VPN

Notions de base

1. Pour créer une règle VPN, ajoutez un élément sous le groupe de règles ruche et sélectionnez Règle VPN.

2. Donnez à la règle un Nom qui explique à quoi sert la règle. De plus, un nom descriptif vous aidera à identifier facilement ultérieurement dans vos journaux les demandes d'authentification traitées par cette règle.

3. N'oubliez pas de Activer la règle !

Affichage de la règle VPN

Authentification

Sous la Authentification ruche, votre premier choix est de décider si vous voulez autoriser ou refuser Basée sur les certificats ou Basée sur le nom d'utilisateur/mot de passe l'authentification pour cette règle.

Affichage de l'authentification VPN

Authentification basée sur les certificats

Pour l'authentification basée sur les certificats, vous avez les choix suivants pour restreindre davantage les demandes d'authentification entrantes.

Autoriser uniquement des autorités de certification spécifiques (AC de confiance)

Cela vous permet de limiter les demandes d'authentification entrantes à des autorités de certification racine ou émettrices spécifiques et approuvées. Ces AC peuvent être un sous-ensemble de toutes les racines de confiance que vous avez configurées sur la plateforme RADIUSaaS.

Affichage du filtrage des certificats

Filtrer par ID Intune

Il s'agit d'un paramètre historique. Si vos clients s'authentifient avec des certificats qu'ils ont reçus lors de l'AAD-Join, vous souhaiterez filtrer par votre ID de locataire Intune.

Dans le cas où vous avez saisi vos ID de locataire comme décrit ici, le comportement par défaut de RADIUSaaS est que seules les machines présentant un certificat avec l'extension OID 1.2.840.113556.5.14 et une valeur de Tenant ID autorisée auront accès au réseau. Avec le moteur de règles, vous avez désormais la possibilité de restreindre davantage l'accès à des ID Intune spécifiques pour une règle donnée ou d'ignorer l'extension du certificat. Cela vous permet de disposer d'une configuration multi-déploiement, où certains clients ont des certificats fournissant l'OID en question et d'autres non.

Affichage du filtrage des ID Intune

Authentification basée sur le nom d'utilisateur/mot de passe

Après avoir activé l'authentification Basée sur le nom d'utilisateur/mot de passe , vous pouvez appliquer un filtrage supplémentaire en configurant une expression régulière sur le Nom d'utilisateur. Par défaut, tous les noms d'utilisateur.

Affichage de l'authentification basée sur le nom d'utilisateur / mot de passe

Configuration

Sous la Configuration ruche vous pouvez configurer des critères de filtrage supplémentaires basés sur l'origine des demandes d'authentification ainsi que renvoyer des attributs RADIUS supplémentaires, par ex. Filter-Id.

Filtre d'identifiant NAS

Si vous n'êtes pas sûr de l'identifiant utilisé par votre NAS, vous pouvez vérifier les journaux (Type de journal = détail). RADIUSaaS recherche une propriété appelée NAS-Identifier pour correspondre aux identifiants NAS de confiance.

Pour définir un filtre d'identifiant NAS, sélectionnez soit Identifiants ou Groupes.

• Si vous sélectionnez Identifiants, vous pouvez spécifier plusieurs Identifiants.

• Si vous sélectionnez Groupes, vous pouvez référencer un ou plusieurs de vos Groupes d'identifiants NAS.

Affichage de l'identifiant NAS

Filtre d'adresse IP NAS

Pour définir un filtre d'adresse IP NAS, sélectionnez soit IPs ou Groupes.

• Si vous sélectionnez IPs, vous pouvez spécifier plusieurs IPs.

• Si vous sélectionnez Groupes, vous pouvez référencer un ou plusieurs de vos Groupes d'adresses IP NAS.

Affichage du filtre d'adresse IP NAS

Retour d'attribut RADIUS

Si vous avez besoin d'attributs de retour qui ne sont pas disponibles par défaut, veuillez contacter notre support.

Le moteur de règles RADIUSaaS propose plusieurs façons de retourner des attributs RADIUS supplémentaires. Les options suivantes sont disponibles :

Statique

Spécifiez statiquement l(es) attribut(s) de retour et leur(s) valeur(s) qui doivent être attribués en fonction de la règle concernée.

Par extension de certificat

Actuellement, il n'est pas pris en charge d'ajouter des extensions de certificat personnalisées aux profils SCEP dans de nombreux systèmes MDM, y compris Microsoft Intune et JAMF.

Nous recommandons donc d'utiliser le Nom du sujet du certificat du certificat à la place pour ajouter une affectation VLAN.

• Sélectionnez l'une de vos extensions de certificat créées

• Le filtre est configuré pour faire correspondre la valeur de l'attribut de retour spécifié à votre extension (OID) spécifiée

• Les jokers seront traduits en .* Regex

Par propriété du nom du sujet du certificat

• Vous pouvez également retourner des attributs RADIUS supplémentaires basés sur des propriétés du Nom du sujet de votre certificat

• Pour cela, spécifiez dans quelle propriété la valeur de l'attribut de retour est stockée

• Ensuite, configurez quelle chaîne préfixe la valeur de l'attribut de retour

• La valeur fournie dans la propriété du Nom du sujet n'est pas obligée d'avoir un préfixe. Cependant, il peut être nécessaire d'utiliser un préfixe si votre Nom du sujet contient plusieurs fois le même attribut (par ex. plusieurs CN sont assez courants).