Cisco Catalyst 2960-X: 802.1X mit RADIUS konfigurieren

Auf einen Blick

Gilt für	Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E (klassische Syntax, IBNS 1.0); RADIUS-Server z. B. FreeRADIUS oder Windows NPS
Bereich	IT-Security
Dauer	ca. 1–2 Stunden für den Pilot (Switch und RADIUS), Rollout je nach Gerätebestand
Rechte	Privileged EXEC (enable), Administrator am RADIUS-Server
Stand	Oktober 2026

802.1X auf dem Cisco Catalyst 2960-X sorgt dafür, dass ein Switch-Port erst dann ins Netz schaltet, wenn sich das angeschlossene Gerät erfolgreich angemeldet hat – mit Zertifikat oder Benutzerkonto gegenüber einem RADIUS-Server. Geräte ohne 802.1X-Unterstützung wie Drucker werden per MAC Authentication Bypass (MAB) zugelassen, Telefone landen automatisch im Voice-VLAN. Dieser Artikel zeigt eine Einführung in drei Phasen, bei der niemand plötzlich ohne Netz dasteht.

802.1X auf dem Catalyst 2960-X: Der Switch ist Authenticator zwischen Endgerät (Supplicant) und RADIUS-Server; erst nach Access-Accept öffnet der Port. Drucker kommen per MAB ins Netz, Telefone ins Voice-VLAN; fällt der RADIUS-Server aus, greift das Critical VLAN.

802.1X-Grundlagen

Rolle / Begriff	Bedeutung
Supplicant	Endgerät mit 802.1X-Client (Windows, macOS, Linux, IP-Telefon)
Authenticator	der Switch; leitet die Anmeldung (EAP) an den RADIUS-Server weiter
Authentication Server	RADIUS-Server, z. B. FreeRADIUS, Windows NPS oder Cisco ISE
MAB (MAC Authentication Bypass)	Ersatzanmeldung mit der MAC-Adresse für Geräte ohne 802.1X
Host-Modus	wie viele Geräte am Port erlaubt sind: single-host (Standard), multi-domain (ein Telefon + ein PC), multi-auth (jedes Gerät einzeln), multi-host
Critical VLAN	VLAN, in das Ports geschaltet werden, wenn kein RADIUS-Server erreichbar ist

Übliche EAP-Verfahren sind EAP-TLS mit Gerätezertifikaten (empfohlen) und PEAP-MSCHAPv2 mit Benutzer- oder Computerkonto. Die Wahl betrifft nur Client und RADIUS-Server – der Switch reicht EAP nur durch.

Einführung in drei Phasen

Phase	Port-Verhalten	Ziel
1. Monitor Mode	authentication open: Port ist immer offen, Anmeldungen werden nur protokolliert	Lücken finden: Welche Geräte melden sich nicht an?
2. Low Impact	offen, aber mit Zugriffsliste, die vor der Anmeldung nur DHCP, DNS und den Weg zur Anmeldung erlaubt	Übergang für kritische Bereiche
3. Closed Mode	ohne authentication open: Zugriff nur nach erfolgreicher Anmeldung	Zielzustand

Dieser Artikel konfiguriert Phase 1 und zeigt dann den Wechsel zu Phase 3.

Schritt 1: RADIUS-Server vorbereiten

• Den Switch als RADIUS-Client mit gemeinsamem Schlüssel eintragen (Absender = Management-IP, z. B. 192.168.99.11).
• Richtlinien anlegen: 802.1X für Domänen-PCs (EAP-TLS oder PEAP), MAB für Drucker und Telefone anhand von MAC-Listen.
• Für Telefone per MAB zusätzlich das Attribut cisco-av-pair = device-traffic-class=voice zurückgeben – erst dann darf das Telefon ins Voice-VLAN.
• Optional dynamische VLAN-Zuweisung über die Attribute Tunnel-Type = VLAN (64), Tunnel-Medium-Type = 802 (65) und Tunnel-Private-Group-ID = VLAN-ID (81).

Für FreeRADIUS auf der OPNsense zeigt der Artikel OPNsense - FreeRADIUS für WLAN, 802.1X und VPN die Einrichtung.

Schritt 2: AAA und RADIUS auf dem Switch

SW-EG-01# configure terminal
SW-EG-01(config)# aaa new-model
SW-EG-01(config)# aaa authentication login default local
SW-EG-01(config)# aaa authorization exec default local
SW-EG-01(config)# aaa authentication dot1x default group radius
SW-EG-01(config)# aaa authorization network default group radius
SW-EG-01(config)# aaa accounting dot1x default start-stop group radius
SW-EG-01(config)# radius-server host 192.168.99.30 auth-port 1812 acct-port 1813 key <RADIUS-Schlüssel>
SW-EG-01(config)# radius-server dead-criteria time 5 tries 3
SW-EG-01(config)# radius-server deadtime 5
SW-EG-01(config)# radius-server vsa send authentication
SW-EG-01(config)# ip radius source-interface vlan 99
SW-EG-01(config)# dot1x system-auth-control

• Die ersten drei aaa-Zeilen halten die Anmeldung am Switch selbst bei den lokalen Benutzern – aaa new-model würde sonst die SSH-Anmeldung verändern.
• dead-criteria und deadtime legen fest, wann ein RADIUS-Server als ausgefallen gilt und wann er erneut versucht wird.
• radius-server vsa send authentication ist nötig, damit der Switch das Voice-Attribut für Telefone auswertet.
• Für Ausfallsicherheit einen zweiten RADIUS-Server mit weiterer radius-server host-Zeile eintragen.

