So konfigurieren Sie WPA2-Enterprise auf gängigen Access-Point-Plattformen (Cisco, Aruba, Ubiquiti)

So konfigurieren Sie WPA2-Enterprise auf gängigen Access Point-Plattformen - Cisco, Aruba und Ubiquiti Ein Purple WiFi Intelligence Briefing [INTRO - ca. 1 Minute] Willkommen zur Purple WiFi Intelligence Series. Ich bin Ihr Gastgeber, und heute kommen wir direkt auf den Punkt bei einem der am häufigsten nachgefragten Themen unserer Enterprise-Kunden: Wie Sie WPA2-Enterprise auf den drei am weitesten verbreiteten Access Point-Plattformen konfigurieren - Cisco, Aruba und Ubiquiti. Egal, ob Sie IT-Leiter einer Hotelgruppe mit 500 Zimmern, Netzwerkarchitekt einer nationalen Einzelhandelskette oder CTO eines Kongresszentrum-Betreibers sind - dieses Briefing ist für Sie. Wir werden uns nicht mit grauer Theorie aufhalten. Wir werden genau das durchgehen, was Sie wissen müssen, um eine solide Entscheidung für Ihr Deployment zu treffen, es korrekt auszuführen und die Fallstricke zu vermeiden, über die selbst erfahrene Teams stolpern. Legen wir los. [TECHNICAL DEEP-DIVE - ca. 5 Minuten] Zuerst eine kurze Einordnung, was WPA2-Enterprise eigentlich ist. Es gibt im Markt immer noch überraschend viele Missverständnisse beim Unterschied zwischen WPA2-Personal und WPA2-Enterprise - und diese Unterscheidung ist für Ihre Compliance und Risikobewertung enorm wichtig. WPA2-Personal - die Version, die den meisten bekannt ist - verwendet einen einzigen Pre-Shared Key. Jeder im Netzwerk nutzt dasselbe Passwort. Für ein Heimnetzwerk ist das völlig in Ordnung. Für eine Geschäftsumgebung, in der Sie eine Authentifizierung pro Benutzer, Audit-Trails und die Möglichkeit zum sofortigen Entzug des Zugriffs benötigen, ist dies jedoch absolut inakzeptabel. WPA2-Enterprise, definiert unter IEEE 802.1X, ersetzt diesen gemeinsam genutzten Schlüssel durch einen individuellen Authentifizierungsaustausch. Jeder Benutzer oder jedes Gerät übermittelt eigene Zugangsdaten - sei es ein Benutzername und Passwort, ein digitales Zertifikat oder ein Token - und diese Zugangsdaten werden von einem RADIUS-Server validiert, bevor der Netzwerkzugriff gewährt wird. Der Access Point selbst sieht die Zugangsdaten zu keinem Zeitpunkt. Er fungiert rein als Authenticator, der den EAP-Austausch (Extensible Authentication Protocol) zwischen dem Client und dem RADIUS-Server vermittelt. Dies ist eine fundamental sicherere Architektur und die Mindestanforderung für die PCI-DSS-Compliance in jeder Umgebung, die Zahlungskartendaten verarbeitet. Zudem wird sie im Rahmen der GDPR für Organisationen, die personenbezogene Daten über Wireless-Netzwerke verarbeiten, dringend empfohlen. Sprechen wir nun über die drei Plattformen. Beginnen wir mit Cisco. Das Enterprise WiFi Portfolio von Cisco - primär die Catalyst und Meraki Produktlinien - ist die etablierte Wahl für Großprojekte. Cisco DNA Center bietet ein zentralisiertes Richtlinienmanagement und das Meraki Dashboard ermöglicht eine einfache Cloud-Verwaltung für verteilte Standorte. Um WPA2-Enterprise auf einem Cisco Catalyst Access Point zu konfigurieren, arbeiten Sie über den WLC (Wireless LAN Controller) oder das DNA Center. Die wichtigsten Schritte sind: Definieren Sie Ihren RADIUS Server unter Security, dann AAA, dann RADIUS Authentication Servers; erstellen Sie ein neues WLAN-Profil; setzen Sie die