Spørsmål og svar om RADIUSaaS
Spørsmålene fra alle sidene på dette nettstedet, sortert etter tema. Hvert svar har sin egen lenke, slik at du kan sende en kollega direkte dit.
Hva nettverket ditt trenger
01Erstatter RADIUSaaS NPS?
Ja. RADIUSaaS er RADIUS-serveren for Wi-Fi, kablet 802.1X og VPN: aksesspunktene, svitsjene og VPN-gatewayene dine sender forespørslene sine til instansen din i stedet for til NPS, og enheter autentiserer seg med sertifikatet MDM-en din ruller ut, uten noen Active Directory-konto bak. Det er nettopp det Entra-tilknyttede enheter trenger, siden NPS verifiserer et enhetssertifikat mot en datamaskinkonto i Active Directory. Hybrid-tilknyttede enheter med device writeback kan fungere med NPS, men writeback kan henge etter og Windows Autopilot-klargjøring støter på et timingproblem, så vi fraråder å bygge på det. Enheter som ikke kan bruke sertifikat, får en konto i RADIUSaaS.
02Trenger vi en server, appliance eller agent noe sted?
Nei. RADIUSaaS kjører i klyngene våre, og aksesspunktene og svitsjene dine når det over internett, enten via RadSec direkte eller gjennom en RADIUSaaS-proxy. På enhetene finnes det ingenting utover sertifikatet og nettverksprofilen MDM-en din allerede pusher.
03Hva bør vi sammenligne mellom cloud RADIUS-tjenester?
Spør om du får en dedikert instans, hvordan utstyr uten RadSec kobler til, hvordan tilbakekalling verifiseres og hva lisensen teller. RADIUSaaS gir hver kunde en dedikert instans med sin egen RadSec-server på en dedikert offentlig IP, sin egen portal og et separat loggrom, og kobler RADIUS-only-utstyr til via proxyer med faste IP-er. Tilbakekalling verifiseres per CA via OCSP eller CRL; med SCEPman som CA tilbakekalles sertifikater for deaktiverte enheter automatisk. Det lisensieres per bruker, fra 50 brukere.
04Aksesspunktene våre støtter bare RADIUS. Er det sikkert nok?
Ja. Mellom aksesspunkt og proxy beskytter RADIUS forespørselen med den delte hemmeligheten, og den delen som bærer sertifikatet eller passordet, ligger inne i en EAP-tunnel kryptert med TLS. Fra proxyen og videre reiser alt over RadSec. Med sertifikater krysser ingen hemmelighet nettverket i noen av delene.
05Kan vi bruke MAC authentication bypass for gamle enheter?
Ja, som MAB-to-EAP: switchen autentiserer på vegne av enheten over PEAP-MSCHAPv2 eller EAP-TTLS-PAP, med MAC-adressen som brukernavn og passord. Gi disse enhetene et reserve-VLAN med minimal tilgang via en regel. Klassisk MAB over PAP eller CHAP fungerer ikke.
Pålogging og tilbakekalling
01Kan brukere logge inn på Wi-Fi med Entra ID-passordet sitt?
Nei, og det er bevisst. Passordinnlogging fungerer bare med kontoer opprettet i RADIUSaaS, for enheter som ikke kan bruke sertifikat. Å sende katalogpassord gjennom nettverket utvider angrepsflaten; med sertifikater reiser ingen hemmelighet over nettverket i det hele tatt.
02Hva skjer hvis OCSP-responderen vår går ned?
Med soft fail aktivert, som er standard, fortsetter folk å logge inn, og sertifikater RADIUSaaS allerede vet er tilbakekalt, forblir avvist. Slå av soft fail for en CA hvis du heller vil stenge ute enn å slippe inn uverifiserte. Tilbakekallslister trenger ingen aktiv responder.
RADIUSaaS med Microsoft Cloud PKI
01Fungerer RADIUSaaS med en Cloud PKI som bruker din egen rot (BYOCA)?
Ja. RADIUSaaS stoler på enhver CA som utsteder klientsertifikater, så du klarerer din egen rot og den Cloud PKI-utstedende CA-en som er forankret til den, hver med sin tilbakekallingssjekk. Guiden vår forutsetter at Cloud PKI er vert for begge CA-ene; de øvrige trinnene er de samme.
02Hvorfor CRL og ikke OCSP?
