Comment installer un serveur RADIUS sur Linux ?

Un serveur RADIUS permet de cen­tra­li­ser l’au­then­ti­fi­ca­tion et l’au­to­ri­sa­tion des accès réseau, par exemple pour le WLAN, le VPN ou les switches. Lors de sa mise en place, plusieurs éléments sont es­sen­tiels : le choix d’un en­vi­ron­ne­ment adapté, la mise en place de méthodes d’au­then­ti­fi­ca­tion sé­cu­ri­sées, une gestion ri­gou­reuse des uti­li­sa­teurs ainsi qu’une con­fi­gu­ra­tion réseau stable.

Quels sont les prérequis et comment choisir le type de serveur adapté ?

Un serveur RADIUS est un service central destiné à l’au­then­ti­fi­ca­tion, l’au­to­ri­sa­tion et la jour­na­li­sa­tion des accès (ac­coun­ting). Pour installer un serveur RADIUS, vous pouvez utiliser des solutions lo­gi­cielles comme Free­RA­DIUS, que vous con­fi­gu­rez sur votre propre système. Les appareils du réseau, tels que les points d’accès ou les pas­se­relles VPN, in­ter­ro­gent le serveur à chaque connexion afin de vérifier si l’accès est autorisé.

Prérequis tech­niques :

• Un serveur Linux ou Windows avec une adresse IP
• Des équi­pe­ments réseau com­pa­tibles RADIUS (p. ex. points d’accès, routeurs, switches)
• Accès aux con­fi­gu­ra­tions du pare-feu et du réseau

Un serveur RADIUS doit fonc­tion­ner de manière fiable, per­for­mante et stable. Lors de l’ins­tal­la­tion du serveur RADIUS, le choix de l’en­vi­ron­ne­ment d’hé­ber­ge­ment influence les per­for­mances, mais aussi la montée en charge, les coûts et la main­te­nance. Parmi les solutions les plus courantes figurent les VPS et les serveurs dédiés :

• Serveur privé virtuel (VPS) : adapté aux en­vi­ron­ne­ments petits à moyens, comme un WLAN d’en­tre­prise, des accès VPN ou des en­vi­ron­ne­ments de test. Un VPS suffit gé­né­ra­le­ment tant que le volume d’au­then­ti­fi­ca­tion reste modéré et qu’aucune haute dis­po­ni­bi­lité n’est requise.
• Serveur dédié : re­com­mandé en cas de nom­breuses requêtes si­mul­ta­nées, d’exigences de sécurité élevées ou lorsque la haute dis­po­ni­bi­lité et la re­don­dance sont né­ces­saires. Dans les en­vi­ron­ne­ments sensibles ou soumis à des obli­ga­tions ré­gle­men­taires, un serveur dédié constitue souvent la meilleure option pour con­fi­gu­rer un serveur RADIUS de manière fiable.

Comment installer et con­fi­gu­rer un serveur RADIUS étape par étape ?

Dans l’exemple suivant, on part d’un en­vi­ron­ne­ment Linux classique comme Ubuntu ou Debian. Les étapes de base restent si­mi­laires sur d’autres systèmes.

Étape 1 : installer un serveur RADIUS

Dans un premier temps, vous devez installer un logiciel serveur adapté. Celui-ci fournit la fonc­tion­na­lité RADIUS et traite ensuite les requêtes des équi­pe­ments réseau. Le logiciel Free­RA­DIUS, largement répandu, est par­ti­cu­liè­re­ment apprécié. Il prend en charge les méthodes d’au­then­ti­fi­ca­tion courantes ainsi que les con­nexions à des services d’annuaire comme LDAP ou Active Directory.

Dans un en­vi­ron­ne­ment Linux, par exemple sous Debian ou Ubuntu, Free­RA­DIUS peut être installé di­rec­te­ment via le ges­tion­naire de paquets :

sudo apt update
sudo apt install freeradius freeradius-utils

Après l’ins­tal­la­tion, le service est au­to­ma­ti­que­ment configuré et démarré. Le service RADIUS est donc déjà actif en arrière-plan, mais il n’est pas encore prêt pour une uti­li­sa­tion en pro­duc­tion, car des con­fi­gu­ra­tions es­sen­tielles restent à définir.

Étape 2 : con­fi­gu­rer la base du serveur RADIUS

Après l’ins­tal­la­tion, le serveur RADIUS est bien démarré, mais il ne définit pas encore quels uti­li­sa­teurs sont autorisés, quels appareils sont autorisés à envoyer des requêtes ni comment elles doivent être vérifiées. Ces éléments sont définis lors de la con­fi­gu­ra­tion de base. Avec Free­RA­DIUS, la plupart des pa­ra­mètres se trouvent dans des fichiers texte, mo­di­fiables avec un éditeur comme nano, vim ou Notepad++. Voici les prin­ci­paux points à con­fi­gu­rer :

• Définir les clients : les équi­pe­ments réseau autorisés à s’au­then­ti­fier auprès du serveur RADIUS sont en­re­gis­trés avec leur adresse IP et un secret partagé.
• Définir les types d’au­then­ti­fi­ca­tion : selon le cas d’usage, dif­fé­rents mé­ca­nismes peuvent être utilisés, par exemple des mots de passe simples ou des méthodes chiffrées pour les accès WLAN ou VPN.
• Relier des uti­li­sa­teurs ou un annuaire : pour les tests, les uti­li­sa­teurs peuvent être créés lo­ca­le­ment. En pro­duc­tion, le serveur est gé­né­ra­le­ment relié à un annuaire central comme LDAP ou Active Directory.

Étape 3 : con­fi­gu­rer les équi­pe­ments réseau comme clients RADIUS

Les appareils qui doivent utiliser le serveur RADIUS sont ensuite con­fi­gu­rés. Il s’agit dans la plupart des cas de points d’accès WLAN, de switches ou de pas­se­relles VPN.

Les in­for­ma­tions suivantes doivent être ren­seig­nées :

• Adresse IP du serveur RADIUS : elle indique sous quelle adresse le serveur est joignable. Les équi­pe­ments réseau utilisent cette adresse pour envoyer les demandes d’au­then­ti­fi­ca­tion.
• Port : il définit le port réseau utilisé pour la com­mu­ni­ca­tion avec le serveur RADIUS. Par défaut, le UDP 1812 est utilisé pour l’au­then­ti­fi­ca­tion et le port UDP 1813 pour l’ac­coun­ting. D’autres ports peuvent être con­fi­gu­rés selon l’en­vi­ron­ne­ment.
• Secret partagé : il s’agit d’un secret commun, configuré à l’identique sur le serveur RADIUS et sur les équi­pe­ments réseau. Il permet de sécuriser la com­mu­ni­ca­tion et de garantir que seuls les appareils autorisés peuvent envoyer des requêtes.

Étape 4 : effectuer un test de fonc­tion­ne­ment

Avant la mise en pro­duc­tion, un test doit être réalisé. Voici les vé­ri­fi­ca­tions les plus courantes :

• Connexion avec un compte de test : permet de vérifier que le serveur RADIUS est ac­ces­sible, que les données d’au­then­ti­fi­ca­tion sont cor­rec­te­ment traitées et que l’accès est autorisé lorsque les iden­ti­fiants sont valides.
• Analyse des logs : permet d’iden­ti­fier des erreurs ou des refus, de vérifier l’origine des requêtes et de com­prendre pourquoi une connexion a été acceptée ou refusée.
• Test avec des iden­ti­fiants erronés : permet de s’assurer que les accès non autorisés sont cor­rec­te­ment bloqués et qu’aucun com­por­te­ment inattendu n’apparaît.
• Test avec dif­fé­rents terminaux ou méthodes d’au­then­ti­fi­ca­tion : permet de s’assurer que le serveur RADIUS fonc­tionne de manière fiable dans dif­fé­rents scénarios.

Étape 5 : mettre en pro­duc­tion et sécuriser le serveur RADIUS

Après un test concluant, le serveur RADIUS peut être utilisé en pro­duc­tion. Les mesures suivantes doivent alors être mises en œuvre :

• Règles de pare-feu pour la sé­cu­ri­sa­tion : le serveur RADIUS ne doit pas être ac­ces­sible librement depuis tous les réseaux. Des règles de pare-feu dé­fi­nis­sent quels appareils et réseaux sont autorisés à com­mu­ni­quer avec lui.
• Com­mu­ni­ca­tion chiffrée : RADIUS utilise par défaut un secret partagé, mais ne chiffre pas l’ensemble des échanges. En pro­duc­tion, il est re­com­mandé d’utiliser des mé­ca­nismes d’au­then­ti­fi­ca­tion chiffrés, par exemple des variantes EAP avec TLS.
• Mises à jour ré­gu­lières du système : elles corrigent des failles de sécurité connues, amé­lio­rent la stabilité et ga­ran­tis­sent la com­pa­ti­bi­lité avec les clients actuels et les méthodes de chif­fre­ment récentes.
• Sau­ve­garde des fichiers de con­fi­gu­ra­tion : des sau­ve­gardes ré­gu­lières per­met­tent de restaurer ra­pi­de­ment le serveur en cas de panne, de mauvaise con­fi­gu­ra­tion ou de chan­ge­ment de système.

Que faut-il prendre en compte lors de l’ins­tal­la­tion d’un serveur RADIUS ?

Un serveur RADIUS joue un rôle central dans le contrôle des accès. Il est donc essentiel de bien planifier et d’appliquer dès le départ des principes fon­da­men­taux.

Définir des règles claires d’au­then­ti­fi­ca­tion et d’au­to­ri­sa­tion

Dé­fi­nis­sez pré­ci­sé­ment qui est autorisé à se connecter et quels droits lui sont attribués. Cela peut aller d’un simple accès à un WLAN à des au­to­ri­sa­tions dif­fé­ren­ciées selon les groupes d’uti­li­sa­teurs. Plus ces règles sont claires, plus l’ex­ploi­ta­tion sera simple à gérer et à faire évoluer.

Assurer la sécurité

La com­mu­ni­ca­tion entre le serveur RADIUS et les équi­pe­ments réseau doit être sécurisée. Utilisez des secrets partagés robustes et pri­vi­lé­giez des méthodes d’au­then­ti­fi­ca­tion modernes et chiffrées. Des mises à jour ré­gu­lières du système d’ex­ploi­ta­tion et du logiciel RADIUS sont in­dis­pen­sables pour corriger les failles de sécurité connues.

Gérer les uti­li­sa­teurs

Dans de petits en­vi­ron­ne­ments, des comptes uti­li­sa­teurs locaux peuvent suffire. Dans des in­fras­truc­tures plus étendues, il est re­com­mandé de relier le serveur à un annuaire central comme LDAP ou Active Directory. Cela évite les doublons et facilite la gestion des arrivées et des départs.

Activer la jour­na­li­sa­tion et l’analyse

La jour­na­li­sa­tion et l’analyse doivent être activées dès le départ. Les fichiers journaux indiquent qui s’est connecté, à quel moment, et s’il y a eu des ten­ta­tives de connexion in­fruc­tueuses. Ces in­for­ma­tions sont utiles pour le diag­nos­tic des pannes, mais aussi pour les analyses de sécurité et les exigences de con­for­mité.

Garantir la dis­po­ni­bi­lité

Si le serveur RADIUS tombe en panne, les con­nexions peuvent être in­ter­rom­pues. Il est donc important d’anticiper les besoins en re­don­dance, par exemple avec un second serveur RADIUS ou des sau­ve­gardes ré­gu­lières de la con­fi­gu­ra­tion. Cela améliore la tolérance aux pannes et facilite la res­tau­ra­tion en cas d’incident.