Konfiguration der 802.1X WiFi Authentifizierung: Eine Schritt für Schritt Anleitung

So konfigurieren Sie die 802.1X WiFi-Authentifizierung: Eine Schritt-für-Schritt-Anleitung Ein Purple Enterprise WiFi Intelligence Podcast [EINFÜHRUNG - ca. 1 Minute] Willkommen zurück. Ich spreche heute als Senior Solutions Architect zu Ihnen. Wenn Sie sich diese Folge anhören, stehen Sie wahrscheinlich vor einem Netzwerksicherheitsprojekt, das eine 802.1X-Authentifizierung erfordert - entweder weil Ihr Compliance-Team darauf hingewiesen hat, Ihr Versicherer danach gefragt hat oder Sie einfach ein Netzwerk übernommen haben, das mit einem gemeinsam genutzten PSK betrieben wird, und Sie wissen, dass dies nicht mehr ausreicht. Kommen wir also direkt zur Sache. 802.1X ist der IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle. Es ist das Rückgrat der Enterprise WiFi-Sicherheit - der Mechanismus, der sicherstellt, dass jedes Gerät, das sich mit Ihrem Netzwerk verbindet, eindeutig identifiziert und autorisiert wurde, bevor es auch nur ein einziges Byte an Datenverkehr übertragen darf. Dies ist für Unternehmen, die Zahlungskartendaten gemäß PCI-DSS verarbeiten, nicht optional, es ist für das Gesundheitswesen unter der DSGVO nicht optional und ehrlich gesagt ist es für jedes Unternehmen mit mehr als nur einer Handvoll Access Points die einzig richtige Architektur. In den nächsten zehn Minuten werde ich Sie durch die technische Architektur, die RADIUS-Konfiguration, die Zertifikatsbereitstellung und die Praxisszenarien führen, in denen es kompliziert wird. Los geht's. [TECHNISCHER DEEP-DIVE - ca. 5 Minuten] Nun, das 802.1X-Framework besteht aus drei Komponenten. Da ist zum einen der Supplicant - das ist das Client-Gerät, das Laptop, das Telefon, der IoT-Sensor. Dann gibt es den Authenticator - das ist Ihr Access Point oder Ihr Netzwerk-Switch, manchmal auch NAS (Network Access Server) genannt. Und schließlich haben Sie den Authentication Server - in Enterprise-Umgebungen fast ausnahmslos ein RADIUS-Server. Und so funktioniert der Handshake: Wenn ein Gerät versucht, sich mit einer durch 802.1X geschützten SSID zu verbinden, lässt der Access Point es nicht einfach gewähren. Stattdessen öffnet er einen so genannten kontrollierten Port - einen eingeschränkten Kanal, der nur EAP-Verkehr (Extensible Authentication Protocol) zulässt. Der AP sendet eine EAP-Request Identity an das Gerät. Das Gerät antwortet mit seiner Identität. Der AP leitet diese dann, verpackt in ein RADIUS Access-Request-Paket, an den RADIUS-Server weiter. Der RADIUS-Server führt die Authentifizierung durch - er gleicht die Anmeldedaten mit dem Active Directory, einem Zertifikatsspeicher oder einem anderen von Ihnen konfigurierten Identity-Backend ab - und sendet entweder ein Access-Accept oder ein Access-Reject zurück. Nur bei einem Accept öffnet der AP den vollständigen Datenport und weist das Gerät dem entsprechenden VLAN zu. Die EAP-Methode, die Sie hier wählen, ist von enormer Bedeutung. In Enterprise-Bereitstellungen werden Ihnen fünf davon begegnen. EAP-TLS ist der Goldstandard. Sowohl der Client als auch der Server weisen X.509-Zertifikate vor. Es sind keine Passwörter involviert. Es ist die sicherste Option und diejenige, die für die höchsten PCI-DSS-Compliance-Stufen erforderlich ist. Der Haken ist, dass Sie eine vollständige PKI - eine Public Key Infrastructure - benötigen, um Client-Zertifikate auszustellen und zu verwalten. Das bedeutet eine Zertifizierungsstelle, ein Zertifikats-Lebenszyklusmanagement und einen Mechanismus, um Zertifikate auf jedes Gerät zu übertragen. Für Organisationen mit Microsoft Active Directory und Active Directory Certificate Services ist dies sehr gut realisierbar. Für Organisationen ohne diese Infrastruktur ist es eine erhebliche Investition. PEAP-MSCHAPv2 ist die in der Praxis am weitesten verbreitete Methode. Sie erstellt einen TLS-Tunnel ausschließlich unter Verwendung eines serverseitigen Zertifikats und überträgt dann Benutzernamen und Passwort-Anmeldedaten innerhalb dieses Tunnels. Sie ist out-of-the-box mit praktisch jedem Gerät kompatibel, lässt sich über NPS unter Windows Server direkt in Active Directory integrieren und erfordert keine Client-Zertifikate. Der Kompromiss besteht darin, dass sie anfällig für Angriffe zum Diebstahl von Anmeldedaten ist, wenn Benutzer dazu verleitet werden, sich mit einem betrügerischen AP zu verbinden - da der Client das Serverzertifikat standardmäßig nicht validiert. Sie müssen die Validierung des Serverzertifikats in Ihren Supplicant-Profilen erzwingen. EAP-TTLS ähnelt PEAP, ist jedoch bei der inneren Authentifizierungsmethode flexibler. Sie ist in Linux-Umgebungen üblich und dort, wo Sie ältere Authentifizierungs-Backends unterstützen müssen. EAP-FAST wurde von Cisco als Reaktion auf die Schwächen von LEAP entwickelt. Es verwendet Protected Access Credentials anstelle von Zertifikaten. Es ist in erster Linie dann relevant, wenn Sie sich in einer Cisco-lastigen Umgebung befinden oder mit älteren Geräten zu tun haben, die die anderen Methoden nicht unterstützen können. EAP-SIM und EAP-AKA werden in Carrier-Grade-Bereitstellungen eingesetzt - wie OpenRoaming oder Passpoint -, bei denen die Authentifizierung an eine SIM-Karte oder USIM gebunden ist. Diese gewinnen zunehmend an Bedeutung für WiFi an öffentlichen Veranstaltungsorten, wo Sie ein nahtloses, sicheres Onboarding ohne Captive Portal wünschen. Lassen Sie uns nun über die RADIUS-Konfiguration sprechen. Unabhängig davon, ob Sie Microsoft NPS, FreeRADIUS, Cisco ISE oder Aruba ClearPass bereitstellen, die grundlegenden Konfigurationsschritte sind dieselben. Zuerst definieren Sie Ihre RADIUS-Clients - das sind Ihre Access Points oder Wireless LAN Controller. Jeder Client wird mit seiner IP-Adresse und einem Shared Secret registriert. Dieses Shared Secret wird verwendet, um die RADIUS-Nachrichten zwischen dem AP und dem Server zu authentifizieren. Verwenden Sie mindestens 22 Zeichen, zufällig generiert und eindeutig pro NAS-Gerät. Zweitens konfigurieren Sie Ihre Netzwerkrichtlinie. Hier definieren Sie, wer worauf Zugriff erhält. Im NPS-Kontext erstellen Sie eine Netzwerkrichtlinie, die Bedingungen abgleicht - Gruppenmitgliedschaft in Active Directory, Gerätetyp, Tageszeit - und Attribute zuweist - VLAN ID, Sitzungs-Timeout, Bandbreitenbeschränkungen. Das RADIUS-Attribut, das Sie am häufigsten verwenden werden, ist die VLAN-Zuweisung, speziell Tunnel-Type auf VLAN gesetzt, Tunnel-Medium-Type auf 802 gesetzt und Tunnel-Private-Group-ID auf Ihre VLAN-Nummer gesetzt. Drittens konfigurieren Sie Ihre Verbindungsanforderungsrichtlinie. Dies teilt NPS mit, wie eingehende RADIUS-Anfragen verarbeitet werden sollen - ob sie lokal authentifiziert oder an einen anderen RADIUS-Server weitergeleitet werden sollen. In einer verteilten Bereitstellung verfügen Sie möglicherweise über einen zentralen RADIUS-Server mit NPS-Proxys an jedem Standort. Auf der Zertifikatsseite benötigt Ihr RADIUS-Server für PEAP und EAP-TLS ein Serverzertifikat, dem Ihre Clients vertrauen. Der einfachste Weg ist die Verwendung eines Zertifikats einer öffentlichen Zertifizierungsstelle - DigiCert, Sectigo, Let's Encrypt - da diesen Stammzertifikaten bereits von allen gängigen Betriebssystemen vertraut wird. Wenn Sie eine interne Zertifizierungsstelle verwenden, müssen Sie das Stammzertifikat über Gruppenrichtlinien oder Ihre MDM-Plattform auf alle Client-Geräte übertragen. Speziell für EAP-TLS benötigen Sie auch Client-Zertifikate. In einer Active Directory-Umgebung würden Sie ADCS mit automatischer Registrierung über Gruppenrichtlinien verwenden, um Zertifikate auf in die Domäne eingebundene Geräte zu übertragen. Für BYOD-Geräte würden Sie Ihr MDM - Intune, Jamf, VMware Workspace ONE - verwenden, um sowohl das Zertifikat als auch das WiFi-Profil zu übertragen. Auf der Access-Point-Seite ist die Konfiguration unkompliziert. Sie erstellen eine neue SSID, stellen die Sicherheit auf WPA2-Enterprise oder WPA3-Enterprise ein, weisen den RADIUS-Authentifizierungsserver Ihrer NPS-IP auf UDP-Port 1812 zu, richten den RADIUS-Accounting-Server auf UDP-Port 1813 ein, geben den Shared Secret ein und aktivieren die dynamische VLAN-Zuweisung, falls Sie diese verwenden. Die meisten Enterprise-AP-Plattformen - Cisco Meraki, Aruba, Ruckus, Extreme - verfügen über eine GUI dafür, was nach der Einrichtung Ihres RADIUS-Servers etwa zehn Minuten dauert. [IMPLEMENTIERUNGSEMPFEHLUNGEN UND FALLSTRICKE - ca. 2 Minuten] Lassen Sie uns nun darüber sprechen, wo Bereitstellungen schiefgehen, denn hier verdiene ich meine Beratungsgebühren. Der häufigste Fehlerpunkt ist die Zertifikatsvalidierung. Ich habe erlebt, dass Unternehmen PEAP-MSCHAPv2 auf der Serverseite korrekt bereitstellen, dann aber die Client-Supplicant-Profile so konfiguriert lassen, dass sie jedes Zertifikat akzeptieren. Das untergräbt das Sicherheitsmodell vollständig. Jedes Supplicant-Profil - ob über Gruppenrichtlinien oder MDM übertragen - muss die vertrauenswürdige Stammzertifizierungsstelle und den erwarteten Servernamen angeben. Ohne dies sind Sie anfällig für Evil-Twin-Angriffe. Das zweite häufige Problem ist die Verwaltung von RADIUS Shared Secrets. Ich habe Produktionsnetzwerke gesehen, in denen das Shared Secret auf "radius" oder den Standardwert des Herstellers eingestellt war. Diese Secrets sind die Schlüssel zu Ihrer Authentifizierungsinfrastruktur. Generieren Sie sie zufällig, speichern Sie sie in einem Secrets Manager und rotieren Sie sie nach einem festen Zeitplan. Drittens: VLAN-Fehlkonfiguration. Die dynamische VLAN-Zuweisung ist leistungsstark - sie ermöglicht es Ihnen, Mitarbeitergeräte im Unternehmens-VLAN, Auftragnehmer in einem eingeschränkten VLAN und IoT-Geräte in einem isolierten VLAN zu platzieren, und das alles über dieselbe SSID. Wenn jedoch die RADIUS-Attribute nicht korrekt konfiguriert sind oder die Switch-Trunk-Ports nicht die richtigen VLANs übertragen, schlägt die Verbindung der Geräte entweder fehl oder sie landen im falschen Segment. Testen Sie dies gründlich in einer Testumgebung, bevor Sie es in der Produktion einführen.Viertens: Redundanz. Ihr RADIUS-Server ist ab sofort eine kritische Infrastrukturkomponente. Wenn er ausfällt, kann sich niemand mehr verbinden. Sie benötigen standardmäßig mindestens einen primären und einen sekundären RADIUS-Server, der auf jedem AP konfiguriert ist. In großen