Jamf und RADIUS: Zertifikatsbasierte WiFi Authentifizierung für Apple-Geräteflotten

Management-Zusammenfassung

Die Verwaltung des sicheren WiFi-Zugangs für eine Flotte von Apple-Geräten in einer Unternehmensumgebung stellt eine erhebliche betriebliche und sicherheitstechnische Herausforderung dar, wenn man sich auf die herkömmliche passwortbasierte Authentifizierung verlässt. Benutzer ändern ihre Active Directory-Anmeldedaten, und sofort verlieren ihre iPhones, iPads und MacBooks die Verbindung zum Netzwerk - was Helpdesk-Tickets generiert, Arbeitsabläufe stört und das Unternehmen für Angriffe auf Anmeldedaten anfällig macht.

Für IT-Manager, Netzwerkarchitekten und CTOs in Hotels, Einzelhandelsketten, Stadien und Organisationen des öffentlichen Sektors ist die Lösung eine zertifikatsbasierte 802.1X-Authentifizierung mittels EAP-TLS. Durch die Nutzung von Jamf Pro zur Verteilung eindeutiger kryptografischer Zertifikate über SCEP (Simple Certificate Enrollment Protocol) und die Integration mit einem RADIUS-Server können Unternehmen einen nahtlosen, passwortlosen WiFi-Zugang für jedes verwaltete Apple-Gerät realisieren. Dieser Leitfaden bietet einen praxisnahen, herstellerneutralen Ansatz zur Bereitstellung der Jamf RADIUS WiFi-Zertifikatauthentifizierung, der für robuste Sicherheit, die Einhaltung von Standards wie PCI-DSS und GDPR sowie eine messbare Reduzierung des Support-Aufwands sorgt.

Technischer Deep-Dive

Die 802.1X EAP-TLS-Architektur

Die Grundlage der zertifikatsbasierten WiFi-Authentifizierung ist der Standard IEEE 802.1X in Kombination mit dem Protokoll EAP-TLS (Extensible Authentication Protocol-Transport Layer Security). Eine ausführliche Einführung in den 802.1X-Standard selbst finden Sie in unserem Leitfaden über 802.1X-Authentifizierung: Sicherung des Netzwerkzugriffs auf modernen Geräten.

Im Gegensatz zu PEAP (Protected EAP), das auf einem Benutzernamen und einem Passwort basiert, erfordert EAP-TLS, dass sowohl das Client-Gerät als auch der Authentifizierungsserver ihre Identität mithilfe digitaler Zertifikate nachweisen. Diese gegenseitige Authentifizierung macht EAP-TLS zum Goldstandard für Bereitstellungen in Unternehmen. Das Dreiparteienmodell besteht aus den folgenden Komponenten.

Der Access Point fungiert als Gatekeeper und blockiert den gesamten Datenverkehr, bis der RADIUS-Server eine Access-Accept-Nachricht sendet. Dies ist der Kern des portbasierten Netzwerkzugriffskontrollmodells (PNAC) nach IEEE 802.1X.

SCEP und Jamf Pro: Skalierbare Zertifikatsverteilung

Die Herausforderung bei EAP-TLS in großem Stil ist die Zertifikatsverteilung. Die manuelle Installation eines eindeutigen Zertifikats auf 500 iPads ist keine praktikable Option. Hier wird die Integration von Jamf Pro und SCEP Jamf zum entscheidenden Faktor.

SCEP (Simple Certificate Enrollment Protocol) ist ein leichtgewichtiges Protokoll, mit dem ein Gerät automatisch ein signiertes Zertifikat von einer Zertifizierungsstelle (CA) anfordern und empfangen kann. Jamf Pro fungiert als Orchestrator und überträgt ein Konfigurationsprofil auf jedes Apple-Gerät. Dieses Profil enthält eine SCEP-Payload, die das Gerät anweist, den SCEP-Server zu kontaktieren, ein dynamisches Challenge-Passwort bereitstellt und die erforderlichen Zertifikatsattribute spezifiziert - wie den Subject Alternative Name (SAN), der in der Regel der MAC-Adresse oder Seriennummer des Geräts zugeordnet ist.

Der Mechanismus des dynamischen Challenge-Passworts ist besonders wichtig. In einer in Jamf integrierten SCEP-Bereitstellung generiert Jamf ein eindeutiges, einmaliges Challenge-Passwort für jedes Gerät. Dies stellt sicher, dass nur Geräte, die in Jamf Pro registriert sind - und somit vom Unternehmen verwaltet werden -, erfolgreich ein Zertifikat von der CA erhalten können. Dies ist eine entscheidende Sicherheitskontrolle, die verhindert, dass sich unbefugte Geräte registrieren.

RADIUS-Attribute für die Authentifizierung von Apple-Geräten

Wenn der RADIUS-Server einen Access-Request vom Access Point empfängt, wertet er mehrere Attribute aus, um seine Autorisierungsentscheidung zu treffen. Für Apple 802.1X-Bereitstellungen sind die folgenden RADIUS-Attribute am relevantesten.

Das Attribut Tunnel-Private-Group-Id ist in Unternehmensumgebungen besonders leistungsfähig. Durch die Rückgabe unterschiedlicher VLAN-IDs basierend auf den Attributen des Zertifikats (z. B. Abteilung, Gerätetyp) kann der RADIUS-Server das Netzwerk dynamisch segmentieren, ohne dass separate SSIDs erforderlich sind.

Implementierungshandbuch

Die Bereitstellung der Zertifikats-WiFi-Apple-Authentifizierung über Jamf Pro folgt einem strukturierten Ablauf. Eine Abweichung von dieser Reihenfolge ist die Hauptursache für fehlgeschlagene Bereitstellungen.

Schritt 1: Einrichten der Infrastruktur Ihrer Zertifizierungsstelle

Bevor Sie in Jamf Änderungen vornehmen, muss Ihre CA-Infrastruktur eingerichtet sein. Für Microsoft-Umgebungen ist dies in der Regel Active Directory Certificate Services (AD CS) mit der Rolle Network Device Enrollment Service (NDES), die als SCEP-Server fungiert. Für Nicht-Microsoft-Umgebungen stehen Optionen wie EJBCA, HashiCorp Vault PKI oder cloudbasierte CAs wie AWS Private CA zur Verfügung.

Stellen Sie sicher, dass Ihre CA-Hierarchie klar definiert ist: eine Root-CA, die offline gehalten wird, und eine oder mehrere ausstellende CAs (Issuing CAs), die Gerätezertifikate signieren. Der RADIUS-Server benötigt ein eigenes Zertifikat, das von derselben CA-Hierarchie signiert ist.

Schritt 2: SCEP-Payload in Jamf Pro konfigurieren

Navigieren Sie zu Computers (oder Mobile Devices) > Configuration Profiles > New. Fügen Sie eine Certificate-Payload hinzu und wählen Sie SCEP als Zertifikatsquelle aus. Die kritischen Felder sind wie folgt aufgebaut.

• URL: Der SCEP-Endpunkt (z. B. http://ndes.yourdomain.com/certsrv/mscep/mscep.dll).
• Name: Ein aussagekräftiger Name, der im Schlüsselbund des Geräts angezeigt wird.
• Subject: Der Distinguished Name des Zertifikats. Verwenden Sie Jamf-Variablen wie CN=$COMPUTERNAME für Computer oder CN=$JSSID für Mobilgeräte.
• Subject Alternative Name (SAN): Stellen Sie den SAN-Typ auf RFC 822 Name mit dem Wert $MACADDRESS@yourdomain.com oder auf DNS Name mit $COMPUTERNAME.yourdomain.com ein. Dies liest der RADIUS-Server aus, um das Gerät zu identifizieren.
• Challenge Type: Wählen Sie Dynamic, um den in Jamf integrierten SCEP-Proxy zu verwenden, der pro Gerät individuelle Challenge-Passwörter generiert.
• Key Size: Mindestens 2048-Bit RSA. Für neue Bereitstellungen wird 4096-Bit empfohlen.
• Key Usage: Aktivieren Sie sowohl Signing als auch Encryption.

Schritt 3: WiFi-Payload konfigurieren

Fügen Sie im selben Konfigurationsprofil eine WiFi-Payload hinzu. Die wichtigsten Einstellungen für Apple 802.1X sind wie folgt.

