imported>TechCorner-Redaktion: Neuer Artikel: 802.1X mit RADIUS, MAB, multi-domain, Critical VLAN, Einführung in drei Phasen

2026-10-15T00:00:00Z

Neuer Artikel: 802.1X mit RADIUS, MAB, multi-domain, Critical VLAN, Einführung in drei Phasen

Neue Seite

{{Steckbrief
| gilt_fuer = Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E (klassische Syntax, IBNS 1.0); RADIUS-Server z. B. FreeRADIUS oder Windows NPS
| bereich = IT-Security
| dauer = ca. 1–2 Stunden für den Pilot (Switch und RADIUS), Rollout je nach Gerätebestand
| rechte = Privileged EXEC (enable), Administrator am RADIUS-Server
| stand = Oktober 2026
}}
'''802.1X auf dem Cisco Catalyst 2960-X''' sorgt dafür, dass ein Switch-Port erst dann ins Netz schaltet, wenn sich das angeschlossene Gerät erfolgreich angemeldet hat – mit Zertifikat oder Benutzerkonto gegenüber einem [[RADIUS]]-Server. Geräte ohne 802.1X-Unterstützung wie Drucker werden per MAC Authentication Bypass (MAB) zugelassen, Telefone landen automatisch im Voice-VLAN. Dieser Artikel zeigt eine Einführung in drei Phasen, bei der niemand plötzlich ohne Netz dasteht.

[[Datei:Cisco-2960-X-8021X.png|thumb|center|750px|802.1X auf dem Catalyst 2960-X: Der Switch ist Authenticator zwischen Endgerät (Supplicant) und RADIUS-Server; erst nach Access-Accept öffnet der Port. Drucker kommen per MAB ins Netz, Telefone ins Voice-VLAN; fällt der RADIUS-Server aus, greift das Critical VLAN.]]

== 802.1X-Grundlagen ==
{| class="wikitable"
! Rolle / Begriff !! Bedeutung
|-
| '''Supplicant''' || Endgerät mit 802.1X-Client (Windows, macOS, Linux, IP-Telefon)
|-
| '''Authenticator''' || der Switch; leitet die Anmeldung (EAP) an den RADIUS-Server weiter
|-
| '''Authentication Server''' || RADIUS-Server, z. B. FreeRADIUS, Windows NPS oder Cisco ISE
|-
| '''MAB''' (MAC Authentication Bypass) || Ersatzanmeldung mit der MAC-Adresse für Geräte ohne 802.1X
|-
| '''Host-Modus''' || wie viele Geräte am Port erlaubt sind: <code>single-host</code> (Standard), <code>multi-domain</code> (ein Telefon + ein PC), <code>multi-auth</code> (jedes Gerät einzeln), <code>multi-host</code>
|-
| '''Critical VLAN''' || VLAN, in das Ports geschaltet werden, wenn kein RADIUS-Server erreichbar ist
|}
Übliche EAP-Verfahren sind '''EAP-TLS''' mit Gerätezertifikaten (empfohlen) und '''PEAP-MSCHAPv2''' mit Benutzer- oder Computerkonto. Die Wahl betrifft nur Client und RADIUS-Server – der Switch reicht EAP nur durch.

== Einführung in drei Phasen ==
{| class="wikitable"
! Phase !! Port-Verhalten !! Ziel
|-
| 1. '''Monitor Mode''' || <code>authentication open</code>: Port ist immer offen, Anmeldungen werden nur protokolliert || Lücken finden: Welche Geräte melden sich nicht an?
|-
| 2. '''Low Impact''' || offen, aber mit Zugriffsliste, die vor der Anmeldung nur DHCP, DNS und den Weg zur Anmeldung erlaubt || Übergang für kritische Bereiche
|-
| 3. '''Closed Mode''' || ohne <code>authentication open</code>: Zugriff nur nach erfolgreicher Anmeldung || Zielzustand
|}
Dieser Artikel konfiguriert Phase 1 und zeigt dann den Wechsel zu Phase 3.

