OPNsense - WLAN-Authentifizierung mittels EAP-TLS

Auf einen Blick

Gilt für	OPNsense mit FreeRADIUS-Plugin (os-freeradius)
Bereich	IT-Security
Dauer	ca. 30 Minuten
Rechte	Administrator (OPNsense-WebUI)
Stand	Oktober 2026

Für höchste WLAN-Sicherheit lässt sich mit EAP-TLS eine zertifikatsbasierte Client-Authentifizierung realisieren. Das FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Reiter „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten.

HinweisEine ausführliche Anleitung mit allen Einstellungen, Active-Directory-Anbindung, dynamischen VLANs, MAC-Authentifizierung und Sicherheitsempfehlungen (u. a. zu BlastRADIUS) bietet der Artikel OPNsense - FreeRADIUS für WLAN, 802.1X und VPN.

Vorgehen

1. CA und Serverzertifikat anlegen: Unter System → Trust → Authorities eine neue CA erstellen und unter System → Trust → Certificates ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den Type auf Server Certificate stellen (Standard ist Client).
2. Client-/Gerätezertifikate erstellen: An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen.
3. EAP aktivieren: Unter Services → FreeRADIUS im Reiter EAP den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen.

Gesperrte Zertifikate (CRL)

Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL):

1. Unter System → Trust → Revocation eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen.
2. Im Reiter EAP die CRL auswählen und speichern – das Zertifikat ist damit gesperrt.

HinweisEAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.

Unterstützung von m.a.x. it

Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit OPNsense-Firewall-Services.

Siehe auch

• OPNsense - FreeRADIUS für WLAN, 802.1X und VPN
• OPNsense - Radius
• Zertifikatsverwaltung via privacyIDEA

Links und Quellen

• OPNsense-Doku – FreeRADIUS
• OPNsense – offizielle Projektseite
• m.a.x. it – OPNsense-Firewall-Services

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen