> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/fr/autre/faqs/mac-authentication.md).
# Bypass d'authentification MAC
Cet article vise à clarifier ce qu'est le Bypass d'authentification MAC, en quoi il diffère de MAB-to-EAP et lequel fonctionne avec RADIUSaaS.
{% hint style="danger" %}
Depuis **Les adresses MAC peuvent être facilement usurpées**, la mise en place d’un contournement de l’authentification MAC est **fortement déconseillé** sauf si cela est absolument nécessaire et que l’administrateur a évalué le risque associé à la mise en œuvre d’un tel contournement par rapport à la commodité et aux contraintes budgétaires liées à la mise à niveau de matériel obsolète.
{% endhint %}
## Vue d’ensemble
**Contournement de l’authentification MAC (MAB)** est une fonctionnalité qui permet aux appareils incapables d’effectuer l’authentification d’entreprise 802.1X standard (comme les imprimantes anciennes, les capteurs simples ou les systèmes embarqués) de se connecter à un réseau autrement sécurisé. MAB accorde l’accès en utilisant l’adresse MAC unique d’un appareil comme seul identifiant, par comparaison avec une liste autorisée gérée par un serveur RADIUS.
L’implémentation héritée de MAB est **vulnérable à l’usurpation d’adresse MAC à la fois sur** la connexion entre l’appareil s’authentifiant et l’équipement réseau, ainsi que sur la connexion entre l’équipement réseau et le serveur RADIUS. Pour éliminer le deuxième vecteur d’attaque, une implémentation plus robuste de MAB, appelée **MAB-to-EAP**, peut être utilisée et garantit efficacement l’intégrité de l’adresse MAC transmise au serveur RADIUS (l’adresse MAC peut toujours être usurpée sur le lien entre l’appareil s’authentifiant et l’équipement réseau).
Ce guide détaille les différences entre la méthode héritée non sécurisée **MAB pur** et la solution de contournement moderne sécurisée au niveau du transport.
## Terminologie et implémentations de MAB
**MAB :** Contournement de l’authentification MAC
**EAP :** Protocole d’authentification extensible
**Supplicant :** L’entité (comme un ordinateur portable, un téléphone ou une interface réseau) qui initie le processus d’authentification avec un Authentificateur pour obtenir l’accès au réseau.
**Authentificateur :** Une entité réseau (comme un commutateur, un point d’accès sans fil ou une passerelle VPN) qui impose l’authentification avant d’accorder à un Supplicant l’accès au réseau.
**Serveur d’authentification :** Une entité réseau de confiance (comme un serveur RADIUS) chargée de vérifier l’identité des Supplicants en contrôlant leurs informations d’identification (comme des noms d’utilisateur, des mots de passe ou des certificats numériques) et de déterminer s’ils sont autorisés à accéder au réseau.
**MAB pur** (Implémentation héritée) : cette méthode consiste pour l’Authentificateur à envoyer l’adresse MAC du client à un serveur RADIUS, généralement dans l’attribut `Calling-Station-Id` RADIUS. Le serveur RADIUS effectue une simple recherche et renvoie un `Access-Accept` ou `Access-Reject`. L’adresse MAC sert d’identifiant, et non de véritable justificatif d’authentification.
**MAB-to-EAP** (Implémentation sécurisée) : Comme MAB pur ne dispose pas d’un transport cryptographiquement sécurisé, de nombreux services modernes (comme RADIUSaaS) exigent une approche plus robuste. Dans cette méthode, l’Authentificateur utilise l’adresse MAC du client à la fois comme nom d’utilisateur et comme mot de passe, puis tente de s’authentifier auprès du serveur RADIUS à l’aide d’un protocole EAP sécurisé (par ex. EAP-TTLS-PAP, PEAP-MSCHAPv2). L’appareil client reste inconscient du fait qu’une quelconque authentification a eu lieu.
