<style> .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } .reveal ul li { font-size: 24px !important; line-height: 1.4 !important; margin-bottom: 10px !important; } .reveal .slides section { text-align: left; padding: 20px 40px !important; } </style> ### 802.1X – Portbasierte Netzwerkauthentifizierung *Thomas Will – Stand: 03.07.2025* --- ### Was ist 802.1X? - IEEE-Standard für Port-basierte Authentifizierung auf Layer 2 - Ermöglicht Zugriffskontrolle auf Switch- oder WLAN-Ports - Endgerät muss sich gegenüber Authentifizierungsserver legitimieren - Ohne erfolgreiche Authentifizierung: Kein Zugriff aufs Netzwerk --- ### Komponenten von 802.1X - **Supplicant**: Endgerät mit 802.1X-fähigem Client (z. B. Windows, Linux, WLAN-Client) - **Authenticator**: Switch oder Access Point - **Authentication Server**: Meist RADIUS-Server (z. B. FreeRADIUS) --- ### Ablauf der Authentifizierung 1. Gerät wird am Switchport erkannt (Link Up) 2. Authenticator fordert Login-Daten (EAP-Request) 3. Supplicant sendet Credentials (EAP-Response) 4. Authenticator leitet weiter an RADIUS 5. RADIUS prüft – bei Erfolg wird der Port freigeschaltet --- ### EAP – Extensible Authentication Protocol - Protokollfamilie für Authentifizierungsverfahren - Häufige Varianten: - EAP-MD5 (veraltet, unsicher) - PEAP + MSCHAPv2 (Windows-Umfeld) - EAP-TLS (mit Client-Zertifikaten) - EAP wird über LAN (EAPoL) oder WLAN (EAP über RADIUS) verwendet --- ### Vorteile von 802.1X - Netzwerkkontrolle auf Portebene - Unbekannte Geräte erhalten keinen Zugang - Integration mit Benutzerverwaltung (LDAP, AD) - Dynamische VLAN-Zuweisung möglich - Kombinierbar mit MACsec, VLANs, ACLs --- ### Herausforderungen & Stolperfallen - Zertifikatsmanagement (bei EAP-TLS) - Kompatibilitätsprobleme bei älteren Geräten - Keine Benutzerinteraktion bei IoT oder Druckern → MAC-Based Auth oder MAB nötig - Aufwändige Fehlersuche ohne gute Logs --- ### 802.1X in WLANs - WPA2-Enterprise basiert auf 802.1X - Sicherer als PSK (Pre-Shared Key) - SSID sichtbar – Zugriff nur nach Authentifizierung - Zentrale Benutzerkontrolle über RADIUS --- ### Best Practices - Verwende EAP-TLS, wenn möglich - Sichere den Authenticator (z. B. Switch) gegen Manipulation - Aktivere Logausgabe auf RADIUS und Authenticator - Teste mit verschiedenen Clients - Erstelle Fallback-Regel für Legacy- oder IoT-Geräte --- ### Beispiel: FreeRADIUS + Switch - Authenticator: Cisco-Switch oder hostapd - RADIUS: FreeRADIUS mit LDAP/AD-Anbindung - Zertifikate: CA, Server-Zertifikat, ggf. Client-Zertifikate - Testen mit `eapol_test` oder `wpa_supplicant` --- ### Fazit - 802.1X ist ein starker Baustein für Netzwerksicherheit - Funktioniert sowohl für kabelgebundene als auch WLAN-Zugänge - Erfordert gute Planung, Zertifikatsverwaltung und Benutzerpflege - In kritischen Netzen unverzichtbar! --- ### Fragen oder Szenarien? *Beispielkonfigurationen oder Fehlersuche?*