So konfigurieren Sie WPA2-Enterprise auf gängigen Access-Point-Plattformen (Cisco, Aruba, Ubiquiti)

So konfigurieren Sie WPA2-Enterprise auf gängigen Access-Point-Plattformen — Cisco, Aruba und Ubiquiti Ein Purple WiFi Intelligence Briefing [INTRO — ca. 1 Minute] Willkommen zur Purple WiFi Intelligence Series. Ich bin Ihr Moderator, und heute kommen wir direkt zum Punkt bei einem der am häufigsten nachgefragten Themen unserer Unternehmenskunden: Wie konfiguriert man WPA2-Enterprise auf den drei am weitesten verbreiteten Access-Point-Plattformen — Cisco, Aruba und Ubiquiti. Egal, ob Sie IT-Leiter einer Hotelgruppe mit 500 Zimmern, Netzwerkarchitekt einer nationalen Einzelhandelskette oder CTO eines Konferenzzentrum-Betreibers sind: Dieses Briefing ist für Sie. Wir werden uns nicht mit grauer Theorie aufhalten. Wir gehen genau das durch, was Sie wissen müssen, um eine fundierte Entscheidung für die Bereitstellung zu treffen, diese korrekt umzusetzen und die Fallstricke zu vermeiden, über die selbst erfahrene Teams stolpern. Legen wir los. [TECHNICAL DEEP-DIVE — ca. 5 Minuten] Zuerst eine kurze Einordnung, was WPA2-Enterprise eigentlich ist. Es gibt im Markt immer noch überraschend viele Missverständnisse bezüglich des Unterschieds zwischen WPA2-Personal und WPA2-Enterprise — und dieser Unterschied ist für Ihre Compliance und Sicherheitslage von enormer Bedeutung. WPA2-Personal — die Version, die den meisten bekannt ist — verwendet einen einzigen Pre-Shared Key. Jeder im Netzwerk nutzt dasselbe Passwort. Für ein Heimnetzwerk ist das völlig in Ordnung. Für eine Geschäftsumgebung, in der Sie eine Authentifizierung pro Benutzer, Audit-Trails und die Möglichkeit zum sofortigen Entzug des Zugriffs benötigen, ist das absolut inakzeptabel. WPA2-Enterprise, definiert unter IEEE 802.1X, ersetzt diesen gemeinsam genutzten Schlüssel durch einen individuellen Authentifizierungsaustausch. Jeder Benutzer oder jedes Gerät präsentiert eigene Anmeldedaten — sei es ein Benutzername und ein Passwort, ein digitales Zertifikat oder ein Token — und diese Anmeldedaten werden von einem RADIUS-Server validiert, bevor der Netzwerkzugriff gewährt wird. Der Access Point selbst sieht die Anmeldedaten nie. Er fungiert rein als Authenticator, der den EAP-Austausch — Extensible Authentication Protocol — zwischen dem Client und dem RADIUS-Server weiterleitet. Dies ist eine grundlegend sicherere Architektur und die Mindestanforderung für die PCI-DSS-Compliance in jeder Umgebung, die Zahlungskartendaten verarbeitet. Zudem wird sie unter der GDPR für Organisationen, die personenbezogene Daten über drahtlose Netzwerke verarbeiten, dringend empfohlen. Sprechen wir nun über die drei Plattformen. Beginnen wir mit Cisco. Das Enterprise-WiFi-Portfolio von Cisco — primär die Produktlinien Catalyst und Meraki — ist der Standard für Großprojekte. Cisco DNA Center bietet ein zentralisiertes Richtlinienmanagement, und das Meraki-Dashboard bietet cloudverwaltete Einfachheit für verteilte Standorte. Um WPA2-Enterprise auf einem Cisco Catalyst Access Point zu konfigurieren, arbeiten Sie über den WLC — Wireless LAN Controller — oder das DNA Center. Die wichtigsten Schritte sind: Definieren Sie Ihren RADIUS-Server unter Security, dann AAA, dann RADIUS Authentication Servers; erstellen Sie ein neues WLAN-Profil; setzen Sie