Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Windows Windows Serveur Discussions Générales Utilisation de IAS pour les utilisateur hors domaine

Utilisation de IAS pour les utilisateur hors domaine

9 réponses
Avatar
olivier
Bonjour à tous,

Ma config : Windows server 2000 avec IAS.

J'ai configuré le serveur Radius de windows 2000 server pour authentifier
les stations qui se connectent sur mes points d'acces Wifi.

Aucun probleme pour les utilisateurs de mon domaine (qui sont dans l'active
directory) mais par contre comment puis je faire pour donner un acces
temporaire à une machine qui ne serait pas dans mon domaine ni dans l'active
directory ?

Je pense par exemple à un visiteur qui a besoin temporairemnt d'avoir acces
au reseau.


Merci d'avance pour vos idées.

Olivier
Signaler un problème avec ce contenu

9 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Avatar
Emmanuel Dreux [MS]
Bonjour,

quelle authentification avez-vous mis en place?

Cordialement,
Emmanuel Dreux.

"olivier" wrote in message
news:
Bonjour à tous,

Ma config : Windows server 2000 avec IAS.

J'ai configuré le serveur Radius de windows 2000 server pour authentifier
les stations qui se connectent sur mes points d'acces Wifi.

Aucun probleme pour les utilisateurs de mon domaine (qui sont dans
l'active
directory) mais par contre comment puis je faire pour donner un acces
temporaire à une machine qui ne serait pas dans mon domaine ni dans
l'active
directory ?

Je pense par exemple à un visiteur qui a besoin temporairemnt d'avoir
acces
au reseau.


Merci d'avance pour vos idées.

Olivier




Avatar
olivier
Bonjour

WPA avec authentifaction par le serveur raduis via PEAP.

J'espere avoir bien repondu, je ne suis pas un spécialiste.

Olivier
"Emmanuel Dreux [MS]" a écrit dans le message
de news:
Bonjour,

quelle authentification avez-vous mis en place?

Cordialement,
Emmanuel Dreux.

"olivier" wrote in message
news:
Bonjour à tous,

Ma config : Windows server 2000 avec IAS.

J'ai configuré le serveur Radius de windows 2000 server pour
authentifier


les stations qui se connectent sur mes points d'acces Wifi.

Aucun probleme pour les utilisateurs de mon domaine (qui sont dans
l'active
directory) mais par contre comment puis je faire pour donner un acces
temporaire à une machine qui ne serait pas dans mon domaine ni dans
l'active
directory ?

Je pense par exemple à un visiteur qui a besoin temporairemnt d'avoir
acces
au reseau.


Merci d'avance pour vos idées.

Olivier







Avatar
Emmanuel Dreux [MS]
Re-bonjour,

Si IAS appartient au domaine ( a priori c'est le cas), vous pouvez utiliser
EAP-TLS et faire du "certificate mapping" dans l'AD.

Pour celà:
- Créez un compte ordinateur dans l'AD.
- A l'aide de adsiedit, editez l'attribut ServicePrincipalName et ajoutez
HOST/SubjectField ( remplacez SubjectField par le champ subject présent dans
vos certificats).
- Créez un certificat pour l'ordinateur dans le serveur de certificat.
- Exportez le.
- Importez le sur la machine qui n'est pas dans le domaine.
- Sur ce poste client, créez la clé
HKLMSoftwareMicrosoftEAPOLParametersGeneralGlobal authmode (
décimal, valeur =2)

- Retournez dans Active directory users and computers, faites un click droit
sur l'objet computers et sélectionnez "Name Mapping"
- Importez le certificat précédemment exporté.
- Rebootez le poste client et croisez les doigts pour que ça marche. :-)
sinon activez les logs sur le IAS et regardez où ça coince.

Sinon, vous pouvez également faire du MS-CHAP-v2.

Bon Weekend,
Emmanuel Dreux.

