Questions et réponses sur RADIUSaaS

Oui. RADIUSaaS est le serveur RADIUS pour ton Wi-Fi, ton 802.1X filaire et ton VPN : tes points d'accès, tes switchs et tes passerelles VPN envoient leurs requêtes à ton instance plutôt qu'à NPS, et les appareils s'authentifient avec le certificat déployé par ton MDM, sans compte Active Directory derrière. C'est ce dont les appareils joints à Entra ID ont besoin, car NPS vérifie un certificat d'appareil par rapport à un compte d'ordinateur dans Active Directory. Les appareils hybrides avec device writeback peuvent fonctionner avec NPS, mais le writeback peut prendre du retard et le provisionnement Windows Autopilot se heurte à un problème de timing, aussi déconseillons-nous de s'appuyer dessus. Les appareils qui ne peuvent pas détenir de certificat reçoivent un compte dans RADIUSaaS.

Non. RADIUSaaS tourne dans nos clusters, et tes points d'accès et tes switchs l'atteignent par Internet, directement via RadSec ou par un proxy RADIUSaaS. Sur les appareils, il n'y a rien de plus que le certificat et le profil réseau que ton MDM déploie déjà.

Demande si tu obtiens une instance dédiée, comment le matériel sans RadSec se connecte, comment la révocation est vérifiée et ce que le comptage des licences couvre. RADIUSaaS donne à chaque client une instance dédiée avec son propre serveur RadSec sur une adresse IP publique dédiée, son propre portail et un espace de journaux séparé, et connecte le matériel uniquement RADIUS via des proxys avec des adresses IP fixes. Il vérifie la révocation par CA via OCSP ou CRL ; avec SCEPman comme CA, les certificats des appareils désactivés sont révoqués automatiquement. Il est licencié par utilisateur, à partir de 50 utilisateurs.

Oui. Entre le point d'accès et le proxy, RADIUS protège la requête avec le secret partagé, et la partie qui transporte le certificat ou le mot de passe se trouve dans un tunnel EAP chiffré par TLS. À partir du proxy, tout passe par RadSec. Avec des certificats, aucun secret ne traverse le réseau, ni dans l'une ni dans l'autre partie.

Oui, sous la forme MAB-to-EAP : le switch s'authentifie à la place de l'appareil via PEAP-MSCHAPv2 ou EAP-TTLS-PAP, avec l'adresse MAC comme nom d'utilisateur et mot de passe. Donne à ces appareils un VLAN de repli avec un accès minimal par une règle. Le MAB classique via PAP ou CHAP ne fonctionne pas.

Oui. RADIUSaaS fait confiance à toute CA qui émet des certificats clients : tu fais donc confiance à ta propre racine ainsi qu'à la CA émettrice Cloud PKI qui lui est rattachée, chacune avec sa vérification de révocation. Notre guide suppose que Cloud PKI héberge les deux CA ; les autres étapes restent identiques.

Parce que Microsoft Cloud PKI publie les révocations uniquement sous forme de CRL et n'exploite aucun répondeur OCSP. OCSP serait la meilleure option, car il répond pour chaque certificat au moment de la connexion, mais cette CA ne le propose pas. Intune héberge un point de distribution pour chaque CA et met à jour sa CRL à chaque révocation. RADIUSaaS consulte ces CRL toutes les heures et télécharge chacune de nouveau quand elle expire ou dès que sa copie a trois heures.

En partie. Cloud PKI couvre les certificats clients pour les appareils gérés par Intune : si c'est tout ce dont tu as besoin pour le Wi-Fi, le LAN ou le VPN, Intune émet les certificats et RADIUSaaS les vérifie. SCEPman, en tant que service dans ton portail RADIUSaaS ou en édition Enterprise, couvre le reste : les appareils dans Jamf Pro ou un autre MDM, les certificats clients RadSec pour tes points d'accès et tes switchs, le certificat de serveur RADIUSaaS émis par ta propre CA et renouvelé automatiquement, ainsi que les certificats de serveur web, d'inspection TLS et de contrôleur de domaine. Son répondeur OCSP permet aussi à RADIUSaaS de détecter une révocation dès la prochaine connexion, sans attendre la prochaine CRL.

Oui. Une règle peut lire le VLAN dans un champ du certificat, comme l'OU du sujet, et se rabattre sur un VLAN par défaut quand rien ne correspond.

Par utilisateur qui peut s'authentifier sur au moins un appareil, à partir de 50 utilisateurs. Chaque utilisateur peut connecter jusqu'à cinq appareils fixes et cinq appareils mobiles. Les détails sont sur la page des tarifs.

Toute personne autorisée à s'authentifier auprès de RADIUSaaS sur au moins un appareil, que cet appareil soit utilisé ou éteint. Dans la plupart des cas, c'est le nombre d'utilisateurs affectés à ton profil Wi-Fi ou filaire dans ton MDM.

Jusqu'à cinq appareils fixes et cinq appareils mobiles.

Oui, 50 utilisateurs par organisation. Un abonnement utilisateur est lié à un utilisateur pendant au moins un mois civil.

Non. RADIUSaaS n'affiche pas la consommation des licences : garde un œil sur les affectations de profils dans ton MDM.

Non. Un abonnement couvre les utilisateurs et les appareils d'une seule organisation et ne peut être ni partagé ni revendu.

Toutes les fonctionnalités, toutes les mises à jour, le support pour les incidents et les questions techniques, et deux proxys RADIUS. Un second point de terminaison RadSec pour plus de redondance et SCEPman as a Service sont disponibles en plus.