Port Security (802.1X)

Cisco ISE — NAC enterprise 802.1X

Cisco Identity Services Engine (ISE) est la solution NAC enterprise la plus déployée pour l'authentification 802.1X. ISE centralise : l'authentification RADIUS (802.1X pour câblé et Wi-Fi), le profiling des appareils (reconnaissance automatique du type d'appareil par son comportement DHCP, DNS, HTTP User-Agent), le posture assessment (vérification que le poste est conforme aux politiques avant d'accorder l'accès — antivirus à jour, OS patché, chiffrement activé), et la segmentation dynamique (assignation du VLAN ou des Security Group Tags selon l'identité et la conformité du poste). ISE s'intègre avec Active Directory pour l'authentification des utilisateurs domaine, avec les solutions MDM pour le profiling des appareils mobiles, et avec les systèmes de gestion des certificats pour EAP-TLS. Les PME peuvent utiliser des alternatives comme PacketFence (open-source NAC complet) ou Aruba ClearPass.

MAC Address Filtering — limites de la sécurité par adresse MAC

Le filtrage par adresse MAC (MAC Address Filtering) est une mesure de sécurité basique qui autorise uniquement les équipements avec des adresses MAC préalablement enregistrées à se connecter au réseau. Bien que facile à configurer, le filtrage MAC seul est une faible mesure de sécurité car les adresses MAC sont facilement spoofables. Un attaquant qui observe le trafic réseau (avec tcpdump ou Wireshark) peut voir les adresses MAC des équipements autorisés et configurer son propre adaptateur réseau avec une adresse MAC usurpée. Le filtrage MAC peut servir comme mesure complémentaire (defense in depth) mais ne devrait jamais être considéré comme une protection suffisante — le 802.1X avec EAP-TLS est la mesure appropriée pour l'authentification des ports réseau. Depuis iOS 14 et Android 10, les appareils mobiles utilisent des adresses MAC aléatoires par défaut pour préserver la vie privée — ce qui rend le filtrage MAC encore plus difficile à maintenir.

ZTNA et micro-segmentation — au-delà du NAC traditionnel

Les architectures Zero Trust (ZTNA) étendent le modèle NAC au-delà de l'authentification initiale. Dans un modèle NAC traditionnel, une fois authentifié, l'équipement a accès à tout le réseau VLAN correspondant. Dans ZTNA et la micro-segmentation, l'accès est contrôlé à granularité plus fine et de manière continue. La micro-segmentation (NSX-T de VMware, Cisco Secure Workload, Illumio) isole les workloads les uns des autres même au sein du même VLAN — un serveur web ne peut parler qu'aux serveurs d'application spécifiques, pas à tous les serveurs du même réseau. ZTNA (Zscaler Private Access, Cloudflare Access, Cisco Duo Access) vérifie l'identité et la conformité à chaque accès applicatif, pas uniquement à la connexion réseau initiale. Ces approches s'alignent sur le principe Zero Trust : "never trust, always verify".