"olivier" wrote in message
news:%
Bonjour

WPA avec authentifaction par le serveur raduis via PEAP.

J'espere avoir bien repondu, je ne suis pas un spécialiste.

Olivier
"Emmanuel Dreux [MS]" a écrit dans le
message
de news:
Bonjour,

quelle authentification avez-vous mis en place?

Cordialement,
Emmanuel Dreux.

"olivier" wrote in message
news:
Bonjour à tous,

Ma config : Windows server 2000 avec IAS.

J'ai configuré le serveur Radius de windows 2000 server pour
authentifier


les stations qui se connectent sur mes points d'acces Wifi.

Aucun probleme pour les utilisateurs de mon domaine (qui sont dans
l'active
directory) mais par contre comment puis je faire pour donner un acces
temporaire à une machine qui ne serait pas dans mon domaine ni dans
l'active
directory ?

Je pense par exemple à un visiteur qui a besoin temporairemnt d'avoir
acces
au reseau.


Merci d'avance pour vos idées.

Olivier











Avatar
Thierry MILLE [MVP]
"olivier" a écrit dans le message de news:

Bonjour à tous,

Ma config : Windows server 2000 avec IAS.

J'ai configuré le serveur Radius de windows 2000 server pour authentifier
les stations qui se connectent sur mes points d'acces Wifi.

Aucun probleme pour les utilisateurs de mon domaine (qui sont dans
l'active
directory) mais par contre comment puis je faire pour donner un acces
temporaire à une machine qui ne serait pas dans mon domaine ni dans
l'active
directory ?

Je pense par exemple à un visiteur qui a besoin temporairemnt d'avoir
acces
au reseau.


Merci d'avance pour vos idées.


Vous pouvez gérer ces utilisateurs de deux manières :
=> créer un compte utilisateur dans AD, l'utilisateur demande ensuite un
certificat utilisateur via IIS (sauf pour Windows Vista qui est incompatible
avec les autorités de certification Microsoft existantes). Eventuellement,
cette opération devra être réalisée depuis le réseau filaire ou par vous
même (création d'un utilisateur générique et exportation du certificat et sa
clé privée dans un fichier PKCS#12 (.pfx) pour une réimportation rapide). Il
faudra aussi ajouter le certificat de l'autorité de certification si votre
autorité de certification n'est pas approuvée par une autorité commerciale.
=> certains points d'accès gèrent aujourd'hui le multi SSID (avec le multi
VLAN). Vous pouvez donc créer (au moins) deux VLAN sur les équipement de
commutation filaire. Les deux VLAN étant isolés par un routeur/pare feu
(avec ISA 2004/6 par exemple). L'un des VLAN n'utilise pas
d'authentification pour l'association au réseau sans fil, il permet par
exemple l'accès à IIS pour la demande de certificats et éventuellement un
accès Internet filtré (uniquement certains ports avec de l'analyse de niveau
7). L'autre VLAN utilisant 802.1x pour l'authentification : il permet
l'accès au réseau de production et Internet. Sans faire de publicité, les
points d'accès DWL-2100AP de D-Link font cela très correctement (testé avec
des switches Cisco et 3Com).

Cordialement

--
Thierry MILLE

Avatar
Emmanuel Dreux [MS]
Bonjour Thierry,

quel est le problème entre Vista et Certificate Services?
Le seul problème que je connais à l'heure actuelle est lié au contrôle
activeX pour s'enroller par le WEB, mais manuellement par MMC celà ne
devrait pas poser de problème.
Voir http://support.microsoft.com/kb/922706/en-us

Pour reprendre la conversation initiée par Olivier, sa demande était liée à
l'authentification de machines, pas des users.

--
Cordialement,
Emmanuel Dreux.


"Thierry MILLE [MVP]" wrote in message
news:%
"olivier" a écrit dans le message de news:

Bonjour à tous,

Ma config : Windows server 2000 avec IAS.

