OPNsense - WLAN-Authentifizierung mittels EAP-TLS: Unterschied zwischen den Versionen

Aus maxTechCorner
← Zum vorherigen Versionsunterschied
Deko (Diskussion | Beiträge)
877 Bearbeitungen
imported>TechCorner-Redaktion
Doku-Abgleich 09/2026 und Verlinkung auf den ausführlichen FreeRADIUS-Artikel zusammengeführt
 
(3 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
=== '''OPNsense – WLAN-Authentifizierung mittels EAP-TLS''' ===
{{Steckbrief
Höchste WLAN-Sicherheit mittel EAP-TLS und Clientzertifikaten.
| gilt_fuer  = OPNsense mit FreeRADIUS-Plugin (os-freeradius)
=== ''' Thema des Beitrags (Symptom / Produkt)''' ===
| bereich    = IT-Security
Um den Ansprüchen unserer Kunden gerecht zu werden, haben wir unserem FreeRADIUS-Plugin einen zusätzlichen Menüpunkt „EAP“ hinzugefügt. Hier können Sie zertifikatsbasierte Clientauthentifizierung im WLAN (EAP-TLS) aktivieren und dazu die Zertifikate der OPNsense verwenden. In System – Trust – Authorities eine neue CA anlegen und in Certificates ein Serverzertifikat für die Firewall selbst einrichten. Wichtig ist hierbei den Typ auf Server zu stellen (Default ist Client). Hier können dann auch gleich die Zertifikate für Ihre User/Devices erstellt und verteilt werden. Im Menüpunkt EAP von FreeRADIUS den Haken bei Client Authentication setzen und CA und Server Cert auswählen und bestätigen. Bei ausgeschiedenen Mitarbeitern und abhanden gekommenen Geräten bietet sich der Einsatz von CRLs an. Hierzu eine neue CRL anlegen und Zertifikate die gesperrt werden sollen einfügen. Anschließend in EAP die CRL auswählen und speichern. Schon ist das Zertifikat gesperrt. EAP-TLS bietet gegenüber WEP, WPA, WPA Enterprise (PEAP, TTLS) die höchste Stufe an Sicherheit.
| dauer      = ca. 30 Minuten
| rechte      = Administrator (OPNsense-WebUI)
| stand      = Oktober 2026
}}
Für höchste WLAN-Sicherheit lässt sich mit '''EAP-TLS''' eine zertifikatsbasierte Client-Authentifizierung realisieren. Das FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Reiter „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten.


=== '''Tags''' ===
{{Hinweis|Eine ausführliche Anleitung mit allen Einstellungen, Active-Directory-Anbindung, dynamischen VLANs, MAC-Authentifizierung und Sicherheitsempfehlungen (u. a. zu BlastRADIUS) bietet der Artikel [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]].}}
OPNsense, Radius, FreeRADIUS, EAP-TLS, Wifi, WLAN, Zertifikate


=== '''Weiterführende Informationen''' ===
== Vorgehen ==
Allen Unternehmen, die sich intensiver mit der Open Source Firewall OPNsense beschäftigen möchten,<br />
# '''CA und Serverzertifikat anlegen:''' Unter '''System → Trust → Authorities''' eine neue CA erstellen und unter '''System → Trust → Certificates''' ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den '''Type''' auf '''Server Certificate''' stellen (Standard ist Client).
steht ein aktuelles E-Book zur Verfügung. Das E-Book behandelt die zentralen Vorteile der Software sowie die Möglichkeit,<br />
# '''Client-/Gerätezertifikate erstellen:''' An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen.
den Funktionsumfang flexibel mit Plugins zu erweitern.<br />
# '''EAP aktivieren:''' Unter '''Services → FreeRADIUS''' im Reiter '''EAP''' den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen.
[https://www.it-administrator.de/themen/server_client/fachartikel/248336.html Sie können das PDF kostenlos bei unserem Partner Thomas-Krenn herunterladen >>] <br /><br />


Mehr Informationen zu OPNsense und unserem Service finden Sie auf [https://www.max-it.de/techcorner/OPNsense_WLAN-Authentifizierung www.max-it.de/OPNsense]
== Gesperrte Zertifikate (CRL) ==
Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL):
# Unter '''System → Trust → Revocation''' eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen.
# Im Reiter '''EAP''' die CRL auswählen und speichern – das Zertifikat ist damit gesperrt.


=== '''Kontakt''' ===
{{Hinweis|EAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.}}
Wenn Sie Fragen oder Anmerkungen zu diesem Artikel haben, melden Sie sich bitte bei uns unter<br />
 
[http://mailto:techcorner@max-it.de techcorner@max-it.de].<br />
== Unterstützung von m.a.x. it ==
Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].
 
== Siehe auch ==
* [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]]
* [[OPNsense - Radius]]
* [[Zertifikatsverwaltung via privacyIDEA]]
 
== Links und Quellen ==
* [https://docs.opnsense.org/manual/how-tos/freeradius.html OPNsense-Doku – FreeRADIUS]
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]
 
{{Uebermax}}
[[Kategorie:IT-Security]]


[[Kategorie: IT-Security]]

Aktuelle Version vom 8. Oktober 2026, 00:00 Uhr

Auf einen Blick

Gilt fürOPNsense mit FreeRADIUS-Plugin (os-freeradius)
BereichIT-Security
Dauerca. 30 Minuten
RechteAdministrator (OPNsense-WebUI)
StandOktober 2026

Für höchste WLAN-Sicherheit lässt sich mit EAP-TLS eine zertifikatsbasierte Client-Authentifizierung realisieren. Das FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Reiter „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten.


HinweisEine ausführliche Anleitung mit allen Einstellungen, Active-Directory-Anbindung, dynamischen VLANs, MAC-Authentifizierung und Sicherheitsempfehlungen (u. a. zu BlastRADIUS) bietet der Artikel OPNsense - FreeRADIUS für WLAN, 802.1X und VPN.

Vorgehen

  1. CA und Serverzertifikat anlegen: Unter System → Trust → Authorities eine neue CA erstellen und unter System → Trust → Certificates ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den Type auf Server Certificate stellen (Standard ist Client).
  2. Client-/Gerätezertifikate erstellen: An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen.
  3. EAP aktivieren: Unter Services → FreeRADIUS im Reiter EAP den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen.

Gesperrte Zertifikate (CRL)

Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL):

  1. Unter System → Trust → Revocation eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen.
  2. Im Reiter EAP die CRL auswählen und speichern – das Zertifikat ist damit gesperrt.


HinweisEAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.

Unterstützung von m.a.x. it

Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit OPNsense-Firewall-Services.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=OPNsense_-_WLAN-Authentifizierung_mittels_EAP-TLS&oldid=4008“