https://techcorner.max-it.de/index.php?action=history&feed=atom&title=UniFi%3A_802.1X_und_RADIUS_einrichtenUniFi: 802.1X und RADIUS einrichten - Versionsgeschichte2026-10-19T05:22:39ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=UniFi:_802.1X_und_RADIUS_einrichten&diff=4510&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: RADIUS-Profil, WPA2/WPA3 Enterprise, 802.1X an Switch-Ports, MAC-Authentifizierung, VLAN-Zuweisung2026-10-16T00:00:00Z<p>Neuer Artikel: RADIUS-Profil, WPA2/WPA3 Enterprise, 802.1X an Switch-Ports, MAC-Authentifizierung, VLAN-Zuweisung</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = UniFi Network 10.x mit UniFi-Gateway (eingebauter RADIUS-Server) oder externem RADIUS-Server; UniFi-Switches und Access Points<br />
| bereich = IT-Security<br />
| dauer = ca. 1 Stunde für WLAN und einen Pilot-Switch<br />
| rechte = Administrator in UniFi Network; ggf. Administrator am RADIUS-Server (NPS, FreeRADIUS, ISE)<br />
| stand = Oktober 2026<br />
}}<br />
'''802.1X mit RADIUS in UniFi einrichten''' sorgt dafür, dass sich Benutzer und Geräte am WLAN und an Switch-Ports anmelden müssen, bevor sie ins Netz kommen. Statt eines gemeinsamen WLAN-Passworts prüft ein '''RADIUS-Server''' jede Anmeldung einzeln und kann dabei gleich das passende '''VLAN''' zuweisen. UniFi-Gateways bringen einen eigenen RADIUS-Server mit; für größere Umgebungen bindet man einen vorhandenen Server wie Windows NPS, FreeRADIUS oder Cisco ISE an. Dieser Artikel zeigt beide Wege für WLAN (WPA2/WPA3 Enterprise) und kabelgebundene Ports, einschließlich MAC-Authentifizierung für Drucker und IoT-Geräte.<br />
<br />
[[Datei:UniFi-8021X-RADIUS.png|thumb|center|750px|802.1X in UniFi: Notebook, Smartphone und Drucker (Supplicant) melden sich am Access Point oder Switch-Port (Authenticator) an; dieser fragt per RADIUS (UDP 1812/1813) den eingebauten RADIUS-Server des Gateways oder einen externen Server wie NPS oder FreeRADIUS; die Antwort Access-Accept enthält optional das VLAN (Tunnel-Type 13, Tunnel-Medium-Type 6), Access-Reject verweigert den Zugang.]]<br />
<br />
== So funktioniert 802.1X ==<br />
{| class="wikitable"<br />
! Rolle !! in UniFi !! Aufgabe<br />
|-<br />
| '''Supplicant''' || Notebook, Smartphone, Drucker || meldet sich mit Benutzerdaten, Zertifikat oder MAC-Adresse an<br />
|-<br />
| '''Authenticator''' || Access Point bzw. Switch-Port || leitet die Anmeldung als RADIUS-Anfrage weiter und schaltet den Zugang frei<br />
|-<br />
| '''Authentication Server''' || RADIUS-Server im Gateway oder extern || prüft und antwortet mit ''Access-Accept'', ''Access-Reject'' oder ''Access-Challenge''<br />
|-<br />
| '''Accounting Server''' || meist derselbe RADIUS-Server || protokolliert Beginn, Ende und Dauer der Sitzungen<br />
|}<br />
Mit ''Access-Accept'' kann der Server ein VLAN mitschicken. So landen z. B. Mitarbeiter der Buchhaltung und Techniker über dieselbe SSID in unterschiedlichen Netzen.<br />
<br />
== Welcher RADIUS-Server? ==<br />
{| class="wikitable"<br />
! Server !! geeignet für !! Anmerkung<br />
|-<br />
| '''Eingebauter Server des UniFi-Gateways''' || kleine Umgebungen, MAC-Authentifizierung, einige Dutzend Benutzer || Benutzer werden in UniFi Network gepflegt, keine Anbindung an Active Directory<br />
|-<br />
| '''Windows NPS''' || Windows-Domänen || Anmeldung mit AD-Konto oder Computerzertifikat (EAP-TLS) über Gruppenrichtlinien<br />
|-<br />