Fordi Microsoft Cloud PKI bare publiserer tilbakekallinger som CRL-er og ikke kjører noen OCSP-responder. OCSP ville vært det bedre valget, siden det svarer for hvert enkelt sertifikat i påloggingsøyeblikket, men denne CA-en tilbyr det ikke. Intune er vert for et distribusjonspunkt per CA og oppdaterer CRL-en ved hver tilbakekalling. RADIUSaaS sjekker disse CRL-ene hver time og laster ned hver på nytt når den utløper, eller når kopien er tre timer gammel.
03Trenger vi fortsatt SCEPman?
Delvis. Cloud PKI dekker klientsertifikater for enheter som Intune administrerer: hvis det er alt du trenger for Wi-Fi, LAN eller VPN, utsteder Intune sertifikatene og RADIUSaaS verifiserer dem. SCEPman, enten som en tjeneste i RADIUSaaS-portalen din eller som Enterprise Edition, dekker resten: enheter i Jamf Pro eller en annen MDM, RadSec-klientsertifikater for tilgangspunktene og svitsjene dine, RADIUSaaS-serversertifikatet ditt fra din egen CA med automatisk fornyelse, samt web server-, TLS-inspeksjons- og domenekontrollersertifikater. OCSP-responderen gjør også at RADIUSaaS ser en tilbakekalling ved neste pålogging, ikke først ved neste CRL.
04Kan vi tildele VLAN-er per avdeling?
Ja. En regel kan lese VLAN-et fra et sertifikatfelt, for eksempel OU i subject, og falle tilbake til et standard-VLAN når ingenting samsvarer.
Sikkerhet og tilgjengelighet
01Er RADIUSaaS berørt av Blast-RADIUS?
Nei. RADIUSaaS godtar bare EAP-basert autentisering, og angrepet (CVE-2024-3596) virker ikke mot EAP som alle komponenter implementerer korrekt. Det er likevel verdt å sjekke med nettverksleverandøren din at utstyret er oppdatert.
02Hvor lagres dataene våre?
På hostingstedet du velger for instansen din: Australia, EU, Storbritannia eller USA. Proxyer kjører i regionene du velger for dem, noe som ikke endrer hvor instansen din hostes. Logger oppbevares i 75 dager; konfigurasjon og hemmeligheter lagres i Azure Key Vault.
03Hvor kan instansen vår hostes?
På hostingstedet du velger: Australia, EU, Storbritannia eller USA. Proxyer, for aksesspunkter som bare støtter RADIUS, kjører i 19 regioner på seks kontinenter, og du velger regionen for hver av dem.
04Hva skjer hvis instansen vår ikke kan nås?
Tilgjengelighetsmålet er 99,5 % per måned. For mer redundans legger du til et andre RadSec-endepunkt med egen IP, mot tilleggskostnad: proxyene dine bytter da automatisk til det nærmeste fungerende endepunktet, og aksesspunkter som bruker RadSec direkte, bytter til den andre adressen du konfigurerer.
Hvordan RADIUSaaS lisensieres
01Hvordan lisensieres RADIUSaaS?
Per bruker som kan autentisere seg på minst én enhet, fra 50 brukere. Hver bruker kan koble til opptil fem stasjonære og fem mobile enheter. Detaljene finner du på prissiden.
02Hvem teller som en bruker?
Alle som er aktivert for å autentisere mot RADIUSaaS på minst én enhet, uavhengig av om enheten er i bruk eller slått av. I de fleste tilfeller tilsvarer dette antallet brukere som er tilordnet Wi-Fi- eller kabelprofilen din i MDM.
03Hvor mange enheter kan en bruker koble til?
Opptil fem stasjonære og fem mobile enheter.
04Finnes det et minimum?
Ja, 50 brukere per organisasjon. Et brukerabonnement er knyttet til én bruker i minst én kalendermåned.
05Teller RADIUSaaS brukerne våre for oss?
Nei. RADIUSaaS viser ikke lisensforbruk, så følg med på profiltilordningene i MDM.
06Kan vi bruke ett abonnement for flere organisasjoner?
Nei. Et abonnement dekker brukerne og enhetene til én organisasjon og kan ikke deles eller videreselges.
07Hva er inkludert?
Alle funksjoner, alle oppdateringer, support for hendelser og tekniske spørsmål, samt to RADIUS-proxyer. Et ekstra RadSec-endepunkt for økt redundans og SCEPman as a Service er tilgjengelig i tillegg.