Ein Leitfaden für Netzwerkadministratoren zur Konfiguration der RADIUS-Authentifizierung für Gäste-WiFi

Ein Leitfaden für Netzwerkadministratoren zur Konfiguration der RADIUS-Authentifizierung für Gäste-WiFi - Podcast-Skript [INTRO - ca. 1 Minute] Hallo und herzlich willkommen. Ich werde Sie durch alles führen, was Sie über die Konfiguration der RADIUS-Authentifizierung für Gäste-WiFi wissen müssen - von der zugrunde liegenden Architektur über die praktischen Schritte, die Ihr Team unternehmen muss, bis hin zu den Fallstricken, an denen die meisten Implementierungen scheitern. Dies ist keine Vorlesung. Betrachten Sie es als ein Briefing von einem Senior-Berater, der IT-Managern in Hotels, Einzelhandelsketten, Stadien und Konferenzzentren gegenübergesessen und ihnen geholfen hat, dies richtig umzusetzen. Wir werden die technischen Grundlagen, reale Implementierungsmuster und die Rolle der Cloud-nativen RADIUS-Plattform von Purple behandeln. Lassen Sie uns direkt einsteigen. [TECHNISCHER DEEP-DIVE - ca. 5 Minuten] Was genau ist also RADIUS? RADIUS steht für Remote Authentication Dial-In User Service. Es ist ein Netzwerkprotokoll - definiert in RFC 2865 -, das eine zentrale Authentifizierung, Autorisierung und Abrechnung für den Netzwerkzugriff bietet. Einfach ausgedrückt: Es ist das System, das entscheidet, ob das Gerät eines Besuchers in Ihr Netzwerk gelassen wird, unter welchen Bedingungen, für wie lange, und das anschließend die gesamte Sitzung protokolliert. Speziell für Gäste-WiFi befindet sich RADIUS zwischen Ihren Access Points und Ihrer Identitätsschicht. Ein Besucher verbindet sich mit Ihrer SSID, sein Gerät sendet eine Authentifizierungsanfrage an den Access Point, der Access Point leitet diese an einen Network Access Server - oder NAS - weiter, der dann den RADIUS-Server abfragt. Der RADIUS-Server validiert die Anmeldedaten, gibt ein Access-Accept oder Access-Reject zurück, und die Sitzung beginnt oder wird blockiert. Accounting-Pakete erfassen dann die Sitzungsdauer, das verbrauchte Datenvolumen und den Grund für die Beendigung. Die drei Kernfunktionen werden oft als AAA bezeichnet: Authentifizierung, Autorisierung und Abrechnung. Die Authentifizierung bestätigt die Identität. Die Autorisierung legt fest, worauf diese Identität zugreifen darf - Bandbreitenbegrenzungen, VLAN-Zuweisung, Sitzungsdauer. Das Accounting erstellt das Audit-Protokoll. Für Gäste-WiFi ist die Authentifizierungsmethode von enormer Bedeutung. In einer Unternehmensumgebung würden Sie normalerweise 802.1X mit EAP-TLS verwenden - zertifikatsbasiert und sehr sicher. Für Gäste ist das unpraktisch. Gäste haben keine Zertifikate auf ihren persönlichen Geräten. Daher ist das übliche Muster ein Captive Portal in Kombination mit RADIUS. Der Besucher landet auf einer Splash-Page, gibt seine Daten ein oder authentifiziert sich über Social Login, und das Captive Portal tauscht diese Anmeldedaten im Namen des Besuchers mit dem RADIUS-Server aus. Der RADIUS-Server signalisiert dann dem Access Point, den Zugriff zu gewähren. Dies ist genau die Architektur, die Purple nutzt. Unser Cloud-nativer RADIUS-Service übernimmt den Authentifizierungsaustausch, während das Captive Portal - das Sie über die Purple-Plattform branden und konfigurieren - die für den Besucher sichtbare Benutzeroberfläche verwaltet. Der Access Point muss lediglich die RADIUS-Serveradresse, den Port und das Shared Secret kennen. Purple stellt alle drei bereit. Sprechen wir über Ports und Protokolle. Der RADIUS-Authentifizierungsverkehr läuft über den UDP-Port 1812. Das RADIUS-Accounting läuft über den UDP-Port 