Wie Jägermeister sein Netzwerk mit dem Standard IEEE 802.1x schützt

Anbieter zum Thema

Security-Insider

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Unify Software and Solutions GmbH & Co. KG

Neuralgische Punkte identifizieren

Grundsätzlich sind EAP-Datenpakete nur auf dem Layer-2-Link zwischen zwei Endsystemen vorgesehen, beispielsweise unter PC und zugehörigem Switch-Port. Sie sollten nicht durch Switche weitergeleitet werden. Bei verschiedenen Netzwerk-Designs ist aber die Terminierung des EAP-Protokolls etwa auf Switchen in VoIP-Telefonen, Mini-Switchen usw. nicht gewollt. Der Kommunikationsabbruch ist also abhängig von der Position des Authenticators im Netzwerk, so dass die EAP-Datenpakete transparent bis zu diesem weitergeleitet werden sollten.

Die Kommunikation zwischen Authenticator und Authentication Server erfolgt über das Client-Server-Protokoll RADIUS. Der Authenticator terminiert die EAP-Kommunikation mit dem Supplicant und setzt die Inhalte für eine RADIUS-Kommunikation mit dem Authentication-Server um. Der RADIUS-Server muss zur Realisierung der Kommunikation über EAP-Erweiterungen verfügen – diese Anforderung erfüllen die meisten Server dieser Art.

Eine direkte Kommunikation zwischen dem Supplicant (Endgerät) und dem Authentication Server (RADIUS-Dienst) ist technisch nicht möglich, sie läuft daher nur indirekt über den Authenticator. Um den Anforderungen von IEEE 802.1x zu genügen, müssen sämtliche Anmeldedaten in einer Datenbank gepflegt werden.

Grundsätzlich ist es möglich, diese Informationen auf dem RADIUS-Server zu hinterlegen. Dadurch verdoppelt sich allerdings der Aufwand für die Pflege der Anmeldedaten. Deshalb werden bereits vorhandene Verzeichnisdienste im Netz eingebunden, so dass der Authentication Server eine Abfrage zum Beispiel über LDAP an einen Verzeichnisdienst durchführen kann. Durch diesen Ansatz entfällt die doppelte Datenpflege.

Fazit

Mit dem Standard IEEE 802.1x kann Jägermeister alle Endgeräte und Anwender anhand ihrer Login-Daten bereits beim Herstellen der Kabelverbindung bzw. bei der Anmeldung auf eine Zugangsberechtigung hin überprüfen. Außerdem lassen sich Kommunikationsprofile für das jeweilige Endgerät aktivieren, die etwa gestattete Dienste, Zugangszeiten und ähnliches definieren.

Eine Kommunikation über das Firmennetz ist somit erst dann möglich, wenn die Authentifizierung erfolgreich durchgeführt wurde. Gute Voraussetzungen, damit das niedersächsische Unternehmen seine selbst gesteckten hohen Ansprüche auch in Zukunft ohne Störungen umsetzen kann.

Heike Lischewski ist freie Fachjournalistin in Berlin.

(ID:2012197)