Konfiguration von 802.1X auf Juniper Mist mit Cloud-RADIUS

Um 802.1X auf Juniper Mist zu konfigurieren, erstellen Sie ein WLAN mit WPA2- oder WPA3-Enterprise-Sicherheit. Füge deine Cloud-RADIUS-Server für Authentifizierung und Accounting hinzu und aktiviere RadSec, falls der Dienst dies unterstützt. Stelle das VLAN auf dynamisch ein, damit RADIUS-Antworten jedes Gerät im richtigen Segment platzieren. Die Client-Insights-Timeline von Mist und Marvis zeigen dann genau an, an welcher Stelle eine fehlgeschlagene Authentifizierung abgebrochen ist.

Was macht 802.1X auf Juniper Mist eigentlich?

IEEE 802.1X ist eine portbasierte Netzwerkzugriffskontrolle. In einem WLAN-Netzwerk blockiert es den Datenverkehr eines Geräts, bis das Gerät seine Identität gegenüber einem Authentifizierungsserver nachweist. Der Access Point fungiert als Authentifikator. Er leitet Extensible Authentication Protocol (EAP)-Nachrichten zwischen dem Gerät und einem RADIUS-Server weiter. RADIUS ist das in RFC 2865 definierte Authentifizierungsprotokoll.

Der RADIUS-Server prüft die Anmeldeinformationen und gibt Access-Accept oder Access-Reject zurück. Ein Accept kann Attribute enthalten, wie z. B. das VLAN, dem das Gerät beitreten soll. Jedes Gerät leitet dann seine eigenen Verschlüsselungscodes ab, sodass keine zwei Mitarbeiter denselben Schlüssel teilen.

Auf Juniper Mist ist jeder Access Point ein RADIUS-Client. Mist hält die WLAN-Konfiguration in seiner Cloud und überträgt sie an jeden AP an jedem Standort. Es zeichnet außerdem jeden Schritt jedes Verbindungsversuchs auf, was Mist besonders nützlich macht, wenn eine Authentifizierung fehlschlägt.

Die EAP-Methode entscheidet darüber, was das Gerät vorlegt:

• EAP-TLS: Das Gerät und der Server legen beide Zertifikate vor. Es gibt kein Passwort, das gefischt, geteilt oder ablaufen kann.
• PEAP mit MSCHAPv2: Protected EAP hüllt einen Passwortaustausch in einen TLS-Tunnel. Es ist einfacher einzuführen, aber schwächer. Microsoft dokumentiert, dass Credential Guard, das in neueren Windows 11-Builds standardmäßig aktiviert ist, Single Sign-On für MSCHAPv2-basierte Authentifizierungen blockiert.
• EAP-TTLS: Eine ähnliche getunnelte Methode, die häufig verwendet wird, wenn der Identitätsspeicher nicht von Microsoft stammt.

Mist handelt die Methode nicht aus. Das Gerät und der RADIUS-Server vereinbaren diese untereinander, und der AP leitet den Austausch weiter. Das bedeutet, dass Sie die EAP-Methode auf der RADIUS-Seite und in Ihren Geräteprofilen auswählen, nicht in der Mist-Konsole.

Was benötigen Sie, bevor Sie 802.1X auf Mist konfigurieren?

Sammeln Sie diese Informationen, bevor Sie die Konsole öffnen. Die meisten fehlgeschlagenen Bereitstellungen lassen sich auf einen fehlenden Punkt auf dieser Liste zurückführen, nicht auf die Mist-Konfiguration.