J'ai configuré le serveur Radius de windows 2000 server pour authentifier
les stations qui se connectent sur mes points d'acces Wifi.

Aucun probleme pour les utilisateurs de mon domaine (qui sont dans
l'active
directory) mais par contre comment puis je faire pour donner un acces
temporaire à une machine qui ne serait pas dans mon domaine ni dans
l'active
directory ?

Je pense par exemple à un visiteur qui a besoin temporairemnt d'avoir
acces
au reseau.


Merci d'avance pour vos idées.


Vous pouvez gérer ces utilisateurs de deux manières :
=> créer un compte utilisateur dans AD, l'utilisateur demande ensuite un
certificat utilisateur via IIS (sauf pour Windows Vista qui est
incompatible avec les autorités de certification Microsoft existantes).
Eventuellement, cette opération devra être réalisée depuis le réseau
filaire ou par vous même (création d'un utilisateur générique et
exportation du certificat et sa clé privée dans un fichier PKCS#12 (.pfx)
pour une réimportation rapide). Il faudra aussi ajouter le certificat de
l'autorité de certification si votre autorité de certification n'est pas
approuvée par une autorité commerciale.
=> certains points d'accès gèrent aujourd'hui le multi SSID (avec le multi
VLAN). Vous pouvez donc créer (au moins) deux VLAN sur les équipement de
commutation filaire. Les deux VLAN étant isolés par un routeur/pare feu
(avec ISA 2004/6 par exemple). L'un des VLAN n'utilise pas
d'authentification pour l'association au réseau sans fil, il permet par
exemple l'accès à IIS pour la demande de certificats et éventuellement un
accès Internet filtré (uniquement certains ports avec de l'analyse de
niveau 7). L'autre VLAN utilisant 802.1x pour l'authentification : il
permet l'accès au réseau de production et Internet. Sans faire de
publicité, les points d'accès DWL-2100AP de D-Link font cela très
correctement (testé avec des switches Cisco et 3Com).

Cordialement

--
Thierry MILLE




Avatar
Thierry MILLE [MVP]
"Emmanuel Dreux [MS]" a écrit dans le message
de news:
Bonjour Thierry,

quel est le problème entre Vista et Certificate Services?
Le seul problème que je connais à l'heure actuelle est lié au contrôle
activeX pour s'enroller par le WEB, mais manuellement par MMC celà ne
devrait pas poser de problème.
Voir http://support.microsoft.com/kb/922706/en-us


Effectivement c'est bien là le problème ... passer par une MMC je veux bien,
mais certaines entreprises n'ont pas tous leurs ordinateurs intégrés dans le
domaine AD, tous les utilisateurs n'ont pas les compétences pour utiliser
les MMC, certaines entreprises possèdent déjà des procédures, etc.

Pour reprendre la conversation initiée par Olivier, sa demande était liée
à l'authentification de machines, pas des users.


Oui, mais le but final est l'accès au réseau pour les utilisateurs
*occasionnels*. Je ne pense pas que tous les visiteurs qui passent dans sa
structure soient MCSE ni ne dispose de droits administrateurs sur leur
ordinateurs.

Bien cordialement

--
Thierry MILLE

Avatar
Emmanuel Dreux [MS]
Pour le problème avec Vista, si c'est bloquant , il y a des solutions.

Les pages de WebEnrollment mises à jour pour Vista seront disponibles dans
2003 SP2.
Ceux qui ne peuvent pas attendre peuvent installer les pages d'enrollement
de Longhorn sur le 2003 SP1. ( décrit dans la fiche tec).

--
Cordialement,
Emmanuel Dreux.

