Contrôle d'accès réseau (NAC) : tout comprendre pour sécuriser votre infrastructure
Mis à jour le 19/07/2026 par Damien Perrin
Le contrôle d'accès réseau (NAC) est aujourd'hui l'un des piliers incontournables de la cybersécurité d'entreprise : il détermine qui peut se connecter à votre réseau, depuis quel appareil, et avec quels droits. Alors que les incidents liés à des accès non autorisés représentent une part significative des violations de données recensées chaque année par l'ANSSI, comprendre le NAC n'est plus réservé aux DSI des grands groupes — c'est une réalité qui touche désormais les PME, les cabinets médicaux et même les artisans connectés.
Qu'est-ce que le contrôle d'accès réseau (NAC) ?
Le contrôle d'accès réseau (NAC) est une approche de sécurité informatique qui conditionne l'accès à un réseau à la vérification préalable de l'identité de l'utilisateur et de la conformité de son équipement. En clair : avant qu'un ordinateur portable, un smartphone ou une imprimante connectée ne puisse communiquer sur votre réseau d'entreprise, le système NAC vérifie si cet appareil respecte les règles de sécurité définies par votre organisation.
Le terme NAC est l'acronyme de Network Access Control. Il désigne à la fois la politique de sécurité (l'ensemble des règles) et les outils techniques qui permettent de l'appliquer automatiquement. La définition de référence publiée par le NIST (National Institute of Standards and Technology) positionne le NAC comme un mécanisme permettant d'autoriser, de restreindre ou de bloquer l'accès réseau en fonction de l'identité et de l'état de sécurité de l'entité qui se connecte.
Pour faire simple : imaginez une porte dont la serrure ne s'ouvre pas uniquement avec une clé, mais seulement si cette clé est authentique et si la personne qui la présente dispose bien d'un badge à jour, d'une tenue réglementaire et d'une habilitation valide. C'est exactement ce que fait le NAC, mais pour les équipements informatiques.
Les trois questions auxquelles répond le NAC
| Question | Ce que vérifie le NAC |
|---|---|
| Qui êtes-vous ? | Identité de l'utilisateur (authentification) |
| Quel est votre appareil ? | Conformité de l'équipement (antivirus à jour, OS patché…) |
| Que pouvez-vous faire ? | Droits d'accès accordés (segmentation réseau) |
Comment fonctionne une solution NAC ?
Une solution NAC fonctionne en interceptant chaque tentative de connexion au réseau, en évaluant l'identité et la posture de sécurité de l'équipement, puis en appliquant automatiquement une politique d'accès adaptée. Le processus se déroule en plusieurs étapes séquentielles, généralement transparentes pour l'utilisateur final.
Étape 1 — Détection de la connexion Dès qu'un équipement tente de rejoindre le réseau (via câble Ethernet, Wi-Fi ou VPN), le système NAC intercepte cette demande. Il peut s'appuyer sur des standards ouverts comme le protocole 802.1X défini par l'IEEE, ou sur des agents logiciels installés sur les postes.
Étape 2 — Authentification L'utilisateur et/ou l'appareil sont authentifiés. Cela peut passer par un identifiant et un mot de passe, un certificat numérique, ou une combinaison des deux (authentification multifacteur). Le NAC s'interface généralement avec un annuaire d'entreprise de type Active Directory ou LDAP.
Étape 3 — Évaluation de la posture de sécurité C'est la spécificité majeure du NAC : il ne suffit pas d'être « qui vous dites être ». L'équipement est également scanné pour vérifier qu'il respecte les politiques de sécurité en vigueur : antivirus actif et à jour, système d'exploitation correctement patché, chiffrement du disque activé, absence de logiciels interdits, etc.
Étape 4 — Décision et application de la politique Selon les résultats, le système prend l'une de trois décisions :
- Accès complet : l'équipement est conforme et l'utilisateur est autorisé.
- Accès en quarantaine : l'équipement présente des non-conformités ; il est isolé dans un réseau restreint (VLAN de remédiation) où il ne peut accéder qu'aux ressources de mise à jour.
- Accès refusé : l'équipement ou l'utilisateur ne satisfait pas aux critères minimaux.
---
Quels sont les composants clés d'un système NAC ?
Un déploiement NAC s'articule autour de plusieurs briques technologiques complémentaires. Les comprendre permet de mieux évaluer une solution et d'anticiper les contraintes d'intégration.
Le serveur de politiques (Policy Server)
C'est le cerveau du système. Il centralise les règles de sécurité, les profils d'accès et les décisions d'autorisation. Dans la plupart des architectures modernes, ce composant est intégré à une solution de type RADIUS (Remote Authentication Dial-In User Service), protocole standardisé par l'IETF.
Les points d'application (Enforcement Points)
Ce sont les équipements réseau qui appliquent concrètement les décisions du serveur de politiques : commutateurs (switches) gérés, bornes Wi-Fi, pare-feux, concentrateurs VPN. Leur capacité à supporter le standard 802.1X est un prérequis technique important.
