IT-Sicherheit
PacketFence
PacketFence ist eine quelloffene NAC-Lösung (Network Access Control), die Netzwerkzugang über 802.1X, MAC-Authentifizierung und Captive Portal steuert.
- Open-Source-NAC (GPLv2)
- 802.1X, MAB, Captive Portal
- Geräte-Profiling (Fingerbank)
- dynamische VLANs, Isolation
- 150+ Geräte-Familien
PacketFence ist eine quelloffene Network-Access-Control-Plattform (NAC). Sie kontrolliert, welche Geräte und Nutzer ins Netzwerk dürfen, kabelgebunden, im WLAN und über VPN, und setzt das über 802.1X, MAC-Authentifizierung, Geräteerkennung und ein Captive Portal durch.
Dieser Artikel erklärt die Kernfunktionen (Authentifizierung, Profiling, VLAN-Zuweisung, Gast/BYOD), die Architektur mit eingebettetem FreeRADIUS, die breite Switch- und WLAN-Unterstützung sowie die typischen Stolpersteine bei der Einführung.
1. Authentifizierung und Zugangskontrolle
PacketFence authentifiziert Geräte über 802.1X/EAP (mit eingebettetem FreeRADIUS) und für Geräte ohne 802.1X-Fähigkeit, etwa Drucker oder IoT, über MAC Authentication Bypass. Je nach Identität, Gerätetyp und Compliance-Status weist es dynamisch ein VLAN zu oder schiebt das Gerät in ein Isolations-/Remediation-Netz. Gast- und BYOD-Zugänge laufen über ein anpassbares Captive Portal mit Selbstregistrierung und Zertifikatsverteilung.
2. Geräteerkennung und Profiling
Über die Integration mit Fingerbank erkennt PacketFence Gerätetypen anhand von DHCP-Fingerprints, MAC-Hersteller und User-Agent. Das ist die Grundlage, um unbekannte oder nicht autorisierte Geräte automatisch zu isolieren und für IoT-Geräte passende Richtlinien zu setzen, ein Kernbaustein, um den Wildwuchs im Netz sichtbar und steuerbar zu machen.
NAC beginnt nicht beim Sperren, sondern beim Sehen: Erst wenn man weiß, welches Gerät an welchem Port hängt, lässt sich Zugang sinnvoll vergeben statt pauschal zu blockieren.
3. Architektur
PacketFence läuft auf Linux und besteht aus mehreren Komponenten: dem eingebetteten FreeRADIUS für die Authentifizierung, einer MariaDB (Galera-fähig) für Konfiguration und Daten, Redis als Queue für SNMP-Traps und asynchrone Operationen sowie dem Dienst pfqueue, der die Portplatzierung entscheidet. Es integriert sich mit zahlreichen Switch- und WLAN-Herstellern (über 150 Geräte-Familien) und bietet HA/Clustering und eine REST-API.
4. Anbindung und Integration
Benutzer und Gruppen kommen aus LDAP/Active Directory; daneben unterstützt PacketFence OAuth2, SAML, eine eigene PKI sowie Firewall-SSO und MDM-Anbindung. Über diese Integrationen lässt sich der Netzzugang an die bestehende Identitäts- und Sicherheitslandschaft koppeln, statt eine Insel zu bilden.
AD-Anbindung und Zeitsynchronisation beachten
Für EAP-PEAP gegen Active Directory sind eine korrekte Zeitsynchronisation (NTP) zwischen PacketFence und den Domänencontrollern sowie eine durchdachte Maschinenkonto-Konfiguration nötig. Diese Details früh klären, sie sind eine häufige Fehlerquelle bei der Einführung.
5. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Vollwertiges Open-Source-NAC (802.1X, MAB, Portal, Profiling) | Einführung ist ein anspruchsvolles Projekt mit Lernkurve |
| Herstellerübergreifend (über 150 Geräte-Familien), HA-fähig | AD-/RADIUS-Integration erfordert sorgfältige Planung |
| Dynamische Segmentierung als Zero-Trust-Baustein | 802.1X-Rollout über den Gerätebestand braucht Zeit |
Häufige Fragen zu PacketFence
Nein, PacketFence bringt FreeRADIUS bereits eingebettet mit und steuert es selbst. Die Authentifizierungsentscheidung (VLAN, Isolation) trifft das PacketFence-Backend.
In der Regel ja: PacketFence unterstützt eine große Zahl an Switch- und WLAN-Herstellern (über 150 Geräte-Familien). Entscheidend ist, dass die Geräte 802.1X und/oder MAC-Authentifizierung sowie die nötigen RADIUS-Funktionen beherrschen; die konkrete Modellunterstützung sollte vorab geprüft werden.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
PacketFence im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.