• Mist-Zugriff. Organisations-Admin-Rechte, wobei APs beansprucht und Standorten zugewiesen sind.
• Cloud-RADIUS-Details. Server-Hostnamen oder IP-Adressen, Ports, das Shared Secret und RadSec-Details, falls Ihr Anbieter dies unterstützt.
• Eine Identitätsquelle. Microsoft Entra ID, Okta oder Google Workspace, verbunden mit dem RADIUS-Dienst, mit Gruppen, die Netzwerkrollen zugeordnet sind.
• Zertifikate. Ein RADIUS-Serverzertifikat, dem Ihre Geräte vertrauen. Für EAP-TLS Client-Zertifikate, die über Ihr MDM oder Ihre PKI ausgestellt wurden.
• Kabelgebundenes Netzwerk. Switch-Ports zu APs müssen jedes VLAN trunkten, das RADIUS möglicherweise zurückgibt. Jedes VLAN benötigt einen DHCP-Bereich.
• Firewall-Egress. UDP 1812 und 1813 für Standard-RADIUS oder TCP 2083 für RadSec, die Ports, die die IANA den einzelnen Protokollen zuweist.
• Gerätekompatibilität. WPA3-Enterprise erfordert Protected Management Frames (PMF, IEEE 802.11w). Ältere Scanner, Drucker und Handhelds unterstützen dies möglicherweise nicht.
• Abdeckung. Enterprise-Authentifizierung führt zu zusätzlichen Roundtrips, sodass eine schwache Abdeckung als Authentifizierungs-Timeouts sichtbar wird. Wenn Sie die Abdeckung in letzter Zeit nicht überprüft haben, beschreibt unser Leitfaden für WiFi Site Surveys die Methode.

Auf welches RADIUS-Backend sollte ein Mist WLAN ausgerichtet sein?

Das Backend entscheidet darüber, wie APs RADIUS erreichen, was Ihre Firewall zulassen muss und wie der Server jeden Standort identifiziert.

Option	Transport vom AP	Hardware vor Ort	Firewall-Egress	Wie RADIUS den Standort identifiziert	Am besten geeignet für
On-Premises-RADIUS (Microsoft NPS, FreeRADIUS)	RADIUS über UDP, über LAN oder VPN	Server in der Zentrale plus VPN zu jedem Standort	UDP 1812 und 1813 zur Zentrale	Quell-IP plus Shared Secret	Einen einzelnen Campus mit einem vorhandenen Serverraum
Cloud RADIUS über UDP	RADIUS über UDP, über das Internet	Keine	UDP 1812 und 1813 ausgehend	Öffentliche IP des Standorts plus Shared Secret	Standorte mit statischen öffentlichen IP-Adressen
Cloud RADIUS über RadSec	RADIUS innerhalb von TLS über TCP (RFC 6614)	Keine	TCP 2083 ausgehend	Gegenseitige Zertifikatsauthentifizierung	Standorte an mehreren Standorten mit Breitband oder dynamischen IPs
Cloud RADIUS über Mist Edge Proxy	AP zu Mist Edge, dann Mist Edge zu RADIUS	Mist Edge Appliance oder virtuelle Maschine	RADIUS-Ports nur vom Mist Edge	Mist Edge Quell-IP	Große Campus-Umgebungen, die einen einzigen Egress-Punkt wünschen

Juniper vertreibt mit Mist Access Assurance auch einen eigenen Cloud-Dienst für die Netzwerkzugriffskontrolle. Dieser Leitfaden behandelt einen externen Cloud-RADIUS-Dienst, mit dem Ihre Authentifizierungsrichtlinie unabhängig vom AP-Anbieter bleibt.

Wie konfigurieren Sie 802.1X auf Juniper Mist mit Cloud RADIUS?

Da sich die Mist-Konsole regelmäßig ändert, nutzen Sie bitte die Mist-Dokumentation von Juniper für die aktuellen Schritte Feld für Feld. Die folgende Sequenz zeigt, was jede Phase bewirkt und welche Entscheidungen dahinterstehen.

Schritt 1: Erstellen Sie das WPA2- oder WPA3-Enterprise-WLAN

Erstellen Sie das WLAN in einer WLAN-Vorlage auf Organisationsebene, wenn Sie mehr als einen Standort betreiben. Vorlagen gelten für Standorte oder Standortgruppen, sodass eine Änderung das gesamte Unternehmen erreicht. Erstellen Sie es auf Standortebene für einen Pilotversuch an einem einzelnen Standort.