1813. Sie konfigurieren beide auf Ihren Access Points. Das Shared Secret ist ein Pre-Shared Key zwischen Ihrem Access Point und dem RADIUS-Server - behandeln Sie es wie ein Passwort. Verwenden Sie eine lange, zufällig generierte Zeichenfolge. Verwenden Sie diese niemals anwendungsübergreifend wieder. Auf der Hardware-Seite ist Purple hardwareunabhängig. Wir arbeiten unter anderem mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet zusammen. Die Konfigurationsschritte variieren je nach Anbieter, aber die zugrunde liegenden RADIUS-Parameter sind einheitlich: Server-IP oder Hostname, Authentifizierungsport 1812, Accountingport 1813, Shared Secret und Accounting-Intervall. Für Avaya Access Points konfigurieren Sie beispielsweise die RADIUS-Attribute im Bereich External RADIUS, stellen das Format Called-Station-Id auf das UC-Format mit Bindestrich-MAC ein, aktivieren das Accounting und konfigurieren dann die SSID mit einer Webseiten-Weiterleitung, die auf die Captive Portal-URLs von Purple verweist. Die Support-Dokumentation von Purple deckt die genauen Schritte für Avaya unter dem Link im Leitfaden ab. Für Geräte der Pepwave MAX-Serie können Sie die Konfiguration entweder über InControl2 - deren Cloud-Management-Plattform - oder direkt über die lokale Weboberfläche vornehmen. In jedem Fall richten Sie ein externes Captive Portal ein, leiten die Authentifizierung und das Accounting an die RADIUS-Server von Purple weiter und konfigurieren die SSID mit offener Sicherheit und dem angehängten Captive Portal. Die genauen Schritte finden Sie auch hier in den Support-Dokumenten von Purple. Eine wichtige Architekturentscheidung: primäre und sekundäre RADIUS-Server. Konfigurieren Sie immer beide. Purple stellt zwei RADIUS-Serveradressen für Redundanz zur Verfügung. Wenn der primäre Server nicht erreichbar ist, führt der Access Point automatisch ein Failover auf den sekundären Server durch. Ohne einen sekundären Server bedeutet ein kurzer Ausfall des RADIUS-Servers, dass sich Ihre Gäste nicht verbinden können. In einem Hotel mit 300 Zimmern oder einem Stadion mit 40.000 Fans ist das ein schwerwiegender Vorfall. Die VLAN-Segmentierung ist der andere kritische Punkt. Ihr Gäste-WiFi-Verkehr sollte niemals Ihr Unternehmens- oder Betriebsnetzwerk berühren. Weisen Sie Gästesitzungen einem dedizierten VLAN zu, leiten Sie dieses VLAN an einen separaten Internet-Uplink oder zumindest über eine Firewall mit strengen Egress-Regeln weiter. Dies ist eine PCI-DSS-Anforderung, wenn Sie irgendwo auf derselben physischen Infrastruktur Kartenzahlungen verarbeiten, und es ist ohnehin einfach eine gute Praxis. [IMPLEMENTIERUNGSEMPFEHLUNGEN UND FEHLERQUELLEN - ca. 2 Minuten] Hier sind die drei Dinge, die am häufigsten schiefgehen. Erstens: Abweichungen beim Shared Secret. Das Shared Secret auf dem Access Point muss exakt mit dem übereinstimmen, was im RADIUS-Server registriert ist. Groß- und Kleinschreibung beachten, Zeichen für Zeichen. Ein einziges falsches Zeichen führt zu einem Access-Reject ohne nützliche Fehlermeldung. Kopieren Sie es immer aus Ihrem Purple-Dashboard, anstatt es manuell einzutippen. Zweitens: Lücken in der Whitelist. Bevor sich der Besucher authentifiziert, muss sein Gerät das Captive Portal erreichen. Das bedeutet, dass bestimmte Domains auf dem Access Point auf die Whitelist gesetzt werden müssen - die Portal-URLs von Purple, Authentifizierungsendpunkte und alle von Ihnen genutzten Social-Login-Anbieter. Wenn die Whitelist unvollständig ist, sehen Besucher eine leere Seite oder einen Timeout. Purple führt eine aktuelle Liste der erforderlichen Domains in der Support-Dokumentation - nutzen Sie diese Liste und raten Sie nicht. Drittens: das Accounting-Intervall. Dieses steuert, wie häufig der Access Point zwischenzeitliche Accounting-Updates an den RADIUS-Server sendet. Wenn Sie es zu lang einstellen, verlieren Sie die Granularität der Sitzung. Wenn Sie es zu kurz einstellen, erzeugen Sie unnötigen Datenverkehr. Für die meisten Bereitstellungen ist ein Bereich von 240 bis 300 Sekunden richtig. Das von Avaya empfohlene Intervall beträgt 300 Sekunden; das von Pepwave liegt bei 180 bis 240 Sekunden. Befolgen Sie die herstellerspezifischen Richtlinien. Zur Compliance-Seite: Die GDPR verlangt, dass Sie eine rechtmäßige Grundlage für die Erfassung von Besucherdaten haben. Ein gut konfiguriertes Captive Portal mit Kontrollkästchen für die ausdrückliche Einwilligung erfüllt dies. Die Plattform von Purple ist GDPR-konform und nach ISO 27001 zertifiziert. Jede Anmeldung über Purple ist ein Opt-in mit bewusster Entscheidung - der Besucher stimmt Ihren Bedingungen vor der Verbindung aktiv zu. Dieser Audit-Trail ist Ihr Compliance-Nachweis. [SCHNELLE FRAGERUNDE - ca. 1 Minute] Häufige Fragen, die mir regelmäßig gestellt werden. "Muss ich meine vorhandene Hardware austauschen?" Nein. Purple setzt auf Ihrer bestehenden Infrastruktur auf. Kein Austausch der Hardware erforderlich. "Kann ich RADIUS für das Mitarbeiter-WiFi auf derselben Plattform nutzen?" Ja. Purple unterstützt separate SSIDs für Gäste und Mitarbeiter mit jeweils unterschiedlichen Authentifizierungsrichtlinien. "Was ist, wenn mein Standort mehrere Filialen hat?" Purple verwaltet Bereitstellungen an mehreren Standorten über eine einzige Benutzeroberfläche. Sie konfigurieren einmal und replizieren dies über alle Standorte hinweg. "Ist ein Cloud-RADIUS weniger sicher als eine On-Premise-Lösung?" Nein. Der Cloud-RADIUS von Purple läuft mit einer Verfügbarkeit von 99,999 %, einer ISO 27001-Zertifizierung und End-to-End-Verschlüsselung. Die Angriffsfläche ist kleiner als bei einem selbstverwalteten Server, da das Einspielen von Patches und die Härtung zentral durchgeführt werden. "Wie lange dauert eine vollständige Bereitstellung?" Für einen einzelnen Standort mit unterstützter Hardware kann ein Netzwerkadministrator die RADIUS-Konfiguration in unter zwei Stunden abschließen. Das Onboarding-Team von Purple steht Ihnen dabei gerne zur Verfügung. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute] Zusammenfassend lässt sich sagen: Die RADIUS-Authentifizierung für Gäste-WiFi bietet Ihnen eine zentrale Zugriffskontrolle, einen vollständigen Accounting-Trail und das Compliance-Fundament, das Sie für GDPR und PCI-DSS benötigen. Die Architektur ist denkbar einfach: Access Point zu NAS zu RADIUS-Server zur Cloud-Plattform von Purple. Die drei Dinge, auf die es ankommt, sind das Shared Secret, die Domain-Whitelist und das Accounting-Intervall. Purple betreibt Cloud-native RADIUS an mehr als 80.000 Standorten weltweit und verarbeitete im Jahr 2024 440 Millionen Anmeldungen. Die Plattform ist hardwareunabhängig, nach ISO 27001 zertifiziert und GDPR-konform. Ihre nächsten Schritte: Prüfen Sie, ob Ihre Hardware auf der Liste der unterstützten Geräte von Purple steht, rufen Sie die RADIUS-Server-Anmeldedaten aus Ihrem Purple-Dashboard ab und folgen Sie der herstellerspezifischen Konfigurationsanleitung im Support-Center von Purple. Wenn Sie Hilfe benötigen, führt Sie das technische Team von Purple gerne durch den Prozess. Vielen Dank fürs Zuhören. Die vollständige schriftliche Anleitung mit Diagrammen, Praxisbeispielen und Konfigurationsreferenzen ist unten verlinkt.