Deployments sollten Sie RADIUS-Proxy-Cluster mit Health-Monitoring in Betracht ziehen. Fünftens - und das gilt speziell für das Hotel- und Gastgewerbe sowie den Einzelhandel: die Trennung von Gästen und Unternehmen. Ihre 802.1X Enterprise-SSID und Ihre Gäste-WiFi-SSID sollten vollständig voneinander getrennt sein - unterschiedliche VLANs, unterschiedliche Firewall-Richtlinien, unterschiedliche DNS. Eine Plattform wie Purple verwaltet die Gästeseite mit einem eigenen Captive Portal und einer Analytics-Ebene, während Ihre 802.1X-Infrastruktur die Unternehmensseite abdeckt. Das sind komplementäre, keine konkurrierenden Systeme. [SCHNELLE FRAGE-RUNDE - ca. 1 Minute] Lassen Sie uns die am häufigsten gestellten Fragen durchgehen. Kann ich 802.1X auf einer Cloud-managed AP-Plattform betreiben? Ja - Meraki, Aruba Central und Ruckus Cloud unterstützen dies standardmäßig. Sie konfigurieren die Details des RADIUS-Servers im Cloud-Dashboard, und die APs übernehmen das EAP-Proxying. Benötige ich ein Active Directory? Nein. FreeRADIUS kann sich gegenüber LDAP, SQL-Datenbanken, Flatfiles oder sogar REST-APIs authentifizieren. Die AD-Integration über NPS ist jedoch der mit Abstand am weitesten verbreitete Pfad in Unternehmen. Was ist mit IoT-Geräten, die kein 802.1X unterstützen? Verwenden Sie MAC Authentication Bypass - MAB - als Fallback. Die MAC-Adresse des Geräts wird als Benutzername und Passwort an den RADIUS gesendet. Das ist zwar nicht so sicher wie EAP, ermöglicht Ihnen aber das Onboarding von IoT-Geräten, während sie in einem eingeschränkten VLAN gehalten werden. Funktioniert 802.1X mit WPA3? Ja. WPA3-Enterprise ist im Grunde WPA3 mit 802.1X-Authentifizierung. Es bietet eine stärkere Verschlüsselung - 192-Bit im Hochsicherheitsmodus - und ist der empfohlene Standard für neue Deployments. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute] Zusammenfassend lässt sich sagen: 802.1X ist kein nettes Extra. Für jedes Unternehmen, das sensible Daten verarbeitet, Zahlungen abwickelt oder in einem regulierten Umfeld tätig ist, bildet es die Grundlage für die WiFi-Sicherheit im Unternehmen. Die Architektur hat sich bewährt, die Tools sind ausgereift und der Deployment-Pfad ist klar definiert. Beginnen Sie mit der Auswahl Ihrer EAP-Methode - PEAP-MSCHAPv2, wenn Sie schnelle Erfolge und eine breite Kompatibilität benötigen, oder EAP-TLS, wenn Sie über die PKI-Infrastruktur verfügen und ein Höchstmaß an Sicherheit benötigen. Konfigurieren Sie Ihren RADIUS-Server und stellen Sie die Redundanz sicher, bevor Sie auch nur einen einzigen AP anfassen. Verteilen Sie Ihre Supplicant-Profile über Gruppenrichtlinien oder MDM, bevor Sie live gehen. Und halten Sie Ihr Gäste-WiFi komplett getrennt - nutzen Sie für diese Ebene eine speziell dafür entwickelte Plattform. Wenn Sie eine Umgebung mit mehreren Standorten betreiben - Hotels, Einzelhandelsketten, Stadien - skaliert die Komplexität zwar mit der Anzahl der Standorte, die Architektur bleibt jedoch dieselbe. Der Schlüssel liegt in einem zentralisierten RADIUS-Server mit standortlokaler Redundanz und einem konsistenten, per MDM verteilten Supplicant-Profil auf Ihrer gesamten Geräteflotte. Vielen Dank fürs Zuhören. Der vollständige schriftliche Leitfaden, Architekturdiagramme und Konfigurations-Checklisten sind auf purple.ai verfügbar. Wenn Sie eine 802.1X-Bereitstellung planen und die Besonderheiten Ihrer Umgebung besprechen möchten, wenden Sie sich direkt an das Purple-Team.