Benennen Sie die SSID und wählen Sie den Sicherheitstyp Enterprise (802.1X). Wählen Sie dann WPA2 oder WPA3.

• WPA3-Enterprise macht PMF zur Pflicht und ist die einzige Enterprise-Option auf 6-GHz-Funkbändern. Wählen Sie dies für verwaltete Laptops und aktuelle Smartphones.
• WPA2-Enterprise verbindet weiterhin ältere Geräte. Behalten Sie es auf einer separaten SSID, wenn eine bestehende Flotte noch nicht umgestellt werden kann, anstatt die Sicherheit Ihrer Haupt-SSID zu schwächen.

Erwägen Sie die Aktivierung von Fast Roaming mit IEEE 802.11r (Fast BSS Transition). Es verkürzt die Reauthentifizierung, wenn ein Gerät zwischen APs wechselt. Testen Sie es mit Sprachhandsets und älteren Clients, bevor Sie es unternehmensweit aktivieren.

Schritt 2: Richten Sie das WLAN auf Ihren Cloud RADIUS Service aus

Fügen Sie in den Authentifizierungsserver-Einstellungen des WLANs die RADIUS-Server Ihres Anbieters hinzu.

• Authentifizierungsserver. Geben Sie Host, Port und Shared Secret für mindestens zwei Server ein. Mist führt einen Failover auf den nächsten Server durch, wenn einer nicht mehr antwortet.
• Accounting-Server. Fügen Sie diese separat hinzu. Accounting zeichnet Sitzungsstart- und -stoppzeiten auf, die Ihre Audit- und Incident-Teams benötigen.
• NAS-Kennung. Legen Sie einen Wert fest, den der RADIUS-Service verwenden kann, um Standorte zu unterscheiden. Ihr Anbieter kann dann standortspezifische Richtlinien anwenden.

Bei Standard-RADIUS über UDP verlassen Anfragen jeden Standort nach dem NAT von seiner öffentlichen IP-Adresse aus. Ihr Cloud-RADIUS-Anbieter muss diese Adresse als Client registrieren. Ein Standort mit dynamischer IP verliert die Authentifizierung, sobald sich seine Adresse ändert. RadSec in Schritt 3 hebt diese Abhängigkeit auf.

Behandeln Sie das Shared Secret wie ein Zugangsdatum. Gestalten Sie es lang und zufällig und speichern Sie es in Ihrem Passwort-Tresor. Im Juli 2024 veröffentlichten Forscher BlastRADIUS (CVE-2024-3596), einen Fälschungsangriff auf RADIUS über UDP. Bestätigen Sie, dass Ihr Anbieter das Message-Authenticator-Attribut verlangt, wie in der Empfehlung geraten, oder wechseln Sie zu RadSec.

Schritt 3: Aktivieren Sie RadSec

Ja, Juniper Mist unterstützt RadSec. RadSec, definiert in RFC 6614, überträgt RADIUS innerhalb einer TLS-Sitzung über TCP. Mist APs können diese Sitzung direkt zu Ihrem Cloud RADIUS Service öffnen.

Aktivieren Sie RadSec in den RADIUS-Einstellungen des WLANs und geben Sie den Server-Hostnamen ein. Der Hostname muss mit dem Namen auf dem Zertifikat des Servers übereinstimmen. Richten Sie dann das Vertrauen in beide Richtungen ein:

• AP vertraut Server. Fügen Sie die Zertifizierungsstelle, die das Zertifikat Ihres RadSec-Servers signiert hat, in den Organisationseinstellungen von Mist hinzu.
• Server vertraut AP. Ihr RadSec-Server muss dem Zertifikat vertrauen, das Mist APs vorlegen. Die Dokumentation von Juniper erklärt, wo Sie es erhalten.

Öffnen Sie TCP 2083 ausgehend von jedem Standort. RadSec bringt drei praktische Vorteile:

1. Verschlüsselung. Es verschlüsselt das gesamte RADIUS-Paket, einschließlich der darin enthaltenen Identität und MAC-Adresse. Standard-RADIUS verbirgt nur das Passwort.
2. Keine IP-Registrierung. Das Zertifikat authentifiziert den AP, nicht die Quelladresse. Dynamische Breitband-IPs spielen keine Rolle mehr.
3. Zuverlässige Übertragung. EAP-TLS-Nachrichten übertragen Zertifikatsketten und überschreiten oft ein einzelnes Paket. Über UDP über das Internet werden Fragmente verworfen. TCP führt stattdessen eine erneute Übertragung durch.

Schritt 4: Weisen Sie RADIUS-Attribute dynamischen VLANs zu

Die dynamische VLAN-Zuweisung platziert jede Rolle auf einer SSID und lässt RADIUS über das Segment entscheiden. Wählen Sie in den VLAN-Einstellungen des WLANs dynamisches VLAN aus. Listen Sie jede VLAN-ID oder jeden Namen auf, den der AP empfangen kann, und legen Sie einen Standardwert für Antworten fest, die kein VLAN enthalten.

Ihre RADIUS-Richtlinie gibt dann drei Tunnel-Attribute zurück, die in RFC 2868 definiert und in RFC 3580 auf 802.1X angewendet werden.

Attribut	Wert	Funktion
Tunnel-Type	13 (VLAN)	Teilt dem AP mit, dass der Tunnel ein VLAN ist
Tunnel-Medium-Type	6 (IEEE-802)	Gibt ein IEEE 802-Medium an
Tunnel-Private-Group-ID	Die auf dem WLAN aufgeführte VLAN-ID oder der Name	Wählt das VLAN für diese Sitzung aus

Bauen Sie die Richtlinie um Identitätsgruppen herum auf. Geräte des Gebäudemanagements landen im Gebäudemanagement-VLAN. Zahlungs-Terminals landen auf einem isolierten Segment. PCI-DSS behandelt eine ordnungsgemäße Segmentierung als eine Möglichkeit, den Umfang der Karteninhaber-Datenumgebung zu reduzieren. Dasselbe Muster isoliert medizinische Geräte vom Besucherverkehr im Gesundheitswesen.

Schritt 5: Pilotierung, dann Skalierung über die Vorlage

Weisen Sie die Vorlage zuerst einem Standort zu. Führen Sie die Prüfungen im nächsten Abschnitt durch. Sobald diese erfolgreich sind, weisen Sie die Vorlage den verbleibenden Standorten oder Standortgruppen zu. Jeder neue Standort erbt automatisch das WLAN, die RADIUS-Server, die RadSec-Einstellungen und die VLAN-Liste.

Wie überprüfen Sie, ob 802.1X auf Juniper Mist funktioniert?

Testen Sie jede Rolle, nicht nur ein einzelnes Konto. Ein erfolgreiches Access-Accept für eine Gruppe sagt nichts über das VLAN-Mapping für eine andere aus.

1. Verbinden Sie ein Testgerät pro Rolle. Bestätigen Sie in der Client-Liste von Juniper Mist die SSID, die verwendete Identität, das VLAN und eine IP-Adresse im erwarteten Subnetz.
2. Lesen Sie die RADIUS-Logs. Bestätigen Sie ein Access-Accept, das die erwarteten Tunnel-Attribute enthält, gefolgt von einem Accounting-Start-Datensatz.
3. Roaming. Bewegen Sie das Gerät zwischen verschiedenen APs und bestätigen Sie, dass die Sitzung aufrechterhalten wird, insbesondere wenn Sie 802.11r aktiviert haben.
4. Widerrufen. Deaktivieren Sie ein Testkonto in Ihrem Identitätsanbieter. Bestätigen Sie, dass die nächste Authentifizierung abgelehnt wird.
5. Überwachen Sie die Service Levels. Die Service Level Expectation (SLE) für erfolgreiche Verbindungen in Juniper Mist enthält einen Autorisierungs-Klassifizierer. Time to Connect zeigt, ob die Authentifizierung den Beitrittsprozess verlangsamt.

