Filtrage d'adresses pour les services RADIUS

Pour plus de sécurité, il est possible de limiter l'accès aux services RADIUS en saisissant une adresse IP pour un adaptateur de réseau particulier ou en ajoutant une liste d'adresses IP (pour les serveurs VPN, par exemple). Cela permet d'empêcher les hôtes non autorisés d'accéder aux services RADIUS.

Important : À partir de la version 2.28.0 de l'agent Okta RADIUS Server, celui-ci applique une politique de refus par défaut pour les connexions des clients. Lors d'une nouvelle installation, l'agent n'écoute sur aucun port tant que vous n'avez pas configuré une liste verte d'adresses IP clientes afin de préciser les clients autorisés à se connecter. Si vous effectuez une mise à niveau à partir d'une version antérieure à la version 2.28.0, votre configuration existante est conservée.

Pour configurer le filtrage d'adresses :

Accédez au fichier config.properties situé dans le dossier d'installation de l'application RADIUS. Si l'application a été installée avec les paramètres par défaut, le chemin d'accès au fichier est le suivant :
```
C:\Program Files (x86)\Okta\Okta RADIUS Agent\current\user\config\radius\
```
Sauvegardez le fichier de configuration afin de pouvoir restaurer le fichier en cas d'erreurs de modification.
Ouvrez le fichier config.properties avec n'importe quel éditeur de texte.
Facultatif. Pour limiter l'accès à un adaptateur de réseau, ajoutez l'entrée suivante au fichier. Remplacez <IP address> par l'adresse IP que vous souhaitez utiliser :
```
ragent.network.bind = <IP address>
```
Par exemple, pour accepter une connexion où 10.10.10.110 est l'adresse IP de l'adaptateur, saisissez :
```
ragent.network.bind = 10.10.10.110 
```
Si votre agent RADIUS est en version 2.28.0 ou ultérieure : ajoutez l'entrée suivante au fichier afin de limiter l'accès des clients pour toutes les applications RADIUS configurées sur cet agent. Remplacez chaque <IP address> par l'adresse IP que vous souhaitez utiliser :
```
ragent.client_ip_allow_list = <IP address>, <IP address>, <IP address>
```
Les valeurs suivantes sont autorisées :
- Le symbole * (autoriser n'importe quel client).
- Liste des adresses IP séparées par des virgules.
- Une valeur de none, deny ou aucune valeur attribuée (l'agent n'écoutera pas sur ce port).
Si la version de votre agent RADIUS est comprise entre 2.14.0 et 2.28.0, il est recommandé de procéder à une mise à niveau. Pour ce faire, ajoutez l'entrée suivante au fichier afin de limiter l'accès des clients. Remplacez chaque <IP address> par l'adresse IP que vous souhaitez utiliser :
```
ragent.network.accept.allow_list = <IP address>, <IP address>, <IP address>
```
Par exemple, pour accepter les paquets d'un client qui utilise 10.10.10.15, 10.10.10.16, ou 10.10.10.17 :
```
ragent.network.accept.allow_list = 10.10.10.15, 10.10.10.16, 10.10.10.17
```
A faire : ragent.network.accept.white_list était obsolète dans la version 2.14.0 de l'agent RADIUS. Elle a été remplacé par ragent.network.accept.allow_list dans les versions 2.14.0 à 2.28.0.
Recommandé. Ajoutez l'entrée suivante au fichier pour les organisations disposant de plusieurs applications RADIUS sur cet agent, afin d'autoriser des clients différents pour chaque application. Remplacez chaque <IP address> par l'adresse IP que vous souhaitez utiliser :
```
ragent.client_ip_allow_list.<port> = <IP address>, <IP address>
```
Par exemple, pour autoriser des clients différents sur deux applications, saisissez ce qui suit :
```
ragent.client_ip_allow_list.1812 = 10.0.0.5,10.0.0.6
ragent.client_ip_allow_list.1645 = 10.0.1.10
```
Enregistrez le fichier et redémarrez le service okta-radius pour que vos modifications prennent effet.
Pour vérifier sur quels ports l'agent est à l'écoute, consultez le fichier journal de l'agent :
- Une entrée INFO indique qu'un port est réservé à certaines adresses IP.
- Une entrée WARN indique qu'un port autorise n'importe quel client ( *).
- Un message affichant Not listening on port(s)... indique un port ne disposant d'aucune liste verte valide.
Non recommandé. Si vous souhaitez conserver le comportement de votre agent RADIUS tel qu'il était dans les versions antérieures à la 2.28.0, ajoutez l'entrée suivante dans le fichier :
```
fileragent.client_ip_allow_list = *
```