"Thierry MILLE [MVP]" wrote in message
news:%
"Emmanuel Dreux [MS]" a écrit dans le
message de news:
Bonjour Thierry,

quel est le problème entre Vista et Certificate Services?
Le seul problème que je connais à l'heure actuelle est lié au contrôle
activeX pour s'enroller par le WEB, mais manuellement par MMC celà ne
devrait pas poser de problème.
Voir http://support.microsoft.com/kb/922706/en-us


Effectivement c'est bien là le problème ... passer par une MMC je veux
bien, mais certaines entreprises n'ont pas tous leurs ordinateurs intégrés
dans le domaine AD, tous les utilisateurs n'ont pas les compétences pour
utiliser les MMC, certaines entreprises possèdent déjà des procédures,
etc.

Pour reprendre la conversation initiée par Olivier, sa demande était liée
à l'authentification de machines, pas des users.


Oui, mais le but final est l'accès au réseau pour les utilisateurs
*occasionnels*. Je ne pense pas que tous les visiteurs qui passent dans sa
structure soient MCSE ni ne dispose de droits administrateurs sur leur
ordinateurs.

Bien cordialement

--
Thierry MILLE




Avatar
Thierry MILLE [MVP]
"Emmanuel Dreux [MS]" a écrit dans le message
de news:
Pour le problème avec Vista, si c'est bloquant , il y a des solutions.

Les pages de WebEnrollment mises à jour pour Vista seront disponibles dans
2003 SP2.
Ceux qui ne peuvent pas attendre peuvent installer les pages d'enrollement
de Longhorn sur le 2003 SP1. ( décrit dans la fiche tec).


Installer des produits Beta en environnent de production sécurisé : c'est
généralement moyen (c'est le moins que l'on puisse écrire à mon humble
avis).

Concernant le SP2 de Windows 2003, les choses ne sont pas claires :
The Windows Server 2003 Certificate Services Web enrollment functionality
relies on an ActiveX control that is named Xenroll. This ActiveX control is
available in Microsoft Windows 2000 and in later versions of Windows.
However, Xenroll has been deprecated in Windows Vista. The sample
certificate enrollment Web pages that are included with the original release
version of Microsoft Windows Server 2003, with Windows Server 2003 Service
Pack 1 (SP1), and with Windows Server 2003 Service Pack 2 (SP2) are not
designed to handle the change in how Windows Vista performs Web-based
certificate enrollment operations.
[...]

The certificate enrollment Web pages are included as an optional component
in the original release version of Windows Server 2003, in Windows Server
2003 Service Pack 1 (SP1), and in Windows Server 2003 Service Pack 2 (SP2).
These Web pages include a script that is based on the Xenroll ActiveX
control. When you visit the certificate enrollment Web site, the client
computer automatically downloads and installs the correct version of Xenroll
if the correct version of Xenroll is not already installed

Encore un peu plus loin :
Windows Server 2003 SP2 certificate enrollment Web pages
Windows Server 2003 SP2 certificate enrollment Web pages have been updated
to detect the certificate enrollment changes in Windows Vista. However,
because of the different release dates for Windows Server 2003 SP2, for
Windows Vista, and for Windows Server "Longhorn," Windows Server 2003 SP2
certificate enrollment Web pages do not recognize the CertEnroll interfaces.
Therefore, if you visit the certificate enrollment Web site by using a
computer that is running Windows Vista, you receive a message that states
that the Web pages must be updated.

sans parler du tableau

Si le SP2 permet réellement de distribuer des certificats, cette fiche doit
être mise à jour.

Ma question : as tu testé l'obtention de certifcats (n'importe quel type)
depuis un Windows Vista à partir d'un serveur Windows 2003 SP2 en beta ?

A bientôt

--
Thierry MILLE

Avatar
Emmanuel Dreux [MS]
Bonjour Thierry,

effectivement, je n'avais pas lu la fiche technique en question qui est
correcte.
En 2003 SP2, les pages d'enrollement détectent si c'est un poste Vista qui
se connecte et dans ce cas retourne un message indiquant de mettre à jour le
site web.
Donc 2003 SP2 n'apporte pas de correctif aux utilisateurs qui demandent un
certificat depuis un poste VISTA.
Si le besoin existe ( à la date d'aujourd'hui Vista n'est pas encore sorti,
mais c'est pour la semaine prochaine !!!), il est possible de remplacer les
pages web d'enrollment de 2003 par celle de Longhorn.

