Vragen en antwoorden over RADIUSaaS
Alle vragen van deze site, geordend per onderwerp. Elk antwoord heeft een eigen link, zodat je een collega er rechtstreeks naartoe kunt sturen.
Wat je netwerk nodig heeft
01Vervangt RADIUSaaS NPS?
Ja. RADIUSaaS is de RADIUS-server voor je Wi-Fi, bekabeld 802.1X en VPN: je accesspoints, switches en VPN-gateways sturen hun verzoeken naar je instantie in plaats van naar NPS, en apparaten authenticeren met het certificaat dat je MDM uitrolt, zonder Active Directory-account darachter. Dat is precies wat Entra-gekoppelde apparaten nodig hebben, omdat NPS een apparaatcertificaat verifieert tegen een computeraccount in Active Directory. Hybride gekoppelde apparaten met device writeback kunnen met NPS werken, maar writeback kan vertraging oplopen en Windows Autopilot-provisioning loopt daardoor tegen een timingprobleem aan, dus we raden af om daarop te bouwen. Apparaten die geen certificaat kunnen bevatten, krijgen een account in RADIUSaaS.
02Hebben we ergens een server, appliance of agent nodig?
Nee. RADIUSaaS draait in onze clusters, en je accesspoints en switches bereiken het via internet, rechtstreeks via RadSec of via een RADIUSaaS-proxy. Op de apparaten zelf is er niets meer nodig dan het certificaat en het netwerkprofiel dat je MDM al uitrolt.
03Waar moet je op letten bij het vergelijken van cloud RADIUS-diensten?
Vraag of je een dedicated instantie krijgt, hoe apparatuur zonder RadSec verbinding maakt, hoe intrekking wordt geverifieerd en wat de licentie telt. RADIUSaaS geeft elke klant een dedicated instantie met een eigen RadSec-server op een dedicated publiek IP-adres, een eigen portal en een afzonderlijke logruimte, en verbindt apparatuur die alleen RADIUS spreekt via proxies met vaste IP-adressen. Het verifieert intrekking per CA via OCSP of CRL; met SCEPman als CA worden certificaten van uitgeschakelde apparaten automatisch ingetrokken. Licentieverlening is per gebruiker, vanaf 50 gebruikers.
04Onze accesspoints spreken alleen RADIUS. Is dat veilig genoeg?
Ja. Tussen accesspoint en proxy beschermt RADIUS het verzoek met het gedeelde geheim, en het gedeelte dat het certificaat of wachtwoord bevat, zit in een EAP-tunnel die is versleuteld met TLS. Vanaf de proxy gaat alles via RadSec. Met certificaten steekt er in geen van beide onderdelen een geheim het netwerk over.
05Kunnen we MAC-authenticatiebypass gebruiken voor oude apparaten?
Ja, als MAB-to-EAP: de switch authenticeert namens het apparaat via PEAP-MSCHAPv2 of EAP-TTLS-PAP, met het MAC-adres als gebruikersnaam en wachtwoord. Geef die apparaten via een regel een fallback-VLAN met minimale toegang. Klassieke MAB via PAP of CHAP werkt niet.
Aanmelden en intrekking
01Kunnen gebruikers inloggen op Wi-Fi met hun Entra ID-wachtwoord?
Nee, en dat is een bewuste keuze. Aanmelden met een wachtwoord werkt alleen met accounts die zijn aangemaakt in RADIUSaaS, voor apparaten die geen certificaat kunnen bevatten. Het doorsturen van directorywachtwoorden via het netwerk vergroot het aanvalsoppervlak; met certificaten reist er helemaal geen geheim over het netwerk.
02Wat gebeurt er als onze OCSP-responder uitvalt?
Met soft fail ingeschakeld, de standaardinstelling, kunnen gebruikers blijven aanmelden, en certificaten die RADIUSaaS al als ingetrokken kent, blijven geweigerd. Schakel soft fail uit voor een CA als je liever uitsluit dan onvergefelijkbaar binnenlaat. Intrekkingslijsten hebben geen actieve responder nodig.
RADIUSaaS met Microsoft Cloud PKI
01Werkt RADIUSaaS met een Cloud PKI die je eigen root gebruikt (BYOCA)?
Ja. RADIUSaaS vertrouwt elke CA die clientcertificaten uitgeeft, dus je vertrouwt je eigen root en de Cloud PKI-uitgevende CA die daaraan is verankerd, elk met zijn eigen intrekkingscontrole. Onze handleiding gaat ervan uit dat Cloud PKI beide CA's host; de overige stappen blijven gelijk.
02Waarom CRL en niet OCSP?
