Enterprise-WLAN mit 802.1X und RADIUS: WPA2/WPA3-Enterprise und dynamische VLAN-Zuweisung

Ein WLAN mit einem gemeinsamen Passwort für alle ist im Unternehmen schwer zu verwalten: Verlässt ein Mitarbeiter das Haus, müsste das Passwort auf allen Geräten geändert werden. WPA2- und WPA3-Enterprise lösen das mit IEEE 802.1X: Jeder Nutzer oder jedes Gerät meldet sich einzeln an, ein RADIUS-Server prüft die Anmeldung und kann dem Gerät zusätzlich ein VLAN zuweisen. Diese Anleitung zeigt den Aufbau mit Windows Server und dem Netzwerkrichtlinienserver (NPS) für Active-Directory-Umgebungen und mit FreeRADIUS 3.2 als Alternative, einschließlich der dynamischen VLAN-Zuweisung und der Tests, mit denen Sie jede Stufe einzeln prüfen.

Voraussetzungen

• RADIUS-Server, Variante NPS: Windows Server 2019, 2022 oder 2025, Mitglied der Domäne, 2 CPU-Kerne, 4 GB RAM, 60 GB Speicher. NPS kann auch auf einem Domänencontroller laufen.
• RADIUS-Server, Variante FreeRADIUS: Debian 13 (Paket FreeRADIUS 3.2.7) oder Ubuntu 24.04 (3.2.5), x86-64 oder ARM64, 2 CPU-Kerne und 2 GB RAM genügen für ein KMU.
• Active Directory mit einer Sicherheitsgruppe, zum Beispiel WLAN-Mitarbeiter, und einer Zertifizierungsstelle (AD CS) oder einer anderen internen PKI.
• Serverzertifikat für den RADIUS-Server mit Zweck „Server Authentication“ (OID 1.3.6.1.5.5.7.3.1), gesetztem Antragstellernamen und dem DNS-Namen des Servers im Feld „Alternativer Antragstellername“.
• Access Points mit WPA2-/WPA3-Enterprise und RADIUS-VLAN-Zuweisung, ein Managed Switch mit Trunk zu den Access Points und je VLAN ein DHCP-Bereich. Grundlagen dazu in VLANs verstehen und auf einem Managed Switch einrichten.
• Ein langes, zufälliges Shared Secret je Access Point. Im Beispiel: AP 192.168.1.10, Mitarbeiter-VLAN 10, Gäste-VLAN 20.

Schritt 1: Anmeldeverfahren festlegen

Das EAP-Verfahren bestimmt, womit sich Geräte ausweisen, und damit den Aufwand für Ihre PKI.

Merkmal	PEAP-MSCHAPv2	EAP-TLS
Anmeldung mit	Benutzername und Kennwort	Client-Zertifikat
Serverzertifikat	erforderlich	erforderlich
Client-Zertifikate	nicht nötig	für jedes Gerät oder jeden Benutzer
Windows 11 mit Credential Guard	kein automatisches Anmelden mit Windows-Zugangsdaten	uneingeschränkt
WPA3-Enterprise 192-Bit-Modus	nicht zulässig	einziges zulässiges Verfahren

Microsoft schreibt dazu, dass MSCHAPv2-basierte Verbindungen ähnlichen Angriffen ausgesetzt sind wie NTLMv1, und empfiehlt für WLAN und VPN den Wechsel auf zertifikatsbasierte Verfahren wie PEAP-TLS oder EAP-TLS. Seit Windows 11 22H2 ist Credential Guard auf geeigneten Geräten standardmäßig aktiv; die Anmeldung per MSCHAPv2 mit den gespeicherten Windows-Zugangsdaten funktioniert dann nicht mehr. Für neue Installationen ist EAP-TLS mit Computerzertifikaten aus AD CS deshalb der tragfähigere Weg. PEAP-MSCHAPv2 bleibt als Übergang für Geräte ohne Zertifikat möglich.

Verifizieren: Ihr Konzept legt je Gerätegruppe ein Verfahren und ein VLAN fest, und für EAP-TLS ist geklärt, welche Zertifikatvorlage die Clients erhalten.

