Windows 10 u. 11 und 802.1x Netzwerk Portsecurity

Hi, ich versuche gerade mit Kollegen Portsecurity aufzusetzen. Und wir haben es - mit Bauchschmerzen - halbwegs am Laufen, es fehlt letztlich nur noch ein Schritt, nämlich eine Gruppenrichtlinie für die Win 10/11-Clients. Als Mittler zwischen den Clients und dem AD läuft einer vom Netzwerkkollegen aufgesetzter Freeradius-Server (da kommt noch ein Zweiter dazu).

Das Ziel soll sein, dass der PC in Abhängigkeit des angemeldeten Benutzers in ein eigenes Abteilungs-VLAN rein sortiert wird, das soll Grundlage für eine vom HR ausgerufene neue Arbeitsweise sein, dass sich die Leute in egal welche Räume setzen können sollen, und dennoch im Netzwerk abteilungsmäßig beisammen sind. Wir ziehen nächstes Jahr in ein neues Gebäude und da soll das dann so sein, das ganze Gebäude ist darauf ausgelegt. Über den Sinn mag man diskutieren, ist aber zwecklos, so wurde es beschlossen. Dass die Clients schon ziemlich eingeschränkte lokale Firewallregeln haben, die es garnicht erlauben, dass die sich gegenseit abschießen können, geschenkt... Ich muss es von der sportlichen Seite sehen.

Das Ganze Portsecurity-Thema ist nach intensiven Tests momentan nur mit abgeschaltetem Credential-Guard zu machen, weil die Benutzerauthentifizierung gegenüber den DCs nur per EAP-MSChapv2 funktioniert. Und MSChap ist mit Credential-Guard nicht zu machen. Das sind die Bauchschmerzen, für die wir bisher keine Lösung haben, wir müssen dafür leider den Credential-Guard ausschalten. Wir würden gerne das von Credential-Guard unterstützte EAP-TLS verwenden, das wird aber scheinbar nicht für Benutzerauthentifizierung bei Portsecurity unterstützt.

Momentan sind wir soweit, dass es händisch am Client in der lokalen Netzwerkeinstellung mit Netzwerkauthentifizierung eingestellten PEAP+Mschap, TEAP+MSchap und EAP-TTLS+Mschap funktioniert, Ziel soll die letzte Variante sein, weil am sichersten. Wenn ich das händisch am Testclient mit Win 10 und 11 aufsetze, klappt das. TEAP+MSchap gibts unter Win 10 nicht.

Mir gelingt es aber nicht, dafür eine Gruppentrichtlinie zu erstellen. Wenn ich da die gleichen Dialoge wie auf der lokalen Kiste öffne, fehlen mir Auswahloptionen. Bei EAP-TTLS hab ich nur NON-EAP mit PAP oder EAP mit Smartcard/Other. Lokal habe ich bei EAP auch MSchapv2 und EAP-TLS zur Auswahl. Ich kann diese Einstellung also nicht als GPO erstellen, das ist momentan mein eigentliches Problem. PEAP+MSChapv2 kann ich per GPO erstellen (auch PEAP+TLS lässt sich auswählen), aber das ist die unsicherste Variante, die auch nicht empfohlen wird, die GPO funktioniert aber immerhin. Unter Windows 11 habe ich zusätzlich zu PEAP und EAP-TTLS auch noch TEAP zur Auswahl, das gibts aber unter Win 10 nicht, ist also auch keine Option weil wir noch zu viele Win 10 Clients haben, die alle erst im Verlauf der nächsten 8-10 Monate (spätestens pünktlich zum Umzug) weg kommen.

Erschwerend kommt übrigens noch dazu, dass es auch Leute im Unternehmen gibt, die mit Linux und Macs arbeiten, das schränkt den Spielraum weiter ein, aber auch das funktioniert bereits.

Hat jemand eine Lösung für das GPO-Problem? Wie kann ich eine GPO mit EAP-TTLS+MSchap (später hoffentlich auch mal TTLS+EAP-TLS) erstellen?

Eine Alternative gibts noch, ist aber auch nicht erwünscht, irgendwo habe ich mal einen Beitrag gefunden, wo andere Admins an den Portsecurity-Thema gescheitert sind, und das Problem letztlich mit VPN gelöst haben, das heißt, obwohl die Leute zwar im Büro sind, arbeiten sie trotzdem in einer Art Gästenetz und bauen eine VPN-Verbindung auf. Einerseits ist das nicht hier gewünscht, andererseits schafft das noch eine weitere Abhängigkeitsebene (die VPN-Infrastruktur) in der Landschaft, die administriert und gewartet werden will.