HAPPYTEC.at :: Blog :: Themenwochenende: IEEE 802.1X & EAP-TLS (LAN/WLAN)

ACHTUNG: Dieser Beitrag wurde für FreeRADIUS v2.x geschrieben!

Für v3.x braucht es einige Anpassungen, die noch nicht enthalten sind.
Ob und wann dieser Beitrag überarbeitet wird, steht noch nicht fest… Sad

Das kommende Wochenende steht ganz im Zeichen von IEEE 802.1X! Es handelt sich dabei um einen Standard zur Authentifizierung im Netzwerk. Ich werde in drei Beiträgen erklären, wie man das eigene Netzwerk absichert. Egal ob es sich dabei um ein privates Heimnetzwerk oder um ein kleines Firmennetzwerk handelt, die Tipps sollten für fast jeden brauchbar sein. EAP-TLS wird eine zentrale Rolle spielen, dabei werden normale X.509-Zertifikate verwendet. Als Software kommt FreeRADIUS zum Einsatz. Hardwareseitig wird ein GS108Tv2 von Netgear als Switch benutzt. Für den WLAN-Teil kann (fast) jeder OpenWrt-Router genutzt werden. Am Ende werden alle physikalischen Netzwerkports gegen unbefugtes Eindringen abgesichert sein und bekommen auf Wunsch sogar dynamisch ihre VLANs zugewiesen. Mit nur einem drahtlosen Netzwerk werden unterschiedliche Zugangsdaten dafür sorgen, dass auch hierbei eine dynamische Zuweisung der VLANs erfolgt.

Clientseitig werden Linux, Windows und Android behandelt. Serverseitig liegt der Schwerpunkt verständlicherweise bei Linux. Wer nicht alles davon braucht und manches überspringen möchte: Kein Problem, aber trotzdem sollte man alles lesen! Jeder Beitrag baut auf dem bereits vermittelten Wissen von vorher auf. Wenn man weiß, wie man SSH nutzt und mit den grundlegenden Linux Befehlen (cd, chmod, chown, mv, cp, nano/vi, …) vertraut ist, sollte das als Grundwissen ausreichend sein. Nachfolgend eine kurze Übersicht, welche Beiträge wann veröffentlicht werden: (ca. 65 kB Text und 4 MB Bilder sowie Screenshots)

Im ersten Teil am Freitag geht es einmal darum, einen FreeRADIUS-Server zu installieren und einzurichten. Danach wird der Switch für RADIUS vorbereitet und immer weiter konfiguriert. Am Ende sind bereits alle Ports mit EAP-TLS abgesichert. In diesem Beitrag werden bereits Linux und Windows Clients behandelt.
Teil zwei folgt am Samstag und beschäftigt sich mit dem Thema VLAN. Authentifizierte Switchports bekommen dynamisch ein VLAN zugewiesen, je nach angemeldetem User. Außerdem wird der Gastmodus behandelt, der ohne Authentifizierung eine (eingeschränkte) Nutzung ermöglicht, indem ein anderes VLAN aktiviert wird.
Der vorläufig letzte und dritte Teil am Sonntag beschäftigt sich mit drahtlosen Netzwerken, besser bekannt als WLAN oder WiFi. Am Ende wird es mit EAP-TLS abgesichert sein. Die dynamische Zuweisung in ein bestimmtes VLAN wird auch hier erklärt. Neben Linux und Windows spielt Android als Client eine weitere Rolle.

Meine persönliche Motivation war natürlich das Ausreizen der Möglichkeiten meines Switches. Dahinter steckt auch ein realer Verwendungszweck, ich möchte z.B. Multiboot-Systeme mit Windows in verschiedene VLANs packen können, ohne jedes Mal das Netzwerkkabel umzustecken. Mit unterschiedlichen Zertifikaten für jedes Betriebssystem ist das problemlos möglich. Das wollte ich schon länger umsetzen, die Firmware vom Switch unterstützte das früher aber noch nicht vollständig. An der WLAN-Thematik war ich Anfangs überhaupt nicht interessiert, die gehört aber irgendwie doch dazu. Und letzten Endes ist der KMP schuld daran, dass ich es entgegen der ursprünglichen Planungen doch zeitnah veröffentliche. Sonst wäre es vorerst wahrscheinlich nur im internen Wiki gelandet und erst sehr viel später für den Blog überarbeitet worden…

PS: Im Rahmen dieser kleinen Blogserie wurden keine intakten Patchkabel verletzt oder getötet! Mr. Green