| '''FreeRADIUS''' (z. B. auf [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN|OPNsense]]) || gemischte Umgebungen || flexibel, LDAP-Anbindung, Zertifikate<br />
|-<br />
| '''Cisco ISE, Aruba ClearPass''' || große Umgebungen mit Gerätekontrolle || Profilierung, Gästeportale, Change of Authorization<br />
|}<br />
Für Firmengeräte ist die Anmeldung per '''Zertifikat (EAP-TLS)''' die sicherste Variante: kein Passwort, das abgegriffen werden kann, und automatische Verteilung per Gruppenrichtlinie oder MDM, siehe [[OPNsense - WLAN-Authentifizierung mittels EAP-TLS]].<br />
<br />
== Schritt 1: RADIUS-Profil anlegen ==<br />
=== Variante A: eingebauter RADIUS-Server ===<br />
# ''Settings › Networks'' › Abschnitt '''RADIUS Servers''' › Profil ''Default'' öffnen und '''Enable''' wählen.<br />
# '''Secret''' (gemeinsamer Schlüssel zwischen APs/Switches und Server) lang und zufällig setzen.<br />
# Ports belassen (Authentifizierung 1812, Accounting 1813) und ein '''Accounting Interim Interval''' setzen.<br />
# Falls VLANs per RADIUS zugewiesen werden sollen: '''RADIUS Assigned VLAN Support''' für WLAN und/oder kabelgebundene Netze aktivieren.<br />
# Unter '''Local Credentials''' Benutzer anlegen: Benutzername, Passwort und optional VLAN. Für ein VLAN '''Tunnel Type 13''' und '''Tunnel Medium Type 6''' eintragen.<br />
Ohne VLAN-Angabe landet der Client im Netz der SSID bzw. im nativen VLAN des Ports.<br />
<br />
=== Variante B: externer RADIUS-Server ===<br />
# ''Settings › Networks › RADIUS Servers'' › '''Create New''': Name, IP-Adresse des Servers, Port 1812, Secret; Accounting-Server mit Port 1813.<br />
# Auf dem RADIUS-Server '''jeden Access Point und Switch''' als Client (NAS) mit dem gleichen Secret eintragen – oder ein ganzes Management-Netz, wenn der Server das erlaubt.<br />
# Für die VLAN-Zuweisung im Server die Attribute ''Tunnel-Type = VLAN (13)'', ''Tunnel-Medium-Type = 802 (6)'' und ''Tunnel-Private-Group-ID = <VLAN-ID>'' setzen.<br />
Die APs und Switches senden die RADIUS-Anfragen selbst – die Firewall muss UDP 1812/1813 aus dem Management-Netz zum Server erlauben.<br />
<br />
== Schritt 2: WLAN mit WPA2/WPA3 Enterprise ==<br />
# ''Settings › WiFi'' › SSID anlegen oder öffnen.<br />
# ''Advanced'' auf ''Manual'', '''Security Protocol''' = ''WPA2 Enterprise'', ''WPA3 Enterprise'' oder den Übergangsmodus.<br />
# Das '''RADIUS-Profil''' aus Schritt 1 wählen.<br />
# Optional '''DAS/DAC (CoA)''' aktivieren, wenn der Server Sitzungen nachträglich ändern oder trennen soll (z. B. ISE). Dafür müssen Accounting konfiguriert und UDP 3799 zwischen AP und Server offen sein.<br />
# '''Fast Roaming''' eingeschaltet lassen – bei 802.1X spart es die vollständige Neuanmeldung beim AP-Wechsel.<br />
Mehrere VLANs über eine SSID ohne RADIUS sind mit '''PPSK''' (ein Passwort pro VLAN, nur WPA2) möglich, siehe [[UniFi: WLAN einrichten und optimieren]].<br />
<br />
=== RADIUS über TLS (RadSec) ===<br />
Seit UniFi Network 8.4 kann die Verbindung zum RADIUS-Server per TLS verschlüsselt werden – derzeit '''nur für WLAN'''. Im RADIUS-Profil ''TLS'' aktivieren und Client-Zertifikat, privaten Schlüssel und CA-Zertifikat im PEM-Format hochladen. Sinnvoll vor allem bei RADIUS-Servern in der Cloud oder an einem anderen Standort.<br />
<br />
== Schritt 3: 802.1X an Switch-Ports ==<br />