Warnungaaa new-model ändert sofort die Anmeldung an Konsole und SSH. Vorher einen lokalen Benutzer mit Privilege 15 anlegen (siehe Cisco Catalyst 2960-X: Erstkonfiguration und SSH-Zugang) und die Anmeldung in einer zweiten Sitzung testen.

Schritt 3: Ports im Monitor Mode

SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# switchport mode access
SW-EG-01(config-if-range)# switchport access vlan 10
SW-EG-01(config-if-range)# switchport voice vlan 40
SW-EG-01(config-if-range)# authentication host-mode multi-domain
SW-EG-01(config-if-range)# authentication order dot1x mab
SW-EG-01(config-if-range)# authentication priority dot1x mab
SW-EG-01(config-if-range)# authentication port-control auto
SW-EG-01(config-if-range)# authentication open
SW-EG-01(config-if-range)# authentication periodic
SW-EG-01(config-if-range)# authentication timer reauthenticate server
SW-EG-01(config-if-range)# authentication event server dead action authorize vlan 10
SW-EG-01(config-if-range)# authentication event server dead action authorize voice
SW-EG-01(config-if-range)# mab
SW-EG-01(config-if-range)# dot1x pae authenticator
SW-EG-01(config-if-range)# dot1x timeout tx-period 10
SW-EG-01(config-if-range)# spanning-tree portfast
SW-EG-01(config-if-range)# end
SW-EG-01# write memory

Befehl	Wirkung
host-mode multi-domain	ein Gerät im Daten-VLAN und ein Telefon im Voice-VLAN je Port
order dot1x mab	erst 802.1X versuchen, bei fehlender Antwort MAB
authentication open	Monitor Mode: Port bleibt auch ohne Anmeldung offen
server dead action …	Critical VLAN: bei RADIUS-Ausfall Daten- und Voice-VLAN freigeben
tx-period 10	nach 3 × 10 Sekunden ohne EAP-Antwort zu MAB wechseln (Standard 30 s)
timer reauthenticate server	Wiederholungsintervall vom RADIUS-Server übernehmen (Session-Timeout)

Port-Security sollte auf 802.1X-Ports entfallen; die Kontrolle übernimmt hier die Authentisierung.

Schritt 4: Auswerten und in den Closed Mode wechseln

show authentication sessions                        ! alle Ports: Methode, Domain, Status
show authentication sessions interface gi1/0/5 details
show dot1x interface gi1/0/5                        ! EAP-Status des Ports

Einige Tage im Monitor Mode beobachten: Jeder Port sollte Authz Success zeigen. Fehlschläge stehen zusätzlich im Protokoll des RADIUS-Servers. Fehlende Drucker-MACs, Telefone ohne Voice-Attribut oder PCs ohne Zertifikat jetzt nachpflegen.

Danach den Port schließen:

SW-EG-01(config)# interface range gi1/0/1 - 40
SW-EG-01(config-if-range)# no authentication open
SW-EG-01(config-if-range)# authentication event fail action authorize vlan 50

Die zweite Zeile ist optional: Geräte mit fehlgeschlagener Anmeldung landen im Gäste-VLAN statt ganz ohne Netz.

Typische Probleme

Symptom	Ursache	Lösung
PC bekommt erst nach ca. 90 Sekunden Netz	802.1X-Client fehlt, Switch wartet vor MAB	dot1x timeout tx-period senken oder Client einrichten
Telefon bekommt kein Voice-VLAN	Attribut device-traffic-class=voice fehlt	RADIUS-Richtlinie für Telefone ergänzen, radius-server vsa send authentication prüfen
Alle Anmeldungen schlagen fehl	falscher Schlüssel oder falsche Absenderadresse	RADIUS-Client-Eintrag und ip radius source-interface prüfen
PCs verlieren beim Booten das Netz (WoL, PXE)	Port vor Anmeldung geschlossen	Low Impact Mode mit vorläufiger Zugriffsliste oder MAB-Ausnahme
Bei RADIUS-Ausfall kein Netz	Critical VLAN fehlt	server dead action wie oben

Hinweise

• Klassische Syntax: Der Artikel nutzt die auf dem 2960-X übliche authentication-Syntax (IBNS 1.0). Nachfolger mit IOS XE (Catalyst 9200) verwenden bevorzugt die richtlinienbasierte access-session-Syntax (IBNS 2.0), siehe Cisco Catalyst 2960-X: Migration auf Catalyst 9200.
• Verkabelung beachten: Uplinks, Access Points und Ports zu Servern nicht mit 802.1X versehen – oder Access Points selbst als Supplicant anmelden.
• Verbindung zu NIS2 und ISO 27001: Eine Netzwerkzugangskontrolle ist ein häufig geforderter technischer Baustein.
• Bei Planung und Einführung von 802.1X mit RADIUS unterstützt Sie das Cybersecurity-Team von m.a.x. it.

Siehe auch

• Cisco Catalyst 2960-X – Überblick und alle Artikel der Reihe
• Cisco Catalyst 2960-X: Port-Security konfigurieren
• Cisco Catalyst 2960-X: DHCP Snooping konfigurieren
• Cisco Catalyst 2960-X: Syslog und SNMP einrichten
• 802.1X
• FreeRADIUS

Links und Quellen

• Cisco: Configuring IEEE 802.1x Port-Based Authentication (Catalyst 2960-X, IOS 15.2(7)E)
• Cybersecurity-Leistungen von m.a.x. it

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen