Was ist 802.1X?

IEEE 802.1X ist ein portbasierter Standard zur Zugriffskontrolle, der ein Gerät authentifiziert, bevor es Datenverkehr über einen Switch-Port oder einen WLAN-Zugangspunkt senden kann. Ein Supplicant am Endgerät übermittelt Anmeldedaten, ein Authenticator leitet diese weiter, und ein Authentifizierungsserver – in der Regel RADIUS – entscheidet, ob der Port freigegeben wird und welches VLAN zugewiesen wird.

Die wichtigsten Erkenntnisse

• Authentifiziert Geräte, bevor sie einen Switch-Port oder ein WLAN-Netzwerk erreichen.
• Drei Rollen: Anfragender, Authentifizierer und Authentifizierungsserver.
• EAPOL überträgt Anmeldedaten; RADIUS überprüft diese in der Regel zentral.
• Die MAC-Authentifizierungsumgehung (MAB) gilt für Geräte, die kein EAPOL unterstützen.
• RADIUS kann nach erfolgreicher Authentifizierung dynamisch ein VLAN zuweisen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · 802.1X & Versa · Häufig gestellte Fragen

Warum ist 802.1X wichtig?

Unmanaged-Switch-Ports und offene WLAN-Netzwerke bieten einen einfachen Zugang zu einem Netzwerk: Man schließt einfach einen Laptop oder einen unbefugten Access Point an, und schon ist man im LAN. 802.1X schließt diese Lücke, indem es eine Authentifizierung verlangt, bevor ein Port oder eine SSID Datenverkehr weiterleitet, und dehnt die Identitätsprüfungen bis auf die physikalische und die Verbindungsschicht aus.

Dies ist vor allem dort von Bedeutung, wo ein unbefugtes Gerät Zugang zu kabelgebundenen oder drahtlosen Signalen haben könnte – in Großraumbüros, Campusgebäuden, Verkaufsräumen und LANs von Zweigstellen. Da 802.1X ein IEEE-Standard ist, sind die in alle gängigen Betriebssysteme integrierten Supplicants mit Authentifikatoren und RADIUS-Servern beliebiger Hersteller kompatibel. Aus diesem Grund ist 802.1X auch Jahrzehnte nach seiner Verabschiedung nach wie vor die Standardlösung für den Zero-Trust-Zugang zu LANs und WLANs.

Was ist 802.1X?

802.1X definiert drei zusammenwirkende Rollen. Der „Supplicant“ ist die Client-Software auf dem Endgerät, die Anmeldedaten übermittelt. Der „Authenticator“ ist das Netzwerkzugangsgerät – ein Switch-Port oder ein Access Point –, das diese Anmeldedaten weiterleitet und die daraus resultierende Zugriffsentscheidung durchsetzt, ohne selbst zu entscheiden, ob das Gerät zugelassen wird. Der Authentifizierungsserver überprüft die Anmeldedaten und entscheidet, welcher Zugriff gewährt wird; in der Regel handelt es sich dabei um einen RADIUS-Server, obwohl in einigen Implementierungen stattdessen eine lokale Authentifizierung erfolgt.

Die Kommunikation zwischen dem Anfragenden und dem Authentifizierer erfolgt über EAPOL (Extensible Authentication Protocol over LAN). Der Authentifizierer leitet den Datenaustausch unter Verwendung von RADIUS-Attributen wie „User-Name“, „NAS-Port“ und „Framed-IP-Address“ an den Authentifizierungsserver weiter. Geräte, die kein EAPOL unterstützen, werden stattdessen über den MAC-Authentication-Bypass anhand ihrer MAC-Adresse identifiziert und bis zur Authentifizierung in einem Gast-VLAN geparkt. Sobald die Authentifizierung erfolgreich ist, wird der Port freigeschaltet, und der Server kann mit der Bestätigung eine VLAN-Zuweisung zurückgeben.

Arten von 802.1X

802.1X-Implementierungen unterscheiden sich in zweierlei Hinsicht: hinsichtlich der Art und Weise, wie Anmeldedaten überprüft werden, und hinsichtlich der Anzahl der Endgeräte, die ein Port zulässt. Bei der lokalen Authentifizierung wird das Zertifikat des Supplicants mithilfe von EAP-TLS anhand einer vertrauenswürdigen Zertifikatsdatenbank auf dem Authentifikator selbst überprüft, ohne dass ein externer Server erforderlich ist. Bei der RADIUS-Authentifizierung wird diese Entscheidung an einen externen Server delegiert – dies ist die gängigere Variante, da sie die Richtlinien über viele Switches hinweg zentralisiert.

