So konfigurieren Sie WPA2-Enterprise auf gängigen Access Point Plattformen (Cisco, Aruba, Ubiquiti)

So konfigurieren Sie WPA2-Enterprise auf gängigen Access-Point-Plattformen - Cisco, Aruba und Ubiquiti Ein Purple WiFi Intelligence Briefing [INTRO - ca. 1 Minute] Willkommen zur Purple WiFi Intelligence-Reihe. Ich bin Ihr Gastgeber, und heute kommen wir direkt auf den Punkt bei einem der am häufigsten nachgefragten Themen unserer Unternehmenskunden: der Konfiguration von WPA2-Enterprise auf den drei am weitesten verbreiteten Access-Point-Plattformen - Cisco, Aruba und Ubiquiti. Egal, ob Sie IT-Leiter einer Hotelgruppe mit 500 Zimmern, Netzwerkarchitekt einer nationalen Einzelhandelskette oder CTO eines Kongresszentrums sind - dieses Briefing ist für Sie. Wir werden uns nicht mit grauer Theorie aufhalten. Wir zeigen Ihnen genau, was Sie wissen müssen, um eine fundierte Entscheidung für die Bereitstellung zu treffen, diese fehlerfrei umzusetzen und die Fallstricke zu vermeiden, über die selbst erfahrene Teams stolpern. Legen wir direkt los. [TECHNISCHER DEEP-DIVE - ca. 5 Minuten] Zuerst eine kurze Definition, was WPA2-Enterprise eigentlich ist, da im Markt immer noch überraschend viel Verwirrung zwischen WPA2-Personal und WPA2-Enterprise herrscht - und dieser Unterschied ist für Compliance und Risikobewertung von enormer Bedeutung. WPA2-Personal - die Version, die den meisten bekannt ist - nutzt einen einzigen Pre-Shared Key. Jeder im Netzwerk nutzt dasselbe Passwort. Für ein Heimnetzwerk ist das völlig in Ordnung. Für eine Unternehmensumgebung, in der Sie eine Authentifizierung pro Benutzer, Audit-Trails und die Möglichkeit zum sofortigen Entzug des Zugriffs benötigen, ist dies jedoch absolut inakzeptabel. WPA2-Enterprise, definiert unter IEEE 802.1X, ersetzt diesen gemeinsam genutzten Schlüssel durch einen individuellen Authentifizierungsprozess. Jeder Benutzer oder jedes Gerät übermittelt eigene Anmeldedaten - sei es ein Benutzername mit Passwort, ein digitales Zertifikat oder ein Token. Diese Anmeldedaten werden von einem RADIUS-Server validiert, bevor der Netzwerkzugriff gewährt wird. Der Access Point selbst sieht die Anmeldedaten dabei nie. Er fungiert rein als Authentifikator, der den EAP-Austausch (Extensible Authentication Protocol) zwischen dem Client und dem RADIUS-Server vermittelt. Dies ist eine grundlegend sicherere Architektur und die Mindestanforderung für die PCI-DSS-Compliance in jeder Umgebung, die Zahlungskartendaten verarbeitet. Zudem wird dieses Verfahren im Rahmen der GDPR für Organisationen, die personenbezogene Daten über drahtlose Netzwerke verarbeiten, dringend empfohlen. Sprechen wir nun über die drei Plattformen. Beginnen wir mit Cisco. Das Enterprise WiFi-Portfolio von Cisco - hauptsächlich die Produktlinien Catalyst und Meraki - ist die etablierte Wahl für großflächige Implementierungen. Cisco DNA Center bietet ein zentralisiertes Richtlinienmanagement, und das Meraki-Dashboard bietet cloud-verwaltete Einfachheit für verteilte Standorte. Um WPA2-Enterprise auf einem Cisco Catalyst Access Point zu konfigurieren, arbeiten Sie über den WLC (Wireless LAN Controller) oder das DNA Center. Die wichtigsten Schritte sind: Definieren Sie Ihren RADIUS-Server unter Security, dann AAA, dann RADIUS Authentication Servers; erstellen Sie ein neues WLAN-Profil; setzen Sie die Sicherheitsrichtlinie auf WPA2 mit 802.1X als Schlüsselverwaltungsmethode; und binden Sie den RADIUS-Server an dieses WLAN. Ein kritischer Punkt bei Cisco: Stellen Sie sicher, dass Sie sowohl das RADIUS-Accounting als auch die Authentifizierung konfigurieren. Das Accounting liefert Ihnen den Audit-Trail pro Sitzung, den Compliance-Frameworks erfordern. Bei Meraki ist der Prozess noch einfacher - navigieren Sie zu Wireless, dann SSIDs, wählen Sie Ihre Ziel-SSID aus, stellen Sie die Sicherheit auf WPA2-Enterprise mit meinem RADIUS-Server ein und geben Sie die IP-Adresse Ihres RADIUS-Servers, den Port - typischerweise 1812 für die Authentifizierung und 1813 für das Accounting - sowie das Shared Secret ein. Meraki unterstützt auch RADIUS-Tests direkt über das Dashboard, was bei der Inbetriebnahme von unschätzbarem Wert ist. Weiter geht es mit Aruba. Aruba Networks, heute Teil von HPE, ist die dominierende Wahl im Gastgewerbe und im Hochschulbereich. Aruba Central bietet Cloud-Management, und ArubaOS ist die zugrunde liegende Plattform. Auf Aruba erfolgt die WPA2-Enterprise-Konfiguration innerhalb des SSID-Profils. Sie definieren ein AAA-Profil, das auf Ihren RADIUS-Server verweist, und verknüpfen dieses AAA-Profil dann mit Ihrem virtuellen AP-Profil. Der ClearPass Policy Manager von Aruba verdient hier besondere Erwähnung - es handelt sich um die Aruba-eigene RADIUS- und Richtlinien-Engine, die erhebliche Funktionen in den Bereichen Geräte-Profiling, rollenbasierte Zugriffskontrolle und Onboarding von Gästen bietet. Wenn Sie eine gemischte Umgebung betreiben, in der sich Mitarbeiter, Auftragnehmer und Gäste mit derselben Infrastruktur verbinden, bietet Ihnen ClearPass die nötige Granularität bei den Richtlinien, um diese angemessen zu segmentieren. Für ein Hotel, das WPA2-Enterprise in den Netzwerken für Mitarbeiter und im Back-of-House-Bereich implementiert und gleichzeitig eine separate Guest WiFi-Lösung über eine Plattform wie Purple betreibt, ist die SSID-Segmentierung von Aruba in Kombination mit ClearPass für die Mitarbeiterauthentifizierung eine sehr saubere Architektur. Nun zu Ubiquiti. Die UniFi-Plattform von Ubiquiti hat im KMU- und Mid-Market-Bereich - und zunehmend auch in der Boutique-Hotellerie und im Einzelhandel - aufgrund ihres wettbewerbsfähigen Preises und der wirklich leistungsfähigen Verwaltungsoberfläche stark an Bedeutung gewonnen. Im UniFi Network Controller erledigen Sie die eigentliche Arbeit. Um WPA2-Enterprise auf UniFi zu konfigurieren, navigieren Sie zu Settings, dann WiFi, erstellen oder bearbeiten Sie Ihre SSID, stellen Sie die Sicherheit auf WPA2 Enterprise ein und konfigurieren Sie Ihr RADIUS-Profil - also wieder IP-Adresse, Authentifizierungsport 1812, Accountingport 1813 und Shared Secret. Ein wichtiger Aspekt bei Ubiquiti: Es wird nicht wie einige Enterprise-Plattformen mit einem integrierten RADIUS-Server ausgeliefert. Sie benötigen einen externen RADIUS-Server - sei es Windows Server NPS, FreeRADIUS oder ein Cloud-RADIUS-Dienst. Dies ist an sich keine Einschränkung, aber es ist eine Abhängigkeit, die eingeplant werden muss. Für kleinere Bereitstellungen enthält die UniFi Network Application zwar einen einfachen RADIUS-Server, für Produktionsumgebungen würde ich jedoch immer eine dedizierte RADIUS-Instanz empfehlen. Bei allen drei Plattformen verdient die Auswahl