UniFi: 802.1X und RADIUS einrichten

Aus maxTechCorner
(Weitergeleitet von UniFi 802.1X)

Auf einen Blick

Gilt fürUniFi Network 10.x mit UniFi-Gateway (eingebauter RADIUS-Server) oder externem RADIUS-Server; UniFi-Switches und Access Points
BereichIT-Security
Dauerca. 1 Stunde für WLAN und einen Pilot-Switch
RechteAdministrator in UniFi Network; ggf. Administrator am RADIUS-Server (NPS, FreeRADIUS, ISE)
StandOktober 2026

802.1X mit RADIUS in UniFi einrichten sorgt dafür, dass sich Benutzer und Geräte am WLAN und an Switch-Ports anmelden müssen, bevor sie ins Netz kommen. Statt eines gemeinsamen WLAN-Passworts prüft ein RADIUS-Server jede Anmeldung einzeln und kann dabei gleich das passende VLAN zuweisen. UniFi-Gateways bringen einen eigenen RADIUS-Server mit; für größere Umgebungen bindet man einen vorhandenen Server wie Windows NPS, FreeRADIUS oder Cisco ISE an. Dieser Artikel zeigt beide Wege für WLAN (WPA2/WPA3 Enterprise) und kabelgebundene Ports, einschließlich MAC-Authentifizierung für Drucker und IoT-Geräte.

802.1X in UniFi: Notebook, Smartphone und Drucker (Supplicant) melden sich am Access Point oder Switch-Port (Authenticator) an; dieser fragt per RADIUS (UDP 1812/1813) den eingebauten RADIUS-Server des Gateways oder einen externen Server wie NPS oder FreeRADIUS; die Antwort Access-Accept enthält optional das VLAN (Tunnel-Type 13, Tunnel-Medium-Type 6), Access-Reject verweigert den Zugang.

So funktioniert 802.1X

Rolle in UniFi Aufgabe
Supplicant Notebook, Smartphone, Drucker meldet sich mit Benutzerdaten, Zertifikat oder MAC-Adresse an
Authenticator Access Point bzw. Switch-Port leitet die Anmeldung als RADIUS-Anfrage weiter und schaltet den Zugang frei
Authentication Server RADIUS-Server im Gateway oder extern prüft und antwortet mit Access-Accept, Access-Reject oder Access-Challenge
Accounting Server meist derselbe RADIUS-Server protokolliert Beginn, Ende und Dauer der Sitzungen

Mit Access-Accept kann der Server ein VLAN mitschicken. So landen z. B. Mitarbeiter der Buchhaltung und Techniker über dieselbe SSID in unterschiedlichen Netzen.

Welcher RADIUS-Server?

Server geeignet für Anmerkung
Eingebauter Server des UniFi-Gateways kleine Umgebungen, MAC-Authentifizierung, einige Dutzend Benutzer Benutzer werden in UniFi Network gepflegt, keine Anbindung an Active Directory
Windows NPS Windows-Domänen Anmeldung mit AD-Konto oder Computerzertifikat (EAP-TLS) über Gruppenrichtlinien
FreeRADIUS (z. B. auf OPNsense) gemischte Umgebungen flexibel, LDAP-Anbindung, Zertifikate
Cisco ISE, Aruba ClearPass große Umgebungen mit Gerätekontrolle Profilierung, Gästeportale, Change of Authorization

Für Firmengeräte ist die Anmeldung per Zertifikat (EAP-TLS) die sicherste Variante: kein Passwort, das abgegriffen werden kann, und automatische Verteilung per Gruppenrichtlinie oder MDM, siehe OPNsense - WLAN-Authentifizierung mittels EAP-TLS.

Schritt 1: RADIUS-Profil anlegen

Variante A: eingebauter RADIUS-Server

  1. Settings › Networks › Abschnitt RADIUS Servers › Profil Default öffnen und Enable wählen.
  2. Secret (gemeinsamer Schlüssel zwischen APs/Switches und Server) lang und zufällig setzen.
  3. Ports belassen (Authentifizierung 1812, Accounting 1813) und ein Accounting Interim Interval setzen.
  4. Falls VLANs per RADIUS zugewiesen werden sollen: RADIUS Assigned VLAN Support für WLAN und/oder kabelgebundene Netze aktivieren.
  5. Unter Local Credentials Benutzer anlegen: Benutzername, Passwort und optional VLAN. Für ein VLAN Tunnel Type 13 und Tunnel Medium Type 6 eintragen.

Ohne VLAN-Angabe landet der Client im Netz der SSID bzw. im nativen VLAN des Ports.