L'agent de vérification (NAC Agent)
Il s'agit d'un logiciel léger installé sur les postes de travail, qui collecte les informations de conformité (état de l'antivirus, version de l'OS, présence de certificats…) et les transmet au serveur de politiques. Certaines solutions proposent également un mode « sans agent » (agentless) qui interroge les équipements à distance, utile pour les appareils IoT ou les terminaux personnels (BYOD).
L'annuaire d'identités
Le NAC s'appuie sur un référentiel d'identités existant — généralement Microsoft Active Directory dans les environnements Windows — pour vérifier les droits des utilisateurs et les affecter aux bons profils d'accès.
Les VLAN de segmentation
La segmentation réseau par VLAN (Virtual Local Area Network) est le mécanisme concret par lequel le NAC isole les équipements non conformes ou accorde des accès différenciés. Un visiteur se verra par exemple automatiquement affecté à un VLAN « invités » donnant uniquement accès à Internet, sans aucune visibilité sur les serveurs internes.
---
Pourquoi le NAC est-il indispensable aujourd'hui ?
Le NAC est devenu indispensable parce que le périmètre réseau traditionnel n'existe plus : les employés se connectent depuis chez eux, avec leurs propres appareils, via des connexions non maîtrisées, et les objets connectés prolifèrent dans tous les environnements professionnels. Sans contrôle d'accès réseau, chaque équipement non géré est une porte d'entrée potentielle pour un attaquant.
Plusieurs tendances de fond rendent le sujet urgent :
- L'explosion du BYOD (Bring Your Own Device) : les collaborateurs utilisent leurs smartphones et ordinateurs personnels pour accéder aux ressources de l'entreprise, souvent sans que le service informatique en soit informé.
- La multiplication des objets connectés (IoT) : imprimantes, caméras IP, capteurs industriels, systèmes de contrôle d'accès physique — tous ces équipements se connectent au réseau sans toujours disposer des mêmes capacités de sécurité qu'un poste de travail classique.
- Le travail hybride : les collaborateurs alternent entre bureau, domicile et espaces de coworking, multipliant les points de connexion potentiellement compromis.
- La sophistication des attaques latérales : une fois qu'un attaquant a pied sur un équipement non contrôlé, il peut se déplacer latéralement sur le réseau et atteindre des données sensibles. La segmentation imposée par le NAC limite considérablement ce risque.
Chez nous, sur le terrain lyonnais, nous accompagnons régulièrement des clients — cabinets d'experts-comptables, cliniques vétérinaires, petites manufactures — qui ont découvert après coup qu'une caméra IP bon marché installée par un prestataire extérieur était restée connectée à leur réseau principal pendant des mois, avec un accès total aux partages de fichiers. Ce type de situation est évitable avec un NAC correctement configuré.
---
Quels types d'entreprises ont besoin du NAC ?
Toute organisation disposant d'un réseau informatique avec plusieurs utilisateurs ou équipements peut bénéficier d'un contrôle d'accès réseau. Cependant, certains contextes rendent son déploiement particulièrement prioritaire.
Les établissements de santé
Les données médicales sont parmi les plus sensibles et les plus ciblées par les ransomwares. Les hôpitaux et cliniques disposent en outre d'un parc d'équipements médicaux connectés (IRM, moniteurs, pompes à perfusion) qui ne peuvent généralement pas être mis à jour comme un PC classique. Le NAC permet d'isoler ces équipements dans des segments réseau dédiés.
Les PME avec accès visiteurs fréquents
Un cabinet d'architecture, un bureau d'études ou un espace de coworking reçoit régulièrement des partenaires, clients et prestataires qui souhaitent se connecter au Wi-Fi. Sans NAC, l'accès visiteur est soit totalement ouvert (risque majeur), soit absent (contrainte opérationnelle). Le NAC permet de proposer un accès Internet uniquement, automatiquement, sans configuration manuelle à chaque visite.
Les environnements industriels (OT/IT)
La convergence entre les réseaux informatiques (IT) et les réseaux opérationnels (OT — automates, robots, systèmes de supervision) est une réalité croissante. Le NAC permet de maintenir une segmentation stricte entre ces deux mondes et d'éviter qu'une compromission informatique n'atteigne des systèmes de production critiques.
Les organisations avec télétravail massif
Dès lors que des collaborateurs se connectent depuis des postes non gérés par le service informatique, la question de la conformité de ces équipements devient centrale. Une solution NAC avec vérification de posture à l'entrée du VPN est une réponse directe à ce risque.
Pour aller plus loin sur la sécurisation physique de vos accès, vous pouvez consulter notre guide sur la sécurité des accès et contrôle d'entrée pour entreprises sur lsv-lyon-serrurier.fr qui aborde la complémentarité entre sécurité physique et logique.
---
Comment choisir et déployer une solution NAC ?
Choisir une solution NAC doit être un processus structuré, pas un achat d'impulsion. Voici les étapes que nous recommandons, issues de retours d'expérience concrets sur des déploiements de taille variée.
1. Cartographier l'existant
Avant toute chose, inventoriez les équipements présents sur votre réseau. Vous serez souvent surpris du nombre d'appareils connectés sans que personne ne le sache officiellement. Des outils de découverte réseau comme Nmap (open source) peuvent vous aider à établir cet inventaire.
2. Définir vos politiques d'accès
Qui doit accéder à quoi ? Listez vos profils utilisateurs (administrateurs, employés, prestataires, visiteurs) et définissez pour chacun les ressources auxquelles ils doivent avoir accès. C'est cette politique qui sera implémentée dans le NAC.
3. Évaluer la compatibilité de votre infrastructure réseau
Votre infrastructure existante (switches, bornes Wi-Fi) supporte-t-elle le protocole 802.1X ? Si ce n'est pas le cas, vous aurez le choix entre moderniser votre infrastructure ou opter pour une solution NAC utilisant d'autres mécanismes d'application (agents logiciels, inspection de trafic).
4. Choisir entre solution on-premise et cloud
Les solutions NAC traditionnelles s'installent sur des serveurs physiques ou virtuels dans votre datacenter. Les solutions modernes proposent une architecture cloud ou hybride, plus simple à déployer et à maintenir. Pour les PME sans équipe IT dédiée, l'option cloud managée sera généralement plus adaptée.
5. Planifier un déploiement progressif
Ne basculez jamais en mode bloquant du premier jour. Commencez en mode monitoring (observation uniquement, sans blocage), ce qui vous permettra d'identifier les équipements non conformes avant de les bloquer. Passez en mode application stricte progressivement, segment par segment.
Les principales solutions du marché
Parmi les solutions reconnues dans l'industrie, on peut citer Cisco ISE (Identity Services Engine), Aruba ClearPass, Forescout, ou encore PacketFence (solution open source). Le choix dépendra de votre taille, de votre budget et de votre infrastructure existante. Pour un accompagnement sur la sécurisation globale de vos locaux, notre équipe propose également un diagnostic de sécurisation de vos accès physiques et logiques sur lsv-lyon-serrurier.fr.
Points de vigilance lors du déploiement :
- Ne négligez pas les équipements sans agent (imprimantes, IoT, équipements médicaux) qui nécessitent une stratégie de profilage spécifique
- Prévoyez une procédure de remédiation claire pour les utilisateurs dont l'équipement est mis en quarantaine
- Documentez vos politiques d'accès et maintenez-les à jour lors de chaque changement organisationnel
- Auditez régulièrement les journaux d'accès pour détecter les anomalies
Questions fréquentes
Q: Le NAC est-il adapté aux petites entreprises ? R: Oui, mais avec une solution proportionnée. Les PME de moins de 50 postes peuvent opter pour des solutions NAC intégrées à leur équipement réseau (certains switches et bornes Wi-Fi Wi-Fi managés incluent des fonctions NAC basiques) ou des solutions cloud à abonnement mensuel, bien moins coûteuses qu'un déploiement on-premise traditionnel.
Q: Quelle est la différence entre NAC et pare-feu ? R: Le pare-feu contrôle les flux de données entre des segments réseau déjà constitués (il filtre ce qui entre et sort). Le NAC intervient en amont : il détermine si un équipement a le droit de rejoindre le réseau, et dans quel segment. Les deux sont complémentaires et non interchangeables.
Q: Le NAC peut-il gérer les appareils personnels (BYOD) ? R: Oui, c'est même l'un de ses cas d'usage principaux. Le NAC peut appliquer une politique spécifique aux appareils personnels : accès Internet uniquement, ou accès à certaines applications via un portail dédié, sans jamais donner accès aux ressources internes de l'entreprise.
Q: Le standard 802.1X est-il obligatoire pour déployer un NAC ? R: Non. Le 802.1X est le standard le plus répandu et le plus robuste, mais certaines solutions NAC utilisent d'autres mécanismes : agents logiciels sur les postes, inspection passive du trafic réseau (fingerprinting), ou portail captif pour les équipements sans agent. Le 802.1X offre cependant le niveau de contrôle le plus élevé.
Q: Combien coûte une solution NAC ? R: Les coûts varient très largement selon la taille de l'organisation et la solution choisie. Une solution open source comme PacketFence peut être déployée sans coût de licence (mais avec des coûts d'intégration et de maintenance). Les solutions commerciales sont généralement facturées par nombre d'équipements contrôlés, de quelques euros à plusieurs dizaines d'euros par équipement et par an. Demandez systématiquement des devis comparatifs incluant les coûts de déploiement et de support.
Q: Le NAC ralentit-il la connexion réseau des utilisateurs ? R: En pratique, l'impact est imperceptible pour l'utilisateur final dans une architecture bien conçue. L'authentification et la vérification de posture se font en quelques secondes lors de la connexion initiale. Une fois connecté, l'utilisateur ne ressent aucune latence supplémentaire liée au NAC.
---
Damien Perrin — Serrurier et rédacteur conseil à Lyon. Fort de plus de dix ans d'expérience sur le terrain lyonnais, Damien Perrin accompagne particuliers et professionnels sur la sécurisation de leurs accès, physiques comme numériques, avec la conviction que la vraie sécurité est celle qu'on comprend avant d'en avoir besoin.