der EAP-Methode Aufmerksamkeit. PEAP mit MSCHAPv2 ist die am weitesten verbreitete Methode, da sie mit Active Directory-Anmeldeinformationen funktioniert, ohne dass clientseitige Zertifikate erforderlich sind. EAP-TLS ist sicherer - es nutzt eine gegenseitige Zertifikatsauthentifizierung - erfordert jedoch eine PKI-Infrastruktur und die Bereitstellung von Zertifikaten auf jedem Client-Gerät, was den betrieblichen Aufwand erhöht. Für die meisten Enterprise-Bereitstellungen ist PEAP-MSCHAPv2 mit einem ordnungsgemäß konfigurierten RADIUS-Server und einer Zertifikatsvalidierung auf der Client-Seite das richtige Gleichgewicht zwischen Sicherheit und betrieblicher Verwaltbarkeit. [IMPLEMENTIERUNGSEMPFEHLUNGEN UND STOLPERSTEINE - ca. 2 Minuten] Lassen Sie mich Ihnen nun die drei häufigsten Fehlerquellen nennen, die mir bei WPA2-Enterprise-Bereitstellungen begegnen, und wie Sie diese vermeiden können. Nummer eins: Die Verfügbarkeit des RADIUS-Servers. Ihr RADIUS-Server befindet sich nun im kritischen Pfad für jede drahtlose Authentifizierung. Wenn er ausfällt, kann sich niemand mehr verbinden. Das bedeutet, dass Sie eine RADIUS-Redundanz benötigen - mindestens einen primären und einen sekundären RADIUS-Server, die auf jedem Access Point konfiguriert sind. Die meisten Plattformen unterstützen dies nativ. Auf Cisco können Sie RADIUS-Servergruppen mit Failover konfigurieren. Auf Aruba unterstützt das AAA-Profil mehrere RADIUS-Server mit konfigurierbaren Wiederholungs- und Timeout-Werten. Auf Ubiquiti können Sie einen sekundären RADIUS-Server im RADIUS-Profil angeben. Lassen Sie diesen Schritt nicht aus.Nummer zwei: Zertifikatsvalidierung. Ein erschreckend hoher Anteil der von mir überprüften Implementierungen verfügt über Client-Geräte, die so konfiguriert sind, dass sie jedes RADIUS-Serverzertifikat akzeptieren. Dies untergräbt das Sicherheitsmodell vollständig - es öffnet Tür und Tor für Evil-Twin-Angriffe, bei denen ein betrügerischer Access Point Ihr Netzwerk imitiert und Zugangsdaten abgreift. Konfigurieren Sie Ihr RADIUS-Serverzertifikat von einer vertrauenswürdigen CA und konfigurieren Sie Ihre Client-Supplicants so, dass sie dieses Zertifikat validieren. Unter Windows erfolgt dies über Gruppenrichtlinien. Unter iOS und Android wird dies über MDM-Profile geregelt. Dies ist für jede Umgebung, die mit sensiblen Daten arbeitet, nicht verhandelbar. Nummer drei: VLAN-Zuweisung. WPA2-Enterprise ermöglicht eine dynamische VLAN-Zuweisung - der RADIUS-Server kann ein VLAN-Attribut in der Access-Accept-Nachricht zurückgeben und so jeden authentifizierten Benutzer basierend auf seiner Identität oder Rolle im entsprechenden Netzwerksegment platzieren. Dies ist eine der leistungsstärksten Funktionen der 802.1X-Architektur und wird häufig nicht konfiguriert. Wenn Sie einen Standort mit Personal, Management und IoT-Geräten auf derselben physischen Infrastruktur betreiben, ist die dynamische VLAN-Zuweisung die Methode, mit der Sie die Netzwerksegmentierung ohne die Verwaltung mehrerer SSIDs durchsetzen. Zur Integration mit Purple: Wenn Sie WPA2-Enterprise für Ihre Mitarbeiter- und Betriebsnetzwerke bereitstellen und die Gast-WiFi-Plattform von Purple für die Konnektivität von Besuchern nutzen, koexistieren diese beiden Systeme reibungslos. Purple übernimmt die Gast-Authentifizierung, Datenerfassung und Analyse-Ebene - einschließlich der WiFi-Analysen und Frequenzdaten, die Standortbetreiber für betriebliche Entscheidungen nutzen - während Ihre WPA2-Enterprise-Infrastruktur das Unternehmensnetzwerk sichert. Der Schlüssel dazu ist eine saubere SSID- und VLAN-Trennung auf Access-Point-Ebene, die von allen drei Plattformen unterstützt wird. [SCHNELLES Q&A - ca. 1 Minute] Lassen Sie mich kurz auf einige Fragen eingehen, die regelmäßig auftauchen. Kann ich WPA2-Enterprise und ein Gastnetzwerk auf denselben Access Points betreiben? Ja, absolut. Alle drei Plattformen unterstützen mehrere SSIDs pro Funkmodul, jeweils mit unabhängigen Sicherheitsrichtlinien. Ihre Unternehmens-SSID läuft mit WPA2-Enterprise; Ihre Gast-SSID kann über das Captive Portal von Purple mit entsprechender Isolierung laufen. Muss ich meine vorhandenen Access Points ersetzen, um WPA2-Enterprise bereitzustellen? Fast sicher nicht. WPA2-Enterprise wird seit weit über einem Jahrzehnt auf Access Points der Enterprise-Klasse unterstützt. Wenn Ihre Hardware weniger als acht Jahre alt ist und eine aktuelle Firmware verwendet, unterstützt sie 802.1X. Was ist der Unterschied zwischen WPA2-Enterprise und WPA3-Enterprise? WPA3-Enterprise fügt einen 192-Bit-Sicherheitsmodus mit Suite-B-Kryptographie hinzu, was für Regierungs- und Verteidigungsumgebungen relevant ist. Für die meisten kommerziellen Implementierungen bleibt WPA2-Enterprise mit starken EAP-Methoden der Standard. Der Übergang zu WPA3 ist für neue Bereitstellungen planenswert, für die meisten Organisationen jedoch keine dringende Migration.Ist Cloud-RADIUS eine tragfähige Option? Ja, und das in zunehmendem Maße. Dienste wie Cisco ISE in der Cloud, Aruba ClearPass als Service oder Drittanbieter-Optionen wie JumpCloud und Foxpass bieten RADIUS als Managed Service an, was den Aufwand für die Infrastruktur minimiert. Für verteilte Standorte - man denke an eine Einzelhandelskette mit 200 Filialen - kann Cloud-RADIUS die betriebliche Komplexität erheblich reduzieren. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute] Zusammenfassend lässt sich sagen: WPA2-Enterprise ist die unverzichtbare Basis für jede drahtlose Bereitstellung in Unternehmen. Der Konfigurationsprozess bei Cisco, Aruba und Ubiquiti folgt demselben grundlegenden Muster: Definieren Sie Ihren RADIUS-Server, erstellen Sie Ihre SSID mit 802.1X-Schlüsselverwaltung, wählen Sie Ihre EAP-Methode aus und testen Sie sie, bevor Sie live gehen. Die Unterschiede liegen in den Verwaltungsoberflächen und den Tools im Ökosystem der jeweiligen Plattform. Die drei wichtigsten Punkte, die Sie richtig machen müssen: RADIUS-Redundanz, Zertifikatsvalidierung auf den Clients und dynamische VLAN-Zuweisung. Wenn Sie diese drei Aspekte beherrschen, verfügen Sie über eine solide, konforme und überprüfbare Sicherheitsstruktur für Ihr WiFi. Für Ihre nächsten Schritte: Wenn Sie Plattformen evaluieren, nutzen Sie das Framework zum Anbietervergleich im begleitenden Leitfaden. Wenn Sie für die Implementierung bereit sind, finden Sie die schrittweisen Konfigurationsanleitungen für die einzelnen Plattformen im Implementierungsbereich. Und wenn Sie sich fragen, wie sich ein Gäste-WiFi in Ihr Unternehmensnetzwerk einfügt, beschreibt die Dokumentation der Purple-Plattform die Integrationsarchitektur im Detail. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.