RADIUS est un protocole centralisant l'authentification, l'autorisation et la comptabilité des accès réseau, notamment pour le Wi-Fi 802.1X et les VPN.
Définition simple
Un équipement d'accès transmet les requêtes à un serveur RADIUS reconnu, généralement en UDP 1812 pour l'authentification et 1813 pour la comptabilité. Dans les configurations PEAP ou EAP-TLS, le bon certificat du serveur, la stratégie d'accès et les méthodes EAP sont déterminants.
Définition technique
Remote Authentication Dial-In User Service échange des requêtes AAA entre équipements réseau et serveur d’identité.
Séparer réseau, policy et identité dans RADIUS
Testez dans cet ordre : arrivée de la requête sur le serveur, reconnaissance du client RADIUS et du secret, sélection de la policy, puis validation de l’utilisateur ou du certificat. Cette méthode évite de modifier l’annuaire alors que le serveur ne reçoit rien, ou le firewall alors que NPS rejette explicitement la policy. Conservez un test identique après chaque changement pour comparer le résultat.
À quoi cela sert ?
authentifier VPN, Wi-Fi entreprise, 802.1X et certains équipements d’administration.
Exemple concret
un firewall valide les comptes VPN auprès d’un serveur NPS/RADIUS.
Comment diagnostiquer une authentification RADIUS ?
Commencez par vérifier que le serveur RADIUS reçoit bien une requête depuis l’adresse IP du client réseau déclarée. Confirmez ensuite le secret partagé, le port utilisé — souvent UDP 1812 pour l’authentification — puis les règles ou policies qui déterminent si la demande est acceptée. Les journaux du serveur, par exemple NPS sous Windows Server, indiquent souvent si l’échec est réseau, policy ou identité.
Problèmes fréquents
Un secret partagé incorrect peut ressembler à une absence de réponse, tandis qu’une policy NPS ou un groupe non correspondant produit un rejet après réception de la requête. En 802.1X, les certificats et le type EAP ajoutent une couche supplémentaire. Une translation NAT ou une mauvaise adresse source peut aussi faire apparaître la requête comme provenant d’un client RADIUS non déclaré.
FAQ — RADIUS
Quels ports RADIUS sont les plus courants ?
UDP 1812 est couramment utilisé pour l’authentification et UDP 1813 pour la comptabilité ; certains environnements historiques utilisent d’autres ports.
Qu’est-ce qu’un client RADIUS ?
C’est l’équipement qui envoie la demande au serveur RADIUS, par exemple un firewall, un contrôleur Wi-Fi ou un switch.
RADIUS chiffre-t-il tout le trafic utilisateur ?
Non. RADIUS transporte les échanges AAA ; le chiffrement du trafic utilisateur dépend du VPN, du Wi-Fi, de 802.1X ou du protocole d’accès concerné.