RADIUS: Zentrale Anmeldung für WLAN und VPN

Kurz: Ein Protokoll, mit dem Geräte wie WLAN-Zugangspunkte, Switches oder VPN-Server Benutzer bei einem zentralen Server prüfen lassen.

Genauer: RADIUS (Remote Authentication Dial-In User Service) trennt den Zugangspunkt vom Benutzerverzeichnis: Der Zugangspunkt fragt bei jedem Anmeldeversuch den RADIUS-Server, ob der Benutzer hereindarf und was er darf. So gibt es ein Konto pro Person statt eines gemeinsamen WLAN-Passworts.

Im Detail

Die drei Rollen (AAA)

RADIUS deckt Authentication (Wer bist du?), Authorization (Was darfst du?) und Accounting (Was hast du getan, wie lange?) ab. Beteiligt sind der Supplicant (das Gerät des Benutzers), der Authenticator (Zugangspunkt, Switch oder VPN-Gateway) und der RADIUS-Server, der meist an ein Verzeichnis wie LDAP oder Active Directory angebunden ist.

WPA2/WPA3-Enterprise und 802.1X

Im Unternehmens-WLAN meldet sich jeder Benutzer mit eigenem Benutzernamen und Passwort oder einem Zertifikat an. Das dahinterliegende Verfahren heißt IEEE 802.1X mit EAP (Extensible Authentication Protocol). Der Zugangspunkt leitet die EAP-Nachrichten nur durch und lässt den Client erst ins Netz, wenn der RADIUS-Server zustimmt. Bekannte EAP-Arten sind PEAP, EAP-TLS (mit Zertifikaten auf beiden Seiten) und EAP-TTLS.

Vorteile

Wer das Unternehmen verlässt, wird an einer Stelle gesperrt, und das WLAN-Passwort muss nicht geändert werden. Es lassen sich Regeln pro Benutzer oder Gruppe festlegen, zum Beispiel die Zuordnung zu einem bestimmten VLAN. Die Zugriffe sind nachvollziehbar protokolliert. Freie Server wie FreeRADIUS sind weit verbreitet.

Sicherheitshinweise

Das RADIUS-Protokoll selbst verschlüsselt nur das Passwort-Attribut schwach. Zwischen Authenticator und Server sollten deshalb ein starkes gemeinsames Geheimnis und ein geschütztes Netz oder RadSec (RADIUS über TLS) verwendet werden. Bei PEAP müssen Clients das Serverzertifikat prüfen, sonst lassen sich Benutzer von einem gefälschten Zugangspunkt täuschen.

Siehe auch: Authentifizierung, Single Sign-on, Zertifikat