Die Supplicant-Modi steuern die Ports für mehrere Geräte: „Single“ authentifiziert nur das erste Gerät und lässt andere an dieser Sitzung teilhaben; „Single-secure“ lässt jeweils nur ein Gerät zu; „Multiple“ authentifiziert jedes Gerät einzeln. Neben der standardmäßigen EAPOL-Authentifizierung greift der MAC Authentication Bypass (MAB) auf die Authentifizierung von Druckern, Kameras und anderen Geräten ohne Supplicant anhand der MAC-Adresse anstelle von Anmeldedaten zurück.

802.1X & Versa

VOS-Geräte unterstützen alle drei 802.1X-Rollen. Eine als Authentifikator konfigurierte VNI-Schnittstelle setzt 802.1X an einem Switch-Port durch, indem sie entweder Supplicants lokal anhand einer vertrauenswürdigen Zertifikatsdatenbank überprüft oder Anfragen über ein Authentifizierungsprofil an einen externen RADIUS-Server weiterleitet, wie unter „IEEE 802.1X-Geräteauthentifizierung konfigurieren“ beschrieben. Dieser Artikel behandelt außerdem MAB, RADIUS-Fail-Open (der Zugriff funktioniert weiterhin, wenn der Server nicht mehr erreichbar ist) und RADIUS-Tracking, um zu erkennen, wann ein Server wieder erreichbar ist.

Durch die dynamische VLAN-Zuweisung wird ein Gerät nach erfolgreicher 802.1X- oder MAB-Authentifizierung aus dem Gast-VLAN in das vom RADIUS-Server zurückgegebene VLAN verschoben. In SD-LAN-Bereitstellungen wird 802.1X über wiederverwendbare Port- und Authentifizierungsprofile konfiguriert – siehe „SD-LAN mithilfe von Workflow-Vorlagen konfigurieren (Versionen 22.1.4 und höher)“ und „SD-LAN mithilfe von Workflow-Vorlagen konfigurieren (Version 22.1.3)“, in denen ein 802.1X-Portprofil erstellt wird – Supplicant-Modus, Gast- und Authentifizierungs-VLAN – sowie ein Profil, das auf einen oder mehrere RADIUS-Server verweist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen 802.1X und der Umgehung der MAC-Authentifizierung?

802.1X authentifiziert ein Gerät, indem es die Anmeldedaten überprüft, die das Gerät aktiv über EAPOL übermittelt. Die MAC-Authentifizierungsumgehung (MAB) hingegen erfolgt anhand der MAC-Adresse des Geräts und wird für Drucker, Kameras und andere Endgeräte ohne 802.1X-Supplicant verwendet. MAB wird in der Regel als Ausweichlösung konfiguriert, wenn EAPOL nicht reagiert.

Welche drei Rollen gibt es bei der 802.1X-Authentifizierung?

Der Anfragende ist der Client, der den Zugriff anfordert; der Authentifizierer ist der Switch-Port oder der Access Point, der die Entscheidung durchsetzt; der Authentifizierungsserver überprüft die Anmeldedaten und entscheidet über das Ergebnis. Ein Gerät kann lokal oder durch einen externen RADIUS-Server authentifiziert werden.

Was versteht man unter dynamischer VLAN-Zuweisung bei 802.1X?

Dabei handelt es sich um die Fähigkeit eines Authentifizierungsservers, bei erfolgreicher Authentifizierung eine VLAN-ID zurückzugeben und das Gerät von einem Standard- oder Gast-VLAN in das VLAN zu verschieben, das seiner Identität entspricht – beispielsweise um authentifizierte Laptops von Mitarbeitern automatisch von nicht authentifizierten Gästen zu trennen.

Kann 802.1X Geräte ohne RADIUS authentifizieren?

Ja. Bei der lokalen 802.1X-Authentifizierung wird das Zertifikat des Supplicants mithilfe von EAP-TLS anhand einer vertrauenswürdigen Zertifikatsdatenbank auf dem Authentifikator selbst überprüft, ohne dass ein externer Server kontaktiert wird. In den meisten großen Installationen wird stattdessen nach wie vor RADIUS verwendet, da dadurch die Authentifizierungsrichtlinien für viele Switches zentral verwaltet werden können, anstatt jeden einzelnen Switch individuell konfigurieren zu müssen.

Was ist der Unterschied zwischen EAPOL und MAB?

EAPOL (Extensible Authentication Protocol over LAN) ist das Transportprotokoll, über das die Anmeldedaten eines Supplicants im Rahmen der Standard-802.1X-Authentifizierung an den Authentifikator übermittelt werden. Bei MAB findet keinerlei Austausch von Anmeldedaten statt – es authentifiziert Nicht-EAPOL-Geräte, indem es deren MAC-Adresse an den Authentifizierungsserver sendet.

Mehr zu 802.1X

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit 802.1X beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.