Outil CAT d’eduroam pour les administrateurs de service IdP

L’outil CAT d’eduroam : but et portée

Une autre page propose un téléchargement plus léger pour les appareils mobiles aux ressources limitées.

2. Inscrire l’organisation à l’assistant CAT d’eduroam

3. 3 Configurer les propriétés de l’organisation

Toutes ces informations sont facultatives, autant que possible. Si vous préférez ne pas fournir la totalité des détails réclamés, CAT créera quand même un installateur. Néanmoins, pour obtenir les meilleurs résultats, soyez aussi précis que vous le pouvez.

Deux principes régissent la saisie et le stockage de l’information dans l’interface utilisateur de l’administrateur.

1. L’information textuelle est proposée dans plusieurs langues. Néanmoins, on devrait toujours choisir l’option « default/other languages » (langue par défaut/autres langues), car elle s’alignera avec la langue principale employée pour communiquer avec les membres de la communauté. Par la suite, vous pourrez sélectionner d’autres langues de façon à offrir des options multilingues.

2. L’organisation peut utiliser un ou plusieurs profils EAP, chacun configuré à sa façon (si on n’applique pas le même EAP aux comptes des étudiants à ceux des employés, par exemple). Beaucoup d’options de l’assistant CAT d’eduroam peuvent être appliquées à l’ensemble de l’organisation ou à un profil spécifique.

Remarque. Si on applique un paramètre aux deux niveaux, c’est le profil le plus spécifique qui l’emportera sur celui s’appliquant à toute l’organisation.

Lorsque vous reviendrez à la page « Edit IdP » (modifier l’IdP), à partir de la page « Organization Overview » (aperçu de l’organisation), les textes explicatifs auront été condensés afin de ne pas alourdir l’interface utilisateur.

Trois des quatre éléments mentionnés précédemment peuvent être configurés sur la première page. Les paramètres RADIUS et EAP le seront sur une page différente, à la partie « Profile configuration » (configuration du profil).

3.2.1 Généralités

Cette section présente les propriétés communes de l’institution. Vous pourrez y téléverser son logo et rectifier son nom, s’il y a lieu.

3.2.2 Coordonnées du service de dépannage

Les coordonnées indiquées ici correspondent à celles du service de dépannage par défaut. Elles s’appliqueront aux profils sur lesquels les coordonnées n’ont pas déjà été précisées.

3.2.3 Propriétés du média

Les propriétés du média supportant eduroam à l’institution peuvent toutes être configurées ici.

Le SSID « eduroam » des accès WPA2/AES est toujours configuré, car il figure au cœur même de la spécification eduroam. Pas besoin donc de le saisir ici.

Remarque. Les versions antérieures de l’assistant CAT comportaient déjà un profil WPA/TKIP. Ces versions étant désuètes, les nouveaux installateurs supprimeront ce profil lors de l’installation.

Voici les autres éléments que vous pouvez configurer à la partie « Media ».

Autre SSID pour les accès WPA2/AES

Si vous déployez d’autres SSID ayant des identifiants eduroam valides, ajoutez-les ici et ils seront configurés en même temps que le SSID eduroam.

Cet attribut peut être fixé si on envisage de configurer un SSID en plus des SSID par défaut d’eduroam. Nous préconisons toutefois vivement que vous vous en teniez aux SSID par défaut, sauf pour les emplacements où le signal radio chevauche celui d’un autre point d’accès sans fil eduroam.

Se dire « Je préfère un SSID local pour mes utilisateurs » est une erreur classique, à l’origine des SSID supplémentaires. En réalité, il vaut mieux utiliser le SSID par défaut et séparer les groupes d’utilisateurs avec des réseaux locaux virtuels (VLAN). Cette approche est préférable pour les deux raisons que voici :

1) les utilisateurs configureront eduroam de la bonne manière parce qu’ils se serviront quotidiennement de ce SSID;

2) si vous utilisez un nom spécial et en vantez la plus grande sécurité, tôt ou tard, l’utilisateur se retrouvera dans un lieu dont le SSID est identique et il se trompera en croyant se connecter à un réseau super sûr, alors que ce n’est pas le cas.

Hotspot 2.0 / Passpoint Consortium OI

Si vous voulez activer Passpoint et disposez d’un Consortium Organization Identifier (identifiant de membre d’un consortium), saisissez-les ici. Le Consortium OI d’eduroam est 001BC50460. Pour l’instant, il n’est pas activé par défaut. Du côté de l’utilisateur, les paramètres configurant Passpoint ne fonctionneront que sur les tout derniers appareils d’Apple (iOS 7+ et matériel assez récent, version récente de Mac OS X).

Configuration ou non de l’Ethernet câblé pour IEEE 802.1X

Certains participants d’eduroam utilisent aussi IEEE 802.1X avec les ports Ethernet câblés disponibles sur place (dans un dortoir, par exemple). L’administrateur pourra spécifier que l’installateur devrait inclure la configuration eduroam pour l’Ethernet câblé sur les appareils de l’utilisateur. Les installateurs Windows et OS X d’Apple l’autorisent. L’installateur Windows lancera une invite UAC dès qu’on recourt à un accès câblé.

Remarque. L’Ethernet câblé est configuré en plus du service eduroam sans fil. Les profils avec accès câblé devraient donc respecter les mêmes normes de configuration que ceux du service sans fil.

Désactivation du SSID des portails captifs après la configuration d’eduroam

Beaucoup de participants d’eduroam déploient plusieurs SSID : un SSID pour un portail captif d’aide, le téléchargement de profils ou les instructions sur la configuration, par exemple (réseau d’initialisation ou d’accueil) en sus du réseau eduroam proprement dit. Si l’utilisateur s’est déjà connecté au réseau d’initialisation, son appareil s’en souviendra et pourrait privilégier ce réseau au détriment du réseau eduroam. Pour l’éviter, vous pouvez configurer le nom du SSID du réseau d’initialisation et l’outil CAT soit le supprimera, soit empêchera que l’appareil s’y connecte automatiquement au moment de l’installation. Au Canada, nous préconisons l’usage du SSID « eduroam-assist » pour les activités d’accueil, surtout avec les appareils du genre « ordinateur portable », souvent privés de la connectivité de secours par cellulaire. Si vous envisagez cette solution, vous pourrez configurer la suppression de la connexion par défaut au SSID eduroam-assist ici, même si l’organisation n’a pas encore établi le réseau en question. Cette mesure vous épargnera simplement un surcroît de travail par la suite et aidera les utilisateurs qui pourraient vouloir configurer leur appareil ailleurs.

Détection automatique

Cette méthode créera un nouveau profil et s’efforcera d’extraire les renseignements qui serviront à remplir le certificat du serveur RADIUS. Nous recommandons vivement que vous vous en serviez pour le point d’entrée initial.

Remarque. La détection automatique pourrait nécessiter que le serveur RADIUS ait un identifiant valide. Cependant, certains serveurs fourniront les informations requises même avec un identifiant comme [email protected] (modifiez-le en fonction de votre plateforme).

La détection automatique affichera la page du profil et il vous suffira de valider ou de modifier les paramètres qui s’y trouvent.

Configuration/Validation manuelle

Pour établir un profil, donnez-lui d’abord un nom et une description. Il existe aussi une option importante : « Production-Ready ». Si vous ne la sélectionnez pas, nous ne publierons pas les installateurs créés sur la page de téléchargement de l’utilisateur. L’idée est de prévenir le téléchargement accidentel d’un installateur dont les informations sont incomplètes et dont la configuration n’est pas définitive.

La détection automatique remplira le domaine RADIUS du profil, mais vous pourrez y apporter des modifications, s’il y a lieu.

L’inscription du domaine est facultative, mais nous la recommandons fortement, car elle nous permettra de vérifier très méticuleusement l’installation RADIUS par la suite (lire la partie « Vérifier ma configuration RADIUS » pour en savoir plus). Le domaine est également nécessaire pour soutenir les identités anonymes extérieures sur certains appareils. Sans lui, vous ne pourrez pas non plus saisir les identités anonymes extérieures que vous procurera subséquemment CANARIE.

Remarque. Windows de Microsoft attribue automatiquement le domaine de l’identité intérieure de l’utilisateur à son identité extérieure.

Par ailleurs, on peut se servir du domaine pour s’assurer que l’identifiant de l’identité intérieure est bien configuré (il doit correspondre à [email protected] ou à [email protected], selon la méthode retenue pour les identités intérieures).

Pour protéger les renseignements personnels de l’utilisateur, nous recommandons vivement que vous activiez les identités extérieures anonymes.