Schritt 2: NPS installieren und Access Point eintragen

Installieren Sie die Rolle per PowerShell, registrieren Sie den Server im AD und legen Sie den Access Point als RADIUS-Client an:

Install-WindowsFeature NPAS -IncludeManagementTools
New-NpsRadiusClient -Address "192.168.1.10" -Name "AP-Buero" -SharedSecret "LANGES-ZUFALLS-SECRET"
Get-NpsRadiusClient

Registrieren Sie den Server danach in der NPS-Konsole mit Rechtsklick auf „NPS (Lokal)“ und „Server in Active Directory registrieren“. Die Registrierung nimmt ihn in die AD-Gruppe „RAS and IAS Servers“ auf; nur dann darf NPS die Einwahleigenschaften der Benutzerkonten lesen. Tragen Sie das identische Shared Secret im Access Point ein; es unterscheidet Groß- und Kleinschreibung.

Verifizieren: Get-NpsRadiusClient listet „AP-Büro“ mit der Adresse 192.168.1.10, und in „Active Directory-Benutzer und -Computer“ ist das Computerkonto des NPS Mitglied der Gruppe „RAS and IAS Servers“.

Schritt 3: Netzwerkrichtlinie mit VLAN-Zuweisung

Starten Sie in der NPS-Konsole unter „Standardkonfiguration“ den Assistenten „RADIUS-Server für drahtlose oder verkabelte 802.1X-Verbindungen“ und wählen Sie „Sichere Drahtlosverbindungen“. Wählen Sie den Access Point, als Verfahren „Microsoft: Smartcard- oder anderes Zertifikat“ für EAP-TLS oder „Microsoft: Geschütztes EAP (PEAP)“ und dort das Serverzertifikat. Als Bedingung setzen Sie die Gruppe WLAN-Mitarbeiter.

Öffnen Sie anschließend die erzeugte Netzwerkrichtlinie, Reiter „Einstellungen“, „RADIUS-Attribute“, „Standard“, und fügen Sie hinzu:

Attribut	Nr.	Wert
Tunnel-Type	64	Virtual LANs (VLAN)
Tunnel-Medium-Type	65	802 (Includes all 802 media plus Ethernet canonical format)
Tunnel-Pvt-Group-ID	81	10

Die Attribute sind in RFC 2868 und RFC 3580 festgelegt. In der RADIUS-Nachricht wird die VLAN-Nummer als Zeichenkette übertragen; in NPS geben Sie einfach die Zahl ein. Das Attribut Tunnel-Tag fügen Sie laut Microsoft nur hinzu, wenn die Dokumentation Ihres Access Points es verlangt. Für eine zweite Gruppe mit anderem VLAN legen Sie eine weitere Richtlinie an; NPS wertet Richtlinien in der Reihenfolge ihrer Priorität aus und nimmt die erste passende.

Aktivieren Sie die Protokollierung, damit Anmeldungen im Ereignisprotokoll erscheinen:

auditpol /set /subcategory:"Network Policy Server" /success:enable /failure:enable

Verifizieren: Nach einer Anmeldung erhält der Client eine Adresse aus dem DHCP-Bereich von VLAN 10, und die Ereignisanzeige zeigt unter „Benutzerdefinierte Ansichten“, „Serverrollen“, „Netzwerkrichtlinien- und Zugriffsdienste“ keine Ereignisse 6273 oder 6274 für diesen Benutzer.