Schritt 4 hat einen Haken. Das Deaktivieren eines Kontos stoppt die nächste Authentifizierung, nicht die aktuelle Sitzung. Um aktive Sitzungen zu beenden, prüfen Sie, ob Ihr RADIUS-Dienst und Ihr WLAN Change of Authorization (CoA, RFC 5176) unterstützen. CoA ermöglicht es dem Server, eine Sitzung bei Bedarf zu trennen.

Wo zeigt Juniper Mist an, warum eine Authentifizierung fehlgeschlagen ist?

Lesen der Client-Insights-Timeline

Öffnen Sie den fehlerhaften Client und rufen Sie dessen Insights-Seite auf. Juniper Mist listet jedes Verbindungsereignis in der richtigen Reihenfolge auf: Zuordnung, EAP-Austausch, RADIUS-Ergebnis, dann DHCP. Lesen Sie es von links nach rechts. Das letzte erfolgreiche Ereignis zeigt Ihnen, welche Schicht unterbrochen wurde.

• Fehler vor einem RADIUS-Ereignis: Ein Funk- oder Zuordnungsproblem, kein 802.1X-Problem.
• RADIUS-Zeitüberschreitung: Ein Erreichbarkeits- oder Vertrauensproblem zwischen dem AP und dem Server.
• RADIUS-Ablehnung: Der Server hat eine Entscheidung getroffen. Der Grund befindet sich in den Logs Ihres RADIUS-Anbieters.
• Authentifiziert, dann DHCP-Fehler: Ein VLAN- oder verkabeltes Netzwerkproblem.

Die dynamische Paketaufzeichnung von Juniper Mist zeichnet Frames um Verbindungsfehler herum automatisch auf. Laden Sie die Aufzeichnung herunter und öffnen Sie sie in Wireshark, um die genaue EAP-Nachricht zu sehen, bei der der Austausch gestoppt wurde.

Marvis-Abfragen, die die Fehlerbehebung abkürzen

Marvis, der Konversationsassistent von Mist, akzeptiert Fragen in natürlicher Sprache und erfordert ein Marvis Abonnement. Anfragen dieser Art sparen am meisten Zeit:

• "Fehlerbehebung für [Client-Name oder MAC-Adresse]" liefert den Fehlerpunkt und die wahrscheinliche Ursache für ein einzelnes Gerät.
• "Fehlerbehebung für [Standortname]" zeigt, ob sich Fehler an einem Standort häufen, was auf Firewall- oder WAN-Probleme hinweist.
• "Welche Clients konnten sich heute an [Standort] nicht verbinden?" grenzt das Problem ein, bevor Sie einzelne Zeitleisten öffnen.

Der Umfang steht an erster Stelle. Ein einzelnes fehlerhaftes Gerät liegt meist am Geräteteilnehmerprofil. Jedes Gerät an einem Standort verweist meist auf den Netzwerkpfad. Jedes Gerät an allen Standorten liegt meist am RADIUS Service oder einem Zertifikat.

Häufige 802.1X-Fehler auf Mist und deren Behebung

Was Mist anzeigt	Wahrscheinliche Ursache	Behebung
RADIUS-Timeout, keine Antwort	Firewall blockiert UDP 1812 oder TCP 2083, Quell-IP nicht registriert oder Shared Secret stimmt nicht überein	Egress öffnen, Standort-IP registrieren oder zu RadSec wechseln, Secret auf beiden Seiten erneut eingeben
Access-Reject	Falsche Anmeldedaten, deaktiviertes Konto oder Gerät außerhalb aller Richtliniengruppen	Ablehnungsgrund in den RADIUS Logs lesen und Richtlinie oder Konto korrigieren
EAP stoppt nach dem Serverzertifikat	Gerät vertraut der Server-CA nicht oder Servername stimmt nicht überein	CA und Servernamen über Ihr MDM-Profil an die Geräte übermitteln
Authentifiziert, keine IP-Adresse	Übermitteltes VLAN nicht getrunkt zum AP, fehlender DHCP-Bereich oder VLAN nicht in der WLAN-Liste	VLAN trunken, Bereich hinzufügen, VLAN-Namen exakt abgleichen
RadSec-Sitzung wird nie aufgebaut	CA auf einer Seite nicht vertrauenswürdig, abgelaufenes Zertifikat oder Uhrzeitfehler	Beide Zertifikate, Ablaufdaten und NTP erneut prüfen
Sporadische EAP-TLS-Fehler über UDP	Fragmentierte Pakete werden über das Internet verworfen	Zu RadSec wechseln oder Zertifikatskette verkürzen
WPA3-Geräte verbinden sich, ältere Geräte schlagen fehl	Älteren Geräten fehlt WPA3- oder PMF-Unterstützung	Ältere Geräte auf eine separate WPA2-Enterprise SSID verschieben

