Le test qui met tout le monde d'accord
Prenez un ordinateur portable personnel, entrez dans une salle de réunion, débranchez le câble du téléphone de table et branchez-le à la place. Dans huit entreprises sur dix, vous obtenez une adresse IP du réseau interne en moins de dix secondes, avec accès aux partages, aux imprimantes et souvent aux serveurs. Aucune authentification, aucune trace exploitable.
Ce constat n'est pas un défaut de configuration : c'est le comportement par défaut d'un réseau commuté. Il a longtemps été acceptable parce que l'accès physique aux locaux faisait office de sécurité. Il ne l'est plus, pour trois raisons convergentes : les prises se sont multipliées jusque dans les halls et les salles de réunion ouvertes aux visiteurs, les prestataires extérieurs interviennent en permanence avec leurs propres machines, et le réseau porte désormais des équipements qui n'ont aucune défense propre — caméras, contrôleurs de porte, capteurs, automates.
Le NAC (Network Access Control) répond à une question simple avant de laisser passer quoi que ce soit : qui es-tu, et qu'as-tu le droit de joindre ? La norme 802.1X en est le mécanisme standard, supporté par tout switch managé sérieux.
Comment cela fonctionne réellement
Trois acteurs entrent en jeu. Le demandeur est l'équipement qui se branche. L'authentificateur est le switch ou la borne Wi-Fi : tant que l'authentification n'a pas réussi, il ne laisse passer que les trames d'authentification, rien d'autre. Le serveur RADIUS tranche, en s'appuyant sur l'annuaire d'entreprise et sur une autorité de certification interne.
Pour un poste de travail géré, l'identification repose sur un certificat machine déployé par stratégie de groupe — pas sur un mot de passe, qui se partage et se vole. La réponse du serveur ne se limite pas à « oui » ou « non » : elle contient l'identifiant du VLAN à appliquer. Un poste de la comptabilité et un poste d'atelier branchés sur la même prise n'atterrissent pas dans le même réseau.
Le vrai sujet : les équipements qui ne savent pas s'authentifier
Une caméra, un lecteur de badge ou un automate ne possèdent pas de client 802.1X. Ils représentent pourtant la majorité de ce qui se branche aujourd'hui.
MAB — authentification par adresse MAC
L'équipement est reconnu à son adresse matérielle, déclarée à l'avance dans une base. C'est le mécanisme de repli, et il faut savoir qu'une adresse MAC se falsifie en une commande. Seul, il ne vaut presque rien.
Profilage comportemental
C'est ce qui rend le MAB acceptable. Le système observe comment l'équipement se comporte — requêtes DHCP, empreinte HTTP, préfixe constructeur, ports ouverts, protocoles utilisés — et vérifie que cela correspond bien à une caméra. Un portable qui usurpe l'adresse MAC d'une caméra ne se comporte pas comme une caméra : il est détecté et mis en quarantaine.
Verrouillage du port
Sur les prises qui ne bougent jamais — caméras en façade, platines extérieures, bornes Wi-Fi — nous verrouillons le port sur une seule adresse et coupons l'interface en cas de changement. C'est brutal et parfaitement adapté à un équipement fixe.
Le scénario que cela empêche : une caméra extérieure est accessible physiquement au pied d'un mur. On la débranche, on branche un boîtier à sa place et on se retrouve sur le réseau. Avec du profilage et un port verrouillé, l'interface passe en quarantaine et une alerte part. Sans, on est à l'intérieur. C'est la raison pour laquelle nous traitons toujours ensemble le NAC et la segmentation des caméras.
Un déploiement qui ne casse rien
Les projets NAC qui échouent ont tous le même symptôme : une mise en application brutale, une matinée de production perdue, et un abandon définitif du sujet.
