Client-Zertfikat bei WPA2-Enterprise (802.1x)

Steht im Groben auch hier.

Servus,

auf der pfSense (Radius-Client etc. lasse ich hier mal weg die sollten bei dir ja schon korrekt angelegt sein), ich beschränke ich mich auf die nötigen EAP-Einstellungen für die Computer-Auth:


Das CA Zertfikat der pfSense muss von der pFSense exportiert werden, und dann auf den Client und den Server in die Vertrauenswürdigen Zertifizierungsstellen des Computers nicht des Users importiert werden.

Das Client-Zertifikat sollte optimalerweise im Common-Name als auch in einem SAN den FQDN des Clients enthalten, und muss dann am Client ebenfalls in den Computer-Store importiert werden!



Der Wifi Access-Point sollte auf EAP-Passthrough Authentifizierung gestellt werden

Auf dem Server der die GPOs an die Clients verteilt erstellt man nun eine neue GPO mit einer neuen Wireless-Richtlinie die man den Computern der Organisation zuweist:




Danach die Gruppenrichtlinien über Kabel auf dem Client aktualisieren und abmelden oder neu starten. Das Wifi sollte sich nun schon vor der Anmeldung erfolgreich verbinden.

Wenn nicht, das System LOG der pfSense studieren und der verbose logging am am Wifi AP aktivieren.

Klappt hier in meinem Testaufbau mit pfSense als Radius Server einwandfrei.


Nun viel Erfolg beim nachmachen

Grüße Uwe

Fundierter hätte man es nicht beschreiben können ! 👍
Hab den Permanent Link (dein Einverständnis vorausgesetzt) mal in alle WPA2 Enterprise und .1x Tutorials mit übernommen.

👍

Grüße und guten Rutsch @aqui
Uwe

Es reicht auch der Doppelklick auf die den pfx/p12 Container, dort wirst du abgefragt ob für Computer oder User importiert werden soll (sofern dein Account entsprechende Rechte besitzt). Computer-Zertifikate müssen natürlich zwingend in den Computer-Store damit sie auch vor der Anmeldung von Windows genutzt werden können.

Jepp, oben waren wirklich nur die Bare-Metal Optionen ausgewählt damit du auf diese Basis aufbauen kannst.

Nein, das gibt einerseits der Authenticator (AP) bzw. wenn EAP-Passthrough dann der Radius-Server vor, denn der sendet nur ein Access-Accept an den Authenticator wenn der User auch korrekte Zugangsdaten (Zertifikat/Username+Passwort sofern vorhanden) präsentiert.

Erstens anhand der Methode EAP-TLS schreibt zwingend eine zertifikatsbasierte Authentifizierung vor, zweitens: wenn du keine Userdaten oder Passwörter im Radius für den User hinterlegst kann er sich auch nicht mit Kennwort anmelden, nur solange er ein Zertfikat deiner Zertifizierungstelle besitzt.

Nein, nur die der die pfSense auch vertraut, das sind nur die CAs die im System hinterlegt sind. Diese Option ist zum Einschränken auf Zertifikate bestimmter CAs wenn es mehre CAs auf der pfSense gibt.

Habe das gerade nicht vor mir aber ich meine das geht nur bei einer anderen Methode als PEAP-TLS, bzw. bei der Computer-Auth müssen die Usernamen teilweise Prefixe (host/) bzw. Suffixe mit Dollarzeichen hinzugefügt werden . Müsste ich nochmal nachsehen.
So lange du keinen User in den freeradius Optionen anlegst dessen Credentials der User kennt hat er nur die Möglichkeit die ihm zur Verfügung stehen, also das Zertifikat. Wenn du keine User mit Kennwörtern anlegst oder MAC Auth aktivierst bleibt ihm nur diese eine Möglichkeit .

Der Ablauf bei WPA2-Enterprise ist immer ähnlich -> Client stellt sein Gerät auf WPA2-Enterprise ein -> Authenticator (AP) ist auf 802.1x konfiguriert leitet die Anfrage an seinen Radius-Server weiter -> Radius Server entscheidet anhand der übermittelten Credentials, seien es Zertifikat oder User+Pass ob der User Zugang erhält -> ist die Authentifizierung für den Radius Server korrekt sendet er ein Access-Accept an den Authenticator (AP) und dieser lässt den Client ins Netz, ansonsten ein Access-Reject und der Client erhält ein Deauth-Wifi-Paket und fliegt raus.
Über das sogenannte Accounting kann ein Radius Server einem Authenticator (AP) auch während der bestehenden Sitzung mitteilen das der User wieder rausfliegen soll, z.B. wenn man ein Captive-Portal nutzt und eine Sitzung bspw. nur 30 Minuten dauern darf.

Ich kann dir diesbezüglich auch die offizielle freeradius Doku ans Herz legen, die gilt auch für die pfSense.
https://freeradius.org/documentation/
FreeRadius lässt sich extrem fein konfigurieren, aber das ist dann ein Thema für sich. Da hat @aqui hier auch einges an Lesefutter parat. Geh einfach mal seine Wissenbeiträge diesbezüglich durch.
https://administrator.de/user/aqui/

Grüße Uwe