die Sicherheitsrichtlinie auf WPA2 mit 802.1X als Schlüsselverwaltungsmethode; und binden Sie den RADIUS-Server an dieses WLAN. Ein kritischer Punkt bei Cisco: Stellen Sie sicher, dass Sie sowohl das RADIUS-Accounting als auch die Authentifizierung konfigurieren. Das Accounting liefert den Audit-Trail pro Sitzung, den Compliance-Frameworks fordern. Bei Meraki ist der Prozess noch einfacher — navigieren Sie zu Wireless, dann SSIDs, wählen Sie Ihre Ziel-SSID aus, stellen Sie die Sicherheit auf WPA2-Enterprise mit meinem RADIUS-Server ein und geben Sie die IP-Adresse Ihres RADIUS-Servers, den Port — typischerweise 1812 für die Authentifizierung und 1813 für das Accounting — sowie das Shared Secret ein. Meraki unterstützt auch RADIUS-Tests direkt aus dem Dashboard, was bei der Inbetriebnahme unschätzbar wertvoll ist. Weiter zu Aruba. Aruba Networks, heute Teil von HPE, ist der dominierende Akteur im Gastgewerbe und im Hochschulbereich. Aruba Central bietet Cloud-Management, und ArubaOS ist die zugrunde liegende Plattform. Bei Aruba ist die WPA2-Enterprise-Konfiguration im SSID-Profil hinterlegt. Sie definieren ein AAA-Profil, das auf Ihren RADIUS-Server verweist, und verknüpfen dieses AAA-Profil dann mit Ihrem virtuellen AP-Profil. Der ClearPass Policy Manager von Aruba verdient hier besondere Erwähnung — es ist die Aruba-eigene RADIUS- und Richtlinien-Engine, die erhebliche Funktionen für das Geräte-Profiling, die rollenbasierte Zugriffskontrolle und das Onboarding von Gästen bietet. Wenn Sie eine gemischte Umgebung betreiben, in der sich Mitarbeiter, externe Dienstleister und Gäste mit derselben Infrastruktur verbinden, bietet Ihnen ClearPass die nötige Granularität, um diese Segmente sauber zu trennen. Für ein Hotel, das WPA2-Enterprise für Mitarbeiter- und Back-of-House-Netzwerke bereitstellt und gleichzeitig eine separate Gäste-WiFi-Lösung über eine Plattform wie Purple betreibt, ist die SSID-Segmentierung von Aruba in Kombination mit ClearPass für die Mitarbeiterauthentifizierung eine sehr saubere Architektur. Nun zu Ubiquiti. Die UniFi-Plattform von Ubiquiti hat im KMU- und Mid-Market-Bereich — und zunehmend auch im gehobenen Gastgewerbe und Einzelhandel — aufgrund ihres attraktiven Preispunkts und der wirklich leistungsfähigen Verwaltungsoberfläche stark an Bedeutung gewonnen. Der UniFi Network Controller ist das Werkzeug für die Konfiguration. Um WPA2-Enterprise auf UniFi zu konfigurieren, navigieren Sie zu Settings, dann WiFi, erstellen oder bearbeiten Sie Ihre SSID, stellen Sie die Sicherheit auf WPA2 Enterprise ein und konfigurieren Sie Ihr RADIUS-Profil — auch hier: IP-Adresse, Authentifizierungsport 1812, Accountingport 1813 und Shared Secret. Ein wichtiger Aspekt bei Ubiquiti: Es wird standardmäßig nicht mit einem integrierten RADIUS-Server ausgeliefert, wie es bei einigen anderen Enterprise-Plattformen der Fall ist. Sie benötigen einen externen RADIUS-Server — sei es Windows Server NPS, FreeRADIUS oder ein Cloud-RADIUS-Dienst. Das ist an sich keine Einschränkung, aber eine Abhängigkeit, die eingeplant werden muss. Für kleinere Bereitstellungen enthält die UniFi-Netzwerkanwendung zwar einen einfachen RADIUS-Server, für Produktionsumgebungen würde ich jedoch immer eine dedizierte RADIUS-Instanz empfehlen. Plattformübergreifend verdient die Auswahl der EAP-Methode