Sicherheitsrichtlinie auf WPA2 mit 802.1X als Schlüsselverwaltungsmethode; und binden Sie den RADIUS Server an dieses WLAN. Ein kritischer Punkt bei Cisco: Stellen Sie sicher, dass Sie sowohl das RADIUS Accounting als auch die Authentifizierung konfigurieren. Das Accounting liefert Ihnen das Audit-Protokoll pro Sitzung, das Compliance-Frameworks vorschreiben. Bei Meraki ist der Prozess noch einfacher - navigieren Sie zu Wireless, dann SSIDs, wählen Sie Ihre Ziel-SSID aus, stellen Sie die Sicherheit auf WPA2-Enterprise mit meinem RADIUS Server ein und geben Sie Ihre RADIUS Server-IP, den Port (normalerweise 1812 für die Authentifizierung und 1813 für das Accounting) und das Shared Secret ein. Meraki unterstützt auch RADIUS Tests direkt über das Dashboard, was bei der Inbetriebnahme von unschätzbarem Wert ist. Weiter zu Aruba. Aruba Networks, heute Teil von HPE, ist die dominierende Wahl im Gastgewerbe und im Hochschulbereich. Aruba Central bietet das Cloud-Management und ArubaOS ist die zugrundeliegende Plattform. Auf Aruba erfolgt die WPA2-Enterprise-Konfiguration innerhalb des SSID-Profils. Sie definieren ein AAA-Profil, das auf Ihren RADIUS Server verweist, und hängen dieses AAA-Profil dann an Ihr virtuelles AP-Profil an. Der ClearPass Policy Manager von Aruba verdient hier eine besondere Erwähnung - es handelt sich um Arubas eigene RADIUS- und Richtlinien-Engine, die erhebliche Funktionen für das Geräte-Profiling, die rollenbasierte Zugriffskontrolle und das Onboarding von Gästen bietet. Wenn Sie eine gemischte Umgebung betreiben, in der sich Mitarbeiter, Auftragnehmer und Gäste mit derselben Infrastruktur verbinden, bietet Ihnen ClearPass die nötige Granularität bei den Richtlinien, um diese angemessen zu segmentieren. Für ein Hotel, das WPA2-Enterprise im Mitarbeiter- und Back-of-House-Bereich einsetzt und gleichzeitig eine separate Guest-WiFi-Lösung über eine Plattform wie Purple betreibt, ist die SSID-Segmentierung von Aruba in Kombination mit ClearPass für die Mitarbeiterauthentifizierung eine sehr saubere Architektur. Nun zu Ubiquiti. Die UniFi-Plattform von Ubiquiti hat im KMU- und Mid-Market-Bereich - und zunehmend auch in der Boutique-Hotellerie und im Einzelhandel - aufgrund ihres wettbewerbsfähigen Preises und ihrer wirklich leistungsfähigen Verwaltungsoberfläche stark an Bedeutung gewonnen. Der UniFi Network Controller ist der Ort, an dem Sie die eigentliche Arbeit erledigen. Um WPA2-Enterprise auf UniFi zu konfigurieren, navigieren Sie zu Settings, dann zu WiFi, erstellen oder bearbeiten Sie Ihre SSID, stellen Sie die Sicherheit auf WPA2 Enterprise ein und konfigurieren Sie Ihr RADIUS-Profil - wiederum IP-Adresse, Authentifizierungsport 1812, Accounting-Port 1813 und Shared Secret. Eine wichtige Überlegung bei Ubiquiti: Es wird nicht mit einem integrierten RADIUS-Server ausgeliefert, wie es bei einigen Enterprise-Plattformen der Fall ist. Sie benötigen einen externen RADIUS-Server - sei es Windows Server NPS, FreeRADIUS oder ein Cloud-RADIUS-Service. Dies ist per se keine Einschränkung, aber es ist eine Abhängigkeit, die eingeplant werden muss. Für kleinere Bereitstellungen enthält die UniFi Network Application zwar einen einfachen RADIUS-Server, für Produktionsumgebungen würde ich jedoch immer eine dedizierte RADIUS-Instanz empfehlen. Bei allen drei Plattformen verdient die Auswahl der EAP-Methode Aufmerksamkeit. PEAP mit MSCHAPv2 ist die am weitesten verbreitete Methode, da sie mit Active Directory-Anmeldedaten funktioniert, ohne dass clientseitige Zertifikate erforderlich sind. EAP-TLS ist sicherer - es verwendet eine gegenseitige Zertifikatsauthentifizierung -, erfordert jedoch eine PKI-Infrastruktur und die Bereitstellung von Zertifikaten auf jedem Client-Gerät, was den betrieblichen Aufwand erhöht. Für die meisten Enterprise-Bereitstellungen ist PEAP-MSCHAPv2 mit einem ordnungsgemäß konfigurierten RADIUS-Server und einer Zertifikatsvalidierung auf der Client-Seite das richtige Gleichgewicht zwischen Sicherheit und betrieblicher Verwaltbarkeit. [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS — undgefähr 2 Minuten] Lassen Sie mich Ihnen nun die drei am häufigsten auftretenden Fehler beschreiben, die ich bei WPA2-Enterprise-Bereitstellungen sehe, und wie Sie diese vermeiden können. Nummer eins: Die Verfügbarkeit des RADIUS-Servers. Ihr RADIUS-Server befindet sich nun im kritischen Pfad für jede drahtlose Authentifizierung. Wenn er ausfällt, kann sich niemand verbinden. Das bedeutet, dass Sie eine RADIUS-Redundanz benötigen - mindestens einen primären und einen sekundären RADIUS-Server, die auf jedem Access Point konfiguriert sind. Die meisten Plattformen unterstützen dies nativ. Auf Cisco können Sie RADIUS-Servergruppen mit Failover konfigurieren. Auf Aruba unterstützt das AAA-Profil mehrere RADIUS-Server mit konfigurierbaren Retry- und Timeout-Werten. Auf Ubiquiti können Sie einen sekundären RADIUS-Server im RADIUS-Profil angeben. Überspringen Sie diesen Schritt nicht. Nummer zwei: Zertifikatsvalidierung. Ein erschreckend hoher Anteil der von mir überprüften Bereitstellungen weist Client-Geräte auf, die so konfiguriert sind, dass sie jedes RADIUS-Serverzertifikat akzeptieren. Dies untergräbt das Sicherheitsmodell vollständig - es öffnet Tür und Tor für Evil-Twin-Angriffe, bei denen ein betrügerischer Access Point Ihr Netzwerk imitiert und Anmeldedaten abgreift. Konfigurieren Sie Ihr RADIUS-Serverzertifikat von einer vertrauenswürdigen CA und konfigurieren Sie Ihre Client-Supplicants so, dass sie dieses Zertifikat validieren. Unter Windows erfolgt dies über Group Policy. Unter iOS und Android wird dies über MDM-Profile abgewickelt. Dies ist für jede Umgebung, die mit sensiblen Daten arbeitet, nicht verhandelbar. Nummer drei: VLAN-Zuweisung. WPA2-Enterprise ermöglicht eine dynamische VLAN-Zuweisung - der RADIUS-Server kann ein VLAN-Attribut in der Access-Accept-Nachricht zurückgeben und so jeden authentifizierten Benutzer basierend auf seiner Identität oder Rolle im entsprechenden Netzwerksegment platzieren. Dies ist eine der leistungsstärksten Funktionen der 802.1X-Architektur und wird häufig nicht konfiguriert. Wenn Sie einen Standort betreiben, an dem sich Mitarbeiter, Management und IoT-Geräte auf derselben physischen Infrastruktur befinden, ist die dynamische VLAN-Zuweisung die Methode, mit der Sie die Netzwerksegmentierung ohne die Verwaltung mehrerer SSIDs durchsetzen. Auf der Seite der Purple-Integration: Wenn Sie WPA2-Enterprise für Ihre Mitarbeiter- und Betriebsnetzwerke bereitstellen und die Gast-WiFi-Plattform von Purple für die Konnektivität von Besuchern nutzen, koexistieren diese beiden Systeme reibungslos. Purple übernimmt die