IT-Sicherheit
NAC / 802.1X / RADIUS
Network Access Control (NAC) regelt, wer ins Netz darf; 802.1X ist die Port-Authentifizierung (Supplicant, Authenticator, Server), RADIUS das AAA-Protokoll.
- Netzzugangskontrolle
- 802.1X-Port-Authentifizierung
- RADIUS (AAA), dynamisches VLAN
- EAP-Methoden (EAP-TLS am stärksten)
- FreeRADIUS, PacketFence
NAC (Network Access Control) beantwortet eine Grundfrage des Netzbetriebs: Wer und welches Gerät darf überhaupt ins Netz, und in welches Segment? Technisch ruht das auf zwei Säulen: IEEE 802.1X als Port-Authentifizierung und RADIUS als zentralem AAA-Protokoll (Authentifizierung, Autorisierung, Accounting).
Dieser Artikel erklärt das NAC-Konzept und die drei 802.1X-Rollen, die EAP-Methoden mit ihrer Sicherheitsabstufung, RADIUS samt dynamischer VLAN-Zuweisung und der Transportabsicherung über RadSec, den MAC-Bypass als notwendige, aber schwache Ausnahme sowie den Open-Source-Stack aus FreeRADIUS und PacketFence.
1. NAC und die drei Rollen von 802.1X
NAC ist das übergeordnete Konzept: Es authentifiziert Nutzer und Geräte, prüft optional ihren Zustand (Compliance/Posture) und segmentiert den Zugang. Das technische Fundament ist IEEE 802.1X mit drei Rollen: der Supplicant (das Endgerät mit 802.1X-Software), der Authenticator (der Switch-Port oder Access Point, der den Zugang kontrolliert) und der Authentication Server (in der Regel ein RADIUS-Server). Der Authenticator reicht die Authentifizierung nur durch, die Entscheidung trifft der RADIUS-Server. Transportiert werden die Authentifizierungsdaten über EAPOL (EAP over LAN) auf Schicht 2.
2. EAP-Methoden und ihre Sicherheit
Innerhalb von 802.1X läuft EAP (Extensible Authentication Protocol) als Rahmen für verschiedene Verfahren, die sich deutlich in der Sicherheit unterscheiden:
- EAP-TLS beidseitige Authentifizierung über Zertifikate (Client und Server), die stärkste Methode, erfordert aber eine PKI.
- EAP-TTLS / PEAP Server-Zertifikat plus innere Authentifizierung (oft Benutzername/Passwort); verbreitet, aber schwächer als EAP-TLS.
- EAP-MD5 veraltet und angreifbar; gemäß BSI-Grundschutz nicht mehr zu verwenden.
Passwortbasierte EAP-Methoden sind nur so stark wie das Passwort dahinter. Wo es geht, ist zertifikatsbasiertes EAP-TLS die saubere Antwort.
3. RADIUS und dynamische Zuweisung
RADIUS (RFC 2865, UDP-Ports 1812 für Authentifizierung und 1813 für Accounting) ist der zentrale AAA-Dienst. Nach erfolgreicher Authentifizierung kann er dem Switch über Attribute nicht nur „Zugang ja“ mitteilen, sondern auch gleich das passende VLAN oder eine herunterladbare Zugriffsliste (dACL) zuweisen, ein Gerät landet so automatisch im richtigen Segment, ohne dass der Port manuell konfiguriert werden muss. Im WLAN ist 802.1X mit RADIUS die Grundlage von WPA2- und WPA3-Enterprise.
4. RADIUS absichern: RadSec
Klassisches RADIUS über UDP schützt nur das Passwortfeld (mit einem alten MD5-Verfahren), nicht den gesamten Dialog. RadSec (RADIUS über TLS, TCP-Port 2083) verschlüsselt den kompletten RADIUS-Verkehr und authentifiziert die Gegenstellen über Zertifikate. Für Verbindungen über weniger vertrauenswürdige Strecken und für Roaming-Föderationen ist RadSec der Weg der Wahl. Der RADIUS-Server selbst gehört in ein gesichertes Management-Segment.
5. MAC-Bypass: notwendige Schwäche
Nicht jedes Gerät hat einen 802.1X-Supplicant, etwa Drucker, Kameras oder andere IoT-Geräte. Für sie gibt es den MAC Authentication Bypass (MAB): Der Switch authentifiziert anhand der MAC-Adresse. Das ist bequem, aber eine echte Schwachstelle, denn MAC-Adressen lassen sich leicht fälschen. MAB bietet keine kryptografische Sicherheit. Wo er nötig ist, gehört der Zugang eng begrenzt (eigenes, restriktives VLAN, minimale Rechte), so fordert es auch der BSI-Grundschutz.
6. Open-Source-Stack
Im quelloffenen Umfeld bilden zwei Projekte das Rückgrat: FreeRADIUS als der meistgenutzte RADIUS-Server (unterstützt alle gängigen EAP-Methoden, dynamische VLANs, RadSec) und PacketFence als vollständige NAC-Plattform (802.1X, MAB, Captive Portal, Posture-Prüfung, dynamische Segmentierung), die RADIUS integriert. Ergänzend verschlüsselt MACsec (IEEE 802.1AE) den Verkehr auf Schicht 2, mit 802.1X für den Schlüsselaustausch. So lässt sich NAC vollständig mit offenen Bausteinen umsetzen.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Verhindert unautorisierten Zugang schon am Port | Zertifikatsmanagement (EAP-TLS) ist aufwendig |
| Dynamische Segmentierung ohne manuelle Port-Konfiguration | nicht jedes Gerät hat einen 802.1X-Supplicant |
| Zentrale Policy über RADIUS; WPA2/WPA3-Enterprise | MAB ist fälschbar, nur eingeschränkt einsetzen |
| RadSec verschlüsselt den RADIUS-Transport | RADIUS-Ausfallverhalten muss geplant werden |
| Offener Stack: FreeRADIUS + PacketFence, MACsec | Rollout (Switch, RADIUS, PKI, Prozesse) ist komplex |
Häufige Fragen zu NAC / 802.1X / RADIUS
NAC (Network Access Control) ist das übergeordnete Konzept der Netzzugangskontrolle. IEEE 802.1X ist der Standard für die Port-Authentifizierung mit den Rollen Supplicant (Client), Authenticator (Switch/Access Point) und Authentication Server. RADIUS ist das AAA-Protokoll, über das dieser Authentication Server zentral authentifiziert, autorisiert (etwa per dynamischer VLAN-Zuweisung) und Accounting betreibt. Kurz: NAC ist das Ziel, 802.1X die Methode am Port, RADIUS der zentrale Dienst dahinter.
MAB authentifiziert ein Gerät allein anhand seiner MAC-Adresse, weil es keinen 802.1X-Supplicant hat (typisch für Drucker, Kameras, IoT). MAC-Adressen lassen sich aber trivial fälschen: Wer die MAC eines zugelassenen Geräts kennt, kann sie übernehmen und so Zugang erlangen. MAB bietet keine kryptografische Authentifizierung. Wo MAB nötig ist, sollte der Zugang deshalb stark eingeschränkt werden, etwa in ein eigenes, restriktives VLAN mit minimalen Rechten.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
NAC / 802.1X / RADIUS im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.