# WiFi

## Notions de base

1. Pour créer une règle Wi‑Fi, ajoutez une **élément** sous le **Rule collection** hive et sélectionnez **Règle Wi‑Fi.** 
2. Donnez à la règle un **Nom** qui explique à quoi sert la règle. De plus, un nom descriptif vous aidera à identifier facilement plus tard dans vos journaux les demandes d’authentification traitées par cette règle.
3. N’oubliez pas de **Activer** la règle !

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fr4ZoHJ4wdmXQdTiOHLSa%2Fimage.png?alt=media&#x26;token=ac5bab84-f998-4b5e-ab55-2343b238eccc" alt="" width="401"><figcaption><p>Illustration de l’ajout d’une règle Wi‑Fi</p></figcaption></figure>

## **Authentification**&#x20;

Sous le **Authentification** hive, votre premier choix consiste à décider si vous voulez autoriser ou refuser **authentification par certificat** ou **authentification par nom d’utilisateur/mot de passe** pour cette règle.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F8pXQmlWRFBe5zGeJm3Eq%2Fimage.png?alt=media&#x26;token=5f5e549c-b005-41cc-80f6-39ed7f02b4b1" alt=""><figcaption><p>Illustration de l’authentification</p></figcaption></figure>

### **Authentification par certificat**

Pour l’authentification par certificat, vous disposez des विकल्प suivants pour restreindre davantage les demandes d’authentification entrantes.

#### Autoriser uniquement des CA spécifiques (CA approuvées)

Cela vous permet de limiter les demandes d’authentification entrantes à des autorités de certification racine ou émettrices spécifiques et approuvées. Ces CA peuvent être un sous-ensemble de toutes les racines approuvées que vous avez configurées sur la plateforme RADIUSaaS.

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FD3NOMFHGfmYH9tw7rN14%2Fimage.png?alt=media&#x26;token=eb59ae65-e50b-4161-924e-9895dcd19c39" alt=""><figcaption><p>Affichage du filtrage des certificats</p></figcaption></figure>

#### Filtre pour les ID Intune&#x20;

Il s’agit d’un paramètre historique. Si vos clients s’authentifient avec des certificats qu’ils ont reçus lors de l’AAD-Join, vous devez filtrer sur l’ID de locataire Intune.&#x20;

Si vous avez saisi vos ID de locataire comme décrit [ici](https://docs.radiusaas.com/fr/portail-dadministration/trusted-roots#intune-id), le comportement par défaut de RADIUSaaS est que seules les machines présentant un certificat avec l’extension OID **1.2.840.113556.5.14** et une valeur autorisée pour l’ID de locataire auront accès au réseau. Avec le moteur de règles, vous avez désormais la possibilité de restreindre davantage l’accès à des ID Intune spécifiques pour une règle donnée, ou d’ignorer l’extension du certificat. Cela vous permet de mettre en place un déploiement multi-environnements, où certains clients sont fournis avec des certificats contenant l’OID correspondant et d’autres non.&#x20;

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FNkkMfAoeCiq23eBA8yQA%2Fimage.png?alt=media&#x26;token=84b3f419-8d1a-455a-bd25-b49c46b77533" alt=""><figcaption><p>Illustration du filtrage par ID Intune</p></figcaption></figure>

### Authentification par nom d’utilisateur/mot de passe

Après avoir activé **authentification par nom d’utilisateur/mot de passe** l’authentification, vous pouvez appliquer un filtrage supplémentaire en configurant une expression régulière sur le **Nom d’utilisateur**. La valeur par défaut est tous les noms d’utilisateur

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fois6zxZuiyt0COv1K2Gv%2Fimage.png?alt=media&#x26;token=03517d98-ae9f-48cf-9d40-554962c187bb" alt=""><figcaption></figcaption></figure>

## Configuration

Sous le **Configuration** vous pouvez configurer des critères de filtrage supplémentaires basés sur l’origine des demandes d’authentification ainsi qu’attribuer des ID VLAN.

### Filtre SSID

Pour définir un filtre SSID, sélectionnez soit **Noms** ou **Groupes**.&#x20;

* Si vous sélectionnez **Noms**, vous pouvez spécifier plusieurs **SSID.**
* Si vous sélectionnez **Groupes,** vous pouvez référencer un ou plusieurs de vos **Groupes SSID**.&#x20;

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FAsp23xbh2EusKB57aIuj%2Fimage.png?alt=media&#x26;token=ab5b3df0-9326-4186-8516-81f4c1c60423" alt=""><figcaption><p>Illustration du filtrage par nom ou groupe SSID</p></figcaption></figure>

### Filtre de point d’accès

{% hint style="info" %}
Ce filtre d’adresse MAC vous permet d’autoriser des **points d’accès** à communiquer avec RADIUSaaS. **Il ne s’agit pas d’un filtre d’adresse MAC pour les points de terminaison !**
{% endhint %}

Pour définir un **basé sur l’adresse MAC** filtre de point d’accès, sélectionnez soit **Adresses** ou **Groupes**.&#x20;

* Si vous sélectionnez **Adresses**vous pouvez spécifier plusieurs adresses MAC de point d’accè&#x73;**.**&#x20;
* Si vous sélectionnez **Groupes,** vous pouvez référencer un ou plusieurs de vos **Groupes d’adresses MAC**.&#x20;

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FJbOWqgrBxh82B4uyDKZM%2Fimage.png?alt=media&#x26;token=2ea2b809-eef8-41da-9240-a19a88783094" alt="" width="402"><figcaption><p>Illustration de la sélection du point d’accès par adresses MAC ou par groupe</p></figcaption></figure>

Les notations suivantes sont prises en charge pour les adresses MAC :

* xx-xx-xx-xx-xx-xx
* xx:xx:xx:xx:xx:xx
* xxxxxxxxxxxx

{% hint style="info" %}
Votre point d’accès (AP) n’utilisera très probablement pas l’adresse MAC LAN, imprimée sur le boîtier de l’AP et affichée dans le portail d’administration de l’AP comme adresse MAC principale. De nombreux fournisseurs génèrent des adresses MAC individuelles/aléatoires (BSSID) pour chaque SSID et chaque fréquence.