Gast-Authentifizierung, Datenerfassung und Analyseebene - einschließlich der WiFi-Analysen und Footfall Intelligence, die Standortbetreiber für betriebliche Entscheidungen nutzen - während Ihre WPA2-Enterprise-Infrastruktur das Unternehmensnetzwerk sichert. Der Schlüssel ist eine saubere SSID- und VLAN-Trennung auf Access-Point-Ebene, die von allen drei Plattformen unterstützt wird. [SCHNELLES F&A - ca. 1 Minute] Lassen Sie mich ein paar Fragen durchgehen, die regelmäßig auftauchen. Kann ich WPA2-Enterprise und ein Gastnetzwerk auf denselben Access Points betreiben? Ja, absolut. Alle drei Plattformen unterstützen mehrere SSIDs pro Funkmodul, jeweils mit unabhängigen Sicherheitsrichtlinien. Ihre Unternehmens-SSID nutzt WPA2-Enterprise; Ihre Gast-SSID kann über das Captive Portal von Purple mit entsprechender Isolierung betrieben werden. Muss ich meine vorhandenen Access Points austauschen, um WPA2-Enterprise bereitzustellen? Fast sicher nicht. WPA2-Enterprise wird seit weit über einem Jahrzehnt auf Enterprise-Grade Access Points unterstützt. Wenn Ihre Hardware weniger als acht Jahre alt ist und mit aktueller Firmware läuft, wird sie 802.1X unterstützen. Was ist der Unterschied zwischen WPA2-Enterprise und WPA3-Enterprise? WPA3-Enterprise fügt einen 192-Bit-Sicherheitsmodus mit Suite-B-Kryptografie hinzu, was für Regierungs- und Verteidigungsumgebungen relevant ist. Für die meisten kommerziellen Bereitstellungen bleibt WPA2-Enterprise mit starken EAP-Methoden der Standard. Der Übergang zu WPA3 ist für neue Bereitstellungen planenswert, für die meisten Organisationen jedoch keine dringende Migration. Ist Cloud-RADIUS eine tragfähige Option? Ja, und das immer mehr. Dienste wie Cisco ISE in der Cloud, Aruba ClearPass as a Service oder Drittanbieter-Optionen wie JumpCloud und Foxpass bieten RADIUS-as-a-Service, was den Infrastruktur-Overhead eliminiert. Für verteilte Standorte - denken Sie an eine Einzelhandelskette mit 200 Filialen - kann Cloud-RADIUS die betriebliche Komplexität erheblich reduzieren. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute] Zusammenfassend lässt sich sagen: WPA2-Enterprise ist die unverzichtbare Basis für jede drahtlose Bereitstellung in Unternehmen. Der Konfigurationsprozess bei Cisco, Aruba und Ubiquiti folgt demselben grundlegenden Muster - definieren Sie Ihren RADIUS-Server, erstellen Sie Ihre SSID mit 802.1X-Schlüsselverwaltung, wählen Sie Ihre EAP-Methode und testen Sie alles, bevor Sie live gehen. Die Unterschiede liegen in den Verwaltungsoberflächen und den Ökosystem-Tools der jeweiligen Plattform. Die drei Dinge, auf die es ankommt: RADIUS-Redundanz, Zertifikatsvalidierung auf den Clients und dynamische VLAN-Zuweisung. Wenn Sie diese drei Punkte richtig umsetzen, verfügen Sie über eine solide, konforme und prüfbare Sicherheitsstruktur für Ihr drahtloses Netzwerk. Für Ihre nächsten Schritte: Wenn Sie Plattformen evaluieren, nutzen Sie das Anbieter-Vergleichs-Framework im begleitenden Leitfaden. Wenn Sie bereit für die Bereitstellung sind, finden Sie die schrittweisen Konfigurationsanleitungen für jede Plattform im Implementierungsbereich. Und wenn Sie sich fragen, wie sich Gast-WiFi in Ihr Unternehmensnetzwerk einfügt, beschreibt die Purple-Plattformdokumentation die Integrationsarchitektur im Detail. Vielen Dank für Ihre Aufmerksamkeit. Wir sehen uns beim nächsten Briefing.