IEEE 802.1X

Abkürzung: 802.1X

Ohne 802.1X ist ein Netzanschluss eine offene Tür — wer das Kabel einsteckt, ist drin. Die Norm schiebt eine Prüfung davor und hält den Anschluss bis dahin geschlossen. Dasselbe Verfahren sichert im WLAN die Unternehmensvariante von WPA.

Der Name wird oft als „802.11x" verschrieben. Das ist etwas anderes: 802.11 ist WLAN, 802.1X die Zugangskontrolle — sie gilt für Kabel und Funk gleichermaßen.

Die drei Rollen

Der Authenticator prüft nichts selbst. Er ist ein Türsteher ohne Gästeliste: Er nimmt den Ausweis entgegen, hält ihn jemandem hin, der ihn lesen kann, und öffnet auf dessen Wort.

Wie der Port umschaltet

Jeder Anschluss hat begrifflich zwei Zustände nebeneinander. Über den unkontrollierten Teil läuft ausschließlich der Anmeldeverkehr — EAPOL, also EAP über das lokale Netz. Der kontrollierte Teil trägt den Nutzverkehr und bleibt gesperrt, bis die Anmeldung erfolgreich war.

Ein nicht angemeldetes Gerät sieht deshalb ein merkwürdiges Bild: Die Verbindung steht physikalisch, die Leuchtdiode am Switch brennt, aber es kommt keine IP-Adresse — denn DHCP läuft über den gesperrten Teil.

Der Ablauf

Supplicant            Authenticator              RADIUS-Server
  EAPOL-Start   ────▶
                ◀──── EAP-Request/Identity
  EAP-Response  ────▶  verpackt in Access-Request  ────▶
                ◀────  Access-Challenge            ◀────
      … je nach Verfahren mehrere Runden …
                ◀────  Access-Accept + Attribute   ◀────
  Port öffnet

Der Authenticator übersetzt dabei nur: EAP-Nachrichten vom Gerät wandern als Attribut in RADIUS-Pakete und zurück. Welches Verfahren innen läuft, muss er nicht verstehen.

Mehr als ja oder nein

Der entscheidende Mehrwert gegenüber einer bloßen Zugangssperre steckt in den Attributen, die der Server mitschickt. Er kann das Gerät einem bestimmten VLAN zuweisen, eine Filterregel benennen oder eine Zugriffsliste übergeben.

Damit wird aus der Zugangskontrolle eine Zuweisung: Ein Notebook der Buchhaltung landet im Buchhaltungsnetz, ein Besuchergerät im Gästenetz, ein IP-Telefon im Sprachnetz — am selben Anschluss, ohne dass jemand den Switch umkonfiguriert.

Im WLAN

Was im Heimnetz als WPA2- oder WPA3-Personal mit einem gemeinsamen Kennwort läuft, ist in der Unternehmensvariante 802.1X. Der Unterschied ist grundlegend:

Beim gemeinsamen Kennwort kennen alle dasselbe Geheimnis. Scheidet jemand aus, muss es auf allen Geräten gewechselt werden, und wer es kennt, kann den Verkehr anderer mitlesen, sofern er den Verbindungsaufbau mitgeschnitten hat.

Mit 802.1X weist sich jeder Teilnehmer einzeln aus, bekommt eigenes Schlüsselmaterial und lässt sich einzeln sperren. Siehe WPA.

MAC Authentication Bypass

Drucker, Kameras, Messgeräte, Zeiterfassungsterminals und älteres Gerät bringen keinen Supplicant mit. Sie würden an einem 802.1X-Port nie ins Netz kommen.

Der verbreitete Ausweg heißt MAC Authentication Bypass, abgekürzt MAB. Meldet sich am Port nach einer Wartezeit kein Supplicant, greift der Switch auf das zurück, was er ohnehin sieht: die MAC-Adresse des Geräts. Er schickt sie an den RADIUS-Server, üblicherweise als Benutzername und Kennwort zugleich, und der Server gleicht sie gegen eine gepflegte Liste ab.

Formal ist das weiterhin eine RADIUS-Anfrage, und der Server kann dieselben Attribute zurückgeben — ein per MAB erkannter Drucker landet also ebenso im richtigen VLAN.

Warum MAB keine Authentifizierung ist

Eine MAC-Adresse ist kein Geheimnis, sondern eine Kennung. Sie steht in jedem Rahmen, den das Gerät sendet, lässt sich also im selben Netzsegment einfach mitlesen — und auf jedem gängigen Betriebssystem mit einem Befehl auf einen beliebigen Wert setzen.

Wer die MAC-Adresse des Druckers kennt, trägt sie auf seinem Notebook ein, steckt sich an den Druckeranschluss und ist im Netz. Mehr gehört nicht dazu. MAB ist damit kein Nachweis der Identität, sondern eine Ausnahmeliste.

Daraus folgt, wie man damit umgeht:

Eigenes Netzsegment. Geräte, die über MAB hereinkommen, gehören in ein VLAN mit engen Regeln — Zugriff nur auf das, was sie wirklich brauchen.

Reihenfolge beachten. MAB soll erst greifen, wenn 802.1X ergebnislos bleibt. Ist es umgekehrt konfiguriert, melden sich auch Geräte mit Supplicant über die schwache Hintertür an.

Gepflegte Liste. Eine MAC-Liste, die niemand aufräumt, wird mit der Zeit zur Sammlung ausgemusterter Geräte, deren Adressen weiterhin Zugang verschaffen.

Ergänzende Erkennung. Manche Umgebungen gleichen zusätzlich ab, ob sich das Gerät auch wie der angegebene Typ verhält — über DHCP-Merkmale oder Protokollverhalten. Das erhöht die Hürde, ersetzt aber keinen kryptografischen Nachweis.

Weitere Grenzen

Der Port, nicht das Gerät. Authentifiziert wird der Anschluss. Hängt jemand einen kleinen Switch dazwischen, meldet sich ein Gerät an, und die übrigen nutzen den offenen Port mit. Dagegen helfen Betriebsarten, die mehrere Anmeldungen je Port verlangen oder nur eine einzige MAC-Adresse zulassen.

Der Server als einzelner Ausfallpunkt. Ist der RADIUS-Server nicht erreichbar, kommt niemand mehr ins Netz. Deshalb gehören mindestens zwei Server und eine bedachte Regel für den Ausfall dazu — ein Ausweich-VLAN mit eingeschränkten Rechten ist die übliche Wahl.

Der Weg nach der Anmeldung bleibt offen. 802.1X prüft beim Verbindungsaufbau. Danach fließt der Verkehr ungeschützt. Wer auch die Strecke absichern will, ergänzt MACsec, das den Verkehr auf dem Abschnitt zwischen Gerät und Switch verschlüsselt.