== Schritt 1: RADIUS-Server vorbereiten ==
* Den Switch als RADIUS-Client mit gemeinsamem Schlüssel eintragen (Absender = Management-IP, z. B. <code>192.168.99.11</code>).
* Richtlinien anlegen: 802.1X für Domänen-PCs (EAP-TLS oder PEAP), MAB für Drucker und Telefone anhand von MAC-Listen.
* Für Telefone per MAB zusätzlich das Attribut <code>cisco-av-pair = device-traffic-class=voice</code> zurückgeben – erst dann darf das Telefon ins Voice-VLAN.
* Optional dynamische VLAN-Zuweisung über die Attribute ''Tunnel-Type = VLAN'' (64), ''Tunnel-Medium-Type = 802'' (65) und ''Tunnel-Private-Group-ID = VLAN-ID'' (81).
Für FreeRADIUS auf der OPNsense zeigt der Artikel [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]] die Einrichtung.

== Schritt 2: AAA und RADIUS auf dem Switch ==
<syntaxhighlight lang="text">
SW-EG-01# configure terminal
SW-EG-01(config)# aaa new-model
SW-EG-01(config)# aaa authentication login default local
SW-EG-01(config)# aaa authorization exec default local
SW-EG-01(config)# aaa authentication dot1x default group radius
SW-EG-01(config)# aaa authorization network default group radius
SW-EG-01(config)# aaa accounting dot1x default start-stop group radius
SW-EG-01(config)# radius-server host 192.168.99.30 auth-port 1812 acct-port 1813 key <RADIUS-Schlüssel>
SW-EG-01(config)# radius-server dead-criteria time 5 tries 3
SW-EG-01(config)# radius-server deadtime 5
SW-EG-01(config)# radius-server vsa send authentication
SW-EG-01(config)# ip radius source-interface vlan 99
SW-EG-01(config)# dot1x system-auth-control
</syntaxhighlight>
* Die ersten drei <code>aaa</code>-Zeilen halten die Anmeldung am Switch selbst bei den lokalen Benutzern – <code>aaa new-model</code> würde sonst die SSH-Anmeldung verändern.
* <code>dead-criteria</code> und <code>deadtime</code> legen fest, wann ein RADIUS-Server als ausgefallen gilt und wann er erneut versucht wird.
* <code>radius-server vsa send authentication</code> ist nötig, damit der Switch das Voice-Attribut für Telefone auswertet.
* Für Ausfallsicherheit einen zweiten RADIUS-Server mit weiterer <code>radius-server host</code>-Zeile eintragen.

{{Warnung|<code>aaa new-model</code> ändert sofort die Anmeldung an Konsole und SSH. Vorher einen lokalen Benutzer mit Privilege 15 anlegen (siehe [[Cisco Catalyst 2960-X: Erstkonfiguration und SSH-Zugang]]) und die Anmeldung in einer zweiten Sitzung testen.}}

== Schritt 3: Ports im Monitor Mode ==
<syntaxhighlight lang="text">
SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# switchport mode access
SW-EG-01(config-if-range)# switchport access vlan 10
SW-EG-01(config-if-range)# switchport voice vlan 40
SW-EG-01(config-if-range)# authentication host-mode multi-domain
SW-EG-01(config-if-range)# authentication order dot1x mab
SW-EG-01(config-if-range)# authentication priority dot1x mab
SW-EG-01(config-if-range)# authentication port-control auto
SW-EG-01(config-if-range)# authentication open
SW-EG-01(config-if-range)# authentication periodic
SW-EG-01(config-if-range)# authentication timer reauthenticate server
SW-EG-01(config-if-range)# authentication event server dead action authorize vlan 10
SW-EG-01(config-if-range)# authentication event server dead action authorize voice
SW-EG-01(config-if-range)# mab
SW-EG-01(config-if-range)# dot1x pae authenticator
SW-EG-01(config-if-range)# dot1x timeout tx-period 10
SW-EG-01(config-if-range)# spanning-tree portfast
SW-EG-01(config-if-range)# end
SW-EG-01# write memory
</syntaxhighlight>
{| class="wikitable"
! Befehl !! Wirkung
|-
| <code>host-mode multi-domain</code> || ein Gerät im Daten-VLAN und ein Telefon im Voice-VLAN je Port
|-
| <code>order dot1x mab</code> || erst 802.1X versuchen, bei fehlender Antwort MAB
|-
| <code>authentication open</code> || Monitor Mode: Port bleibt auch ohne Anmeldung offen
|-
| <code>server dead action …</code> || Critical VLAN: bei RADIUS-Ausfall Daten- und Voice-VLAN freigeben
|-
| <code>tx-period 10</code> || nach 3 × 10 Sekunden ohne EAP-Antwort zu MAB wechseln (Standard 30 s)
|-
| <code>timer reauthenticate server</code> || Wiederholungsintervall vom RADIUS-Server übernehmen (Session-Timeout)
|}
Port-Security sollte auf 802.1X-Ports entfallen; die Kontrolle übernimmt hier die Authentisierung.