## Fonctionnement de MAB pur (base de données RADIUS externe)
Lorsque la base de données d’adresses MAC est gérée par un serveur RADIUS externe (la configuration d’entreprise courante), la séquence suivante s’applique à MAB pur :
1. Un client non-802.1X se connecte et demande l’accès au réseau.
2. L’Authentificateur détecte la connexion et, ne voyant aucune négociation 802.1X, lance une tentative de MAB.
3. L’Authentificateur prend l’adresse MAC du client (par ex., `00:11:22:33:44:55`) et la transmet au serveur RADIUS dans un `Access-Request` message. L’adresse MAC est généralement analysée dans l’attribut `Calling-Station-Id` RADIUS.
4. Le serveur RADIUS vérifie dans sa base de données configurée si l’adresse MAC est présente.
5. Il renvoie un `Access-Accept` Access-Accept `Access-Reject` Access-Reject
6. Si `Access-Accept` Access-Accept
### Considérations de sécurité
En général, **MAB offre peu ou pas de sécurité** et doit être utilisé avec une extrême prudence.
* **Usurpation d’adresse MAC :** Les adresses MAC peuvent être facilement modifiées (usurpées) sur la plupart des ordinateurs et cartes réseau modernes. Un acteur malveillant peut observer l’adresse MAC d’un appareil autorisé et configurer son propre appareil pour l’utiliser, obtenant ainsi un accès non autorisé.
* **Identification, pas authentification :** MAB n’est qu’une forme d’identification de l’appareil. Il confirme seulement quel appareil se connecte, et non qui le possède ni s’il est cryptographiquement sécurisé.
En raison de ces faiblesses, la plupart des services d’authentification modernes basés sur le cloud (comme RADIUSaaS) ne prennent pas en charge MAB pur ni les protocoles hérités comme PAP ou CHAP. Ils exigent plutôt la méthode MAB-to-EAP, où l’adresse MAC est utilisée comme justificatif d’authentification au sein d’un tunnel EAP cryptographiquement robuste.
## Implémentation de MAB avec EAP (une approche de MAB par RADIUSaaS)
Lorsque MAB est configuré sur un Authentificateur et qu’un appareil ancien ne prenant pas en charge 802.1X tente de demander l’accès au réseau, le commutateur ou le point d’accès se fera passer pour cet appareil et prendra en charge l’authentification au nom du client en s’authentifiant auprès de RADIUSaaS à l’aide de l’un des [protocoles EAP pris en charge](https://docs.radiusaas.com/admin-portal/users#protocols): EAP-TTLS-PAP ou PEAP-MSCHAPv2. Dans le cadre de ce processus, RADIUSaaS vérifiera si l’adresse MAC figure dans la base de données RADIUSaaS sous la forme d’un identifiant ajouté manuellement [Utilisateur](/fr/portail-dadministration/utilisateurs/users.md). (nom d’utilisateur = mot de passe = adresse MAC), si c’est le cas, alors un `Access-Accept` message est renvoyé, et l’authentification basée sur EAP s’achève, donnant à l’appareil ancien l’accès au réseau. Comme l’Authentificateur établit une connexion TLS avec RADIUSaaS, il doit faire confiance au [certificat de serveur](/fr/portail-dadministration/settings/settings-server.md#server-certificates) certificat du serveur RADIUS que RADIUSaaS utilise.
L’utilisation de l’adresse MAC comme nom d’utilisateur/mot de passe pour déclencher EAP est une solution de contournement spécifique mise en œuvre par l’Authentificateur pour simuler MAB tout en utilisant des protocoles EAP plus robustes.
### MAB fonctionne-t-il avec RADIUSaaS ?
MAB dans son implémentation originale utilisant PAP ou CHAP ne fonctionne pas avec RADIUSaaS. À la lumière des définitions ci-dessus, l’implémentation actuelle de RADIUSaaS peut prendre en charge MAB tant que votre Authentificateur peut s’authentifier via l’un des protocoles mentionnés ci-dessus. Gardez à l’esprit que dès lors que ces protocoles pris en charge sont utilisés dans l’authentification, il n’y a plus de contournement de l’authentification, et c’est à ce moment-là que le terme plus spécifique MAB-to-EAP est utilisé.
### Configuration
**MAB** nécessite une configuration à la fois sur l’Authentificateur et sur le Serveur d’authentification.
**Authentificateur :**
* Activez 802.1X et le contournement de l’authentification MAC (MAB) sur les ports d’accès/SSID spécifiques destinés aux appareils non-802.1X.
* Faites confiance au [certificat du serveur RADIUS](/fr/portail-dadministration/settings/settings-server.md#download).
* *Remarque : les étapes de configuration dépendent du fournisseur ; reportez-vous à la documentation de votre appareil.*
**Serveur d’authentification :**
* Lors de la mise en œuvre de MAB-to-EAP, vous devez créer une règle d’autorisation explicite sur RADIUSaaS afin d’assigner tous les appareils s’authentifiant via cette méthode à un VLAN de repli avec un accès réseau minimal. Cela est essentiel pour faire respecter le principe du moindre privilège et empêcher un acteur malveillant ayant usurpé une adresse MAC valide d’accéder à des ressources réseau critiques. La règle doit être configurée en fonction des politiques d’authentification de votre environnement :
* Si MAB-to-EAP est la seule utilisation de l’authentification basée sur nom d’utilisateur/mot de passe : créez une règle d’autorisation large (LAN/Wi‑Fi) qui attribue tout appareil utilisant ce type d’identifiants au VLAN de repli.
* Si le nom d’utilisateur/mot de passe est utilisé pour d’autres clients (par ex. des utilisateurs) : cette règle doit être soigneusement ajustée à l’aide d’expressions régulières afin de correspondre spécifiquement au motif d’une adresse MAC dans le champ nom d’utilisateur (par ex., `00:11:22:33:44:55`). Cela garantit que seul le trafic MAB-to-EAP est isolé dans le VLAN de repli.
* Pour prendre en charge MAB-to-EAP, vous devez [ajouter](/fr/portail-dadministration/utilisateurs/users.md#add) des utilisateurs formatés comme suit : Nom d’utilisateur = Mot de passe = adresse MAC. Exemple : `00:11:22:33:44:55` = `00:11:22:33:44:55`.
* Le format de l’adresse MAC (avec deux-points, tirets ou aucun séparateur) doit correspondre exactement au format envoyé par votre Authentificateur dans les identifiants EAP. Nous recommandons d’utiliser la notation avec deux-points (par ex., `00:11:22:33:44:55`) pour plus de cohérence.
* Si vous avez plusieurs utilisateurs, vous pouvez les importer en bloc à l’aide d’un [CSV](/fr/portail-dadministration/utilisateurs/users.md#csv-import) fichier.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.radiusaas.com/fr/autre/faqs/mac-authentication.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
### Considérations de sécurité
En général, **MAB offre peu ou pas de sécurité** et doit être utilisé avec une extrême prudence.
* **Usurpation d’adresse MAC :** Les adresses MAC peuvent être facilement modifiées (usurpées) sur la plupart des ordinateurs et cartes réseau modernes. Un acteur malveillant peut observer l’adresse MAC d’un appareil autorisé et configurer son propre appareil pour l’utiliser, obtenant ainsi un accès non autorisé.
* **Identification, pas authentification :** MAB n’est qu’une forme d’identification de l’appareil. Il confirme seulement quel appareil se connecte, et non qui le possède ni s’il est cryptographiquement sécurisé.
En raison de ces faiblesses, la plupart des services d’authentification modernes basés sur le cloud (comme RADIUSaaS) ne prennent pas en charge MAB pur ni les protocoles hérités comme PAP ou CHAP. Ils exigent plutôt la méthode MAB-to-EAP, où l’adresse MAC est utilisée comme justificatif d’authentification au sein d’un tunnel EAP cryptographiquement robuste.