Wie sieht das in einem realen Objekt aus?

Diese zwei Szenarien dienen der Veranschaulichung. Sie zeigen, wie die Konfiguration messbare betriebliche Ergebnisse verändert.

Praktisches Szenario: Ein Hotel mit 200 Zimmern schafft gemeinsam genutzte Personalschlüssel ab

Situation. Ein Hotel mit 200 Zimmern betrieb vier Personal-SSIDs: Rezeption, Reinigungsservice, Management und Haustechnik. Jede nutzte ein gemeinsam genutztes Passwort. Wenn eine Reinigungskraft das Unternehmen verließ, musste das Team den Schlüssel entweder auf Dutzenden von Geräten ändern oder ihn unverändert lassen. Gäste nutzten eine fünfte SSID.

Was getan wurde. Das Team erstellte eine einzige WPA3-Enterprise Personal-SSID in einer Mist WLAN-Vorlage. Verwaltete Geräte nutzten EAP-TLS mit Zertifikaten, die über MDM bereitgestellt wurden. Cloud RADIUS las die Gruppenmitgliedschaft aus Microsoft Entra ID aus und übermittelte ein VLAN pro Abteilung. Eine separate WPA2-Enterprise SSID wurde für ältere Raumservice-Tablets beibehalten. Gäste blieben im Guest WiFi.

Ergebnis. Aus vier Mitarbeiter-SSIDs wurde eine, plus eine bestehende SSID, sodass das Hotel drei statt fünf Netzwerke ausstrahlt. Weniger SSIDs bedeuten weniger Beacon-Frames, die um Sendezeit konkurrieren. Gemeinsam genutzte Mitarbeiter-Schlüssel sanken von vier auf null. Der Zugriff eines ausscheidenden Mitarbeiters endet jetzt, sobald die Personalabteilung das Konto deaktiviert, ohne dass Schlüssel ausgetauscht werden müssen. Derselbe Ansatz eignet sich für die meisten Hotels, die abteilungsspezifische PSK-Netzwerke betreiben.

Praxisbeispiel: Eine Einzelhandelskette mit 120 Filialen wechselt zu RadSec

Situation. Eine Kette mit 120 Filialen betrieb Mist APs über Business-Breitbandanschluss. Die Authentifizierung erfolgte über ein Site-to-Site-VPN an einen On-Premises-RADIUS-Server in der Zentrale. Wenn das VPN einer Filiale ausfiel, konnten sich Mitarbeitergeräte und Handscanner nicht mehr authentifizieren.

Was getan wurde. Die Kette wechselte zu einem Cloud-RADIUS-Dienst und aktivierte RadSec in der Mist WLAN-Vorlage. Das Zertifikatsvertrauen wurde einmalig in den Organisationseinstellungen von Mist eingerichtet. Filialen öffneten TCP 2083 ausgehend. Zahlungsterminals erhielten durch dynamische Zuweisung ein isoliertes VLAN, was die PCI-DSS-Segmentierung unterstützt.

Ergebnis. Der RADIUS-Server musste keine 120 IP-Client-Einträge pro Filiale mehr nachverfolgen; Zertifikate ersetzten sie alle. Die Authentifizierung war nicht mehr vom VPN abhängig. Eine neue Filiale erhält 802.1X in dem Moment, in dem der Standort der Vorlage beitritt. Das Modell eignet sich für Einzelhandels- Objekte, bei denen die Filialanbindung über Breitband mit wechselnden IP-Adressen erfolgt.

Was kostet es und was erhalten Sie dafür?

Sie benötigen keine neuen Access Points. 802.1X, RadSec und dynamische VLANs laufen auf den Mist APs, die Sie bereits besitzen. Unser Artikel darüber, warum Ihr nächstes WiFi-Upgrade keine neue Hardware erfordert, behandelt dieses Cloud-Overlay-Modell ausführlicher.

Die Kosten verteilen sich auf vier Bereiche:

• Juniper-Abonnements. Service-Level-Erwartungen und Marvis hängen von Ihrer Mist-Abonnementstufe ab. Bestätigen Sie die Abdeckung mit Ihrem Juniper-Partner.
• Der RADIUS-Dienst. On-Premises RADIUS kostet Server, Lizenzen, Patching und VPNs. Cloud RADIUS ist ein Abonnement ohne jegliche Hardware.
• Zertifikate. EAP-TLS benötigt eine PKI und ein MDM zur Ausstellung von Zertifikaten. Die meisten Unternehmen betreiben bereits beides.
• Engineering-Aufwand. Die Mist-Konfiguration ist der schnelle Teil. Die Zertifikatsverteilung auf die Geräte bestimmt das Tempo.

Was Sie zurückerhalten, ist messbar. Gemeinsam genutzte Schlüssel sinken auf null. Der Widerruf folgt dem Identity Provider und keinem Schlüsselaustausch-Projekt. Die Anzahl der SSIDs sinkt. Die Segmentierung verringert den PCI-DSS-Umfang. Die Fehlerbehebung beginnt mit einer Zeitleiste und einer Marvis-Abfrage statt mit einem Vor-Ort-Besuch.

RADIUS-as-a-Service von Purple ist eine Cloud-RADIUS-Option für Mist. Es ist hardwareunabhängig für Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet einsetzbar. Es verbindet den Netzwerkzugriff mit der Identität in Microsoft Entra ID, Okta oder Google Workspace, sodass neue, wechselnde und ausscheidende Mitarbeiter automatisch aktualisiert werden. Purple ist nach ISO 27001 sowie Cyber Essentials zertifiziert und GDPR-konform. Unsere eigenen Daten zeigen eine Betriebszeit von 99,999 % und 440 Millionen Anmeldungen im Jahr 2024 an über 80.000 aktiven Standorten. Prüfen Sie die RadSec-Unterstützung bei jedem Anbieter in Ihrer engeren Auswahl, einschließlich Purple. Wenn Sie auch das Gästenetzwerk kalkulieren, lesen Sie unseren Vergleich über Preismodelle für Captive Portals.

Häufig gestellte Fragen

Unterstützt Juniper Mist RadSec nativ?

Ja. Access Points von Mist können eine RadSec-Sitzung direkt zu einem Cloud-RADIUS-Dienst aufbauen und RADIUS innerhalb von TLS über TCP gemäß RFC 6614 übertragen. Sie aktivieren dies in den RADIUS-Einstellungen des WLANs und verwalten das Zertifikatsvertrauen in den Organisationseinstellungen. Standorte benötigen ausgehendes TCP 2083. RadSec verschlüsselt das gesamte RADIUS-Paket und macht die Registrierung der öffentlichen IP-Adresse jedes Standorts bei Ihrem Anbieter überflüssig.

Benötige ich ein Mist Edge, um Cloud-RADIUS zu nutzen?

Nein. Mist APs können RADIUS oder RadSec ohne zusätzliche Hardware direkt an einen Cloud-Dienst senden. Ein Mist Edge Proxy ist auf großen Campus-Geländen hilfreich, wenn Sie möchten, dass jede RADIUS-Anfrage über einen einzigen kontrollierten Punkt ausgetreten wird. Es eignet sich auch für Standorte, an denen APs das Internet nicht direkt erreichen können. Für die meisten Multi-Site-Umgebungen ist direktes RadSec von den APs das einfachere Design.

Kann ich Microsoft NPS weiterbetreiben, während ich zu Cloud-RADIUS wechsle?

Ja, aber planen Sie die Umstellung nach Gruppen statt nach Serverreihenfolge. Mist führt ein Failover zwischen Authentifizierungsservern nur durch, wenn einer nicht mehr antwortet - nicht, wenn einer eine Anfrage ablehnt. Die Auflistung von NPS und einem Cloud-Dienst auf demselben WLAN führt daher zu unvorhersehbaren Ergebnissen. Betreiben Sie eine zweite SSID, die auf Cloud-RADIUS verweist, stellen Sie jeweils eine Abteilung um und nehmen Sie NPS anschließend außer Betrieb.

Funktioniert RADIUS-as-a-Service von Purple mit Juniper Mist?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Juniper Mist sowie auf Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Es verknüpft den Netzwerkzugriff mit Microsoft Entra ID, Okta oder Google Workspace, sodass sich die Zugriffsrechte ändern, wenn sich ein Konto ändert. Sie behalten Ihre vorhandenen Mist APs - ein kompletter Austausch ist nicht erforderlich.

Ist WPA3-Enterprise für 802.1X auf Mist erforderlich?

Nein. 802.1X funktioniert mit WPA2-Enterprise oder WPA3-Enterprise. WPA3 ergänzt obligatorische Protected Management Frames und ist die einzige Enterprise-Option für 6-GHz-Funknetzwerke. Verwenden Sie WPA3 für aktuelle Laptops und Smartphones. Richten Sie eine separate WPA2-Enterprise-SSID für ältere Scanner, Drucker oder Tablets ohne PMF-Unterstützung ein, anstatt die Sicherheit Ihrer Haupt-SSID zu verringern.

Benötigt 802.1X auf Mist eine zusätzliche Juniper-Lizenz?

Für das WLAN selbst ist keine zusätzliche Lizenz erforderlich. Das Ausrichten eines Mist-WLANs auf einen externen RADIUS-Server ist eine Standardkonfiguration. Die Fehlerbehebungstools unterscheiden sich: Marvis erfordert ein Marvis-Abonnement, und die Service-Level-Erwartungen hängen von Ihrer Mist-Abonnementstufe ab. Die Mist Access Assurance von Juniper ist ein separates Produkt. Bestätigen Sie Ihre Stufe mit Ihrem Juniper-Partner, bevor Sie sich bei der Fehlerbehebung auf Marvis verlassen.

Wie wirkt sich 802.1X auf die GDPR-Konformität aus?

RADIUS- und Accounting-Protokolle enthalten personenbezogene Daten: Identitäten, Geräte-MAC-Adressen und Sitzungszeiten. Gemäß GDPR benötigen Sie eine Rechtsgrundlage, eine festgelegte Aufbewahrungsfrist und eine Datenverarbeitungsvereinbarung mit Ihrem RADIUS-Anbieter. RadSec hilft, indem es Identitäten während der Übertragung verschlüsselt. Purple ist GDPR-konform sowie ISO 27001-zertifiziert und verarbeitet Authentifizierungsdaten im Rahmen einer Datenverarbeitungsvereinbarung.

Wie lange dauert ein 802.1X-Rollout auf Mist?

Die Mist-Konfiguration nimmt die wenigste Zeit in Anspruch; die Zertifikatsverteilung bestimmt das Tempo. Das Erstellen des WLANs, das Hinzufügen von RADIUS-Servern und das Aktivieren von RadSec ist eine einzelne Änderung in einer Vorlage. Die Ausstellung von Zertifikaten an jedes verwaltete Gerät über MDM und die Migration von Altsystemen nimmt mehr Zeit in Anspruch. Führen Sie ein Pilotprojekt an einem Standort durch, testen Sie jede Rolle und weisen Sie die Vorlage dann den verbleibenden Standorten zu.