== Schritt 4: Auswerten und in den Closed Mode wechseln ==
<syntaxhighlight lang="text">
show authentication sessions ! alle Ports: Methode, Domain, Status
show authentication sessions interface gi1/0/5 details
show dot1x interface gi1/0/5 ! EAP-Status des Ports
</syntaxhighlight>
Einige Tage im Monitor Mode beobachten: Jeder Port sollte ''Authz Success'' zeigen. Fehlschläge stehen zusätzlich im Protokoll des RADIUS-Servers. Fehlende Drucker-MACs, Telefone ohne Voice-Attribut oder PCs ohne Zertifikat jetzt nachpflegen.

Danach den Port schließen:
<syntaxhighlight lang="text">
SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# no authentication open
SW-EG-01(config-if-range)# authentication event fail action authorize vlan 50
</syntaxhighlight>
Die zweite Zeile ist optional: Geräte mit fehlgeschlagener Anmeldung landen im Gäste-VLAN statt ganz ohne Netz.

== Typische Probleme ==
{| class="wikitable"
! Symptom !! Ursache !! Lösung
|-
| PC bekommt erst nach ca. 90 Sekunden Netz || 802.1X-Client fehlt, Switch wartet vor MAB || <code>dot1x timeout tx-period</code> senken oder Client einrichten
|-
| Telefon bekommt kein Voice-VLAN || Attribut <code>device-traffic-class=voice</code> fehlt || RADIUS-Richtlinie für Telefone ergänzen, <code>radius-server vsa send authentication</code> prüfen
|-
| Alle Anmeldungen schlagen fehl || falscher Schlüssel oder falsche Absenderadresse || RADIUS-Client-Eintrag und <code>ip radius source-interface</code> prüfen
|-
| PCs verlieren beim Booten das Netz (WoL, PXE) || Port vor Anmeldung geschlossen || Low Impact Mode mit vorläufiger Zugriffsliste oder MAB-Ausnahme
|-
| Bei RADIUS-Ausfall kein Netz || Critical VLAN fehlt || <code>server dead action</code> wie oben
|}

== Hinweise ==
* '''Klassische Syntax:''' Der Artikel nutzt die auf dem 2960-X übliche <code>authentication</code>-Syntax (IBNS 1.0). Nachfolger mit IOS XE (Catalyst 9200) verwenden bevorzugt die richtlinienbasierte <code>access-session</code>-Syntax (IBNS 2.0), siehe [[Cisco Catalyst 2960-X: Migration auf Catalyst 9200]].
* '''Verkabelung beachten:''' Uplinks, Access Points und Ports zu Servern nicht mit 802.1X versehen – oder Access Points selbst als Supplicant anmelden.
* '''Verbindung zu NIS2 und ISO 27001:''' Eine Netzwerkzugangskontrolle ist ein häufig geforderter technischer Baustein.
* Bei Planung und Einführung von 802.1X mit RADIUS unterstützt Sie das [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Team von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 2960-X]] – Überblick und alle Artikel der Reihe
* [[Cisco Catalyst 2960-X: Port-Security konfigurieren]]
* [[Cisco Catalyst 2960-X: DHCP Snooping konfigurieren]]
* [[Cisco Catalyst 2960-X: Syslog und SNMP einrichten]]
* [[802.1X]]
* [[FreeRADIUS]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-2_7_e/configuration_guide/b_1527e_consolidated_2960x_cg/m_sec_8021x_cg.html Cisco: Configuring IEEE 802.1x Port-Based Authentication (Catalyst 2960-X, IOS 15.2(7)E)]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Leistungen von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]

Cisco Catalyst 2960-X: 802.1X mit RADIUS konfigurieren - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: 802.1X mit RADIUS, MAB, multi-domain, Critical VLAN, Einführung in drei Phasen