WLAN und VPN mit FreeRADIUS absichern RADIUS-Server mit einem Synology-NAS aufbauen

Anbieter zum Thema

Synology GmbH

ALE Deutschland GmbH

Vitel GmbH

RADIUS-Server auf dem Synology-NAS bieten sichere WLAN-Authen­tifizierung ohne gemeinsame Passwörter, aber mit zentraler Zugriffs­kontrolle. Wir erklären, wie Sie den Synology-RADIUS-Server einrichten und mit personalisierten Zugängen das Netzwerk absichern.

RADIUS (Remote Authentication Dial-In User Service) gehört zu den etablierten Verfahren zur Authentifizierung von Benutzern in Netzwerken. In Unternehmensumgebungen ersetzt es klassische WLAN-Passwörter durch personalisierte Zugangsdaten. Der Vorteil liegt in der zentralisierten Kontrolle, einer höheren Transparenz und der Reduktion sicherheitskritischer Schwachstellen. Synology bietet eine Lösung, die lokal installiert werden kann, auf Basis von FreeRADIUS. Sie lässt sich direkt über die grafische Oberfläche des DiskStation Managers (DSM) steuern. Damit wird das NAS (Network Attached Storage) zur zentralen Instanz für die Zugriffsverwaltung im Netzwerk. Unternehmen ersparen sich damit zum Beispiel das regelmäßige Ändern von WLAN-Kennwörtern, damit nur noch berechtigte Benutzer Zugriff erhalten sollen.

Synology-RADIUS-Server einrichten

Der Synology-RADIUS-Server basiert technisch auf FreeRADIUS, einem weit verbreiteten Open-Source-Dienst. Im ersten Schritt besteht die Einrichtung von RADIUS aus der Installation des Pakets „Synology RADIUS Server“ im Paketzentrum. Danach steht der Server bereits zur Verfügung. Die Einrichtung erfolgt durch Auswahl von RADIUS-Server bei den installierten Programmen. Nach dem Start können im Einstellungsbereich zunächst grundlegende Parameter wie der Authentifizierungsport und die Netzwerkschnittstelle festgelegt werden. Die DSM-Integration ermöglicht es Ihnen, den Synology-RADIUS-Server einfach über das Paketzentrum einzurichten und über ein Webinterface zu konfigurieren, ohne dass Sie tief in die Befehlszeile einsteigen müssen. Für erweiterte Einstellungen können Sie dennoch per SSH auf die Systemebene zugreifen.

Bildergalerie

Nach der Installation lässt sich im RADIUS-Server die Authentifizierung für das Synology-NAS, zum Beispiel mit einer Zwei-Faktor-Authentifizierung (2FA), über lokale Benutzerkonten oder – in Kombination mit dem Synology-Directory-Server – über ein zentrales LDAP-Verzeichnis (Lightweight Directory Access Protocol) realisieren. Die Authentifizierungsanfragen laufen standardisiert über den Port 1812. Ergänzend steht ein Accounting-Port zur Verfügung, den Sie im Regelfall jedoch nicht benötigen.

Über das Menü „Clients“ werden alle Geräte eingetragen, die Anfragen an den RADIUS-Server stellen dürfen. Für jeden Client, also zum Beispiel einen Router oder einen WLAN-Access-Point, müssen ein eindeutiger Name, die IP-Adresse und ein Shared Secret definiert werden. Das Shared Secret dient zur gegenseitigen Authentifizierung zwischen Client und Server und sollte ausreichend komplex gewählt werden. Es ist auch möglich ein ganzes Subnetz einzutragen, aus dem Clients eine Verbindung zum RADIUS-Server aufbauen dürfen, um sich authentifizieren zu können.

Im Anschluss daran werden Benutzerkonten angelegt. Dies kann direkt über die Systemsteuerung des DSM erfolgen. Dort lassen sich Rollen, Passwörter und Einschränkungen festlegen.

Die Zugriffsrechte dieser Benutzer müssen nicht auf NAS-Dienste ausgeweitet werden, es genügt, wenn sie ausschließlich zur Authentifizierung verwendet werden. Das NAS bleibt damit für andere Dienste abgesichert, auch wenn viele Nutzer angelegt sind. Können sich Benutzer am NAS oder per LDAP und Active-Directory-Domäne authentifizieren, erlaubt der RADIUS-Server den Zugriff auf das jeweilige WLAN oder den Remote-Zugang auf das Synology-NAS. Wenn das System daher bereits an Active Directory angebunden ist, lassen sich für die Authentifizierung direkt diese Daten nutzen. Das ist auch der empfohlene Weg, weil sich Benutzer dann keine verschiedenen Anmeldedaten merken müssen.

