NPS auf Firmengeräte beschränken

Hallo Mike,

Das die Unterscheidung mit den MAC-Adressen nicht das gelbe vom Ei sind, hast du ja schon festgestellt. Neben den wechselnden Adressen der Mobilgeräte ist auch die leichte Änderbarkeit auf eine „erlaubte“ MAC ein Punkt, der so ein Konzept aushebeln könnte.

Aqui hat an dieser Stelle ein gutes Tutorial zu dem Thema geschrieben; da ist das meiste schon erklärt. Und unten die weiterführenden Links lohnen auch eine Blick.

Wenn du die Laptops ohne Zertifikate ins WLAN bringen möchtest: du kannst die Zugehörigkeit zum AD (OU/Gruppe) als Bedingung der NPS-Richtlinie machen. Bei den Mobilteilen stelle ich einfach mal die ketzerische Frage, ob nicht auch den privaten Geräten unter bestimmten Bedingungen WLAN-Zugang (und damit meine ich im Prinzip nur reine Internetzugang) gewährt werden kann. Quasi als Service des AGs an seine Mitarbeiter.
Bedingungen wären dann (für mich):

• Mobilgeräte werden im eigenen VLAN separiert und haben keinen Zugriff auf interne Netze. Sie werden direkt ins öffentliche Internet ausgeleitet.
• die Geräte sind mit Client-Isolation voneinander getrennt (Privat- und Firmen-Handy sehen sich nicht)
• es gibt eine Regelungsabrede zwischen AG und MA

Brauch das Firmen-Handy dann direkten Zugriff auf interne Netze, kann es immer noch einen VPN aufmachen.

Grüße
Martin

Nein das stimmt nicht ganz...
https://support.apple.com/en-us/HT211227
Außerdem nutzen mittlerweile auch alle aktuellen Androiden und Laptops bzw. MacBooks diese Funktion. Die Mac Adresse ist aber pro SSID dann immer konstant.
Letztlich ist aber nur die Mac Adresse immer eine Sackgasse für das was du vorhast. Das Warum ist vor kurzem hier schon durchgekaut worden:
Funktionsweise und Nachteile von PSK und MAC-Adressen Authentifizierung

Letztlich hängt es von deinen Sicherheitsanforderungen ab. Kollege @TwistedAir hat oben die Fakten ja schon zusammengefasst geschildert.
Du kannst auch eine kombinierte Mac und Dot1x (WPA-Enterprise) Auth machen die beides checkt und dann auch die VLANs den Clients dynamisch zuweist.
Ohne Zertifikate nutzt .1x dann immer den Rechnernamen/Domain oder individuelle Usernamen je nachdem wie man den .1x Client customized. Mit GPOs muss man die Rechte dann so beschneiden das User das nicht ändern können.
Wenn dir das reicht bräuchtest du damit dann keine Client Zertifikate und damit keine CA. Letztere sind die Königsklasse bei der WLAN Authentisierung weil sicher, nicht übertragbar und du kannst wasserdicht bestimmen welches Gerät ins WLAN darf und welches nicht, weil dann Geräte ohne Zertifikate schlicht keine Chance haben.

Positiver Nebeneffekt eines solchen Konzeptes ist dann bei der Nutzung nur noch einer SSID immer (egal wie man es sicherheitstechnisch löst) das man im Gegensatz zu einem Resourcen fressenden MSSID Konzept wertvolle Airtime spart und damit die grundsätzliche Performance steigert im WLAN.

Hallo,

also ich verstehe das irgendwie nicht ganz, was kann denn Dein NPS oder auch was kann er nicht?
- LDAP für Kabelgebundene Geräte
- RadiusServer mit Zertifikaten für alle WLAN angebundenen Geräte
- WPA2 oder besser gleich WPA 3 für alle WLAN Klienten

Dobby

Hallo,

wir haben das folgendermaßen gelöst:

WLAN1 für alle AD-Computer mittels NPS mit Zertifikaten

WLAN2 für Smartphones mittels NPS über Benutzernamen und Passwort über ein MDM verteilt

Während WLAN1 den notwendigen Zugriff auf interne Ressourcen hat, kann WLAN2 nur auf explizite interne Dienste zugreifen (z.B. Intranet), gelöst ist das über zwei VLANs und jeweils unterschiedlichen SSIDs.

Mit diesem Verfahren haben wir seit Jahren gute Erfahrungen gemacht.

NPS mit Zertifikaten ist schnell eingerichtet, wir verwenden die Microsoft CA und die AD-Computer beziehen die Zertifikate via GPO.