Definition Was ist 802.1X?

802.1X ist ein IEEE-Standard für lokale Netzwerke. Er arbeitet auf der Schicht zwei des OSI-Referenzmodells und steuert den Zugang zu kabelbasierten oder drahtlosen 802.1-Netzwerken mithilfe eines sicheren Authentifizierungsverfahrens. Eine wichtige Rolle spielen das Extensible Authentication Protocol (EAP) und RADIUS. Einsetzbar ist 802.1X sowohl für LAN-Switches als auch für WLAN-Accesspoints.

Anbieter zum Thema

ICP Deutschland GmbH

802.1X ist ein im Jahr 2001 vom IEEE (Institute of Electrical and Electronics Engineers) verabschiedeter Standard für die Authentifizierung in lokalen Rechnernetzwerken (LANs). Er wird auch als "IEEE Standard for Local and Metropolitan Area Networks – Port-Based Network Access Control (PNAC)" bezeichnet. Mithilfe des Standards lässt sich der Zugang zu kabelbasierten oder drahtlosen Netzwerken auf der Schicht zwei des ISO/OSI-Schichtenmodells kontrollieren.

Einsetzbar ist 802.X für physische Netzwerkports beispielsweise an LAN-Switches, für VLANs oder für WLAN-Accesspoints. Die Authentifizierungsnachrichten werden auf der Schicht zwei des OSI-Modells mit dem ursprünglich für PPP-Verbindungen entwickelten Extensible Authentication Protocol (EAP) ausgetauscht. Zur Benutzerverwaltung und Authentifizierung kommt in der Regel ein RADIUS-Server zum Einsatz.

Weitere mithilfe des Standards realisierbare Funktionen sind neben der Benutzeridentifizierung am Netzwerkzugang die Zuweisung von Bandbreiten oder das Billing und Accounting der Netzwerknutzung. Im Zusammenhang mit dem Zugang zu Wi-Fi-Netzwerken werden oft die Bezeichnungen WPA2-Enterprise oder WPA2/802.1X verwendet.

Für die Zugangskontrolle zu einem WLAN bietet 802.1X den Vorteil, dass die Authentifizierung nicht mehr auf einem gemeinsamen Schlüssel (Pre-shared Key; PSK), sondern auf Client-spezifischen Anmeldedaten basiert. Fast alle gängigen Betriebssysteme wie Windows, macOS, Android, iOS, Linux, FreeBSD oder OpenBSD unterstützen den Standard.

Funktionsweise und Funktionskomponenten des Standards

802.1X definiert für die Schicht-2-Zugangskontrolle zu einem Netzwerk diese drei Funktionskomponenten:

• Supplicant (Antragsteller)

• Authenticator (Unterhändler)

• Authentication Server

Beim Supplicant handelt es sich um den Client, der den Zugang zu einem LAN oder WLAN anfordert. Der Authenticator ist ein LAN-Switch oder WLAN-Accesspoint, der als Unterhändler zwischen dem Supplicant und dem Authentication Server auftritt. Für die Prüfung des Zugangs zum LAN oder WLAN ist der Authentication Server zuständig. Er übernimmt die Benutzerverwaltung und kann als RADIUS-Server oder als LDAP-Gateway beziehungsweise LDAP-Server realisiert sein. Die Funktionalität des Authentication Servers ist im Authenticator, beispielsweise im WLAN-Accesspoint, integrierbar.

Möchte ein Client (Supplicant) Zugang zu einem LAN oder WLAN, sendet er seine Anmeldedaten an den Authenticator (Switch oder WLAN-Accesspoint). Die Kommunikation findet über das Extensible Authentication Protocol (EAP) statt. Der Authenticator leitet die Anmeldeinformationen an den Authentication Server weiter, der sie prüft und das Ergebnis dem Authenticator mitteilt. Die Kommunikation zwischen dem Authenticator und dem Authentication Server erfolgt über in RADIUS-Pakete gekapselte EAP-Pakete. Für die Verwaltung der Benutzerdaten lässt sich bei Bedarf ein dem Radius nachgelagerter LDAP-Server verwenden. Je nach Ergebnis der Überprüfung der Anmeldedaten durch den Authentication Server schaltet der Switch oder WLAN-Accesspoint den physischen Port oder den logischen Zugang zum Netzwerk frei oder verweigert ihn. Zusätzlich können dem Client noch Bandbreiten zugewiesen werden. Der RADIUS-Server kann zudem die Accounting- und Billing-Funktionen übernehmen und die Sitzungsdatensätze mit den Nutzungsdetails speichern.

Vorteile durch 802.1X

• einfache Implementierung einer portbasierten Schicht-2-Zugangskontrolle

• für physische Netzwerkports, logische VLANs und WLANs einsetzbar

• Alternative zu weniger sicheren Methoden wie der MAC-Adressen-basierten Zugangskontrolle

• für große Installationen mit vielen Clients geeignet

• einfache Benutzerverwaltung durch RADIUS- oder LDAP-Server

• weitere Funktionen wie die Zuweisung von Bandbreiten oder das Accounting und Billing realisierbar

• keine WLAN-Anmeldung mehr über einen gemeinsamen Pre-shard Key, sondern über Client-spezifische Anmeldeinformationen

• von allen gängigen Betriebssystemen wie Windows, macOS, Linux, Android, iOS, FreeBSD oder OpenBSD unterstützt

(ID:47787229)