Alert list

Je suis un utilisateur eduroam

  • Je n'arrive pas à me connecter au réseau wifi eduroam

    Vous avez configuré votre appareil à l'aide de eduroam CAT (https://cat.eduroam.org/) ou de l'application geteduroam (https://www.geteduroam.app/), mais la connexion échoue toujours ?

    Que faire ?

    Veuillez contacter le support informatique de votre établissement d'origine.

    Pourquoi ?

    Ce sont les administrateurs de votre propre établissement qui gèrent vos identifiants, votre mot de passe et vos droits d'accès. Ils sont les seuls à pouvoir diagnostiquer précisément l'origine du blocage (compte bloqué, mot de passe obsolète, problème de profil, etc.).

  • Votre appareil indique qu'il est bien connecté au réseau eduroam, mais vous ne parvenez pas à naviguer sur Internet ou à accéder à vos applications ?

    Que faire ?

    Veuillez contacter le support informatique de votre établissement d'accueil (le site ou le campus où vous vous trouvez actuellement).

    Pourquoi ?

    Bien que vos identifiants soient validés par votre établissement d'origine, c'est l'établissement d'accueil qui fournit l'infrastructure physique, attribue les adresses IP et gère les autorisations de routage vers Internet. Leurs administrateurs réseau sont les seuls à pouvoir vérifier l'état du réseau local, résoudre un éventuel problème de DNS ou lever un blocage sur les flux sortants.

  • Problème de connexion eduroam pour les utilisateurs du CNRS
    Rappel de périmètre : RENATER opère l'infrastructure nationale de fédération eduroam mais ne gère aucun compte utilisateur. La création, la validation et la gestion des comptes relèvent uniquement de votre établissement.

    Pour toute question, activation de compte ou problème d'authentification, veuillez vous adresser directement au service support dédié du CNRS :

    👉 Rendez-vous sur le portail officiel eduroam du CNRS : https://eduroam.cnrs.fr/

    Depuis cette plateforme, vous pouvez :

    • Activer votre compte ou réinitialiser votre mot de passe ;
    • Télécharger l'assistant de configuration automatique CAT et consulter les guides d'installation ;
    • Déposer une demande d'assistance via le gestionnaire de tickets E-dem Eduroam® (moyen privilégié) ou contacter l'équipe support par courriel à eduroam@services.cnrs.fr.
    Si vous contactez l'assistance du CNRS, pensez à préciser votre identifiant complet (de la forme ab12cd@eduroam.cnrs.fr), la date et l'heure précises de vos tentatives ainsi que le système d'exploitation de votre équipement.

Je suis un administrateur eduroam

  • Je n'ai pas accès à la page d'administration eduroam

    Le guichet d'administration est accessible à l'adresse suivante : https://services.eduroam.fr .

    Pour pouvoir vous y connecter, votre adresse e-mail doit être enregistrée en tant que correspondant technique du service eduroam sur le portail PASS https://pass.renater.fr.

    Marche à suivre en cas de blocage :

    - Vérifiez vos informations : Rapprochez-vous de votre administrateur PASS pour vous assurer que votre adresse e-mail est bien enregistrée et qu'elle est strictement identique à celle que vous utilisez pour vous connecter.

    - Prenez en compte le délai de mise à jour : Lors de l'ajout ou de la modification de l'adresse e-mail d'un correspondant technique, un délai de 24 heures est nécessaire pour que la synchronisation avec le portail d'administration eduroam soit effective.

    L'authentification au guichet d'admin se fait via la fédération d'identités Éducation-Recherche. Assurez-vous que votre établissement en est adhérent. Si l'accès au guichet échoue cela peut être dû à un problème de renvoi d'attribut par votre IdP SAML. Au besoin rapprochez-vous du gestionnaire de votre IdP SAML.

    Pour les établissements non connectés à la fédération d'identités Éducation-Recherche, vous pouvez utiliser un compte sur le service de Comptes Réseaux Universels (avec le même email que dans le portail PASS : évitez les alias) et l'utilisez pour vous authentifier au guichet.

  • Demander un accès administrateur à eduroam CAT

    Pour que votre établissement puisse administrer ses profils dans l'outil eduroam CAT (Configuration Assistant Tool), vous devez disposer des droits d'administration délégués.

    Il existe deux méthodes pour obtenir ou attribuer cet accès :

    Méthode 1 : Ajout autonome depuis le portail d'administration eduroam (Recommandé)

    Si votre établissement est déjà enregistré et actif sur eduroam, avec au moins un serveur radius d'enregistré, la gestion des accès administrateurs s'effectue directement depuis le guichet national.

