Definition IEEE 802.1X Was ist 802.1X?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Moxa Europe GmbH

Der IEEE-Standards 802.1X arbeitet auf dem Layer zwei des OSI-Referenzmodells und erlaubt eine Zugangskontrolle zu kabelbasierten oder drahtlosen lokalen Netzwerken (LANs und WLANs). Er stellt ein sicheres Authentifizierungsverfahren zur Verfügung und nutzt Protokolle und Standards wie das Extensible Authentication Protocol (EAP) und RADIUS. Im WLAN-Umfeld wird die Zugangskontrolle mit diesem Standard teilweise als WPA-Enterprise bezeichnet.

802.1X ist die Bezeichnung eines im Jahr 2001 vom Institute of Electrical and Electronics Engineers (IEEE) verabschiedeten Standards. Er ist für die sichere Authentifizierung und Autorisierung in lokalen Netzwerken vorgesehen und arbeitet auf der zweiten OSI-Schicht. Eine alternative Bezeichnung des Standards ist "IEEE Standard for Local and Metropolitan Area Networks - Port-Based Network Access Control (PNAC)".

Der Standard lässt sich sowohl für physische Netzwerkports kabelbasierter LANs als auch für drahtlose WLANs und VLANs einsetzen. Zum Austausch der Authentifizierungsinformationen nutzt der Standard das Extensible Authentication Protocol (EAP). Die Authentifizierung und Verwaltung der Benutzer lässt sich mithilfe eines RADIUS-Servers realisieren.

Per 802.1X können auch Bandbreiten zugewiesen oder das Accounting und Billing der Netzwerknutzung durchgeführt werden. Im WLAN-Umfeld wird die Zugangskontrolle mit 802.1X manchmal als WPA-Enterprise oder WPA2/802.1X bezeichnet. Im Gegensatz zur WLAN-WPA-Authentifizierung basiert der Zugang zum Drahtlosnetzwerk nicht mehr auf einem gemeinsamen Schlüssel (Pre-shared Key - PSK). Für jeden Client lassen sich spezifische Zugangsdaten einrichten.

Prinzipielle Funktionsweise von 802.1X

Der Standard definiert drei grundlegende Funktionskomponenten. Diese sind:

• der Antragsteller (Supplicant): zum Beispiel ein Rechner in einem LAN oder WLAN

• der Unterhändler (Authenticator): zum Beispiel ein LAN-Switch oder WLAN-Accesspoint

• der Authentifizierungsserver (Authentication Server): zum Beispiel ein RADIUS-Server

Ein Client, der Zugang zu einem LAN oder WLAN benötigt, wendet sich zunächst an den Unterhändler. Er sendet seine Anmeldedaten an einen Authenticator (zum Beispiel Switch oder WLAN-Accesspoint). Der Informationsaustausch findet per Extensible Authentication Protocol (EAP) statt. Der Authenticator nimmt die Anfrage entgegen und leitet die Anmeldeinformationen an den Authentication Server (zum Beispiel einen separaten RADIUS-Server) weiter. Der Authentication Server kann auch als LDAP-Gateway beziehungsweise LDAP-Server realisiert oder beispielsweise in einem WLAN-Accesspoint integriert sein. Der Authentication Server ist für die Benutzerverwaltung und -authentifizierung zuständig. Er prüft die erhaltenen Anmeldeinformationen und teilt das Ergebnis dem Authenticator mit. Dieser schaltet abhängig von der Prüfung der Anmeldedaten den logischen oder physischen Zugang zum lokalen Netzwerk (zum Beispiel einen Switch-Port) frei oder verweigert den Zugang. Zusätzlich können dem Supplicant vom Authentication Server mitgeteilte Bandbreiten der Netzwerknutzung zugewiesen werden. Indem der RADIUS-Server Sitzungsdatensätze mit den Nutzungsdetails erhält und speichert, lassen sich per 802.1X Accounting- und Billing-Funktionen realisieren.

Vorteile durch den Einsatz des IEEE-Standards 802.1X

• standardisierte, einfach zu implementierende, portbasierte Layer-2-Zugangskontrolle zu lokalen Netzwerken

• für physische Netzwerkports oder den logischen Zugang zu VLANs und WLANs nutzbar

• in großem Umfang skalierbar - eignet sich für große Netzwerke mit vielen Clients

• zentralisierte, vereinfache Benutzerverwaltung durch LDAP- oder RADIUS-Server

• bietet eine Alternative zu weniger sicheren Zugangsverfahren wie die MAC-Adressen-basierte Zugangskontrolle oder die WLAN-Anmeldung über einen gemeinsamen Pre-shard Key

• für jeden Client lassen sich spezifische Anmeldedaten einrichten

• bietet zusätzliche Funktionen wie die Zuteilung von Nutzungsbandbreiten und Funktionen für das Billing und Accounting

• alle gängigen Betriebssysteme wie Windows, Linux, macOS, iOS, Android und weitere unterstützen 802.1X

(ID:48528002)