La plupart des réseaux d’entreprise reposent encore sur une hypothèse implicite : ce qui est branché sur une prise ou associé au Wi-Fi interne est légitime. Cette confiance héritée du modèle périmétrique est aujourd’hui le point faible le plus banal des systèmes d’information. Un poste personnel, une caméra mal maîtrisée, un équipement de prestataire ou une machine oubliée suffisent à ouvrir un chemin d’attaque au coeur du réseau. Le contrôle d’accès réseau, ou NAC (Network Access Control), existe précisément pour supprimer cette confiance par défaut.
Cet article décrit ce qu’est réellement un NAC, comment le protocole 802.1X en constitue le socle, comment traiter le parc non géré qui fait la difficulté du projet, et comment un déploiement se conduit sans couper des équipements légitimes. La grille de lecture reste celle d’un RSSI en exercice : ce qui protège vraiment, ce qui relève du discours commercial, et ce que la réglementation attend.
Qu’est-ce que le NAC (contrôle d’accès réseau) ?
Le NAC est un ensemble de politiques et de mécanismes qui décident, avant tout accès au réseau, quels équipements et quels utilisateurs sont admis, sur quel segment, et sous quelles conditions de sécurité. Là où un pare-feu filtre les flux une fois les machines connectées, le NAC agit en amont, au moment de l’admission, et vérifie en continu que l’équipement reste conforme.
Concrètement, un NAC répond à trois questions que la majorité des organisations ne savent pas trancher en temps réel : qu’est-ce qui est branché sur mon réseau, cet équipement a-t-il le droit d’y être, et dans quel état de sécurité se trouve-t-il. La première question relève de la visibilité et du profilage. La deuxième relève de l’authentification et de l’autorisation. La troisième relève de l’évaluation de posture (système à jour, agent de sécurité actif, chiffrement présent).
Cette problématique n’est pas théorique. Selon le Panorama de la cybermenace 2024 de l’ANSSI, plus de la moitié des opérations de cyberdéfense les plus engageantes de l’agence en 2024 ont eu pour origine l’exploitation de vulnérabilités affectant des équipements situés en bordure du système d’information. Un contrôle d’accès réseau rigoureux ne corrige pas ces vulnérabilités, mais il limite la capacité d’un attaquant à pivoter latéralement une fois un premier point d’entrée obtenu, en isolant les équipements par politique plutôt que de leur ouvrir un accès plat.
Comment fonctionne le 802.1X
Le 802.1X est la norme IEEE qui porte l’authentification au niveau du port réseau. Elle définit trois rôles qu’il faut distinguer clairement pour comprendre un projet NAC.
- Le supplicant : le logiciel présent sur l’équipement qui demande l’accès (un poste Windows, macOS ou Linux, un smartphone). C’est lui qui présente les identifiants ou le certificat.
- L’authenticator : le commutateur d’accès ou le point d’accès Wi-Fi. Il maintient le port dans un état non autorisé et ne relaie que le trafic d’authentification tant que la décision n’est pas prise.
- Le serveur d’authentification : un serveur RADIUS qui reçoit la demande, vérifie l’identité auprès de l’annuaire, et renvoie une décision d’autorisation, éventuellement accompagnée d’attributs (VLAN d’affectation, règles de filtrage).
Le dialogue s’appuie sur EAP (Extensible Authentication Protocol), dont plusieurs variantes coexistent. EAP-TLS, fondé sur des certificats côté client et serveur, offre le niveau de sécurité le plus élevé car il élimine les secrets partagés et résiste au vol d’identifiants. PEAP et EAP-TTLS, fondés sur un identifiant et un mot de passe dans un tunnel chiffré, sont plus simples à déployer mais héritent des faiblesses des mots de passe. Le choix de la méthode EAP structure l’ensemble du projet, car il conditionne la gestion des certificats ou des annuaires.
La RFC 3580 précise l’usage de 802.1X avec RADIUS, notamment l’affectation dynamique de VLAN par le serveur. C’est ce mécanisme qui permet à un NAC de placer automatiquement un poste conforme sur son VLAN métier et un équipement inconnu sur un VLAN de quarantaine, sans reconfiguration manuelle du commutateur.
NAC et 802.1X : la distinction à ne pas confondre
L’erreur la plus fréquente en phase d’avant-vente consiste à assimiler NAC et 802.1X. Le tableau suivant clarifie les périmètres respectifs.
| Dimension | 802.1X | NAC |
|---|---|---|
| Nature | Protocole d’authentification au port | Fonction de sécurité et politique globale |
| Portée | Le moment de la connexion | Admission, posture, segmentation, remédiation |
| Décide de | L’identité est-elle valide | Quel accès accorder et l’ajuster dans le temps |
| Traite les équipements sans agent | Non (nécessite un supplicant) | Oui, via MAB et profilage |
| Standard de référence | IEEE 802.1X | Pas de norme unique, ensemble de pratiques |
Un déploiement 802.1X sans stratégie NAC se limite à un contrôle binaire. Un NAC sans 802.1X repose sur des mécanismes plus faibles (filtrage par adresse MAC seule, agents postaux). Les deux se complètent : 802.1X fournit l’authentification robuste, le NAC apporte l’intelligence de décision, la couverture du parc non géré et la remédiation.
Le parc non géré : la vraie complexité
Dans un réseau réel, une part importante des équipements ne sait pas parler 802.1X : imprimantes, caméras IP, téléphones, capteurs, automates industriels, terminaux de badgeage. Ces équipements n’ont pas de supplicant et ne présenteront jamais de certificat. C’est sur eux que se concentre l’essentiel de l’effort d’un projet NAC.
Deux mécanismes complémentaires les prennent en charge. Le MAC Authentication Bypass (MAB) authentifie l’équipement par son adresse matérielle lorsqu’il ne répond pas au 802.1X. Utilisé seul, le MAB est faible, car une adresse MAC se falsifie. On le renforce donc par le profilage : le NAC observe le comportement réseau de l’équipement (empreinte DHCP, requêtes, protocoles utilisés, en-têtes) pour confirmer qu’une adresse déclarée comme imprimante se comporte effectivement comme une imprimante, et non comme un poste qui usurpe son identité.
Les équipements ainsi identifiés sont placés dans des VLAN dédiés et isolés, sans accès aux ressources sensibles. Cette approche rejoint directement les enjeux de la sécurité des systèmes industriels OT et ICS, où la cohabitation d’automates anciens et de réseaux informatiques impose une segmentation stricte que le NAC contribue à automatiser.
Modes de déploiement : surveillance, faible impact, bloquant
Un NAC ne s’active jamais en mode bloquant du jour au lendemain sur un réseau en production. La méthode éprouvée repose sur trois paliers successifs.
Le mode surveillance (monitor) : le NAC authentifie et profile, mais n’applique aucune décision de blocage. Le trafic passe normalement. Cette phase, qui dure souvent plusieurs mois, sert à découvrir la réalité du parc : combien d’équipements non gérés, combien de postes mal configurés, quels cas particuliers. C’est la phase la plus précieuse et la plus souvent écourtée à tort.
Le mode faible impact (low-impact) : le NAC commence à appliquer des règles mais laisse un accès minimal aux équipements non authentifiés, par exemple vers un portail de mise en conformité ou des services essentiels. On réduit progressivement cet accès résiduel.
Le mode bloquant (closed) : aucun accès n’est accordé sans authentification réussie ou affectation contrôlée. C’est l’objectif cible, atteint site par site et VLAN par VLAN, jamais en une seule bascule globale.
Cette progression est la principale garantie contre l’incident classique du NAC : couper des équipements légitimes, y compris des postes de production ou des équipements médicaux, faute d’avoir cartographié le parc au préalable.
Accès invités et BYOD : le portail captif
Le NAC est aussi le mécanisme qui encadre proprement les accès temporaires et les équipements personnels. Un visiteur, un prestataire ou un collaborateur qui branche son propre appareil ne doit jamais atterrir sur le réseau interne de production. Le NAC redirige ces connexions vers un portail captif, une page d’authentification web où l’utilisateur s’identifie ou reçoit un accès limité et journalisé.