    1. Première activation pour l'établissement

    Lorsque votre structure n'est pas encore synchronisée avec la plateforme CAT :

    1. Connectez-vous sur le portail d'administration : services.eduroam.fr.
    2. Sélectionnez votre établissement, puis rendez-vous sur l'onglet OUTIL CAT.
    3. Cliquez sur le bouton bleu Activer CAT pour cet établissement.
    4. Cette action déclenche l'envoi automatique d'un courriel d'activation contenant un jeton d'invitation à l'ensemble des référents techniques du service mobilité enregistrés dans PASS.

    2. Ajout ultérieur d'un administrateur CAT

    Une fois le service synchronisé, vous pouvez déléguer l'administration à d'autres collaborateurs :

    1. Les personnes à ajouter doivent au préalable être déclarées comme correspondants techniques du service mobilité sur le portail PASS (délai de synchronisation habituel de 24h).
    2. Rendez-vous sur l'onglet OUTIL CAT du portail services.eduroam.fr.
    3. Dans la section Liste des Administrateurs CAT, sélectionnez le contact dans le menu déroulant.
    4. Cliquez sur le bouton vert Ajouter un administrateur CAT.
    5. Un courriel contenant le lien d'invitation est immédiatement transmis à l'intéressé pour lui permettre de créer et lier son compte sur cat.eduroam.org.

    Gestion des administrateurs CAT sur services.eduroam.fr

    Méthode 2 : Demande d'assistance auprès de RENATER (Secours)

    Si l'onglet n'est pas disponible, si votre établissement n'apparaît pas encore dans CAT ou si l'ajout automatique échoue :

    1. Rendez-vous sur le guichet d'assistance RENATER : assistance.renater.fr.
    2. Ouvrez un ticket en précisant :
      • L'objet de votre demande : Demande d'accès administrateur eduroam CAT.
      • Le nom officiel ainsi que le realm de votre établissement.
      • L'adresse électronique du correspondant technique demandeur.
    3. Le support RENATER vous transmettra manuellement par courriel un ticket / jeton d'activation.
    Validation du lien d'activation (action requise sous 24h)

    Quelle que soit la méthode employée, l'administrateur reçoit un courriel d'invitation :

    • Correspondance stricte de l'adresse e-mail : L'adresse électronique du correspondant technique doit être strictement identique à celle enregistrée pour le référent technique du service mobilité sur le portail PASS et sur le guichet services.eduroam.fr (n'utilisez aucun alias ni adresse secondaire).
    • Délai strict : Le lien d'activation est à usage unique et doit obligatoirement être validé sous 24 heures.
    • Cliquez sur le lien reçu pour lier votre compte administrateur :
      • Sélectionnez l'onglet eduGAIN si votre établissement dispose d'un IdP SAML référencé.
      • Sélectionnez l'onglet expérimental » CRU Accounts si vous utilisez un compte CRU (avec la même adresse e-mail).
    Une fois le lien validé, vos droits sont immédiatement actifs et vous pouvez configurer les profils EAP de votre établissement sur cat.eduroam.org.
  • Quand faut-il modifier son profil eduroam CAT ?

    L'outil eduroam CAT (Configuration Assistant Tool) et l'application geteduroam génèrent les installateurs déployés sur les équipements de vos utilisateurs. Modifier un profil impose des actions côté clients, c'est pourquoi il convient d'identifier précisément les cas nécessitant une mise à jour.

    Cas nécessitant une modification de votre profil CAT

    Vous devez obligatoirement mettre à jour votre profil sur la plateforme cat.eduroam.org si vous vous trouvez dans l'une des situations suivantes :

    • Changement de méthode EAP : Modification de la méthode d'authentification configurée sur votre serveur RADIUS (ex. : passage de PEAP à EAP-TLS ou EAP-TTLS).
    • Changement de realm : Évolution ou ajout d'un domaine d'authentification pour vos usagers (ex. : bascule de @etud.univ.fr vers @univ.fr).
    • Changement d'AC et/ou de CN : Bascule vers une nouvelle Autorité de Certification (ex. : migration TCS Sectigo vers HARICA) et/ou modification du nom de machine (*Common Name* / FQDN) porté par le certificat serveur.
    • Modification des options réseau : Changement des paramètres associés au profil (ajout/suppression d'un SSID secondaire, activation du support filaire 802.1X, intégration d'OpenRoaming, etc.).
    Impact usagers :
    Dès lors qu'une modification est apportée au profil CAT, l'ensemble de vos utilisateurs doit impérativement télécharger et réinstaller le profil (via l'application geteduroam ou le portail CAT) pour que les nouveaux paramètres soient appliqués sur leur appareil.