Même ci c'est du bêta, la solution fonctionne et les 2 solutions
concurrentes peuvent être mises en place ( après backup de l'infra existante
bien sûr).
Les pages de Longhorn détectent la version du poste client qui se connectent
et switchent automatiquement entre XEnroll et CertEnroll pour prendre en
charge tous les postes clients.

Pour info, la solution de Longhorn sera disponible en téléchargement sur le
download center de Microsoft pour être installé sur des 2003/SP1/SP2.

Il faut rappeler que ce qui ne marchait pas ici, c'est simplement la
création/récupération d'un certificat Utilisateur par l'interface Web depuis
un poste Vista.
Tout le monde n'est pas impacté ( il reste l'utilisation de la MMC, le
déploiement par AD, la création depuis un autre poste et installation par un
autre moyen).

La création d'un certificat Machine ne sera de toute manière pas possible
par le WEB depuis un poste Vista.
Les certificats machines depuis un poste du domaine seront classiquement
déployés par autoenrollment, et pour les postes hors domaines distribués sur
disquette :-) par exemple.

--
Cordialement,
Emmanuel Dreux.

"Thierry MILLE [MVP]" wrote in message
news:
"Emmanuel Dreux [MS]" a écrit dans le
message de news:
Pour le problème avec Vista, si c'est bloquant , il y a des solutions.

Les pages de WebEnrollment mises à jour pour Vista seront disponibles
dans 2003 SP2.
Ceux qui ne peuvent pas attendre peuvent installer les pages
d'enrollement de Longhorn sur le 2003 SP1. ( décrit dans la fiche tec).


Installer des produits Beta en environnent de production sécurisé : c'est
généralement moyen (c'est le moins que l'on puisse écrire à mon humble
avis).

Concernant le SP2 de Windows 2003, les choses ne sont pas claires :
The Windows Server 2003 Certificate Services Web enrollment functionality
relies on an ActiveX control that is named Xenroll. This ActiveX control
is available in Microsoft Windows 2000 and in later versions of Windows.
However, Xenroll has been deprecated in Windows Vista. The sample
certificate enrollment Web pages that are included with the original
release version of Microsoft Windows Server 2003, with Windows Server 2003
Service Pack 1 (SP1), and with Windows Server 2003 Service Pack 2 (SP2)
are not designed to handle the change in how Windows Vista performs
Web-based certificate enrollment operations.
[...]

The certificate enrollment Web pages are included as an optional component
in the original release version of Windows Server 2003, in Windows Server
2003 Service Pack 1 (SP1), and in Windows Server 2003 Service Pack 2
(SP2). These Web pages include a script that is based on the Xenroll
ActiveX control. When you visit the certificate enrollment Web site, the
client computer automatically downloads and installs the correct version
of Xenroll if the correct version of Xenroll is not already installed

Encore un peu plus loin :
Windows Server 2003 SP2 certificate enrollment Web pages
Windows Server 2003 SP2 certificate enrollment Web pages have been updated
to detect the certificate enrollment changes in Windows Vista. However,
because of the different release dates for Windows Server 2003 SP2, for
Windows Vista, and for Windows Server "Longhorn," Windows Server 2003 SP2
certificate enrollment Web pages do not recognize the CertEnroll
interfaces. Therefore, if you visit the certificate enrollment Web site by
using a computer that is running Windows Vista, you receive a message that
states that the Web pages must be updated.

sans parler du tableau

Si le SP2 permet réellement de distribuer des certificats, cette fiche
doit être mise à jour.

Ma question : as tu testé l'obtention de certifcats (n'importe quel type)
depuis un Windows Vista à partir d'un serveur Windows 2003 SP2 en beta ?

A bientôt

--
Thierry MILLE