Déploiement 802.1X dans un hôpital avec exemptions biomédicales
Un hôpital de 900 agents prépare le déploiement de 802.1X sur 1 200 prises actives. Le parc comprend 450 postes Windows, 80 imprimantes, 200 dispositifs médicaux et 150 smartphones de soignants. La direction veut un VLAN dynamique : VLAN 10 pour les postes, 20 pour le BYOD, 60 pour les imprimantes et 70 pour le biomédical. Un pilote de trois semaines sur le bâtiment administratif, soit 120 prises, utilise un contrôleur RADIUS et des switchs Cisco. Résultats : 18 postes échouent après un changement de mot de passe, 5 imprimantes sont affectées au VLAN 10 au lieu du VLAN 60, et un visiteur a obtenu le VLAN 10 en branchant son portable sur une prise de salle de réunion. Le RSSI refuse le MAB pour tous les dispositifs et demande un fallback ouvert pour ne pas bloquer les soignants. Le projet doit passer en production dans six semaines.
1. Concevez l’arbre de décision d’authentification et d’autorisation pour les quatre catégories de terminaux. Précisez comment traiter les échecs du pilote.
Read the worked answer
Arbre proposé : les postes du domaine utilisent 802.1X avec EAP-TLS basé sur un certificat machine, ou PEAP-MSCHAPv2 avec vérification du certificat serveur ; l’échec après changement de mot de passe doit être analysé dans les journaux RADIUS, car il peut venir d’un cache d’identifiants, d’un supplicant mal configuré ou d’une authentification utilisateur au lieu de machine. Les imprimantes utilisent MAB avec un profil RADIUS limité à leur VLAN 60 et une ACL vers le serveur d’impression ; le fait qu’elles arrivent en VLAN 10 indique un profil d’autorisation erroné ou une MAC absente du groupe, pas nécessairement un échec de MAB. Les dispositifs biomédicaux doivent être recensés avec le fournisseur : MAB avec profilage et ACL stricte est préférable à un fallback ouvert, mais chaque exception doit être validée par écrit. Le BYOD passe par un portail d’onboarding et un VLAN 20 isolé ; un visiteur ne doit jamais obtenir le VLAN 10, donc le fallback ouvert est à supprimer au profit d’un VLAN invité fermé.
2. Le RSSI exige un fallback ouvert pour ne pas bloquer les soignants. Comment répondez-vous tout en sécurisant le déploiement ? Définissez les critères de sortie du pilote.
Read the worked answer
Je reconnais le besoin de continuité de soins, mais un fallback ouvert sur le VLAN 10 revient à désactiver le contrôle d’accès pour tout terminal inconnu. Je propose plutôt un VLAN de secours restreint, par exemple VLAN 90, avec DHCP, accès limité au portail de remédiation et aux serveurs métier strictement nécessaires, puis une file d’attente d’approbation. Les dispositifs critiques peuvent recevoir une exemption MAB documentée, avec MAC, propriétaire, date de revue et ACL. Critères de sortie du pilote : taux d’authentification réussi supérieur à 99 % sur les postes, zéro imprimante hors VLAN 60, aucun visiteur en VLAN 10, journaux RADIUS exploitables, procédure de déblocage testée en moins de 15 minutes et revue des échecs avec le RSSI. Le déploiement doit être progressif par bâtiment, avec une période de supervision en mode monitor avant le mode enforce.