## Implémentation de MAB avec EAP (une approche de MAB par RADIUSaaS)
Lorsque MAB est configuré sur un Authentificateur et qu’un appareil ancien ne prenant pas en charge 802.1X tente de demander l’accès au réseau, le commutateur ou le point d’accès se fera passer pour cet appareil et prendra en charge l’authentification au nom du client en s’authentifiant auprès de RADIUSaaS à l’aide de l’un des [protocoles EAP pris en charge](https://docs.radiusaas.com/admin-portal/users#protocols): EAP-TTLS-PAP ou PEAP-MSCHAPv2. Dans le cadre de ce processus, RADIUSaaS vérifiera si l’adresse MAC figure dans la base de données RADIUSaaS sous la forme d’un identifiant ajouté manuellement [Utilisateur](/fr/portail-dadministration/utilisateurs/users.md). (nom d’utilisateur = mot de passe = adresse MAC), si c’est le cas, alors un `Access-Accept` message est renvoyé, et l’authentification basée sur EAP s’achève, donnant à l’appareil ancien l’accès au réseau. Comme l’Authentificateur établit une connexion TLS avec RADIUSaaS, il doit faire confiance au [certificat de serveur](/fr/portail-dadministration/settings/settings-server.md#server-certificates) certificat du serveur RADIUS que RADIUSaaS utilise.
L’utilisation de l’adresse MAC comme nom d’utilisateur/mot de passe pour déclencher EAP est une solution de contournement spécifique mise en œuvre par l’Authentificateur pour simuler MAB tout en utilisant des protocoles EAP plus robustes.
### MAB fonctionne-t-il avec RADIUSaaS ?
MAB dans son implémentation originale utilisant PAP ou CHAP ne fonctionne pas avec RADIUSaaS. À la lumière des définitions ci-dessus, l’implémentation actuelle de RADIUSaaS peut prendre en charge MAB tant que votre Authentificateur peut s’authentifier via l’un des protocoles mentionnés ci-dessus. Gardez à l’esprit que dès lors que ces protocoles pris en charge sont utilisés dans l’authentification, il n’y a plus de contournement de l’authentification, et c’est à ce moment-là que le terme plus spécifique MAB-to-EAP est utilisé.
### Configuration
**MAB** nécessite une configuration à la fois sur l’Authentificateur et sur le Serveur d’authentification.
**Authentificateur :**
* Activez 802.1X et le contournement de l’authentification MAC (MAB) sur les ports d’accès/SSID spécifiques destinés aux appareils non-802.1X.
* Faites confiance au [certificat du serveur RADIUS](/fr/portail-dadministration/settings/settings-server.md#download).
* *Remarque : les étapes de configuration dépendent du fournisseur ; reportez-vous à la documentation de votre appareil.*
**Serveur d’authentification :**
* Lors de la mise en œuvre de MAB-to-EAP, vous devez créer une règle d’autorisation explicite sur RADIUSaaS afin d’assigner tous les appareils s’authentifiant via cette méthode à un VLAN de repli avec un accès réseau minimal. Cela est essentiel pour faire respecter le principe du moindre privilège et empêcher un acteur malveillant ayant usurpé une adresse MAC valide d’accéder à des ressources réseau critiques. La règle doit être configurée en fonction des politiques d’authentification de votre environnement :
* Si MAB-to-EAP est la seule utilisation de l’authentification basée sur nom d’utilisateur/mot de passe : créez une règle d’autorisation large (LAN/Wi‑Fi) qui attribue tout appareil utilisant ce type d’identifiants au VLAN de repli.
* Si le nom d’utilisateur/mot de passe est utilisé pour d’autres clients (par ex. des utilisateurs) : cette règle doit être soigneusement ajustée à l’aide d’expressions régulières afin de correspondre spécifiquement au motif d’une adresse MAC dans le champ nom d’utilisateur (par ex., `00:11:22:33:44:55`). Cela garantit que seul le trafic MAB-to-EAP est isolé dans le VLAN de repli.
* Pour prendre en charge MAB-to-EAP, vous devez [ajouter](/fr/portail-dadministration/utilisateurs/users.md#add) des utilisateurs formatés comme suit : Nom d’utilisateur = Mot de passe = adresse MAC. Exemple : `00:11:22:33:44:55` = `00:11:22:33:44:55`.
* Le format de l’adresse MAC (avec deux-points, tirets ou aucun séparateur) doit correspondre exactement au format envoyé par votre Authentificateur dans les identifiants EAP. Nous recommandons d’utiliser la notation avec deux-points (par ex., `00:11:22:33:44:55`) pour plus de cohérence.
* Si vous avez plusieurs utilisateurs, vous pouvez les importer en bloc à l’aide d’un [CSV](/fr/portail-dadministration/utilisateurs/users.md#csv-import) fichier.