# Unter ''Settings › Networks'' bei den globalen Switch-Einstellungen '''802.1X Control''' aktivieren und das RADIUS-Profil wählen. Pro Switch lässt sich das unter ''Override Global Switch Settings'' abweichend einstellen.<br />
# Unter ''Settings › Profiles › Ethernet Ports'' ein '''Port-Profil''' anlegen, z. B. ''Arbeitsplatz-8021X'': Native VLAN ''Clients'', '''802.1X Control''' auf die passende Betriebsart.<br />
# Das Profil im Port Manager zunächst '''an wenigen Pilot-Ports''' zuweisen.<br />
# Uplinks zu anderen Switches, Access Points und Servern '''nicht''' mit 802.1X schützen.<br />
{| class="wikitable"<br />
! Betriebsart (802.1X Control) !! Wirkung<br />
|-<br />
| Auto / 802.1X || Gerät muss sich per 802.1X anmelden<br />
|-<br />
| MAC-based || Port meldet das Gerät mit seiner MAC-Adresse an (für Drucker, Kameras, IoT)<br />
|-<br />
| Multi-Host || nach der ersten erfolgreichen Anmeldung sind weitere Geräte am Port erlaubt<br />
|-<br />
| Force Authorized / Unauthorized || Port immer offen bzw. immer gesperrt<br />
|}<br />
Die genaue Bezeichnung der Betriebsarten kann je nach Version abweichen; vor dem Rollout im Profil prüfen.<br />
<br />
== Schritt 4: MAC-Authentifizierung für Geräte ohne 802.1X ==<br />
Drucker, Kameras oder Gebäudetechnik beherrschen oft kein 802.1X. Sie werden über ihre MAC-Adresse geprüft:<br />
* Im RADIUS-Server für jedes Gerät einen Benutzer anlegen, bei dem '''Benutzername und Passwort die MAC-Adresse''' sind – einheitlich formatiert, z. B. <code>AABBCCDDEEFF</code> ohne Trennzeichen.<br />
* Optional ein VLAN mitgeben (Tunnel Type 13, Medium Type 6), z. B. IoT.<br />
* Im WLAN die Option '''RADIUS MAC Authentication''' aktivieren und das passende MAC-Format wählen; am Switch im Port-Profil ''MAC-based''.<br />
MAC-Adressen lassen sich fälschen. MAC-Authentifizierung ist deshalb nur eine Zuordnung, kein starker Schutz – die Geräte gehören zusätzlich in ein eigenes, per Firewall eingeschränktes Netz.<br />
<br />
== Testen und Einführen ==<br />
# Testbenutzer im WLAN anmelden; in der Client-Liste prüfen, in welchem VLAN er landet.<br />
# Am Pilot-Port ein Notebook mit aktivem 802.1X-Supplicant anschließen (unter Windows Dienst ''Automatische Konfiguration (verkabelt)'' starten).<br />
# Ablehnungen im Log des RADIUS-Servers auswerten (falsches Secret, Zertifikat, Gruppenzugehörigkeit).<br />
# Erst nach erfolgreichem Pilot weitere Ports umstellen; Ausnahmen (Altgeräte, Messplätze) dokumentieren.<br />
<br />
== Hinweise ==<br />
* '''Ausfall des RADIUS-Servers:''' Ohne erreichbaren Server kommt niemand Neues ins Netz. Zwei RADIUS-Server einplanen oder für kritische Ports eine Ausnahme vorsehen.<br />
* '''Zeit und Zertifikate:''' EAP-TLS scheitert bei abgelaufenen Zertifikaten oder falscher Uhrzeit – Ablaufdaten überwachen.<br />
* '''Vergleich mit Cisco:''' Die gleichen Konzepte mit IOS-Befehlen zeigen [[Cisco Catalyst 2960-X: 802.1X mit RADIUS konfigurieren]] und [[Cisco Catalyst 9200: 802.1X mit IBNS 2.0]].<br />
* Bei Konzept, RADIUS- und Zertifikatsinfrastruktur sowie der Einführung von 802.1X unterstützt Sie die [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Beratung von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe<br />
* [[UniFi: WLAN einrichten und optimieren]]<br />
* [[UniFi: Switch-Ports und Port-Profile konfigurieren]]<br />
* [[UniFi: VLANs einrichten]]<br />
* [[RADIUS]]<br />
* [[802.1X]]<br />
<br />
== Links und Quellen ==<br />
* [https://help.ui.com/hc/en-us/articles/360015268353-Configuring-a-RADIUS-Server-in-UniFi Ubiquiti Help Center: Configuring a RADIUS Server in UniFi]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Netzwerk-Hardware]]<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion