findes på prissiden.
02Hvem tæller som en bruger?
Alle, der er aktiveret til at autentificere mod RADIUSaaS på mindst én enhed, uanset om enheden er i brug eller slukket. I de fleste tilfælde svarer det til antallet af brugere, der er tildelt din Wi-Fi- eller kabelforbundne profil i dit MDM.
03Hvor mange enheder må en bruger tilslutte?
Op til fem stationære og fem mobile enheder.
04Er der et minimum?
Ja, 50 brugere pr. organisation. Et brugerabonnement er knyttet til én bruger i mindst en kalendermåned.
05Tæller RADIUSaaS vores brugere for os?
Nej. RADIUSaaS viser ikke licensforbrug, så hold øje med profiltildelingerne i dit MDM.
06Kan vi bruge ét abonnement til flere organisationer?
Nej. Et abonnement dækker brugerne og enhederne i én organisation og kan hverken deles eller videresælges.
07Hvad er inkluderet?
Alle funktioner, alle opdateringer, support til hændelser og tekniske spørgsmål samt to RADIUS-proxyer. Et ekstra RadSec-endepunkt til yderligere redundans og SCEPman as a Service kan tilkøbes.