Aufmerksamkeit. PEAP mit MSCHAPv2 ist die am weitesten verbreitete Methode, da sie mit Active Directory-Anmeldedaten funktioniert, ohne dass clientseitige Zertifikate erforderlich sind. EAP-TLS ist sicherer — es nutzt eine gegenseitige Zertifikatsauthentifizierung —, erfordert jedoch eine PKI-Infrastruktur und die Bereitstellung von Zertifikaten auf jedem Client-Gerät, was den Betriebsaufwand erhöht. Für die meisten Unternehmensbereitstellungen ist PEAP-MSCHAPv2 mit einem ordnungsgemäß konfigurierten RADIUS-Server und einer Zertifikatsvalidierung auf der Client-Seite das richtige Gleichgewicht zwischen Sicherheit und Verwaltbarkeit im Betrieb. [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS — ca. 2 Minuten] Lassen Sie mich Ihnen nun die drei häufigsten Fehlerquellen nennen, die ich bei WPA2-Enterprise-Projekten sehe, und wie Sie diese vermeiden. Nummer eins: Die Verfügbarkeit des RADIUS-Servers. Ihr RADIUS-Server befindet sich nun im kritischen Pfad für jede drahtlose Authentifizierung. Wenn er ausfällt, kann sich niemand mehr verbinden. Das bedeutet, Sie benötigen RADIUS-Redundanz — mindestens einen primären und einen sekundären RADIUS-Server, die auf jedem Access Point konfiguriert sind. Die meisten Plattformen unterstützen dies nativ. Bei Cisco können Sie RADIUS-Servergruppen mit Failover konfigurieren. Bei Aruba unterstützt das AAA-Profil mehrere RADIUS-Server mit konfigurierbaren Wiederholungs- und Timeout-Werten. Bei Ubiquiti können Sie einen sekundären RADIUS-Server im RADIUS-Profil angeben. Überspringen Sie diesen Schritt nicht. Nummer zwei: Die Zertifikatsvalidierung. Ein erschreckend hoher Anteil der von mir überprüften Installationen ist so konfiguriert, dass Client-Geräte jedes beliebige RADIUS-Serverzertifikat akzeptieren. Dies hebelt das Sicherheitsmodell völlig aus — es öffnet Tür und Tor für Evil-Twin-Angriffe, bei denen ein gefälschter Access Point Ihr Netzwerk imitiert und Anmeldedaten abgreift. Konfigurieren Sie Ihr RADIUS-Serverzertifikat von einer vertrauenswürdigen CA und konfigurieren Sie Ihre Client-Supplicants so, dass sie dieses Zertifikat validieren. Unter Windows erfolgt dies über Gruppenrichtlinien. Unter iOS und Android wird dies über MDM-Profile gelöst. Dies ist für jede Umgebung, die mit sensiblen Daten arbeitet, nicht verhandelbar. Nummer drei: Die VLAN-Zuweisung. WPA2-Enterprise ermöglicht eine dynamische VLAN-Zuweisung — der RADIUS-Server kann ein VLAN-Attribut in der Access-Accept-Nachricht zurückgeben und so jeden authentifizierten Benutzer basierend auf seiner Identität oder Rolle in das entsprechende Netzwerksegment einordnen. Dies ist eine der leistungsstärksten Funktionen der 802.1X-Architektur und wird häufig nicht konfiguriert. Wenn Sie einen Veranstaltungsort betreiben, an dem Mitarbeiter, Management und IoT-Geräte dieselbe physische Infrastruktur nutzen, ist die dynamische VLAN-Zuweisung der Weg, wie Sie die Netzwerksegmentierung durchsetzen, ohne mehrere SSIDs verwalten zu müssen. Was die Integration von Purple betrifft: Wenn Sie WPA2-Enterprise für Ihre Mitarbeiter- und Betriebsnetzwerke bereitstellen und die Guest-WiFi-Plattform von Purple für die Besucherdatenverbindung nutzen, koexistieren diese beiden Systeme absolut reibungslos. Purple übernimmt die Gäste-Authentifizierung, die Datenerfassung und die Analyse-Ebene — einschließlich der WiFi-Analysen und Besucherstrom-Messungen, die Betreiber für betriebliche Entscheidungen nutzen —, während Ihre WPA2-Enterprise-Infrastruktur das Unternehmensnetzwerk sichert. Der Schlüssel liegt in einer sauberen SSID- und VLAN-Trennung auf Access-Point-Ebene, die von allen drei Plattformen unterstützt wird. [RAPID-FIRE Q&A — ca. 1 Minute] Lassen Sie uns kurz einige Fragen durchgehen, die regelmäßig gestellt werden. Kann ich WPA2-Enterprise und ein Gästenetzwerk auf denselben Access Points betreiben? Ja, absolut. Alle drei Plattformen unterstützen mehrere SSIDs pro Funkmodul, jeweils mit unabhängigen Sicherheitsrichtlinien. Ihre Unternehmens-SSID nutzt WPA2-Enterprise; Ihre Gäste-SSID kann über das Captive Portal von Purple mit entsprechender Isolierung laufen. Muss ich meine vorhandenen Access Points ersetzen, um WPA2-Enterprise bereitzustellen? Fast sicher nicht. WPA2-Enterprise wird auf Enterprise-Grade Access Points seit weit über einem Jahrzehnt unterstützt. Wenn Ihre Hardware weniger als acht Jahre alt ist und eine aktuelle Firmware nutzt, wird sie 802.1X unterstützen. Was ist der Unterschied zwischen WPA2-Enterprise und WPA3-Enterprise? WPA3-Enterprise fügt einen 192-Bit-Sicherheitsmodus unter Verwendung von Suite-B-Kryptografie hinzu, was für Regierungs- und Verteidigungsumgebungen relevant ist. Für die meisten kommerziellen Bereitstellungen bleibt WPA2-Enterprise mit starken EAP-Methoden der Standard. Der Übergang zu WPA3 ist für neue Bereitstellungen planenswert, für die meisten Organisationen jedoch keine dringende Migration. Ist Cloud-RADIUS eine praktikable Option? Ja, und das immer mehr. Dienste wie Cisco ISE in der Cloud, Aruba ClearPass as a Service oder Drittanbieter-Optionen wie JumpCloud und Foxpass bieten RADIUS als Managed Service an, was den Infrastrukturaufwand eliminiert. Für verteilte Standorte — denken Sie an eine Einzelhandelskette mit 200 Filialen — kann Cloud-RADIUS die betriebliche Komplexität erheblich reduzieren. [SUMMARY AND NEXT STEPS — ca. 1 Minute] Zusammenfassend lässt sich sagen: WPA2-Enterprise ist die unverzichtbare Basis für jedes drahtlose Unternehmensnetzwerk. Der Konfigurationsprozess auf Cisco, Aruba und Ubiquiti folgt demselben grundlegenden Muster — definieren Sie Ihren RADIUS-Server, erstellen Sie Ihre SSID mit 802.1X-Schlüsselverwaltung, wählen Sie Ihre EAP-Methode und testen Sie alles, bevor Sie live gehen. Die Unterschiede liegen in den Verwaltungsoberflächen und den Ökosystem-Tools der jeweiligen Plattform. Die drei Dinge, die Sie richtig machen müssen: RADIUS-Redundanz, Zertifikatsvalidierung auf den Clients und dynamische VLAN-Zuweisung. Wenn Sie diese drei Punkte umsetzen, haben Sie eine solide, konforme und überprüfbare Sicherheitsstruktur für Ihr drahtloses Netzwerk. Für Ihre nächsten Schritte: Wenn Sie Plattformen evaluieren, nutzen Sie das Anbieter-Vergleichs-Framework im begleitenden Leitfaden. Wenn Sie bereit für die Bereitstellung sind, finden Sie die Schritt-für-Schritt-Konfigurationsanleitungen für jede Plattform im Implementierungsabschnitt. Und wenn Sie darüber nachdenken, wie sich das Gäste-WiFi in Ihr Unternehmensnetzwerk einfügt, beschreibt die Dokumentation der Purple-Plattform die Integrationsarchitektur im Detail. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.