Inventaire réel, pas déclaratif
Nous branchons une sonde qui recense tout ce qui apparaît sur le réseau pendant plusieurs semaines. Le résultat surprend toujours : des équipements oubliés, des machines personnelles, des boîtiers installés par un prestataire, parfois un point d'accès Wi-Fi privé branché sous un bureau.
Mode observation, sans blocage
802.1X est activé mais n'interdit rien. Le serveur journalise ce qu'il aurait refusé. Cette phase dure quatre à huit semaines et sert à corriger les cas particuliers avant qu'ils ne deviennent des incidents.
Préparation des postes et de l'autorité de certification
Déploiement des certificats machine, configuration du supplicant, traitement des postes hors domaine et des systèmes anciens. C'est la partie la plus longue, et elle appartient autant à l'IT qu'au réseau.
Application progressive, périmètre par périmètre
On commence par les zones les plus exposées — salles de réunion, halls d'accueil, prises accessibles au public — puis par les bâtiments à mesure que les cas particuliers se vident. Un interrupteur global n'existe pas : c'est un déploiement, pas une bascule.
Procédure d'exploitation
Comment ajouter une imprimante, qu'est-ce qu'on fait d'un appareil en quarantaine, qui valide une dérogation. Sans cette procédure écrite, le NAC est contourné en trois mois par des exceptions permanentes.
Ce que le NAC apporte au-delà de la sécurité
| Bénéfice | Ce que cela change concrètement |
|---|---|
| Inventaire permanent | Vous savez enfin ce qui est branché, où, et depuis quand. Cet inventaire alimente la gestion de parc et les audits. |
| Traçabilité | Chaque connexion est horodatée et rattachée à une identité ou à un équipement. En cas d'incident, la recherche prend quelques minutes. |
| Mobilité simplifiée | Un collaborateur retrouve son réseau et ses droits quelle que soit la prise, sur n'importe quel site. Plus de demande de reconfiguration lors d'un déménagement de bureau. |
| Accueil des prestataires | Un accès invité autonome, limité dans le temps, sans ouvrir le réseau interne ni mobiliser l'informatique à chaque visite. |
| Dossier d'assurance | Le contrôle des accès réseau figure dans la quasi-totalité des questionnaires cyber. Pouvoir répondre oui, preuves à l'appui, pèse sur la prime. |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
Questions fréquentes
Faut-il remplacer les switches pour faire du 802.1X ?
Pas nécessairement. Tout switch managé de milieu de gamme des dix dernières années sait faire du 802.1X et du MAB. Les switches non managés, eux, en sont incapables par construction : ils doivent disparaître, ce qui est de toute façon souhaitable. Nous établissons l'inventaire des modèles en place et de leur version logicielle lors de l'audit préalable.
Le NAC fonctionne-t-il aussi en Wi-Fi ?
Oui, et c'est même souvent par là qu'on commence, car le Wi-Fi d'entreprise est plus simple à basculer que le filaire : même serveur RADIUS, même annuaire, même politique. Un SSID d'entreprise en WPA3-Enterprise avec 802.1X et un SSID invité isolé couvrent l'essentiel du besoin de mobilité. Le détail figure sur notre page consacrée au Wi-Fi d'entreprise.
Que se passe-t-il si le serveur RADIUS tombe ?
C'est le point à traiter dès la conception. Deux serveurs sont déployés sur des sites différents, et les switches sont configurés avec un comportement de repli explicite : en cas d'indisponibilité totale, les ports basculent sur un VLAN de secours plutôt que de rester fermés. Autrement dit, une panne d'authentification ne doit jamais devenir une panne de production.
Combien de temps faut-il pour déployer un NAC sur 300 postes ?
Comptez quatre à six mois en comptant la phase d'observation, qui est incompressible si l'on veut éviter les mauvaises surprises. La partie technique — serveur, configuration des switches, certificats — représente quelques semaines. Le reste, ce sont les cas particuliers : machines de production sous systèmes anciens, équipements de mesure, imprimantes exotiques. Ce sont eux qui dictent le calendrier réel.