Konfigurieren von RADIUS-Authentifizierung für Gäste- und Mitarbeiter-WiFi-Netzwerke

Executive Summary

In modernen Enterprise-Umgebungen ist die Sicherung drahtloser Netzwerke eine kritische betriebliche Anforderung. Veraltete Sicherheitsmethoden wie gemeinsam genutzte Pre-Shared Keys (PSKs) bergen erhebliche Sicherheitsrisiken. Wenn ein einzelner Mitarbeiter das Unternehmen verlässt oder ein Gast ein gemeinsam genutztes Passwort kompromittiert, ist die gesamte Sicherheitsstruktur des Netzwerks gefährdet. Dieses Handbuch beschreibt im Detail, wie Sie Remote Authentication Dial-In User Service (RADIUS) implementieren, um die Zugriffskontrolle zu zentralisieren, granulare Sicherheitsrichtlinien durchzusetzen und den Datenverkehr von Gästen und Mitarbeitern zu segmentieren.

Durch den Übergang zu einer zentralisierten RADIUS-Architektur können Unternehmen eine 802.1X-Authentifizierung für Mitarbeiter implementieren - um sicherzustellen, dass sich jedes Gerät mit eindeutigen, widerrufbaren Anmeldedaten authentifiziert - während für Gastbenutzer sichere Captive Portals und MAC Authentication Bypass (MAB) genutzt werden. Diese technische Referenz bietet die Architekturentwürfe, Konfigurationsschritte und Fehlerbehebungs-Frameworks, die für die Bereitstellung einer robusten, professionellen Wireless-Authentifizierungsinfrastruktur erforderlich sind.

Technische Vertiefung

Das AAA-Framework

RADIUS basiert auf dem AAA-Framework, das die Kernphasen der Zugriffskontrolle definiert:

1. Authentifizierung (Authentication): Überprüfung der Identität des Benutzers oder Geräts, das versucht, eine Verbindung zum WiFi-Netzwerk herzustellen. Dies erfolgt über Anmeldedaten, digitale Zertifikate oder Token.
2. Autorisierung (Authorization): Bestimmung der Ebene des Netzwerkzugriffs, die der authentifizierten Instanz gewährt wird. Dies umfasst die Zuweisung bestimmter VLANs, das Anwenden von Access Control Lists (ACLs) oder das Erzwingen von Bandbreitenbegrenzungen.
3. Abrechnung (Accounting): Erfassung des Verbrauchs von Netzwerkressourcen, einschließlich Sitzungsdauer, übertragenen Daten sowie An- und Abmeldezeiten. Diese Daten sind entscheidend für Audits, Compliance und die Netzwerkplanung.
4. Prüfung (Auditing): Überprüfung der erfassten Abrechnungsdaten, um Anomalien, Sicherheitsverletzungen oder Richtlinienverstöße zu identifizieren.

RADIUS-Architekturkomponenten

Eine standardmäßige RADIUS-Bereitstellung in Unternehmen besteht aus drei Hauptkomponenten:

• Der Supplicant: Die Client-Software, die auf dem Gerät des Benutzers (z. B. Laptop, Smartphone) ausgeführt wird, den Zugriff auf das Netzwerk anfordert und Anmeldedaten oder Zertifikate bereitstellt.
• Der Authenticator (Network Access Server / NAS): Das physische oder virtuelle Netzwerkgerät - in der Regel ein Wireless LAN Controller (WLC) oder ein Access Point (AP) -, das den physischen Zugriff auf das Netzwerk steuert. Der Authenticator entscheidet nicht, ob die Anmeldedaten gültig sind; er fungiert als Proxy, der die Authentifizierungsanfrage in RADIUS-Pakete verpackt und an den RADIUS-Server weiterleitet.
• Der Authentifizierungsserver (Authentication Server): Der zentrale Server (wie FreeRADIUS, Cisco ISE, Aruba ClearPass oder die cloudbasierte RADIUS-Engine von Purple), der die Anmeldedaten mit einem Identitätsspeicher (z. B. Active Directory, LDAP oder einem Cloud-Identitätsanbieter) abgleicht und eine Access-Accept- oder Access-Reject-Nachricht an den Authenticator zurückgibt.