Omdat Microsoft Cloud PKI intrekkingen alleen als CRL's publiceert en geen OCSP-responder draait. OCSP zou de betere keuze zijn, omdat het per certificaat antwoord geeft op het moment van aanmelding, maar deze CA biedt dat niet. Intune host een distributiepunt voor elke CA en werkt de CRL bij bij elke intrekking. RADIUSaaS raadpleegt die CRL's elk uur en downloadt elke lijst opnieuw wanneer hij verloopt of zodra de kopie drie uur oud is.
03Hebben we SCEPman nog nodig?
Gedeeltelijk. Cloud PKI dekt clientcertificaten voor apparaten die Intune beheert: als dat alles is wat je nodig hebt voor Wi-Fi, LAN of VPN, geeft Intune de certificaten uit en verifieert RADIUSaaS ze. SCEPman, als Service in je RADIUSaaS-portal of als Enterprise Edition, dekt de rest: apparaten in Jamf Pro of een andere MDM, RadSec-clientcertificaten voor je access points en switches, je RADIUSaaS-servercertificaat van je eigen CA dat automatisch wordt vernieuwd, en webserver-, TLS-inspectie- en domeincontrollercertificaten. De OCSP-responder laat RADIUSaaS een intrekking ook al bij de volgende aanmelding zien, in plaats van pas bij de volgende CRL.
04Kunnen we VLAN's per afdeling toewijzen?
Ja. Een regel kan het VLAN uitlezen uit een certificaatveld, zoals de OU in het subject, en terugvallen op een standaard-VLAN als er geen overeenkomst is.
Beveiliging en beschikbaarheid
01Wordt RADIUSaaS getroffen door Blast-RADIUS?
Nee. RADIUSaaS accepteert alleen EAP-gebaseerde authenticatie, en de aanval (CVE-2024-3596) werkt niet tegen EAP dat door elk onderdeel correct is geïmplementeerd. Het is wel de moeite waard om bij je netwerkleverancier te controleren of je apparatuur up-to-date is.
02Waar worden onze gegevens opgeslagen?
In de hostinglocatie die je voor je instantie kiest: Australië, de Europese Unie, het Verenigd Koninkrijk of de Verenigde Staten. Proxies draaien in de regio's die je daarvoor selecteert, zonder dat dit de hostinglocatie van je instantie beïnvloedt. Logs worden bewaard gedurende 75 dagen; configuratie en geheimen worden opgeslagen in Azure Key Vault.
03Waar kan onze instantie worden gehost?
In de hostinglocatie naar keuze: Australië, de Europese Unie, het Verenigd Koninkrijk of de Verenigde Staten. Proxies, voor accesspoints die alleen RADIUS spreken, draaien in 19 regio's op zes continenten, en je kiest zelf de regio van elk exemplaar.
04Wat als onze instantie niet bereikbaar is?
De beschikbaarheidsdoelstelling is 99,5% per maand. Voor meer redundantie voeg je een tweede RadSec-eindpunt met een eigen IP toe, tegen meerkosten: je proxies schakelen dan zelfstandig over naar het dichtstbijzijnde gezonde eindpunt, en accesspoints die RadSec rechtstreeks gebruiken schakelen over naar het tweede adres dat je configureert.
Hoe RADIUSaaS wordt gelicentieerd
01Hoe wordt RADIUSaaS in licentie gegeven?
Per gebruiker die zich op minimaal één apparaat kan authenticeren, vanaf 50 gebruikers. Elke gebruiker mag tot vijf vaste en vijf mobiele apparaten verbinden. De details staan op de prijspagina.
02Wie telt als gebruiker?
Iedereen die is ingesteld om te authenticeren tegen RADIUSaaS op ten minste één apparaat, ongeacht of dat apparaat in gebruik is of uitstaat. In de meeste gevallen is dat het aantal gebruikers dat is toegewezen aan je Wi-Fi- of bekabeld profiel in je MDM.
03Hoeveel apparaten mag een gebruiker verbinden?
Tot vijf vaste en vijf mobiele apparaten.
04Is er een minimum?
Ja, 50 gebruikers per organisatie. Een gebruikersabonnement is voor minimaal één kalendermaand aan één gebruiker gekoppeld.
05Telt RADIUSaaS onze gebruikers voor ons?
Nee. RADIUSaaS toont het licentieverbruik niet, dus houd zelf de profielassignaties in je MDM in de gaten.
06Kunnen we één abonnement voor meerdere organisaties gebruiken?
Nee. Een abonnement dekt de gebruikers en apparaten van één organisatie en kan niet worden gesplitst of doorverkocht.
07Wat is inbegrepen?
Alle functies, alle updates, ondersteuning bij incidenten en technische vragen, en twee RADIUS proxies. Een tweede RadSec-eindpunt voor extra redundantie en SCEPman as a Service zijn optioneel beschikbaar.