Windows Server

NPS — Serveur RADIUS

Installer et configurer NPS (Network Policy Server) pour authentifier les utilisateurs du domaine via le protocole RADIUS.

← Retour aux tutoriels Windows
📚 C'est quoi NPS / RADIUS ? NPS (Network Policy Server) est l'implémentation Microsoft du protocole RADIUS (Remote Authentication Dial-In User Service). Il permet de centraliser l'authentification pour les équipements réseau : un switch, un point d'accès Wi-Fi ou un VPN envoie les identifiants de l'utilisateur au serveur NPS, qui vérifie dans Active Directory si l'utilisateur a le droit de se connecter. Résultat : une seule politique de sécurité pour tout le réseau.
ⓘ Prérequis Un serveur Windows Server joint au domaine avec Active Directory fonctionnel. Un équipement réseau compatible RADIUS (switch, borne Wi-Fi, VPN…).
🔐 Architecture NPS / RADIUS ┌────────────────────────────────────────────┐ │ Réseau labo.local │ │ │ │ ┌──────────┐ RADIUS ┌─────────────┐ │ │ │ Switch │───────────▶│ NPS │ │ │ │ ou Borne │◀───────────│ (RADIUS) │ │ │ │ Wi-Fi │ Accept/ │ vérifie AD │ │ │ └─────┬────┘ Reject └──────┬──────┘ │ │ │ │ │ │ ┌─────▼────┐ ┌──────▼──────┐ │ │ │ Client │ │ Active Dir. │ │ │ │ (PC/Tel) │ │ (DC01) │ │ │ └──────────┘ └─────────────┘ │ └────────────────────────────────────────────┘ Client → Switch → NPS vérifie dans AD → Accept/Reject

Installer le rôle NPS

Ouvrez le Gestionnaire de serveur :

  1. Gérer → Ajouter des rôles et fonctionnalités
  2. Sélectionnez Services de stratégie et d'accès réseau
  3. Sous-rôle : Serveur NPS (Network Policy Server)
  4. Cliquez Installer

Enregistrer NPS dans Active Directory

Pour que NPS puisse lire les comptes du domaine, il faut l'enregistrer dans AD :

  1. Ouvrez nps.msc
  2. Clic droit sur NPS (local) → Inscrire le serveur dans Active Directory
  3. Confirmez les deux boîtes de dialogue

Ajouter un client RADIUS

Un client RADIUS est l'équipement réseau qui va envoyer les demandes d'authentification :

  1. Dans la console NPS, développez Clients et serveurs RADIUS
  2. Clic droit sur Clients RADIUS → Nouveau
  3. Renseignez les champs :
Champ Valeur exemple
Nom convivial Switch-Salle-01
Adresse IP 192.168.1.50
Secret partagé MonSecretRadius123!
⚠ Secret partagé Le secret partagé doit être identique sur le serveur NPS et sur l'équipement réseau. Utilisez un mot de passe complexe.

Créer une stratégie réseau

La stratégie définit qui a le droit de se connecter :

  1. Dans NPS, allez dans Stratégies → Stratégies réseau
  2. Clic droit → Nouveau
  3. Nom : Accès Wi-Fi Domaine
  4. Type de serveur : Non spécifié
  5. Condition : Groupes Windows → ajoutez Utilisateurs du domaine
  6. Autorisation : Accès accordé
  7. Méthode d'authentification : MS-CHAPv2 (ou PEAP selon votre besoin)
ⓘ Ordre des stratégies NPS évalue les stratégies dans l'ordre. La première qui correspond est appliquée. Placez vos stratégies les plus restrictives en haut.

Configurer l'équipement réseau

Sur votre switch ou borne Wi-Fi, configurez le serveur RADIUS :

Paramètre Valeur
Serveur RADIUS IP du serveur NPS
Port d'authentification 1812
Port de comptabilité 1813
Secret partagé Même secret que l'étape 3
⚠ Pare-feu Ouvrez les ports UDP 1812 et 1813 dans le pare-feu Windows du serveur NPS (via wf.msc → règle entrante UDP).

Tester et vérifier

Pour vérifier que tout fonctionne :

  1. Connectez un poste au réseau (Wi-Fi ou filaire 802.1X)
  2. Entrez les identifiants du domaine
  3. Vérifiez dans la console NPS : Comptabilité → les logs montrent les demandes Accept/Reject
  4. Dans l'Observateur d'événements → Sécurité, cherchez les ID 6272 (Accept) et 6273 (Reject).
Event ID Signification
6272 Accès accordé (Accept)
6273 Accès refusé (Reject)
✔ Résultat NPS authentifie les utilisateurs du domaine via RADIUS. Les équipements réseau délèguent l'authentification au serveur NPS qui vérifie les identifiants dans Active Directory.

⌨️ Version PowerShell

Retrouvez ci-dessous les commandes PowerShell correspondant à chaque étape du tutoriel.

Étape 1 — Installer NPS

Install-WindowsFeature NPAS -IncludeManagementTools

Étape 2 — Enregistrer dans AD

netsh ras add registeredserver

Étape 5 — Ouvrir les ports RADIUS

New-NetFirewallRule -DisplayName "NPS - RADIUS Auth" -Direction Inbound -Protocol UDP -LocalPort 1812 -Action Allow
New-NetFirewallRule -DisplayName "NPS - RADIUS Acct" -Direction Inbound -Protocol UDP -LocalPort 1813 -Action Allow

Étape 6 — Vérifier les logs

Get-WinEvent -LogName "Security" -MaxEvents 20 |
    Where-Object { $_.Id -eq 6272 -or $_.Id -eq 6273 } |
    Format-Table TimeCreated, Id, Message -Wrap