• SSID: Der genaue Name Ihrer sicheren Unternehmens-SSID.
• Security Type: WPA2 Enterprise oder WPA3 Enterprise (empfohlen, sofern die Hardware dies unterstützt).
• Protocols - Accepted EAP Types: Wählen Sie nur TLS aus. Deaktivieren Sie PEAP, TTLS und alle anderen Typen, um EAP-TLS exklusiv zu erzwingen.
• Authentication - Identity Certificate: Wählen Sie die in Schritt 2 erstellte SCEP-Payload aus. Dies ist die entscheidende Verbindung zwischen dem Zertifikat und der WiFi-Verbindung.
• Trust - Trusted Server Certificate Names: Geben Sie den genauen Common Name (CN) des Zertifikats Ihres RADIUS-Servers ein (z. B. radius.yourdomain.com). Dies ist das am häufigsten übersehene Konfigurationselement.
• Trust - Trusted Certificates: Laden Sie die Root-CA und alle Intermediate-CA-Zertifikate hoch, die das Zertifikat des RADIUS-Servers signiert haben.

Schritt 4: RADIUS-Server konfigurieren

Erstellen Sie auf Ihrem RADIUS-Server eine Netzwerkrichtlinie, die den in Jamf definierten Zertifikatsattributen entspricht. Für Microsoft NPS bedeutet dies das Erstellen einer Connection Request Policy, die der SSID über das Attribut Called-Station-Id entspricht, und einer Network Policy, die das Zertifikat mit Ihrer CA abgleicht und optional über die Tunnel-Attribute ein VLAN zuweist.Konfigurieren Sie für FreeRADIUS das eap-Modul so, dass es tls verwendet, und verweisen Sie auf Ihr CA-Zertifikat, das Server-Zertifikat und den privaten Schlüssel. Die users-Datei oder das SQL-Backend sollte so konfiguriert werden, dass der SAN-Eintrag des Zertifikats mit Ihrem Gerätebestand abgeglichen wird.

Schritt 5: Zuweisen und Bereitstellen des Profils

Weisen Sie das Konfigurationsprofil in Jamf Pro den entsprechenden Gerätegruppen zu - zum Beispiel allen Geräten in der Smart Group "Corporate Fleet". Das Profil wird automatisch via MDM übertragen. Geräte, die online sind, erhalten es innerhalb weniger Minuten; Offline-Geräte erhalten es bei der nächsten Verbindungsaufnahme.

Best Practices

Implementieren Sie WPA3 Enterprise, wo immer es möglich ist. WPA3 Enterprise mit dem 192-Bit-Modus bietet eine verbesserte kryptografische Stärke unter Verwendung von GCMP-256 und HMAC-SHA-384 und bietet damit einen wesentlich stärkeren Schutz als WPA2 Enterprise. Für Umgebungen im Gastgewerbe und Organisationen im Gesundheitswesen, die mit sensiblen Daten arbeiten, wird dieses Upgrade zunehmend zu einer Compliance-Anforderung und nicht mehr nur zu einer Best Practice.

Nutzen Sie gerätebasierte Zertifikate für gemeinsam genutzte Hardware. Verwenden Sie für gemeinsam genutzte Geräte - wie iPads am Point-of-Sale im Einzelhandel, Tablets für den Hotel-Concierge oder klinische Geräte - gerätegebundene Zertifikate anstelle von benutzergebundenen Zertifikaten. Dies stellt sicher, dass sich das Gerät beim Booten mit dem Netzwerk verbindet, noch bevor sich ein Benutzer anmeldet, sodass MDM-Check-ins, App-Updates und Push-Benachrichtigungen ordnungsgemäß funktionieren. Dies ist ein wichtiger Aspekt für Implementierungen im Einzelhandel, bei denen Geräte schichtübergreifend genutzt werden.

Integrieren Sie den Netzwerkzugriff in Ihr allgemeines Sicherheitskonzept. Während Ihre Mitarbeiter 802.1X für den sicheren internen Zugriff nutzen, sollten Sie sicherstellen, dass Ihre öffentlich zugänglichen Netzwerke über eine robuste Guest WiFi-Lösung verwaltet werden, um eine klare Verkehrstrennung aufrechtzuerhalten. Die Kombination aus zertifikatsbasierter Mitarbeiter-Authentifizierung mit WiFi Analytics bietet vollständige Transparenz sowohl über das Verhalten authentifizierter Geräte als auch über die Aktivitäten im Gästenetzwerk.

Automatisieren Sie die Erneuerung von Zertifikaten. Konfigurieren Sie die SCEP-Payload in Jamf so, dass eine automatische Erneuerung ausgelöst wird, wenn ein Zertifikat noch 14 bis 30 Tage gültig ist. Dies verhindert, dass ein Gerät unbemerkt den Netzwerkzugriff verliert, weil sein Zertifikat über Nacht abgelaufen ist. In Jamf Pro wird dies über die Einstellung Erneuerungsschwellenwert in der SCEP-Payload gesteuert.

Führen Sie eine Zertifikatssperrliste (CRL) oder einen OCSP-Responder. Wenn ein Gerät ausgemustert, gestohlen oder aus Jamf abgemeldet wird, muss sein Zertifikat auf CA-Ebene gesperrt werden. Konfigurieren Sie Ihren RADIUS-Server so, dass er bei jedem Authentifizierungsversuch den CRL- oder OCSP-Endpunkt überprüft. Ohne diese Prüfung kann sich ein gestohlenes Gerät mit einem gültigen Zertifikat weiterhin im Netzwerk authentifizieren. Für weiteren Kontext zu modernen Entscheidungen bei der Netzwerkinfrastruktur bietet der Leitfaden The Core SD WAN Benefits for Modern Businesses nützliche Informationen darüber, wie sich zertifikatsbasierte Authentifizierung in SD-WAN-Overlay-Architekturen integrieren lässt.

Fehlerbehebung & Risikominderung

Das Henne-Ei-Problem bei der Bereitstellung. Geräte benötigen eine Netzwerkverbindung, um den SCEP-Server zu erreichen und ihr Zertifikat herunterzuladen, aber sie benötigen das Zertifikat, um dem sicheren WiFi beizutreten. Dies ist das häufigste Hindernis bei der Bereitstellung. Die empfohlenen Strategien zur Risikominderung sind: Bereitstellung über Ethernet mit USB-C- oder Lightning-zu-Ethernet-Adaptern; Nutzung von Mobilfunkdaten auf iPhones und mobilfunkfähigen iPads; oder Einrichtung einer temporären, eingeschränkten Onboarding-SSID mit Firewall-Regeln, die nur SCEP- und MDM-Datenverkehr zulassen.

Stille EAP-TLS-Fehler auf macOS. Wenn die Vertrauenskette unvollständig ist, schlägt die Verbindung unter macOS möglicherweise stillschweigend fehl, ohne dass eine aussagekräftige Fehlermeldung in der Benutzeroberfläche angezeigt wird. Der einzige Hinweis findet sich im Systemprotokoll. Verwenden Sie log stream --predicate 'subsystem == "com.apple.network"', um Authentifizierungsereignisse in Echtzeit zu erfassen. Überprüfen Sie immer, ob das Array Trusted Server Certificate Names im Jamf-Profil exakt mit dem CN im Zertifikat des RADIUS-Servers übereinstimmt.

RADIUS-Timeout bei hoher Auslastung. In Umgebungen wie Stadien oder Konferenzzentren können gleichzeitige Authentifizierungsanfragen von Hunderten von Geräten den RADIUS-Server überlasten. Steuern Sie dem entgegen, indem Sie RADIUS in einem Hochverfügbarkeitspaar bereitstellen, den Parameter max_requests in FreeRADIUS anpassen und sicherstellen, dass der RADIUS-Server über ausreichend CPU und Arbeitsspeicher für die erwartete gleichzeitige Authentifizierungslast verfügt. Für groß angelegte Bereitstellungen an Veranstaltungsorten finden Sie in unserem Leitfaden Wireless Access Points Definition Your Ultimate 2026 Guide Überlegungen zur Kapazitätsplanung.

Abweichung bei den Zertifikatsattributen. Wenn der SAN im Gerätezertifikat nicht mit den Erwartungen der RADIUS-Netzwerkrichtlinie übereinstimmt, schlägt die Authentifizierung fehl. Dies kommt besonders häufig vor, wenn von einer CA zu einer anderen migriert wird oder wenn Jamf-Variablen anders aufgelöst werden als erwartet. Testen Sie immer zuerst mit einem einzelnen Gerät und überprüfen Sie die RADIUS-Serverprotokolle, um die genaue übermittelte Identitätszeichenfolge zu bestätigen, bevor Sie die Bereitstellung für die gesamte Flotte durchführen.

ROI und geschäftliche Auswirkungen

Der Übergang zur Jamf RADIUS WiFi-Zertifikatsauthentifizierung liefert messbaren geschäftlichen Nutzen in verschiedenen Bereichen.

Für Transport-Betreiber und große Veranstaltungsorte wird der Business Case durch die Möglichkeit, eine dynamische VLAN-Zuweisung durchzusetzen, weiter gestärkt - so wird sichergestellt, dass betriebliche Geräte, Mitarbeitergeräte und Managementsysteme automatisch und ohne manuelle Netzwerkrekonfiguration segmentiert werden.