OPNsense - WLAN-Authentifizierung mittels EAP-TLS: Unterschied zwischen den Versionen
Aus maxTechCorner
Wamu (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
imported>TechCorner-Redaktion Doku-Abgleich 09/2026 und Verlinkung auf den ausführlichen FreeRADIUS-Artikel zusammengeführt |
||
| Zeile 1: | Zeile 1: | ||
{{Steckbrief | {{Steckbrief | ||
| gilt_fuer = OPNsense mit FreeRADIUS-Plugin | | gilt_fuer = OPNsense mit FreeRADIUS-Plugin (os-freeradius) | ||
| bereich = IT-Security | | bereich = IT-Security | ||
| dauer = ca. 30 Minuten | | dauer = ca. 30 Minuten | ||
| rechte = Administrator (OPNsense-WebUI) | | rechte = Administrator (OPNsense-WebUI) | ||
| stand = | | stand = Oktober 2026 | ||
}} | }} | ||
Für höchste WLAN-Sicherheit lässt sich mit '''EAP-TLS''' eine zertifikatsbasierte Client-Authentifizierung realisieren. Das | Für höchste WLAN-Sicherheit lässt sich mit '''EAP-TLS''' eine zertifikatsbasierte Client-Authentifizierung realisieren. Das FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Reiter „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten. | ||
{{Hinweis|Eine ausführliche Anleitung mit allen Einstellungen, Active-Directory-Anbindung, dynamischen VLANs, MAC-Authentifizierung und Sicherheitsempfehlungen (u. a. zu BlastRADIUS) bietet der Artikel [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]].}} | |||
== Vorgehen == | == Vorgehen == | ||
# '''CA und Serverzertifikat anlegen:''' Unter '''System → Trust → Authorities''' eine neue CA erstellen und unter '''Certificates''' ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den | # '''CA und Serverzertifikat anlegen:''' Unter '''System → Trust → Authorities''' eine neue CA erstellen und unter '''System → Trust → Certificates''' ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den '''Type''' auf '''Server Certificate''' stellen (Standard ist Client). | ||
# '''Client-/Gerätezertifikate erstellen:''' An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen. | # '''Client-/Gerätezertifikate erstellen:''' An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen. | ||
# '''EAP aktivieren:''' | # '''EAP aktivieren:''' Unter '''Services → FreeRADIUS''' im Reiter '''EAP''' den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen. | ||
== Gesperrte Zertifikate (CRL) == | == Gesperrte Zertifikate (CRL) == | ||
Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL): | Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL): | ||
# | # Unter '''System → Trust → Revocation''' eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen. | ||
# | # Im Reiter '''EAP''' die CRL auswählen und speichern – das Zertifikat ist damit gesperrt. | ||
{{Hinweis|EAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.}} | {{Hinweis|EAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.}} | ||
== Unterstützung von m.a.x. it == | == Unterstützung von m.a.x. it == | ||
Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services]. | Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services]. | ||
== Siehe auch == | == Siehe auch == | ||
* [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]] | |||
* [[OPNsense - Radius]] | * [[OPNsense - Radius]] | ||
* [[Zertifikatsverwaltung via privacyIDEA]] | * [[Zertifikatsverwaltung via privacyIDEA]] | ||
== Links und Quellen == | == Links und Quellen == | ||
* [https://docs.opnsense.org/manual/how-tos/freeradius.html OPNsense-Doku – FreeRADIUS] | |||
* [https://opnsense.org/ OPNsense – offizielle Projektseite] | * [https://opnsense.org/ OPNsense – offizielle Projektseite] | ||
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services] | * [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services] | ||
| Zeile 33: | Zeile 37: | ||
{{Uebermax}} | {{Uebermax}} | ||
[[Kategorie:IT-Security]] | [[Kategorie:IT-Security]] | ||
Aktuelle Version vom 8. Oktober 2026, 00:00 Uhr
Auf einen Blick
| Gilt für | OPNsense mit FreeRADIUS-Plugin (os-freeradius) |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30 Minuten |
| Rechte | Administrator (OPNsense-WebUI) |
| Stand | Oktober 2026 |
Für höchste WLAN-Sicherheit lässt sich mit EAP-TLS eine zertifikatsbasierte Client-Authentifizierung realisieren. Das FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Reiter „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten.
HinweisEine ausführliche Anleitung mit allen Einstellungen, Active-Directory-Anbindung, dynamischen VLANs, MAC-Authentifizierung und Sicherheitsempfehlungen (u. a. zu BlastRADIUS) bietet der Artikel OPNsense - FreeRADIUS für WLAN, 802.1X und VPN.
Vorgehen
- CA und Serverzertifikat anlegen: Unter System → Trust → Authorities eine neue CA erstellen und unter System → Trust → Certificates ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den Type auf Server Certificate stellen (Standard ist Client).
- Client-/Gerätezertifikate erstellen: An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen.
- EAP aktivieren: Unter Services → FreeRADIUS im Reiter EAP den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen.
Gesperrte Zertifikate (CRL)
Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL):
- Unter System → Trust → Revocation eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen.
- Im Reiter EAP die CRL auswählen und speichern – das Zertifikat ist damit gesperrt.
HinweisEAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.
Unterstützung von m.a.x. it
Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit OPNsense-Firewall-Services.
Siehe auch
- OPNsense - FreeRADIUS für WLAN, 802.1X und VPN
- OPNsense - Radius
- Zertifikatsverwaltung via privacyIDEA
Links und Quellen
- OPNsense-Doku – FreeRADIUS
- OPNsense – offizielle Projektseite
- m.a.x. it – OPNsense-Firewall-Services
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
