Infra & Netzwerk

IEEE 802.1X (portbasierte Netzwerkzugangskontrolle)

Overview

IEEE 802.1X regelt, ob ein Gerät über einen Netzwerkport kommunizieren darf, egal ob kabelgebunden am Switch oder per WLAN am Access Point. Solange keine erfolgreiche Authentifizierung vorliegt, lässt der Port nur Anmeldepakete durch. Aktuell gilt IEEE Std 802.1X-2020, das IEEE stellt den Standard über sein GET-Programm kostenlos bereit. Eine Revision (P802.1X-2020-Rev) ist in Arbeit.

Typische Einsatzorte sind Firmen-WLANs mit WPA2- oder WPA3-Enterprise sowie Netzwerkdosen in Büros, Besprechungsräumen und Produktionshallen, an denen fremde Geräte nicht einfach Zugang bekommen sollen. Kombiniert mit dynamischer VLAN-Zuweisung landet jedes Gerät nach der Anmeldung automatisch im passenden Segment.

Abgrenzung: Network Access Control (NAC) ist der Oberbegriff für Lösungen, die den Netzzugang nach Identität und Gerätezustand steuern. 802.1X ist der Standard, auf dem NAC-Lösungen in der Regel aufsetzen, deshalb werden beide Begriffe oft gleichgesetzt. Den RADIUS-Server dahinter stellt in Windows-Umgebungen der Network Policy Server (NPS). VLAN und Netzwerksegmentierung legen fest, wohin ein Gerät darf, 802.1X entscheidet, ob es überhaupt ins Netz kommt. Zero Trust Network Access (ZTNA) steuert dagegen den Zugriff auf einzelne Anwendungen, nicht auf den Netzwerkport.

How it works

802.1X kennt drei Rollen: den Supplicant (Client-Software auf dem Endgerät), den Authenticator (Switch oder Access Point) und den Authentication Server (meist ein RADIUS-Server). Der Ablauf:

  1. Das Gerät verbindet sich, der kontrollierte Port bleibt zunächst gesperrt. Über den unkontrollierten Port laufen nur EAPOL-Frames (EAP over LAN, EtherType 0x888E).
  2. Der Switch fordert die Identität an und reicht die EAP-Nachrichten in RADIUS-Paketen (Access-Request, Access-Challenge) an den RADIUS-Server weiter.
  3. Der RADIUS-Server validiert Zertifikat oder Anmeldedaten gegen Verzeichnis und Richtlinien. Verbreitet sind EAP-TLS mit Geräte- oder Benutzerzertifikaten und PEAP mit Benutzername und Passwort.
  4. Bei Access-Accept schaltet der Switch den Port frei. Über die RADIUS-Attribute Tunnel-Type=VLAN (13), Tunnel-Medium-Type=802 und Tunnel-Private-Group-ID weist er das Gerät einem VLAN zu (RFC 3580).
  5. Geräte ohne Supplicant wie Drucker, Kameras oder Sensoren meldet der Switch per MAC Authentication Bypass (MAB) an, dabei dient die MAC-Adresse als Kennung gegenüber dem RADIUS-Server.

802.1X-2020 spezifiziert außerdem das MACsec Key Agreement (MKA), mit dem sich der Verkehr zwischen Gerät und Switch per MACsec (IEEE 802.1AE) verschlüsseln lässt. Windows-Clients konfiguriert die IT über Gruppenrichtlinien oder Intune-Profile für kabelgebundene Netzwerke und WLAN.

Benefits

  • Fremde Geräte bekommen an einer Netzwerkdose keinen Zugang, weil der Port ohne erfolgreiche Anmeldung nur EAPOL durchlässt
  • Dynamische VLAN-Zuweisung über RADIUS spart statische Port-Konfiguration, da das Gerät unabhängig vom Port im richtigen Segment landet
  • EAP-TLS mit Zertifikaten kommt ohne Passwörter aus und lässt sich über AD CS oder Intune automatisch an verwaltete Geräte verteilen
  • Die zentrale Protokollierung am RADIUS-Server zeigt, welches Gerät wann an welchem Port angemeldet war, was Audits und Forensik erleichtert
  • Ein Standard für LAN und WLAN, den Switches und Access Points aller großen Hersteller unterstützen

Practical example

Ein Kunststoffverarbeiter mit 280 Mitarbeitenden in Baden-Württemberg stellt fest, dass Servicetechniker externer Firmen ihre Laptops einfach in freie Dosen in der Fertigungshalle stecken. Die IT führt 802.1X mit EAP-TLS für alle Windows-Clients ein: Die Zertifikate kommen per Autoenrollment aus AD CS, zwei NPS-Server übernehmen RADIUS und weisen die VLANs zu. Drucker und Maschinensteuerungen ohne Supplicant laufen über MAB in ein eigenes, per Firewall eng begrenztes VLAN, unbekannte Geräte landen in einem Gast-VLAN mit reinem Internetzugang. Nach einer dreimonatigen Phase, in der fehlgeschlagene Anmeldungen nur protokolliert werden, schaltet die IT die Ports scharf.

Things to keep in mind

  • Mit einer Audit-Phase starten, in der Fehlversuche nur protokolliert werden, und erst danach sperren, sonst stehen Drucker und Telefone still
  • EAP-TLS bevorzugen und bei PEAP das RADIUS-Serverzertifikat auf den Clients fest vorgeben, weil Angreifer sonst über eigene Access Points Anmeldedaten abgreifen können
  • MAB als schwächere Methode behandeln: MAC-Adressen lassen sich fälschen, deshalb MAB-Geräte in eigene VLANs mit restriktiven Firewall-Regeln legen
  • Mindestens zwei RADIUS-Server betreiben und auf den Switches festlegen, was bei nicht erreichbarem RADIUS passiert, damit ein Serverausfall nicht das ganze Netz sperrt
  • Das Attribut Message-Authenticator auf NPS und Netzwerkgeräten erzwingen (BlastRADIUS, CVE-2024-3596, siehe Eintrag NPS)

Conclusion

802.1X bindet Netzwerkdosen und WLAN an authentifizierte Identitäten und ist damit ein naheliegender Baustein für die Zugriffskontrolle im Unternehmensnetz. Plane EAP-TLS, dynamische VLANs und eine Audit-Phase ein, dann gelingt der Rollout ohne Betriebsstörung.

Further reading

Related articles