Les organisations canadiennes doivent être configurées avec une identité extérieure anonyme sous le format anonymeXXXXXX, où XXXXXX correspond au numéro que l’équipe eduroam de CANARIE vous a attribué. Ceci indique que le profil CAT a bien été configuré et nous (CANARIE) signale, ainsi qu’aux administrateurs de l’institution (vous), que les utilisateurs appliquent le profil CAT.

Si vous préférez que les utilisateurs du profil ne reçoivent pas d’installateur, indiquez-nous simplement que ces utilisateurs doivent être réacheminés vers votre page d’aide (si, en tant qu’administrateur, vous souhaitez produire les installateurs et les télécharger vous-même en les offrant sur votre page d’aide eduroam).

Le troisième point concernant la création de profils concerne le type d’EAP configuré pour ce groupe d’utilisateurs sur le serveur RADIUS. Si la détection automatique ne fonctionne pas ou si vous devez modifier des valeurs, les protocoles EAP supportés peuvent être glissés-déposés dans la partie verte du haut. La liste affiche les protocoles par préférence. Par conséquent, assurez-vous de les classer dans l’ordre désiré (ceux que vous préférez au sommet).

L’outil CAT comparera toujours les protocoles EAP indiqués ici aux capacités de l’appareil à configurer. Si l’appareil accepte le type d’EAP préféré, l’installateur sera adapté à cet EAP. Si l’EAP que vous privilégiez ne fonctionne pas sur l’appareil, l’outil CAT parcourra la liste jusqu’à ce qu’il trouve le bon protocole et créera l’installateur en fonction de celui-ci. Si aucun des EAP supportés ne fonctionne sur l’appareil, le CAT ne pourra créer d’installateur. Dans ce cas, nous vous recommandons de reconfigurer RADIUS afin qu’il accepte d’autres types d’EAP.

La configuration selon le type d’EAP est l’un des deux principaux paramètres associé à l’utilisation du profil CAT. C’est aussi la base même de son fonctionnement. Peu d’appareils proposent cette configuration à l’utilisateur. Si on ne procède pas à cette configuration, un point d’accès indésirable pourrait installer une méthode d’authentification avec un EAP insécure et subtiliser les justificatifs d’identité.

3.3.1 Précisions sur l’EAP

Les propriétés communes à la configuration des EAP installés sur le serveur RADIUS peuvent être téléversées ou validées (s’il y a eu détection automatique) à la partie « EAP Details » (précisions sur l’EAP).

Les précisions requises pour la plupart des EAP sont les suivantes :

1. Certificat(s) de l’autorité de certification (CA) qui a signé le certificat du serveur EAP.
   1. Toujours inclure la CA racine (signalée par un « R » à côté des indications relatives au certificat, après le téléversement)
   1. Possibilité d’inclure les CA intermédiaires (signalées par un « I » à côté des indications sur le certificat, après le téléversement)
2. Nom du serveur spécifié dans le nom commun (CN), sur le certificat du serveur EAP

Pour éviter les problèmes avec certains appareils, nous suggérons à l’organisation d’appliquer le même CN à tous ses serveurs RADIUS. Lire la page d’aide sur les certificats (en anglais) pour en savoir plus.

Remarque 1 – Certificat du serveur

Téléverser le certificat du serveur est inutile. En effet, la validité de ce certificat est relativement brève et il n’est transmis que durant l’échange des EAP, quand la connexion avec le client est établie. Par contre, le certificat de la CA est ESSENTIEL, car c’est l’outil de confiance qui, sur l’appareil de l’utilisateur, vérifiera le certificat du serveur entrant et évitera la réinstallation du profil CAT sur l’appareil à chaque actualisation du certificat.

Remarque 2 – Exigences relatives à la CA

Le système d’exploitation de certains appareils applique des exigences particulières aux certificats de la CA et aux certificats des serveurs qu’il accepte. Pour en savoir plus, on lira la page d’information sur les considérations relatives au certificat du serveur EAP(en anglais).

Remarque 3 – Changement de certificat

On peut téléverser simultanément plusieurs certificats de la CA racine dans l’assistant CAT, ce qui permettra de passer d’un à l’autre sans délai. Les appareils des utilisateurs configurés à l’avance avec le futur certificat de la CA racine ne remarqueront pas le changement du certificat du serveur de l’ancienne à la nouvelle racine de confiance, tant et aussi longtemps que le nom commun du serveur reste le même.

Toutes les CA racine seront installées sur le système d’exploitation client et recevront le sceau de confiance. Toutefois, l’ancienne appli CAT d’eduroam (versions 4.3 à 7 d’Android) n’installera qu’un seul certificat. On ne pourra donc s’en servir pour le changement de certificat. Avec les versions Android 8+, on utilisera plutôt l’appli geteduroam. Autre possibilité : mettre les utilisateurs d’Android à l’écart le temps que les autres utilisateurs reçoivent le jeu de racines de confiance. Il suffira de créer un profil différent pour les utilisateurs d’Android (voir la partie qui suit) et de n’y installer que la CA racine souhaitée.

Remarque 4 – Modification de la racine de confiance

Signalons qu’après une modification de la racine de confiance, tous les appareils devront appliquer de nouveau leur profil CAT avec l’installateur afin que l’authentification reprenne de façon sécuritaire, une fois l’ancienne racine de confiance supprimée.

3.3.2 Modification des paramètres généraux de l’IdP

Les étapes qui précèdent terminées, vous pouvez saisir ou remplacer les propriétés du service de dépannage et du média, si cela n’a pas déjà été fait dans les paramètres généraux de l’organisation (voir plus haut). Si vous avez saisi une option s’appliquant à l’ensemble de l’organisation et saisissez quelque chose de différent ici, les paramètres du profil l’emporteront sur ceux de l’organisation.

Ensuite, l’outil CAT vérifie la configuration par mesure de sécurité et signale les problèmes éventuels. La console « Organization » (organisation) s’affiche. De là, vous pourrez continuer à télécharger les installateurs, modifier des détails sur l’organisation ou le profil, procéder à des vérifications de sécurité et ainsi de suite.

4. Produire un installateur pour les utilisateurs

La page « Organization » (organisation) de la console donne un aperçu de votre configuration.

L’outil CAT créera un installateur à partir de ces données (et de celles spécifiques au profil). Pour accéder aux installateurs, cliquez « Installer Fine-Tuning and Download » (réglage et téléchargement de l’installateur) dans le profil que vous avez établi.

Vous arriverez à une page donnant un aperçu des installateurs disponibles. Ceux-ci sont affichés sous forme de tableau indiquant les types d’EAP activés – c.-à-d. les appareils que l’outil CAT a détectés – et s’il existe un installateur pour les différentes combinaisons.

	L’installateur est prêt. Un bouton en permet le téléchargement.
	L’outil CAT pourrait créer un installateur pour cette combinaison, mais en a engendré un pour un autre type d’EAP, jugé préférable.
	L’outil CAT ignore comment configurer le type d’EAP pour cet appareil.
	Des informations manquent pour que l’outil CAT puisse créer un installateur. Revenez aux paramètres de l’IdP ou du profil et complétez les champs manquants.
	Vous avez établi une « exception » et l’outil CAT ne peut offrir cette combinaison à l’utilisateur, même s’il existe en principe un installateur (voir le paragraphe suivant pour des explications).

Scénarios particuliers

1. Vous aimeriez communiquer quelque chose de spécial à vos utilisateurs. Les conseiller sur le genre de mot de passe convenant à EAP-TTLS ou leur indiquer à quel secrétariat s’adresser pour obtenir le certificat client EAP-TLS, par exemple.
2. Les Smartphones d’Apple sont interdits sur le campus et vous aimeriez le signaler à vos utilisateurs.

Solutions

Voici ce que vous pourriez faire dans une situation de ce genre.

1. Ajouter du texte libre pour certains EAP ou appareils. Le texte s’affichera sur la page avant que débute le téléchargement.
2. S’il s’agit d’un appareil, vous pourriez spécifier le site vers lequel l’utilisateur doit être réacheminé. En établissant cela, l’outil CAT ne générera pas de bouton « télécharger » mais acheminera l’utilisateur vers l’URL spécifié. Cette solution pourrait avoir son utilité si vous disposez, par exemple, d’un installateur spécial ou commercial pour certains appareils et préférez ne pas recourir aux services CAT pour ces appareils. Avec cette option, le fond pour l’appareil concerné s’affichera en blanc, dans le tableau (voir la saisie d’écran ci-dessus).

À présent, vous pouvez cliquer les boutons « télécharger » et commencer à utiliser les installateurs qui ont été créés. La même chose est possible sur les appareils qui ont été réacheminés. Même si l’utilisateur ne reçoit pas d’installateur CAT, l’administrateur pourrait quand même préférer l’ajouter à ses propres pages d’aide eduroam.

5. Afficher l’installateur sur la page de téléchargement de l’utilisateur

Vous seul déterminez quels installateurs CAT, s’il y en a, apparaîtront sur la page de téléchargement de l’utilisateur et quand ces installateurs deviendront visibles.

Les possibilités sont les suivantes.

• Afficher le profil EAP mais réacheminer l’utilisateur vers votre page d’aide (bref, signaler l’existence d’un installateur, mais n’autoriser aucun téléchargement sur la page publique). Cette option peut être établie sur la page du profil (voir la saisie d’écran).

• Afficher le profil EAP avec l’installateur, mais réacheminer l’utilisateur de certains appareils vers votre page d’aide. Cette option est possible avec la commande « Redirect » (réacheminer), dans le tableau qui énumère les différents appareils et permet de régler les installateurs (voir la partie qui précède).
• Afficher tous les installateurs.

Ces trois possibilités exigent que vous confirmiez avoir saisi tous les détails et vérifié que le profil est prêt à être appliqué. Les précisions relatives au déploiement de l’EAP ne s’afficheront pas tant que vous n’aurez pas attribué la valeur production-ready aux données en ajoutant cette option aux propriétés du profil.

L’icône « statut » de la page fournissant des informations sur le profil (voir la saisie d’écran) indique la visibilité de l’EAP après déploiement. Elle sera verte si l’EAP est affiché et jaune s’il ne l’est pas. En survolant l’icône jaune avec la souris, on obtiendra une explication indiquant pourquoi le profil n’a pas été affiché.

6. Vérifier la configuration de RADIUS

Indiquer le domaine utilisé avec eduroam dans l’outil CAT active un service supplémentaire. En effet, l’assistant CAT peut envoyer une sonde numérique dans l’infrastructure d’eduroam pour déterminer s’il est possible d’atteindre le domaine de votre serveur RADIUS. Pour effectuer ce test, cliquez Check realm reachability (vérifier si le domaine est accessible). La page Overview (aperçu) s’affichera pendant que diverses vérifications s’effectuent à l’arrière-plan.

Les tests prendront un certain temps et leurs résultats vous donneront une idée détaillée du fonctionnement de votre serveur RADIUS dans l’univers d’eduroam.

Tests effectués

• Vérification du DNS pour déterminer si le domaine signale les enregistrements NAPTR et autorise la recherche dynamique du serveur par TLS et, si c’est le cas, pour déterminer si les données DNS sont exactes (si vous ne savez pas ce qu’est la recherche dynamique, parlez-en à l’exploitant de votre fédération nationale – c’est cool!). Si les vérifications du DNS réussissent, l’outil CAT tentera de se connecter aux cibles du serveur découvertes lors de la recherche dynamique. Ensuite, il transmettra une série de certificats, valides ou pas, et vérifiera si le serveur réagit de la bonne façon à la réception de chacun.

• Résultats des essais d’authentification effectués quand on clique « Check realm reachability » (vérifier si le domaine est accessible) : personne ne sera contacté (puisqu’on ne connaît pas les identifiants des utilisateurs); cependant, même si l’authentification est vouée à l’échec, l’outil CAT effectuera plusieurs diagnostics qui vous diront si tout fonctionne bien.

Les résultats signaleront les problèmes auxquels il faut remédier, par exemple :

• s’il faut plus que cinq secondes pour authentifier le domaine, ce qu’on juge suspicieux;
• si le serveur peut envoyer et recevoir des fragments du protocole UDP (certains pare-feu les filtrent mal);
• si le serveur agit bizarrement quand il reçoit certains attributs RADIUS couramment présents dans les demandes d’authentification (CANARIE vous contactera si c’est le cas du vôtre);
• si la structure de votre serveur, de la CA intermédiaire et de la CA racine est correcte et valide [ces vérifications sont minutieuses et couvrent tout ce qui est décrit sur la page EAP Server Considerations (en anglais)].

Voici ce qui s’afficherait habituellement si le certificat de votre serveur date des « années 1990 » (bref, n’a pas été actualisé conformément aux recommandations et aux exigences relatives au certificat des serveurs).

Si utiliser brièvement les identifiants de vrais comptes avec l’outil CAT ne vous effraie pas (seulement dans le cadre d’un essai pour déboguer le système), vous pourriez aussi effectuer une authentification positive, ce qui permettra à l’outil de porter d’autres diagnostics.

7. Autres fonctionnalités

8. Remplacer le certificat CA racine du serveur RADIUS

9. Obtenir de l’aide sur l’outil CAT d’eduroam