Es ist auch möglich, einzelne Gruppen zu blockieren. Das erfolgt wiederum in der RADIUS-Server-Verwaltung. Über den Menüpunkt „Protokoll“ sind die letzten Aktionen zu sehen, die der RADIUS-Server durchgeführt hat. Auf den jeweiligen Endgeräten, zum Beispiel WLAN-Repeatern, werden zur Anbindung die Daten des RADIUS-Servers eingetragen. Das sind in den meisten Fällen IP-Adresse, Port, Shared Secret und weitere Optionen. Anwender brauchen dann kein WLAN-Kennwort mehr, sondern der Access Point leitet die Anmeldung einfach an das NAS weiter. Der Benutzer wird danach authentifiziert und darf anschließend das WLAN nutzen.

RADIUS im WLAN-Betrieb

Bei der Anmeldung an ein mit WPA2 oder WPA3 Enterprise gesichertes WLAN übermittelt das Endgerät Benutzername und Kennwort an den Router oder Access-Point, der als RADIUS-Client fungiert. Dieser leitet die Anmeldedaten an den Synology-RADIUS-Server weiter, der sie gegen die hinterlegten Konten prüft. Nur bei erfolgreicher Verifizierung erfolgt die Freigabe der Verbindung. Dadurch entfällt die Verwendung eines gemeinsamen WLAN-Passworts.

Hierbei liegt der große Vorteil in der individuellen Verwaltung der Zugangsdaten. Wenn ein Mitarbeiter das Unternehmen verlässt, wird sein Benutzerkonto deaktiviert. Die restlichen Mitarbeiter nutzen weiterhin ihre persönlichen Zugangsdaten. Außerdem können Sie auch temporäre Zugänge oder Gastzugänge gezielt steuern, ohne dass Sie zentrale Passwörter verändern und kommunizieren müssen.

Vorteile des Synology-RADIUS-Servers

RADIUS bringt deutliche Vorteile bei der IT- und Netzwerksicherheit während des Einsatzes eines Synology-NAS. Anstatt ein WLAN mit einem globalen Schlüssel abzusichern, wird jeder Zugriff individuell geprüft. Die Gefahr durch ausgetretene Mitarbeiter, Geräteverlust oder Passwortweitergabe sinkt erheblich. Durch die Protokollierung der Anfragen im Log-Modul des RADIUS-Servers lässt sich jederzeit nachvollziehen, wann und von welchem Gerät ein Zugang versucht wurde.

Ergänzt wird dieser Sicherheitsgewinn durch die Unterstützung von IEEE 802.1X. Damit wird jeder Sitzungsaufbau zusätzlich verschlüsselt und auf das jeweilige Nutzerkonto bezogen. Besonders bei der Absicherung interner Netze oder sensibler Bereiche ist diese Funktionalität ein wesentliches Argument.

Stärken und Schwächen im Betrieb

Ein RADIUS-Server auf dem Synology-NAS bietet eine zentrale, flexible und lokal verwaltbare Lösung für Netzwerkzugänge. Die Verwaltung erfolgt komplett innerhalb des eigenen Netzwerks, ohne Abhängigkeit von externen Cloud-Diensten. Änderungen an Benutzerkonten wirken sich sofort auf die Zugriffsmöglichkeiten aus. In Kombination mit einem internen Verzeichnisdienst lassen sich auch größere Nutzergruppen übersichtlich abbilden.

Auf der anderen Seite erfordert die Einrichtung technisches Verständnis in Bezug auf IP-Adressierung, Authentifizierungsprotokolle und Netzwerksegmentierung. Fehlerhafte Konfigurationen, etwa bei der Portvergabe oder im Shared Secret, führen dazu, dass WLAN-Verbindungen nicht aufgebaut werden können. Auch müssen alle Netzwerkgeräte, die Anfragen an den RADIUS-Server senden sollen, korrekt registriert werden.

Die Vielzahl an Konfigurationsoptionen kann Einsteiger überfordern. In komplexeren Netzstrukturen mit mehreren Subnetzen oder vielen Access-Points steigt der Pflegeaufwand. Fällt das NAS aus, steht auch der Authentifizierungsdienst nicht zur Verfügung; eine entsprechende Redundanz ist daher empfehlenswert.

Cloud-basierte RADIUS-Alternativen umgehen viele dieser Herausforderungen durch vorkonfigurierte Schnittstellen und zentral gemanagte Dienste. Wer jedoch eine vollständig lokale Kontrolle bevorzugt und bereits ein Synology-NAS betreibt, findet in dieser Lösung eine leistungsfähige Möglichkeit zur Absicherung des Netzwerks durch personalisierte Zugänge.

(ID:50538751)