    Cas où aucune modification n'est requise

    Un simple renouvellement périodique du certificat serveur sur votre serveur RADIUS ne nécessite aucune intervention dans CAT, sous réserve que :

    • L'Autorité de Certification racine (AC) reste strictement la même.
    • Le *Common Name* (CN) et les *Subject Alternative Names* (SAN) du certificat demeurent identiques.

    Dans cette situation, l'opération est totalement transparente pour vos utilisateurs : le nouveau certificat est validé automatiquement par l'autorité racine déjà présente et approuvée dans leur profil Wi-Fi.

    Pages associées :
  • Comment changer d'Autorité de Certification sur un serveur RADIUS eduroam ?

    1. Contexte

    La sécurité du réseau Wi-Fi eduroam repose sur des méthodes EAP encapsulant les échanges d'authentification RADIUS au sein d'un tunnel sécurisé TLS.

    Les terminaux des utilisateurs (supplicants) contrôlent l'authenticité du serveur RADIUS en validant sa chaîne de confiance auprès de l'Autorité de Certification (AC) déclarée dans leur profil Wi-Fi.

    En cas de changement d'AC (par exemple lors de la migration du service TCS de Sectigo vers HARICA), tous les appareils des utilisateurs dont le serveur d'authentification bascule sur un certificat émis par la nouvelle AC doivent impérativement être mis à jour sous peine de rupture immédiate d'accès.

    Renouvellement avec la même AC :
    Cette procédure s'applique uniquement lors d'un changement d'Autorité de Certification racine. Si vous renouvelez simplement le certificat de votre serveur RADIUS auprès de la même AC (avec une autorité racine et un nom d'hôte/CN identiques), aucune action n'est requise côté clients ni dans eduroam CAT. Le nouveau certificat serveur sera automatiquement validé par l'AC racine déjà présente sur les postes usagers.
    Ce changement d'autorité peut être anticipé et déployé progressivement pour limiter au maximum l'impact sur les usagers.

    2. Principe de transition sans coupure

    Les systèmes d'exploitation des postes clients et l'utilitaire eduroam CAT / geteduroam autorisent la déclaration de plusieurs autorités de certification racines ou intermédiaires au sein d'un même profil.

    En intégrant la nouvelle AC dans vos profils en amont tout en conservant l'ancienne, vous offrez une période de transition transparente : les utilisateurs réinstallent leur profil sans que leur accès ne soit perturbé, puis la bascule effective du certificat sur le serveur RADIUS se déroule sans aucune action supplémentaire de leur part.

    3. Procédure étape par étape

    Étape 1 : Obtenir le nouveau certificat et sa chaîne

    • Générez une CSR conforme (ECC 256 bits recommandé ou RSA 2048 bits minimum).
    • Récupérez votre nouveau certificat serveur ainsi que la chaîne de certification complète auprès de la nouvelle AC (ex. : HARICA via la plateforme TCS).
    • Consultez notre page dédiée : Certificats RADIUS.

    Étape 2 : Déclarer la nouvelle AC dans eduroam CAT

    • Connectez-vous à la console d'administration sur cat.eduroam.org.
    • Éditez votre profil institutionnel existant dans la section Détails EAP.
    • Ajoutez l'AC racine et les certificats intermédiaires de la nouvelle AC (HARICA) sans supprimer l'ancienne AC (Sectigo).
    • Sauvegardez le profil pour générer les nouveaux installateurs CAT et actualiser la base geteduroam.

    Étape 3 : Campagne de communication auprès des usagers

    • Informez vos utilisateurs de la nécessité d'actualiser leur configuration Wi-Fi avant une date butoir (idéalement plusieurs semaines avant l'échéance).
    • Invitez-les à télécharger et installer le profil actualisé via l'application geteduroam ou depuis cat.eduroam.org.
    • Pendant toute cette période, les appareils mis à jour continuent de s'authentifier normalement puisque le serveur RADIUS présente encore l'ancien certificat toujours reconnu par le profil.

    Étape 4 : Bascule du certificat sur le serveur RADIUS

    Une fois la majorité du parc usager actualisée (et impérativement avant l'expiration du certificat Sectigo en place), procédez au remplacement sur vos serveurs d'authentification[cite: 2] :

    • Dépose des fichiers : Déposez le nouveau certificat serveur (émis par HARICA), sa clé privée associée et l'ensemble de la chaîne intermédiaire dans le répertoire sécurisé de votre service RADIUS (ex. : /etc/freeradius/3.0/certs/).
    • Mise à jour des directives de configuration : Ajustez les chemins dans la configuration du module EAP (ex. sous FreeRADIUS dans mods-available/eap, bloc tls-config) :
      • private_key_file : chemin vers la nouvelle clé privée.
      • certificate_file : chemin vers le nouveau certificat serveur HARICA.
      • ca_file : chaîne de certification complète (certificats intermédiaires et racine HARICA).
    • Test de configuration préalable : Vérifiez l'absence d'erreur de syntaxe ou de permissions sur les clés avant de relancer le service (ex. : freeradius -C ou lancement en mode debug freeradius -X).
    • Redémarrage du service RADIUS : Redémarrez le démon (systemctl restart freeradius) sur votre premier serveur, validez le bon fonctionnement, puis appliquez la bascule sur le second serveur.
    Comportement côté utilisateurs :
    Les utilisateurs ayant mis à jour leur profil ne percevront aucune coupure ni invite d'avertissement. Leur terminal constatera simplement que le serveur présente un certificat signé par la nouvelle AC (HARICA), autorité déjà présente et approuvée dans leur profil Wi-Fi[cite: 2].

    Étape 5 : Nettoyage ultérieur

    • Une fois la bascule opérée et l'ancien certificat définitivement expiré, vous pourrez retirer l'ancienne autorité de certification (Sectigo) de votre profil CAT pour finaliser la maintenance[cite: 2].
  • Comment choisir la méthode EAP pour son IdP eduroam ?
    Cette page s'appuie sur les recommandations officielles de GÉANT :
    📘 GÉANT Wiki : eap-types

    Le choix du ou des types EAP à déployer sur votre serveur d'authentification (IdP) dépend principalement de deux critères techniques :

    • Les capacités de votre annuaire d'utilisateurs (backend d'authentification).
    • L'hétérogénéité des terminaux et systèmes d'exploitation de vos usagers.

    1. Choix selon l'annuaire d'identités (backend)

    La distinction fondamentale repose sur la manière dont les secrets des utilisateurs sont stockés dans votre infrastructure :

    • Certificats utilisateurs X.509 : Si votre gestionnaire d'identités prend en charge les certificats clients (PKI usagers), vous pouvez utiliser EAP-TLS.
    • Mots de passe en clair ou condensats NT-Hash :
      • Si votre annuaire stocke les mots de passe sous forme de NT-Hash (cas standard d'un annuaire Microsoft Active Directory) ou en clair, vous pouvez déployer indifféremment PEAP/MSCHAPv2, EAP-TTLS ou EAP-PWD.
    • Mots de passe chiffrés sous d'autres formats de hachage (ex. SSHA, bcrypt, crypt) :
      • Dans ce cas, les méthodes à base de MSCHAPv2 ne sont pas compatibles. Vous devez obligatoirement recourir à EAP-TTLS (avec PAP encapsulé dans le tunnel TLS sécurisé).

    2. Gestion de l'anonymat : identité externe vs interne

    La majorité des méthodes EAP permettent d'isoler l'identité nécessaire au routage de l'authentification réelle, garantissant ainsi la vie privée des usagers :

    • Identité externe (outer identity) : Transmise en clair dans la hiérarchie RADIUS, elle sert uniquement à acheminer la requête vers l'IdP de l'établissement. Elle prend la forme anonymous@domaine.fr. La partie précédant l'arobase peut être un alias quelconque (anonymous, anon), mais le domaine (realm) doit être strictement exact.
    • Identité interne (inner identity) : Dévoilée uniquement à l'intérieur du tunnel chiffré TLS établi entre l'appareil et votre serveur RADIUS. Elle contient le login réel (ex. : john.doe) évalué par votre annuaire.

    Prise en charge de l'identité externe anonyme selon la méthode EAP

    Méthode EAP Support de l'identité externe anonyme
    EAP-TTLS Oui
    PEAP Oui
    EAP-FAST Oui
    EAP-TLS Supporté par le protocole, mais rarement implémenté sur les terminaux clients (supplicants)
    EAP-PWD Non
    L'utilisation de l'anonymisation dépend de la configuration appliquée sur le terminal utilisateur. Il est fortement recommandé d'imposer ce paramètre via des profils préparés avec eduroam CAT ou geteduroam.

    3. Choix selon le parc d'équipements usagers

    Si votre annuaire technique permet plusieurs configurations, vous pouvez activer simultanément plusieurs types EAP sur votre serveur RADIUS, en définissant la méthode la plus largement compatible comme méthode par défaut.

    • Recommandation générale : Privilégiez PEAP/MSCHAPv2 par rapport à EAP-TTLS, car cette méthode offre une sécurité supplémentaire lors de l'échange du mot de passe à l'intérieur du tunnel.
    • Alternative avec EAP-TTLS : Si vous ne pouvez pas utiliser PEAP (notamment en présence d'annuaires LDAP hachés sans NT-Hash), activez EAP-TTLS/PAP. Vous pouvez également prévoir l'activation de TTLS-GTC (Generic Token Card) si vous avez besoin de supporter des clients spécifiques ne permettant pas le stockage direct du mot de passe.