Ruckus

Le guide suivant a été créé en utilisant Ruckus Virtual SmartZone Essentials version 6.1.2.0.441.

Préparer les certificats

Pour établir une connexion RadSec valide, vos points d'accès doivent faire confiance au Certificat du serveur RADIUS et votre serveur RADIUS doit faire confiance à votre Certificat client RadSec. Pour ce faire,

1. Téléchargez le certificat racine de l'AC qui a émis votre Certificat du serveur RADIUS comme décrit ici.

2. Créez un Certificat client RadSec pour votre Ruckus SmartZone. Si vous utilisez SCEPman Certificate Master, le processus est décrit ici.

3. Séparez le certificat généré en la clé privée (nommée « priv.key » dans cet exemple) et le certificat (nommé « clientcert.cer »). Dans le cas où le Certificat client RadSec a été téléchargé au format PKCS#12/.pfx , cela peut être facilement fait, par exemple en utilisant OpenSSL : Clé privée : openssl pkcs12 -in <votre-certificat-client-radsec>.pfx -nocerts -nodes -out priv.key Certificat sans clé privée : openssl pkcs12 -in <votre-certificat-client-radsec>.pfx -clcerts -nokeys -out clientcert.cer

Selon la version du firmware Ruckus, il peut être nécessaire de supprimer la section des attributs de sac de vos fichiers de certificat et de clé privée. Cette section ressemble à l'exemple suivant :

Attributs
    localKeyID : 52 70 EB 96 89 23 90 F9 D5 0E 06 82 5C EC F7 63 30 44 F1 A9 
    friendlyName : Certificat de SCEPman
Attributs de clé : <Pas d'attributs>

Assurez-vous de surveiller l'expiration de votre Certificat client RadSec et de le renouveler en temps voulu pour éviter des interruptions de service.

1. Ajoutez le certificat racine de l'AC qui a émis le Certificat client RadSec à votre instance RADIUS comme décrit ici et sélectionnez RadSec sous Utiliser pour. Dans le cas où le Certificat client RadSec a été émis par SCEPman et que vous faites déjà confiance à la racine SCEPman pour l'authentification des clients, éditez simplement le certificat racine SCEPman de confiance et sélectionnez Les deux sous Utiliser pour.

Configuration Ruckus SmartZone (SZ)

Dans ce qui suit, Ruckus SZ est configuré en tant que proxy d'authentification, c'est-à-dire que les requêtes d'authentification RADIUS sont acheminées depuis les WAP vers le Ruckus SZ puis transmises de manière centralisée à RADIUSaaS.

Pour des informations générales sur la façon d'importer des certificats dans le Ruckus SmartZone, veuillez vous référer à leur documentation :

Commscope Technical Content Portaldocs.commscope.com

1. Importez le certificat racine de l'AC qui a émis votre Certificat du serveur RADIUS (téléchargé lors de l'étape 1 ici) en naviguant vers Administration > Système > Certificats > Certificats/Chaîne CA de confiance SZ (externe).

2. Cliquez Importer, fournissez un Nom et une Description optionnelle pour votre certificat CA RADIUS et téléversez le fichier de certificat en cliquant sur Parcourir à côté de Certificat racine CA. Dans le cas où vous fournissez votre propre Certificat du serveur RADIUS et si celui-ci a été émis par une AC intermédiaire, veuillez également téléverser tous les certificats intermédiaires sous Certificats CA intermédiaires.

   
3. Ensuite, cliquez sur Valider et OK.

4. Importez votre Certificat client RadSec (obtenu à l'étape 3 ici) en naviguant vers Administration > Système > Certificats > SZ comme certificat client.

5. Cliquez Importer et fournissez un Nom et une Description pour votre Certificat client RadSec. Puis téléversez la partie publique de votre Certificat client RadSec en cliquant sur Parcourir à côté de Certificat client. Enfin, téléversez la clé privée en cliquant sur Parcourir à côté de Clé privée.

   
6. Pour la configuration du serveur RADIUS, naviguez vers Sécurité > Authentification > Proxy (Authentificateur SZ).

7. Cliquez Créez et fournissez un Nom, un Nom convivial optionnel et Description pour le profil RADIUS.

8. Sélectionnez RADIUS comme Protocole de service.

9. Sous Options de service RADIUS, configurez les paramètres suivants :

Cryptage	Activer
Identité CN/SAN	Fournissez l'attribut CN/SAN de votre Certificat du serveur RADIUS.
Validation OCSP	Par défaut : Désactivé Dans le cas où vous fournissez votre propre Certificat du serveur RADIUS et que l'AC qui l'a émis permet sa révocation, fournissez ici l'URL du répondeur OCSP de votre AC.
Certificat client	Sélectionnez le Certificat client RadSec téléversé précédemment sur Ruckus SZ.
Certificat du serveur	Désactiver
Livraison hors bande de localisation RFC5580	Désactiver

1. Ensuite, sous Serveur principal, pour le Adresse IP/NOM de domaine complet choisissez soit l'adresse IP soit le nom DNS de votre point de terminaison de service RadSec. Pour le Port sélectionnez 2083.

   
2. Cliquez OK.