OPNsense - WLAN-Authentifizierung mittels EAP-TLS: Unterschied zwischen den Versionen

Aus maxTechCorner
← Zum vorherigen Versionsunterschied
Deko (Diskussion | Beiträge)
877 Bearbeitungen
Keine Bearbeitungszusammenfassung
imported>TechCorner-Redaktion
Doku-Abgleich 09/2026 und Verlinkung auf den ausführlichen FreeRADIUS-Artikel zusammengeführt
 
(6 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
=== '''OPNsense – WLAN-Authentifizierung mittels EAP-TLS''' ===
{{Steckbrief
Höchste WLAN-Sicherheit mittel EAP-TLS und Clientzertifikaten.
| gilt_fuer  = OPNsense mit FreeRADIUS-Plugin (os-freeradius)
=== ''' Thema des Beitrags (Symptom / Produkt)''' ===
| bereich    = IT-Security
Um den Ansprüchen unserer Kunden gerecht zu werden, haben wir unserem FreeRADIUS-Plugin einen zusätzlichen Menüpunkt „EAP“ hinzugefügt. Hier können Sie zertifikatsbasierte Clientauthentifizierung im WLAN (EAP-TLS) aktivieren und dazu die Zertifikate der OPNsense verwenden.<br />
| dauer      = ca. 30 Minuten
In System – Trust – Authorities eine neue CA anlegen und in Certificates ein Serverzertifikat für die Firewall selbst einrichten. Wichtig ist hierbei den Typ auf Server zu stellen (Default ist Client). Hier können dann auch gleich die Zertifikate für Ihre User/Devices erstellt und verteilt werden.<br />
| rechte      = Administrator (OPNsense-WebUI)
Im Menüpunkt EAP von FreeRADIUS den Haken bei Client Authentication setzen und CA und Server Cert auswählen und bestätigen.<br />
| stand      = Oktober 2026
Bei ausgeschiedenen Mitarbeitern und abhanden gekommenen Geräten bietet sich der Einsatz von CRLs an. Hierzu eine neue CRL anlegen und Zertifikate die gesperrt werden sollen einfügen. Anschließend in EAP die CRL auswählen und speichern.<br />
}}
Schon ist das Zertifikat gesperrt.<br />
Für höchste WLAN-Sicherheit lässt sich mit '''EAP-TLS''' eine zertifikatsbasierte Client-Authentifizierung realisieren. Das FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Reiter „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten.
EAP-TLS bietet gegenüber WEP, WPA, WPA Enterprise (PEAP, TTLS) die höchste Stufe an Sicherheit.<br />


=== '''Tags''' ===
{{Hinweis|Eine ausführliche Anleitung mit allen Einstellungen, Active-Directory-Anbindung, dynamischen VLANs, MAC-Authentifizierung und Sicherheitsempfehlungen (u. a. zu BlastRADIUS) bietet der Artikel [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]].}}
OPNsense, Radius, FreeRADIUS, EAP-TLS, Wifi, WLAN, Zertifikate


=== '''Weiterführende Informationen''' ===
== Vorgehen ==
Allen Unternehmen, die sich intensiver mit der Open Source Firewall OPNsense beschäftigen möchten, steht ein aktuelles E-Book zur Verfügung. Das E-Book behandelt die zentralen Vorteile der Software sowie die Möglichkeit, den Funktionsumfang flexibel mit Plugins zu erweitern. [https://www.it-administrator.de/themen/server_client/fachartikel/248336.html Sie können das PDF kostenlos bei unserem Partner Thomas-Krenn herunterladen >>] <br />
# '''CA und Serverzertifikat anlegen:''' Unter '''System → Trust → Authorities''' eine neue CA erstellen und unter '''System → Trust → Certificates''' ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den '''Type''' auf '''Server Certificate''' stellen (Standard ist Client).
Mehr Informationen zu OPNsense und unserem Service finden Sie auf [https://www.max-it.de/techcorner/OPNsense_WLAN-Authentifizierung https://www.max-it.de/OPNsense]
# '''Client-/Gerätezertifikate erstellen:''' An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen.
# '''EAP aktivieren:''' Unter '''Services → FreeRADIUS''' im Reiter '''EAP''' den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen.


=== '''Kontakt''' ===
== Gesperrte Zertifikate (CRL) ==
Wenn Sie Fragen oder Anmerkungen zu diesem Artikel haben, melden Sie sich bitte bei uns unter [http://mailto:techcorner@max-it.de techcorner@max-it.de].<br />
Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL):
# Unter '''System → Trust → Revocation''' eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen.
# Im Reiter '''EAP''' die CRL auswählen und speichern – das Zertifikat ist damit gesperrt.
 
{{Hinweis|EAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.}}
 
== Unterstützung von m.a.x. it ==
Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].
 
== Siehe auch ==
* [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]]
* [[OPNsense - Radius]]
* [[Zertifikatsverwaltung via privacyIDEA]]
 
== Links und Quellen ==
* [https://docs.opnsense.org/manual/how-tos/freeradius.html OPNsense-Doku – FreeRADIUS]
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]
 
{{Uebermax}}
[[Kategorie:IT-Security]]


[[Kategorie: IT-Security]]

Aktuelle Version vom 8. Oktober 2026, 00:00 Uhr

Auf einen Blick

Gilt fürOPNsense mit FreeRADIUS-Plugin (os-freeradius)
BereichIT-Security
Dauerca. 30 Minuten
RechteAdministrator (OPNsense-WebUI)
StandOktober 2026

Für höchste WLAN-Sicherheit lässt sich mit EAP-TLS eine zertifikatsbasierte Client-Authentifizierung realisieren. Das FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Reiter „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten.


HinweisEine ausführliche Anleitung mit allen Einstellungen, Active-Directory-Anbindung, dynamischen VLANs, MAC-Authentifizierung und Sicherheitsempfehlungen (u. a. zu BlastRADIUS) bietet der Artikel OPNsense - FreeRADIUS für WLAN, 802.1X und VPN.

Vorgehen

  1. CA und Serverzertifikat anlegen: Unter System → Trust → Authorities eine neue CA erstellen und unter System → Trust → Certificates ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den Type auf Server Certificate stellen (Standard ist Client).
  2. Client-/Gerätezertifikate erstellen: An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen.
  3. EAP aktivieren: Unter Services → FreeRADIUS im Reiter EAP den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen.

Gesperrte Zertifikate (CRL)

Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL):

  1. Unter System → Trust → Revocation eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen.
  2. Im Reiter EAP die CRL auswählen und speichern – das Zertifikat ist damit gesperrt.


HinweisEAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.

Unterstützung von m.a.x. it

Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit OPNsense-Firewall-Services.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=OPNsense_-_WLAN-Authentifizierung_mittels_EAP-TLS&oldid=4008“