Jamf and RADIUS: Zertifikatsbasierte WiFi-Authentifizierung für Apple-Geräteflotten

Executive Summary

Die Verwaltung des sicheren WiFi-Zugangs für eine Flotte von Apple-Geräten in einer Unternehmensumgebung stellt eine erhebliche betriebliche und sicherheitstechnische Herausforderung dar, wenn man sich auf die herkömmliche passwortbasierte Authentifizierung verlässt. Benutzer ändern ihre Active Directory-Anmeldedaten, und sofort verlieren ihre iPhones, iPads und MacBooks die Verbindung zum Netzwerk — was Support-Tickets generiert, Arbeitsabläufe unterbricht und das Unternehmen für Angriffe auf Anmeldedaten anfällig macht.

Für IT-Manager, Netzwerkarchitekten und CTOs in Hotels, Einzelhandelsketten, Stadien und Organisationen des öffentlichen Sektors ist die Lösung eine zertifikatsbasierte 802.1X-Authentifizierung mittels EAP-TLS. Durch die Nutzung von Jamf Pro zur Verteilung eindeutiger kryptografischer Zertifikate über SCEP (Simple Certificate Enrollment Protocol) und die Integration mit einem RADIUS-Server können Unternehmen einen nahtlosen, passwortlosen WiFi-Zugang für jedes verwaltete Apple-Gerät realisieren. Dieser Leitfaden bietet einen praxisnahen, herstellerneutralen Ansatz für die Bereitstellung der Jamf RADIUS WiFi-Zertifikatsauthentifizierung, um robuste Sicherheit, die Einhaltung von Standards wie PCI DSS und GDPR sowie eine messbare Reduzierung des Support-Aufwands zu gewährleisten.

Technical Deep-Dive

The 802.1X EAP-TLS Architecture

Die Grundlage der zertifikatsbasierten WiFi-Authentifizierung ist der IEEE 802.1X-Standard in Kombination mit dem EAP-TLS-Protokoll (Extensible Authentication Protocol-Transport Layer Security). Eine detaillierte Einführung in den 802.1X-Standard selbst finden Sie in unserem Leitfaden über 802.1X Authentication: Securing Network Access on Modern Devices .

Im Gegensatz zu PEAP (Protected EAP), das auf Benutzername und Passwort basiert, erfordert EAP-TLS, dass sowohl das Client-Gerät als auch der Authentifizierungsserver ihre Identität mithilfe digitaler Zertifikate nachweisen. Diese gegenseitige Authentifizierung macht EAP-TLS zum Goldstandard für Unternehmensbereitstellungen. Das Drei-Parteien-Modell besteht aus den folgenden Komponenten.

Der Access Point fungiert als Gatekeeper und blockiert den gesamten Datenverkehr, bis der RADIUS-Server eine Access-Accept-Nachricht sendet. Dies ist der Kern des portbasierten Network Access Control (PNAC)-Modells nach IEEE 802.1X.

SCEP und Jamf Pro: Skalierbare Zertifikatsverteilung

Die Herausforderung bei EAP-TLS im großen Maßstab ist die Zertifikatsverteilung. Die manuelle Installation eines eindeutigen Zertifikats auf 500 iPads ist im Betrieb nicht machbar. An dieser Stelle wird die Integration von Jamf Pro und SCEP Jamf zum entscheidenden Faktor.

SCEP (Simple Certificate Enrollment Protocol) ist ein leichtgewichtiges Protokoll, mit dem ein Gerät automatisch ein signiertes Zertifikat von einer Zertifizierungsstelle (CA) anfordern und empfangen kann. Jamf Pro fungiert dabei als Orchestrator und pusht ein Konfigurationsprofil auf jedes Apple-Gerät. Dieses Profil enthält einen SCEP-Payload, der das Gerät anweist, den SCEP-Server zu kontaktieren, ein dynamisches Challenge-Passwort bereitstellt und die erforderlichen Zertifikatsattribute spezifiziert – wie beispielsweise den Subject Alternative Name (SAN), der in der Regel der MAC-Adresse oder Seriennummer des Geräts zugeordnet ist.

Der Mechanismus des dynamischen Challenge-Passworts ist besonders wichtig. Bei einer Jamf-integrierten SCEP-Bereitstellung generiert Jamf ein eindeutiges, einmaliges Challenge-Passwort für jedes Gerät. Dies stellt sicher, dass nur in Jamf Pro registrierte – und somit unternehmensseitig verwaltete – Geräte erfolgreich ein Zertifikat von der CA erhalten können. Dies ist eine kritische Sicherheitskontrolle, die verhindert, dass sich unbefugte Geräte registrieren.

RADIUS-Attribute für die Authentifizierung von Apple-Geräten

Wenn der RADIUS-Server einen Access-Request vom Access Point empfängt, wertet er mehrere Attribute aus, um seine Autorisierungsentscheidung zu treffen. Für Apple 802.1X-Bereitstellungen sind die folgenden RADIUS-Attribute am relevantesten.

Das Attribut Tunnel-Private-Group-Id ist in Unternehmensumgebungen besonders leistungsfähig. Durch die Rückgabe unterschiedlicher VLAN-IDs basierend auf den Attributen des Zertifikats (z. B. Abteilung, Gerätetyp) kann der RADIUS-Server das Netzwerk dynamisch segmentieren, ohne dass separate SSIDs erforderlich sind.

Implementierungsleitfaden

Die Bereitstellung der Zertifikats-WiFi-Authentifizierung für Apple-Geräte über Jamf Pro folgt einer strukturierten Abfolge. Das Abweichen von dieser Reihenfolge ist die Hauptursache für fehlerhafte Bereitstellungen.

Schritt 1: Einrichten der Infrastruktur Ihrer Zertifizierungsstelle

Bevor Sie Anpassungen in Jamf vornehmen, muss Ihre CA-Infrastruktur eingerichtet sein. Für Microsoft-Umgebungen ist dies in der Regel Active Directory Certificate Services (AD CS) mit der Rolle Network Device Enrollment Service (NDES), die als SCEP-Server fungiert. Für Nicht-Microsoft-Umgebungen stehen Optionen wie EJBCA, HashiCorp Vault PKI oder Cloud-basierte CAs wie AWS Private CA zur Verfügung.

Stellen Sie sicher, dass Ihre CA-Hierarchie klar definiert ist: eine Root-CA, die offline aufbewahrt wird, und eine oder mehrere ausstellende CAs, die die Gerätezertifikate signieren. Der RADIUS-Server benötigt ein eigenes Zertifikat, das von derselben CA-Hierarchie signiert wurde.

Schritt 2: SCEP-Payload in Jamf Pro konfigurieren

Navigieren Sie zu Computer (oder Mobilgeräte) > Konfigurationsprofile > Neu. Fügen Sie ein Zertifikat-Payload hinzu und wählen Sie SCEP als Zertifikatsquelle aus. Die wichtigsten Felder sind wie folgt.

• URL: Der SCEP-Endpunkt (z. B. http://ndes.yourdomain.com/certsrv/mscep/mscep.dll).
• Name: Ein aussagekräftiger Name, der im Schlüsselbund des Geräts angezeigt wird.
• Subjekt (Subject): Der Distinguished Name des Zertifikats. Verwenden Sie Jamf-Variablen wie CN=$COMPUTERNAME für Computer oder CN=$JSSID für Mobilgeräte.
• Alternativer Antragstellername (SAN): Stellen Sie den SAN-Typ auf RFC 822-Name mit dem Wert $MACADDRESS@yourdomain.com oder DNS-Name mit $COMPUTERNAME.yourdomain.com ein. Dies ist der Wert, den der RADIUS-Server zur Identifizierung des Geräts ausliest.
• Challenge-Typ: Wählen Sie Dynamisch, um den integrierten SCEP-Proxy von Jamf zu nutzen, der gerätespezifische Challenge-Passwörter generiert.
• Schlüssellänge: Mindestens 2048-Bit-RSA. 4096-Bit wird für neue Bereitstellungen empfohlen.
• Schlüsselverwendung: Aktivieren Sie sowohl Signieren als auch Verschlüsselung.

Schritt 3: WiFi-Payload konfigurieren

Fügen Sie im selben Konfigurationsprofil ein Wi-Fi-Payload hinzu. Die wichtigsten Einstellungen für Apple 802.1X sind wie folgt.

• SSID: Der exakte Name Ihrer sicheren Unternehmens-SSID.
• Sicherheitstyp: WPA2 Enterprise oder WPA3 Enterprise (empfohlen, sofern die Hardware dies unterstützt).
• Protokolle — Akzeptierte EAP-Typen: Wählen Sie nur TLS aus. Deaktivieren Sie PEAP, TTLS und alle anderen Typen, um ausschließlich EAP-TLS zu erzwingen.
• Authentifizierung — Identitätszertifikat: Wählen Sie das in Schritt 2 erstellte SCEP-Payload aus. Dies ist das entscheidende Bindeglied zwischen dem Zertifikat und der WiFi-Verbindung.
• Vertrauen — Namen vertrauenswürdiger Serverzertifikate: Geben Sie den exakten Common Name (CN) des Zertifikats Ihres RADIUS-Servers ein (z. B. radius.yourdomain.com). Dies ist der am häufigsten vergessene Konfigurationsschritt.
• Vertrauen — Vertrauenswürdige Zertifikate: Laden Sie die Root-CA und alle Zwischen-CA-Zertifikate hoch, die das Zertifikat des RADIUS-Servers signiert haben.

Schritt 4: RADIUS-Server konfigurieren

Erstellen Sie auf Ihrem RADIUS-Server eine Netzwerkrichtlinie, die den in Jamf definierten Zertifikatsattributen entspricht. Für Microsoft NPS bedeutet dies das Erstellen einer Verbindungsanforderungsrichtlinie, die der SSID über das Attribut Called-Station-Id entspricht, und einer Netzwerkrichtlinie, die das Zertifikat mit Ihrer CA abgleicht und optional über die Tunnel-Attribute ein VLAN zuweist.

Für FreeRADIUS konfigurieren Sie das eap-Modul so, dass es tls verwendet, und verweisen Sie auf Ihr CA-Zertifikat, das Server-Zertifikat sowie den privaten Schlüssel. Die users-Datei oder das SQL-Backend sollte so konfiguriert werden, dass der SAN-Wert des Zertifikats mit Ihrem Gerätebestand abgeglichen wird.

Schritt 5: Zuweisung und Bereitstellung des Profils

Weisen Sie das Konfigurationsprofil in Jamf Pro den entsprechenden Gerätegruppen zu — beispielsweise allen Geräten in der Smart-Gruppe „Corporate Fleet“. Das Profil wird automatisch per MDM bereitgestellt. Online-Geräte erhalten es innerhalb weniger Minuten, während Offline-Geräte es beim nächsten Check-in empfangen.

Best Practices

Implementieren Sie WPA3-Enterprise, wo immer möglich. WPA3-Enterprise mit 192-Bit-Modus bietet eine verbesserte kryptografische Stärke durch die Verwendung von GCMP-256 und HMAC-SHA-384 und bietet damit einen deutlich stärkeren Schutz als WPA2-Enterprise. Für das Gastgewerbe und Gesundheitsorganisationen , die mit sensiblen Daten arbeiten, ist dieses Upgrade zunehmend eine Compliance-Anforderung und nicht mehr nur eine Best Practice.

Nutzen Sie gerätebasierte Zertifikate für gemeinsam genutzte Hardware. Verwenden Sie für gemeinsam genutzte Geräte — wie iPads an Kassensystemen im Einzelhandel, Hotel-Concierge-Tablets oder klinische Geräte — gerätegebundene statt benutzergebundene Zertifikate. Dies stellt sicher, dass sich das Gerät bereits beim Systemstart mit dem Netzwerk verbindet, noch bevor sich ein Benutzer anmeldet. So funktionieren MDM-Check-ins, App-Updates und Push-Benachrichtigungen ordnungsgemäß. Dies ist ein entscheidender Aspekt für Installationen im Einzelhandel , bei denen Geräte schichtübergreifend gemeinsam genutzt werden.

Integrieren Sie den Netzwerkzugriff in Ihr übergeordnetes Sicherheitskonzept. Während Mitarbeiter 802.1X für den sicheren internen Zugriff nutzen, sollten Sie sicherstellen, dass Ihre öffentlichen Netzwerke über eine robuste Guest WiFi -Lösung verwaltet werden, um eine klare Traffic-Trennung aufrechtzuerhalten. Die Kombination aus zertifikatsbasierter Mitarbeiter-Authentifizierung und WiFi Analytics bietet vollständige Transparenz sowohl über das Verhalten authentifizierter Geräte als auch über die Aktivitäten im Gästenetzwerk.

Automatisieren Sie die Zertifikatserneuerung. Konfigurieren Sie die SCEP-Payload in Jamf so, dass eine automatische Erneuerung ausgelöst wird, wenn ein Zertifikat noch 14 bis 30 Tage gültig ist. Dies verhindert das Szenario, dass ein Gerät unbemerkt den Netzwerkzugriff verliert, weil sein Zertifikat über Nacht abgelaufen ist. In Jamf Pro wird dies über die Einstellung Renewal Threshold in der SCEP-Payload gesteuert.

Betreiben Sie eine Certificate Revocation List (CRL) oder einen OCSP-Responder. Wenn ein Gerät ausgemustert, gestohlen oder aus Jamf abgemeldet wird, muss sein Zertifikat auf CA-Ebene widerrufen werden. Konfigurieren Sie Ihren RADIUS-Server so, dass er bei jedem Authentifizierungsversuch den CRL- oder OCSP-Endpunkt überprüft. Ohne diese Prüfung kann sich ein gestohlenes Gerät mit einem gültigen Zertifikat weiterhin im Netzwerk authentifizieren. Weitere Hintergründe zu modernen Entscheidungen im Bereich der Netzwerkinfrastruktur bietet der Leitfaden The Core SD WAN Benefits for Modern Businesses . Er liefert nützliche Kontextinformationen darüber, wie sich die zertifikatsbasierte Authentifizierung in SD-WAN-Overlay-Architekturen integrieren lässt.

Fehlerbehebung & Risikominderung

Das Henne-Ei-Problem bei der Bereitstellung. Geräte benötigen eine Netzwerkverbindung, um den SCEP-Server zu erreichen und ihr Zertifikat herunterzuladen, aber sie benötigen das Zertifikat, um dem sicheren WiFi beizutreten. Dies ist das häufigste Hindernis bei der Bereitstellung. Die empfohlenen Strategien zur Risikominderung sind: Bereitstellung über Ethernet mithilfe von USB-C- oder Lightning-zu-Ethernet-Adaptern; Nutzung von Mobilfunkdaten auf iPhones und iPads mit Mobilfunkunterstützung; oder die Erstellung einer temporären, eingeschränkten Onboarding-SSID mit Firewall-Regeln, die ausschließlich SCEP- und MDM-Traffic zulassen.

Lautlose EAP-TLS-Fehler unter macOS. Wenn die Vertrauenskette unvollständig ist, schlägt die Verbindung unter macOS unter Umständen lautlos fehl, ohne dass eine aussagekräftige Fehlermeldung in der Benutzeroberfläche angezeigt wird. Der einzige Hinweis findet sich im Systemprotokoll. Verwenden Sie log stream --predicate 'subsystem == "com.apple.network"', um Authentifizierungsereignisse in Echtzeit zu erfassen. Überprüfen Sie stets, ob das Array Trusted Server Certificate Names im Jamf-Profil exakt mit dem CN im Zertifikat des RADIUS-Servers übereinstimmt.

RADIUS-Timeout bei hoher Auslastung. In Umgebungen wie Stadien oder Konferenzzentren können gleichzeitige Authentifizierungsanfragen von Hunderten von Geräten den RADIUS-Server überlasten. Steuern Sie dem entgegen, indem Sie RADIUS in einem Hochverfügbarkeitspaar bereitstellen, den Parameter max_requests in FreeRADIUS optimieren und sicherstellen, dass der RADIUS-Server über ausreichend CPU und Arbeitsspeicher für die erwartete gleichzeitige Authentifizierungslast verfügt. Für großflächige Bereitstellungen an Veranstaltungsorten finden Sie in unserem Leitfaden Wireless Access Points Definition Your Ultimate 2026 Guide wichtige Hinweise zur Kapazitätsplanung.

Fehlende Übereinstimmung von Zertifikatsattributen. Wenn der SAN im Gerätezertifikat nicht mit den Erwartungen der RADIUS-Netzwerkrichtlinie übereinstimmt, schlägt die Authentifizierung fehl. Dies kommt besonders häufig vor, wenn von einer CA zu einer anderen migriert wird oder wenn Jamf-Variablen anders aufgelöst werden als erwartet. Testen Sie dies immer zuerst mit einem einzelnen Gerät und überprüfen Sie die Protokolle des RADIUS-Servers, um die genaue Identitätszeichenfolge zu bestätigen, die präsentiert wird, bevor Sie die Bereitstellung auf die gesamte Flotte ausrollen.

ROI und geschäftlicher Nutzen

Der Übergang zur Jamf RADIUS WiFi-Zertifikatsauthentifizierung liefert messbaren geschäftlichen Nutzen in mehreren Dimensionen.

Der wichtigste ROI-Treiber ist die Eliminierung von Störungen durch Passwortrotationen. In einer Flotte von 500 Geräten, bei der jedes Quartal 10 % der Geräte aufgrund von Passwortänderungen die Netzwerkverbindung verlieren und jeder Vorfall 20 Minuten IT-Arbeitszeit zur Behebung erfordert, können allein die jährlichen Einsparungen bei den Supportkosten die Implementierungsinvestition bereits im ersten Jahr rechtfertigen.

Für Betreiber im Bereich Transport und in großen Veranstaltungsräumen wird der Business Case durch die Möglichkeit zur Durchsetzung dynamischer VLAN-Zuweisungen weiter gestärkt – dies stellt sicher, dass betriebliche Geräte, Mitarbeitergeräte und Managementsysteme automatisch ohne manuelle Netzwerkrekonfiguration segmentiert werden.