\nMit 802.1x gib es ein solches Zugriffsframework, das den Zugriff auf ein Netzwerk zul\u00e4sst oder ablehnt. Es besteht in der Regel aus 3 Komponenten:<\/p>\n
- \n
- Supplicants<\/em><\/strong>: Clients, die den Zugriff auf ein Netzwerk anfordern, indem sie Authentifizierungsanfragen mit dem EAP-Protokoll <\/strong>an einen Authenticator senden.\n
- \n
- EAP (Extensible Authentication Protocol)<\/em>:Authentifizierungsframework, das die Einbindung verschiedener Authentifizierungsmethoden erlaubt z.B. 2-Faktor \u00fcber Zertifikate\/Smartcards\u00a0 etc.<\/li>\n<\/ul>\n<\/ul>\n<\/ul>\n<\/li>\n
- Authenticator<\/em><\/strong>: Zugriffsgateway (VPN Gateway, W-LAN Access Point, Ethernet Switch), das jeglichen Verkehr – au\u00dfer dem Authentifizierungsverkehr – solange blockt, bis eine erfolgreiche Authentifizierung stattgefunden hat. Der Authenticator leitet alle Authentifizierungsanfragen der Supplicants an den Authentication Server weiter.<\/li>\n
- Authentication Server<\/strong>:<\/em> zentraler Server, der die \u00a0weitergeleiteten Authentifizierungsanfragen mehrerer Authenticator validiert und ihnen das \u00a0Ergebnis der \u00dcberpr\u00fcfung r\u00fcckmeldet. Erst bei positiver R\u00fcckmeldung erlaubt der Authenticator dem Supplicant den gew\u00fcnschten Netzwerkzugang.<\/li>\n<\/ul>\n
RADIUS als Authentication Server f\u00fcr 802.1X<\/strong><\/span>
\nEine weit verbreitete Implementierung f\u00fcr den Authentication Server ist der RADIUS (Remote Authentication Dial In User Service) Standard, der auch von Internet Providern f\u00fcr den Zugriff auf ihre Backbones verwendet wird. Dieser Standard kann neben der reinen Authentifizierung zus\u00e4tzlich Autorisierung und Accounting (zentrale Protokollierung der Verbindungen) durchf\u00fchren.<\/p>\n- \n
- Dabei pr\u00fcft der RADIUS Server zuerst die grunds\u00e4tzliche Authentifizierung<\/strong>sanforderung der Supplicants (korrekte Credentials bzw. Zertifikate) gegen\u00fcber einem Verzeichnisdienst wie Active Directory und<\/li>\n
- wendet bei Erfolg bestimmte Autorisierung<\/span>srichtlinien<\/strong> auf die Verbindung an. Diese enorm flexiblen Richtlinien untersuchen, ob bestimmte weitere Bedingungen<\/strong> f\u00fcr die Verbindung erf\u00fcllt sind \u00a0(z.B. korrekte Benutzer\/Computergruppe, Uhrzeit, Zugriffsart, IP-Adresse etc.) und weisen die Verbindung ggf. trotz g\u00fcltiger Authentifizierungsangaben ab.<\/li>\n<\/ol>\n
Erweiterte Policies und Quarant\u00e4ne<\/span><\/strong>
\nEine RADIUS-Implementierung kann ferner mit einem Network Policy Server (NPS)<\/em> kombiniert werden, der noch erheblich detailliertere Zutrittskontrollen erlaubt. Haben die Supplicants bestimmte Pr\u00fcf-Agenten installiert, kann der NPS bspw. ermitteln, ob ein Zugriffsclient die aktuellen Virenschutzdefinitionen\/ aktuellen Updates installiert hat bzw. die Host-Firewall aktiviert ist. Ist dies nicht der Fall, wird der Client vom NPS tempor\u00e4r in eine vom internen LAN abgeschottete Quarant\u00e4nezone – meist \u00a0ein spezielles V-LAN – verwiesen.<\/p>\nDie Quarant\u00e4nezone erlaubt dem Client ggf. die fehlenden Komponenten z.B. mit Hilfe eines Update Servers nachzuinstallieren, ehe er \u00fcber einen weiteren Authentifizierungsvorgang noch einmal versuchen kann, dem internen Netzwerk beizutreten.<\/p>\n
![\"Zertifikate](\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/Radiusund802.1x.jpg\" "\\"Radius_und_802.1x\\"")
<\/a><\/p>\nAlle RADIUS Authentifizierungsversuche m\u00fcssen stets \u00fcber das EAP-Protokoll erfolgen, zudem muss auf dem RADIUS Server ein X.509 Serverzertifikat<\/strong> mit Serverauthentifizierungs-EKU installiert sein, um seine Identit\u00e4t gegen\u00fcber den Supplicants zu beweisen.<\/p>\n","protected":false},"excerpt":{"rendered":"
F\u00fcr Netzwerke mit mehreren Zutrittspunkten bietet sich eine zentral gesteuerte Authentifizierung und Protokollierung der Verbindungen an, um den administrativen Aufwand klein zu halten. 802.1x Mit 802.1x gib es ein solches Zugriffsframework, das den Zugriff auf ein Netzwerk zul\u00e4sst oder ablehnt. … Weiterlesen
- wendet bei Erfolg bestimmte Autorisierung<\/span>srichtlinien<\/strong> auf die Verbindung an. Diese enorm flexiblen Richtlinien untersuchen, ob bestimmte weitere Bedingungen<\/strong> f\u00fcr die Verbindung erf\u00fcllt sind \u00a0(z.B. korrekte Benutzer\/Computergruppe, Uhrzeit, Zugriffsart, IP-Adresse etc.) und weisen die Verbindung ggf. trotz g\u00fcltiger Authentifizierungsangaben ab.<\/li>\n<\/ol>\n
- Authenticator<\/em><\/strong>: Zugriffsgateway (VPN Gateway, W-LAN Access Point, Ethernet Switch), das jeglichen Verkehr – au\u00dfer dem Authentifizierungsverkehr – solange blockt, bis eine erfolgreiche Authentifizierung stattgefunden hat. Der Authenticator leitet alle Authentifizierungsanfragen der Supplicants an den Authentication Server weiter.<\/li>\n
- \n
- \n
- EAP (Extensible Authentication Protocol)<\/em>:Authentifizierungsframework, das die Einbindung verschiedener Authentifizierungsmethoden erlaubt z.B. 2-Faktor \u00fcber Zertifikate\/Smartcards\u00a0 etc.<\/li>\n<\/ul>\n<\/ul>\n<\/ul>\n<\/li>\n