EAP-Methoden für Mitarbeiter-WiFi

Für Mitarbeiternetzwerke wird das Extensible Authentication Protocol (EAP) innerhalb des 802.1X-Frameworks verwendet, um die Authentifizierung auszuhandeln. Die beiden am häufigsten verwendeten EAP-Methoden für Unternehmen sind:

• PEAP-MSCHAPv2 (Protected EAP): Diese Methode stellt mithilfe des digitalen Zertifikats des Servers einen sicheren, verschlüsselten TLS-Tunnel zwischen dem Supplicant und dem RADIUS-Server her. Innerhalb dieses sicheren Tunnels werden der Benutzername und das Passwort des Benutzers mit dem MSCHAPv2-Protokoll authentifiziert. Dies ist aufgrund der einfachen Bereitstellung sehr beliebt, da keine Zertifikate auf den Client-Geräten installiert werden müssen.
• EAP-TLS: Die sicherste verfügbare Authentifizierungsmethode. Sie erfordert eine gegenseitige Authentifizierung, was bedeutet, dass sowohl der RADIUS-Server als auch das Client-Gerät gültige digitale Zertifikate vorlegen müssen. Dies eliminiert passwortbasierte Angriffe, erfordert jedoch eine robuste Public Key Infrastructure (PKI) zur Verwaltung der Zertifikatsverteilung und des Zertifikatswiderrufs.

Authentifizierungs-Flow für Guest WiFi

Gastnetzwerke nutzen in der Regel einen anderen Ablauf, um Sicherheit mit Benutzerkomfort in Einklang zu bringen. Anstelle von 802.1X nutzen Gastnetzwerke oft eine Open SSID in Kombination mit einem Captive Portal.

Wenn sich ein Gast verbindet, verwendet der Authentifikator MAC Authentication Bypass (MAB) oder eine Umleitungsrichtlinie, um den Benutzer zu einem Captive Portal zu leiten, das von einer Plattform wie Purple gehostet wird. Sobald der Benutzer den Registrierungs- oder Anmeldevorgang auf dem Portal abgeschlossen hat, kommuniziert die Portal-Plattform mit dem RADIUS-Server, der dann eine Access-Accept-Nachricht an den WLC/AP sendet und die MAC-Adresse des Gasts für den Netzwerkzugriff für eine bestimmte Sitzungsdauer autorisiert.

Sicherer Transport: RadSec

Traditioneller RADIUS-Traffic wird über UDP (Ports 1812 für Authentifizierung und 1813 für Accounting) im Klartext gesendet, wobei nur das Passwortfeld des Benutzers mithilfe eines Shared Secret verschleiert wird. Dies birgt Sicherheitsrisiken, wenn der Authentifizierungsverkehr über öffentliche WAN-Verbindungen oder das Internet geleitet wird.

Um dies zu verhindern, sollte RadSec (RADIUS über TLS) implementiert werden. RadSec verpackt Standard-RADIUS-Pakete in einen sicheren TLS-Tunnel (normalerweise über den TCP-Port 2083). Dadurch wird sichergestellt, dass alle Authentifizierungs- und Accounting-Daten, einschließlich Benutzernamen, MAC-Adressen und Sitzungsattributen, während der Übertragung zwischen dem lokalen Netzwerk und Cloud-basierten RADIUS-Servern vollständig verschlüsselt sind.

Implementierungsleitfaden

Schritt 1: RADIUS-Clients auf dem Server definieren

Bevor ein Netzwerkgerät mit dem RADIUS-Server kommunizieren kann, muss es als Client registriert werden.

1. Melden Sie sich an der Administrationskonsole Ihres RADIUS-Servers an.
2. Navigieren Sie zum Bereich Clients oder Netzwerkgeräte.
3. Fügen Sie für jeden WLC oder AP einen neuen Client-Eintrag hinzu.
4. Geben Sie die IP-Adresse oder das Subnetz des Authentifikators ein.
5. Generieren Sie ein Shared Secret mit hoher Entropie. Dieses Passwort muss mindestens 22 Zeichen lang sein und eine Mischung aus Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Vermeiden Sie die Verwendung einfacher Wörterbuchbegriffe.

Schritt 2: Wireless LAN Controller (WLC) / Access Points konfigurieren

Konfigurieren Sie Ihre Wireless-Hardware so, dass sie für die Authentifizierung und das Accounting auf den RADIUS-Server verweist.

1. Melden Sie sich an der Verwaltungsoberfläche Ihres WLC oder APs an.
2. Navigieren Sie zu Sicherheit > AAA > RADIUS > Authentifizierung.
3. Fügen Sie einen neuen RADIUS-Authentifizierungsserver hinzu:
   • Server-IP-Adresse: Geben Sie die IP-Adresse Ihres primären RADIUS-Servers ein.
   • Shared Secret: Geben Sie genau das in Schritt 1 konfigurierte Shared Secret ein.
   • Port: 1812 (oder 2083 bei Verwendung von RadSec).
   • Timeout: Auf 5 Sekunden einstellen, um Netzwerklatenzen auszugleichen.
   • Wiederholungsversuche: Auf 3 einstellen.
4. Navigieren Sie zu RADIUS-Accounting und fügen Sie einen neuen Server-Eintrag unter Verwendung von Port 1813 (oder 2083 für RadSec) hinzu.
5. Wiederholen Sie diese Schritte, um einen sekundären (Backup-) RADIUS-Server für hohe Verfügbarkeit hinzuzufügen.

Schritt 3: Konfigurieren Sie die Mitarbeiter-SSID (802.1X)

1. Erstellen Sie eine neue SSID mit dem Namen Staff_Enterprise.
2. Stellen Sie den Sicherheitstyp auf WPA3-Enterprise ein (oder WPA2/WPA3-Enterprise-Übergangsmodus, wenn Unterstützung für ältere Geräte erforderlich ist).
3. Wählen Sie 802.1X als Schlüsselverwaltungsprotokoll.
4. Verknüpfen Sie die SSID mit den in Schritt 2 konfigurierten RADIUS-Authentifizierungs- und Accounting-Servern.
5. Weisen Sie die SSID dem sicheren Mitarbeiter-VLAN zu (z. B. VLAN 10).

Schritt 4: Konfigurieren Sie die Gäste-SSID mit Captive Portal

1. Erstellen Sie eine neue SSID mit dem Namen Guest_WiFi.
2. Stellen Sie den Sicherheitstyp auf Open ein (oder Enhanced Open / OWE für opportunistische drahtlose Verschlüsselung).
3. Aktivieren Sie MAC-Filterung oder MAC-Authentifizierung und verweisen Sie auf den RADIUS-Server.
4. Aktivieren Sie die Weiterleitung an das Captive Portal / Web-Portal.
5. Konfigurieren Sie die Weiterleitungs-URL so, dass sie auf die Login-Seite des Purple Captive Portals verweist.
6. Konfigurieren Sie den Walled Garden (Pre-Authentication-ACLs), um Datenverkehr zur Captive Portal-Domain, zu DNS-Servern und zu erforderlichen CDN-Ressourcen zuzulassen, bevor die Authentifizierung abgeschlossen ist.
7. Weisen Sie die SSID einem isolierten Gäste-VLAN zu (z. B. VLAN 20).

Best Practices

Hohe Verfügbarkeit und Redundanz

Stellen Sie RADIUS-Server immer in redundanten Paaren (primär und sekundär) bereit. Stellen Sie sicher, dass sich diese Server auf unterschiedlicher physischer Hardware oder in unterschiedlichen Cloud-Verfügbarkeitszonen befinden. Konfigurieren Sie Ihre WLCs so, dass sie reibungslos auf den sekundären Server ausweichen, falls der primäre Server nicht mehr reagiert. Implementieren Sie gegebenenfalls ein Load Balancing, um den Authentifizierungsverkehr gleichmäßig zu verteilen.

Zertifikatsmanagement

Bei PEAP- und EAP-TLS-Bereitstellungen sind die Gültigkeit und das Vertrauen des Zertifikats des RADIUS-Servers von entscheidender Bedeutung.

• Verwenden Sie ein Zertifikat, das von einer vertrauenswürdigen öffentlichen Zertifizierungsstelle (CA) ausgestellt wurde, für Gäste-Portale und PEAP-Bereitstellungen, um Warnhinweise zu Zertifikaten auf Benutzergeräten zu vermeiden.
• Richten Sie für EAP-TLS eine dedizierte interne private CA ein, um Client- und Serverzertifikate auszustellen und zu verwalten.
• Überwachen Sie die Ablaufdaten von Zertifikaten genau und implementieren Sie automatisierte Verlängerungsprozesse (wie SCEP oder ACME), um plötzliche netzwerkweite Authentifizierungsfehler zu verhindern.

VLAN-Segmentierung

Segmentieren Sie Ihren Netzwerk-Traffic strikt mithilfe von VLANs. Der Gast-Traffic muss vollständig von Unternehmensressourcen isoliert sein. Implementieren Sie Firewall-Regeln am Core-Switch oder Gateway, um ein Inter-VLAN-Routing zwischen dem Gast-VLAN und den Mitarbeiter- bzw. Management-VLANs zu verhindern. Erlauben Sie nur, dass Gast-Traffic direkt ins Internet geroutet wird.

Session-Timeout und Accounting-Intervalle

Konfigurieren Sie angemessene Session-Timeouts, um zu verhindern, dass inaktive Sitzungen IP-Adressen und Netzwerkressourcen blockieren.

• Setzen Sie für Mitarbeiter-Netzwerke ein Session-Timeout von 8 bis 12 Stunden, was einer Standard-Arbeitsschicht entspricht.
• Setzen Sie für Gast-Netzwerke ein kürzeres Session-Timeout von 2 bis 4 Stunden.
• Konfigurieren Sie das RADIUS-Accounting-Interim-Update-Intervall auf 10 oder 15 Minuten. Dies stellt sicher, dass der RADIUS-Server regelmäßige Updates über Gerätekonnektivität und Datennutzung erhält, ohne den Server mit Accounting-Paketen zu überlasten.

Fehlerbehebung & Risikominderung

Typische Fehlerbilder und Lösungen

1. Abweichender Shared Secret

• Symptom: Die WLC-Logs zeigen "RADIUS server not responding" und die RADIUS-Server-Logs zeigen "Packet dropped - invalid authenticator" oder "Bad authenticator in request."
• Fehlerursache: Der auf dem WLC konfigurierte Shared Secret stimmt nicht mit dem auf dem RADIUS-Server konfigurierten Shared Secret überein.
• Lösung: Geben Sie den Shared Secret auf beiden Geräten erneut ein und stellen Sie sicher, dass keine Leerzeichen am Ende oder versteckte Zeichen kopiert wurden.

2. Probleme mit dem Zertifikats-Trust

• Symptom: Client-Geräte können keine Verbindung zur Mitarbeiter-SSID herstellen und zeigen Fehler wie "Nicht vertrauenswürdiges Server-Zertifikat" oder "Verbindung abgelehnt" an.
• Fehlerursache: Das Client-Gerät vertraut der CA nicht, die das Zertifikat des RADIUS-Servers signiert hat, oder das Zertifikat ist abgelaufen.
• Lösung: Stellen Sie sicher, dass die Root- und Intermediate-CA-Zertifikate im vertrauenswürdigen Root-Speicher des Client-Geräts installiert sind. Verteilen Sie diese Zertifikate für unternehmenseigene Geräte über MDM oder Gruppenrichtlinien.

3. Firewall-Blockaden

• Symptom: Der RADIUS-Server empfängt keinen Traffic vom WLC, obwohl das Routing überprüft wurde.
• Fehlerursache: Firewalls blockieren die UDP-Ports 1812 und 1813.
• Lösung: Erstellen Sie explizite Firewall-Regeln, um UDP 1812 und 1813 (oder TCP 2083 für RadSec) zwischen der WLC-Management-IP und der RADIUS-Server-IP zuzulassen.

4. Latenzbedingte Timeouts

• Symptom: Sporadische Authentifizierungsfehler, insbesondere zu Stoßzeiten oder bei der Nutzung cloudbasierter RADIUS-Server.
• Fehlerursache: Die Netzwerklatenz überschreitet den RADIUS-Timeout-Schwellenwert des WLC, was dazu führt, dass der WLC davon ausgeht, der Server sei offline.
• Lösung: Erhöhen Sie die RADIUS-Timeout-Einstellung des WLC vom Standardwert (normalerweise 2 Sekunden) auf 5 oder 7 Sekunden. Optimieren Sie das WAN-Routing oder implementieren Sie lokale RADIUS-Proxies, um Authentifizierungsanfragen zu cachen.

ROI & geschäftlicher Nutzen

Der Übergang zu einem zentralisierten RADIUS-Authentifizierungsmodell liefert messbaren geschäftlichen Nutzen in mehreren Schlüsselbereichen:

• Geringerer betrieblicher Aufwand: Eliminiert den manuellen Aufwand, der für die Rotation gemeinsam genutzter WiFi Passwörter erforderlich ist, wenn Mitarbeiter das Unternehmen verlassen. Benutzerkonten können in Active Directory oder Ihrem Identitätsanbieter sofort deaktiviert werden, wodurch der Netzwerkzugriff umgehend entzogen wird.
• Verbesserte Sicherheitsstruktur: Minimiert das Risiko von Datenpannen, die durch den Diebstahl von Anmeldedaten oder unbefugten Netzwerkzugriff verursacht werden. Durch die Durchsetzung von 802.1X und zertifikatsbasierter Authentifizierung stellen Unternehmen sicher, dass nur autorisierte, richtlinienkonforme Geräte auf sensible Unternehmensressourcen zugreifen können.
• Optimierter Veranstaltungsbetrieb: Durch die Integration von Gäste-WiFi mit der Cloud-RADIUS-Plattform von Purple erfassen Betreiber wertvolle demografische Daten und Verhaltensdaten. Diese Daten können verwendet werden, um gezielte Marketingkampagnen zu erstellen, das Besuchererlebnis zu verbessern und die Raumnutzung auf der Grundlage von Besucherstromanalysen zu optimieren.
• Einhaltung gesetzlicher Vorschriften: Zentralisierte RADIUS-Accounting-Protokolle bieten einen Audit-Trail für den Netzwerkzugriff und helfen Unternehmen, Compliance-Anforderungen für Standards wie PCI-DSS, ISO 27001 und GDPR zu erfüllen.