Variante B: externer RADIUS-Server

  1. Settings › Networks › RADIUS Servers › Create New: Name, IP-Adresse des Servers, Port 1812, Secret; Accounting-Server mit Port 1813.
  2. Auf dem RADIUS-Server jeden Access Point und Switch als Client (NAS) mit dem gleichen Secret eintragen – oder ein ganzes Management-Netz, wenn der Server das erlaubt.
  3. Für die VLAN-Zuweisung im Server die Attribute Tunnel-Type = VLAN (13), Tunnel-Medium-Type = 802 (6) und Tunnel-Private-Group-ID = <VLAN-ID> setzen.

Die APs und Switches senden die RADIUS-Anfragen selbst – die Firewall muss UDP 1812/1813 aus dem Management-Netz zum Server erlauben.

Schritt 2: WLAN mit WPA2/WPA3 Enterprise

  1. Settings › WiFi › SSID anlegen oder öffnen.
  2. Advanced auf Manual, Security Protocol = WPA2 Enterprise, WPA3 Enterprise oder den Übergangsmodus.
  3. Das RADIUS-Profil aus Schritt 1 wählen.
  4. Optional DAS/DAC (CoA) aktivieren, wenn der Server Sitzungen nachträglich ändern oder trennen soll (z. B. ISE). Dafür müssen Accounting konfiguriert und UDP 3799 zwischen AP und Server offen sein.
  5. Fast Roaming eingeschaltet lassen – bei 802.1X spart es die vollständige Neuanmeldung beim AP-Wechsel.

Mehrere VLANs über eine SSID ohne RADIUS sind mit PPSK (ein Passwort pro VLAN, nur WPA2) möglich, siehe UniFi: WLAN einrichten und optimieren.

RADIUS über TLS (RadSec)

Seit UniFi Network 8.4 kann die Verbindung zum RADIUS-Server per TLS verschlüsselt werden – derzeit nur für WLAN. Im RADIUS-Profil TLS aktivieren und Client-Zertifikat, privaten Schlüssel und CA-Zertifikat im PEM-Format hochladen. Sinnvoll vor allem bei RADIUS-Servern in der Cloud oder an einem anderen Standort.

Schritt 3: 802.1X an Switch-Ports

  1. Unter Settings › Networks bei den globalen Switch-Einstellungen 802.1X Control aktivieren und das RADIUS-Profil wählen. Pro Switch lässt sich das unter Override Global Switch Settings abweichend einstellen.
  2. Unter Settings › Profiles › Ethernet Ports ein Port-Profil anlegen, z. B. Arbeitsplatz-8021X: Native VLAN Clients, 802.1X Control auf die passende Betriebsart.
  3. Das Profil im Port Manager zunächst an wenigen Pilot-Ports zuweisen.
  4. Uplinks zu anderen Switches, Access Points und Servern nicht mit 802.1X schützen.
Betriebsart (802.1X Control) Wirkung
Auto / 802.1X Gerät muss sich per 802.1X anmelden
MAC-based Port meldet das Gerät mit seiner MAC-Adresse an (für Drucker, Kameras, IoT)
Multi-Host nach der ersten erfolgreichen Anmeldung sind weitere Geräte am Port erlaubt
Force Authorized / Unauthorized Port immer offen bzw. immer gesperrt

Die genaue Bezeichnung der Betriebsarten kann je nach Version abweichen; vor dem Rollout im Profil prüfen.

Schritt 4: MAC-Authentifizierung für Geräte ohne 802.1X

Drucker, Kameras oder Gebäudetechnik beherrschen oft kein 802.1X. Sie werden über ihre MAC-Adresse geprüft:

  • Im RADIUS-Server für jedes Gerät einen Benutzer anlegen, bei dem Benutzername und Passwort die MAC-Adresse sind – einheitlich formatiert, z. B. AABBCCDDEEFF ohne Trennzeichen.
  • Optional ein VLAN mitgeben (Tunnel Type 13, Medium Type 6), z. B. IoT.
  • Im WLAN die Option RADIUS MAC Authentication aktivieren und das passende MAC-Format wählen; am Switch im Port-Profil MAC-based.

MAC-Adressen lassen sich fälschen. MAC-Authentifizierung ist deshalb nur eine Zuordnung, kein starker Schutz – die Geräte gehören zusätzlich in ein eigenes, per Firewall eingeschränktes Netz.

Testen und Einführen

  1. Testbenutzer im WLAN anmelden; in der Client-Liste prüfen, in welchem VLAN er landet.
  2. Am Pilot-Port ein Notebook mit aktivem 802.1X-Supplicant anschließen (unter Windows Dienst Automatische Konfiguration (verkabelt) starten).
  3. Ablehnungen im Log des RADIUS-Servers auswerten (falsches Secret, Zertifikat, Gruppenzugehörigkeit).
  4. Erst nach erfolgreichem Pilot weitere Ports umstellen; Ausnahmen (Altgeräte, Messplätze) dokumentieren.

Hinweise

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=UniFi:_802.1X_und_RADIUS_einrichten&oldid=4510“