Ce traitement répond à deux besoins distincts. Pour les invités, l’objectif est un accès Internet cloisonné, sans visibilité sur les ressources internes, avec une traçabilité de qui s’est connecté et quand. Pour le BYOD, c’est-à-dire les équipements personnels des collaborateurs, l’enjeu est plus fin : autoriser un accès conditionnel à certaines ressources tout en imposant une posture minimale (système à jour, verrouillage actif) et en isolant ces appareils dans un segment dédié. Sans NAC, ces populations se retrouvent trop souvent sur le même réseau que les serveurs, ce qui annule toute logique de segmentation. Le portail captif transforme une pratique subie en accès gouverné et auditable.
Filaire, Wi-Fi et accès distant : une politique unifiée
Le NAC ne prend sa pleine valeur que s’il applique une politique cohérente sur tous les points d’entrée du réseau. Le 802.1X fonctionne aussi bien sur les ports filaires des commutateurs que sur les points d’accès Wi-Fi, ce qui permet d’imposer la même exigence d’authentification quelle que soit la façon dont un équipement se connecte. Un poste conforme obtient le même VLAN métier qu’il soit branché sur une prise ou associé au réseau sans fil, et un équipement inconnu est placé en quarantaine dans les deux cas.
Cette unification évite l’angle mort classique où le filaire est contrôlé mais le Wi-Fi laissé ouvert, ou l’inverse. Elle se prolonge logiquement vers l’accès distant : la même exigence de posture et d’identité qui gouverne l’admission sur site doit s’appliquer aux connexions à distance, où le relais est assuré par des mécanismes de type ZTNA plutôt que par le NAC lui-même. La cohérence entre ces couches est ce qui distingue un contrôle d’accès réseau réellement structurant d’un simple filtrage local. Une politique fragmentée, différente selon le média d’accès, laisse toujours une porte que l’attaquant finit par trouver.
NAC, Zero Trust et micro-segmentation
Le NAC est souvent présenté comme la matérialisation du Zero Trust côté réseau. La formule est en partie juste et en partie trompeuse. Le NAC apporte deux briques essentielles du modèle : l’identification systématique des équipements et une première segmentation dynamique. Il supprime la confiance implicite accordée à une prise réseau, ce qui est précisément l’un des piliers de la démarche Zero Trust en cinq étapes.
Mais le NAC seul ne suffit pas à parler de Zero Trust. Le modèle défini par le NIST SP 800-207 exige une vérification continue au niveau de chaque ressource et de chaque application, pas seulement à l’admission réseau. Le NAC contrôle l’entrée sur le réseau ; il ne décide pas, ressource par ressource, si telle session applicative doit être autorisée. Cette granularité relève d’autres briques, comme le ZTNA décrit dans notre analyse de la modernisation du réseau avec SASE et SD-WAN.
La complémentarité est également forte avec la gestion des identités. Une authentification réseau ne vaut que si l’identité qui la porte est fiable. Le NAC gagne donc à s’articuler avec une stratégie d’authentification forte MFA et une gouvernance des identités et des accès privilégiés IAM et PAM. Sans identités maîtrisées, le NAC filtre des équipements portés par des comptes eux-mêmes vulnérables.
Pourquoi le contrôle d’accès réseau redevient prioritaire
Deux dynamiques remettent le NAC au premier plan des feuilles de route RSSI. La première est la prolifération des équipements connectés non maîtrisés, portée par l’Internet des objets et la convergence des réseaux informatiques et industriels. Chaque équipement ajouté sans contrôle élargit la surface d’attaque.
La seconde est la persistance du facteur humain et de la latéralisation dans les compromissions. Le Data Breach Investigations Report 2024 de Verizon attribue 68 % des compromissions étudiées à un facteur humain non malveillant, comme une erreur de configuration ou l’ouverture d’un contenu piégé. Une fois ce premier accès obtenu, la capacité de l’attaquant à se déplacer dépend directement de la platitude du réseau. Un NAC qui segmente et isole réduit mécaniquement la portée d’un incident, en transformant un réseau plat en une série de compartiments dont le franchissement doit être justifié.
Feuille de route de déploiement en six étapes
Un projet NAC se conduit méthodiquement pour éviter la rupture de service.
- Inventaire et cartographie : recenser les équipements, les commutateurs compatibles 802.1X, les VLAN existants et les flux critiques. La qualité de l’inventaire conditionne tout le reste.
- Choix de la méthode d’authentification : décider entre EAP-TLS par certificats (plus robuste, plus exigeant en gestion de PKI) et méthodes par mot de passe, et prévoir le MAB pour le parc non géré.
- Mise en place du point de décision : déployer ou raccorder un serveur RADIUS adossé à l’annuaire d’identité, définir les politiques d’affectation de VLAN et de posture.
- Phase de surveillance : activer le NAC en mode observation sur un périmètre pilote, mesurer le taux d’équipements non authentifiés, corriger les cas particuliers.
- Bascule progressive : passer en mode faible impact puis bloquant, site par site, en maintenant un portail de remédiation pour les équipements non conformes.
- Exploitation et revue : intégrer les journaux du NAC au SIEM, réviser régulièrement les politiques de posture et de segmentation, traiter les nouveaux équipements par exception documentée.
Cette démarche s’inscrit naturellement dans un durcissement plus large de l’infrastructure d’authentification, notamment la sécurisation de l’Active Directory, qui reste le référentiel d’identité sur lequel s’appuie la majorité des serveurs RADIUS.
NAC et conformité NIS2
La directive NIS2 impose aux entités essentielles et importantes des mesures techniques de gestion des risques, parmi lesquelles le contrôle d’accès, la segmentation et la maîtrise des actifs. Le NAC apporte une réponse directe à plusieurs de ces exigences : il matérialise le contrôle d’accès au niveau réseau, il fournit une segmentation dynamique documentée, et il alimente l’inventaire des actifs connectés que la plupart des textes réglementaires attendent.
La CNIL rappelle également que l’authentification des utilisateurs et des équipements constitue une mesure de sécurité de base attendue au titre du RGPD. Un NAC produit des journaux d’admission et d’affectation qui servent de preuve d’audit, aussi bien pour NIS2 que pour la démonstration de la conformité RGPD. La valeur du NAC en matière de conformité ne réside pas seulement dans le contrôle qu’il applique, mais dans la traçabilité qu’il génère.
Pour une organisation qui structure sa mise en conformité, le NAC s’intègre dans une trajectoire plus vaste décrite dans notre guide NIS2 pour l’entreprise, où il constitue l’une des mesures concrètes de la couche réseau.
Points de vigilance avant de lancer un projet
Plusieurs écueils reviennent systématiquement et méritent d’être anticipés.
- Sous-estimer le parc non géré : les imprimantes, caméras et automates représentent souvent la moitié des équipements et la totalité de la difficulté. Le profilage doit être testé avant toute bascule.
- Écourter la phase de surveillance : sans plusieurs mois d’observation, la bascule en mode bloquant coupe des équipements légitimes et discrédite le projet auprès des métiers.
- Négliger la gestion des certificats : EAP-TLS impose une PKI opérationnelle. Un déploiement sans processus de renouvellement des certificats crée une dette qui se paie en incidents de connexion.
- Isoler le NAC de la détection : les journaux du NAC ne prennent leur valeur qu’intégrés à la supervision. Un NAC qui ne remonte rien au SOC est un contrôle aveugle.
- Confondre visibilité et contrôle : voir tous les équipements est nécessaire mais insuffisant. Tant qu’aucune politique n’est appliquée, le NAC reste un inventaire, pas une défense.
Le NAC n’est pas un produit que l’on active, c’est une discipline de gouvernance du réseau qui s’installe dans la durée. Sa réussite dépend moins du choix de l’éditeur que de la qualité de l’inventaire initial, de la patience de la phase d’observation et de l’articulation avec les identités et la détection. Bien conduit, il transforme un réseau où tout ce qui est branché est admis en un réseau où chaque équipement doit prouver son droit d’accès, ce qui reste l’un des gains de sécurité les plus tangibles à l’échelle d’un système d’information.