Si vous ne trouvez pas les adresses MAC utilisées dans l’interface d’administration de votre AP, vous pouvez également consulter le journal "Rule Engine" (dans la section "Insights") de votre console d’administration web RADIUSaaS. Vous trouverez l’adresse MAC que votre AP envoie dans le champ "`AP-MAC"`.
{% endhint %}

### Affectation VLAN

{% hint style="info" %}
Si vous avez besoin d’attributs de retour VLAN spécifiques au fournisseur, vous pouvez les gérer [ici](https://docs.radiusaas.com/fr/portail-dadministration/settings/general-structure#vlan-attributes).
{% endhint %}

Le moteur de règles RADIUSaaS offre plusieurs façons d’attribuer des ID de réseau local virtuel (VLAN). Les options suivantes sont disponibles :

#### Statique

* Spécifier statiquement l’ID VLAN qui doit être attribué en fonction de la règle associée

#### Par extension de certificat

{% hint style="info" %}
Actuellement, il n’est pas pris en charge d’ajouter des extensions de certificat personnalisées aux profils SCEP dans de nombreux systèmes MDM, notamment Microsoft Intune et JAMF.

Nous recommandons donc d’utiliser le [Nom du sujet du certificat](#by-certificate-subject) du certificat à la place pour ajouter une attribution VLAN.
{% endhint %}

* Sélectionnez l’une de vos extensions de certificat créées
* Le filtre est défini pour faire correspondre la valeur à votre extension spécifiée (OID)
* Les caractères génériques seront convertis en expression régulière .\*

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FA6Lhnfy3CfEmFuFLsztF%2Fimage.png?alt=media&#x26;token=c54082c6-daf0-440e-87b1-31f7a304d575" alt="" width="402"><figcaption></figcaption></figure>

#### Par propriété du nom du sujet du certificat

* Vous pouvez également attribuer des ID VLAN en fonction des propriétés du Subject Name de votre certificat
* Indiquez donc dans quelle propriété l’ID VLAN est stocké
* Configurez ensuite la chaîne de préfixe de l’ID VLAN
* L’ID VLAN n’a pas besoin d’avoir un préfixe. Cependant, il peut être nécessaire d’utiliser un préfixe si votre Subject Name comporte plusieurs fois le même attribut (par exemple, plusieurs CN sont assez courants).

À titre d’exemple, la règle suivante attribuera l’ID VLAN 15 en fonction du `Nom du sujet` attribut `OU` préfixé par `vlan-`

<figure><img src="https://1168716614-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FzpAMpK6PrpB2BjrjGEkC%2Fimage.png?alt=media&#x26;token=95d877db-a71c-4dc0-908c-a9df99be0a30" alt="" width="403"><figcaption><p>Affichage du filtrage VLAN</p></figcaption></figure>

![](https://content.gitbook.com/content/SWU1DQ4UGkqER7uGNUOm/blobs/BkaDrlChuy8gxYtQFwnJ/image.png)

### Attributs RADIUS supplémentaires

{% hint style="info" %}
Si vous avez besoin d’attributs de retour qui ne sont pas disponibles par défaut, veuillez les ajouter [ici](https://docs.radiusaas.com/fr/portail-dadministration/settings/general-structure#radius-attributes).
{% endhint %}

Le moteur de règles RADIUSaaS offre plusieurs façons de renvoyer des attributs RADIUS supplémentaires (en plus de l’ID VLAN). Les options suivantes sont disponibles :

#### Statique

Spécifiez de manière statique le ou les attributs de retour et leur(s) valeur(s) qui doivent être attribués en fonction de la règle concernée.

#### Par extension de certificat

{% hint style="info" %}
Actuellement, il n’est pas pris en charge d’ajouter des extensions de certificat personnalisées aux profils SCEP dans de nombreux systèmes MDM, notamment Microsoft Intune et JAMF.

Nous recommandons donc d’utiliser le [Nom du sujet du certificat](#by-certificate-subject) du certificat à la place pour ajouter une attribution VLAN.
{% endhint %}

* Sélectionnez l’une de vos extensions de certificat créées
* Le filtre est configuré pour faire correspondre la valeur de l’attribut de retour spécifié à votre extension (OID) spécifiée
* Les caractères génériques seront traduits en .\* Regex

#### Par propriété du nom du sujet du certificat

* Vous pouvez également renvoyer des attributs RADIUS supplémentaires en fonction des propriétés du nom du sujet de votre certificat
* Par conséquent, spécifiez dans quelle propriété la valeur de l’attribut de retour est stockée
* Ensuite, configurez avec quelle chaîne la valeur de l’attribut de retour doit être précédée
* La valeur fournie dans la propriété du nom du sujet n’a pas besoin d’avoir un préfixe. Cependant, il peut être nécessaire d’utiliser un préfixe si votre nom du sujet comporte plusieurs fois le même attribut (par exemple, plusieurs CN sont assez courants).