Schritt 4: Alternative FreeRADIUS 3.2

FreeRADIUS eignet sich, wenn kein Windows Server vorhanden ist oder Geräte außerhalb des AD angemeldet werden sollen. Installieren Sie die Pakete und starten Sie für die Einrichtung den Debug-Modus, der jede Anfrage im Klartext zeigt:

sudo apt install freeradius freeradius-utils
sudo systemctl stop freeradius
sudo freeradius -X

Den Access Point tragen Sie in /etc/freeradius/3.0/clients.conf ein:

client ap-buero {
    ipaddr = 192.168.1.10
    secret = LANGES-ZUFALLS-SECRET
}

Das VLAN vergeben Sie für einen Testbenutzer in /etc/freeradius/3.0/mods-config/files/authorize. Die Reihenfolge im Abschnitt authorize der Standardkonfiguration (eap vor files) bleibt unverändert.

mitarbeiter Cleartext-Password := "Test-Passwort-1"
        Tunnel-Type := VLAN,
        Tunnel-Medium-Type := IEEE-802,
        Tunnel-Private-Group-Id := "10"

Bei PEAP entstehen diese Attribute im inneren Tunnel. Damit sie im äußeren Access-Accept beim Access Point ankommen, ändern Sie in /etc/freeradius/3.0/sites-available/inner-tunnel im Abschnitt post-auth die Zeile if (0) { in if (1) {; die Datei beschreibt genau diesen Weg. Im Test lieferte die unveränderte Konfiguration ein erfolgreiches Access-Accept ohne VLAN-Attribute, nach der Änderung waren die Attribute 64, 65 und 81 enthalten.

Debian und Ubuntu setzen in mods-available/eap das selbstsignierte Zertifikat ssl-cert-snakeoil ein. Ersetzen Sie private_key_file, certificate_file und ca_file vor dem Produktivbetrieb durch Ihr Serverzertifikat. Die Standardkonfiguration begrenzt TLS auf Version 1.2, weil laut FreeRADIUS viele Supplicants TLS 1.3 bei EAP noch nicht zuverlässig beherrschen. Für die Anbindung an das AD per ntlm_auth beschreibt die Datei mods-available/mschap die nötigen Schritte mit Samba und winbind.

Verifizieren: radtest mitarbeiter Test-Passwort-1 127.0.0.1 0 testing123 meldet „Received Access-Accept“ mit Tunnel-Private-Group-Id:0 = "10"; ein falsches Kennwort ergibt „Received Access-Reject“.

Schritt 5: Ende-zu-Ende-Test mit eapol_test

radtest prüft nur PAP. Die echte WLAN-Anmeldung simulieren Sie mit eapol_test aus dem Paket eapoltest, ohne Access Point:

network={
    key_mgmt=WPA-EAP
    eap=PEAP
    identity="mitarbeiter"
    anonymous_identity="anonymous"
    password="Test-Passwort-1"
    phase2="auth=MSCHAPV2"
    ca_cert="/pfad/zur/ca.pem"
}

sudo apt install eapoltest
eapol_test -c peap.conf -s testing123 -a 127.0.0.1

Die Option -s ist das Shared Secret des Clients, -a die Adresse des RADIUS-Servers. Den Test können Sie auch gegen NPS richten, wenn der Testrechner dort als RADIUS-Client eingetragen ist.

Verifizieren: Die letzte Zeile lautet „SUCCESS“, und die Ausgabe enthält die Attribute „Attribute 64 (Tunnel-Type)“, „Attribute 65 (Tunnel-Medium-Type)“ und „Attribute 81 (Tunnel-Private-Group-Id)“.

Schritt 6: WLAN-Profil per Gruppenrichtlinie verteilen

Öffnen Sie in einem GPO „Computerkonfiguration“, „Richtlinien“, „Windows-Einstellungen“, „Sicherheitseinstellungen“, „Drahtlosnetzwerkrichtlinien (IEEE 802.11)“ und legen Sie eine Richtlinie für Windows Vista und neuer an. Im Netzwerkprofil tragen Sie SSID, WPA2- oder WPA3-Enterprise mit AES und das EAP-Verfahren ein. In den Eigenschaften des Verfahrens aktivieren Sie „Identität des Servers mittels Zertifikatprüfung überprüfen“, tragen den Servernamen ein und wählen unter „Vertrauenswürdige Stammzertifizierungsstellen“ genau Ihre Stammzertifizierungsstelle aus.

Diese Auswahl ist unter Windows 11 wichtiger als früher. Windows 11 vertraut dem Serverzertifikat nur, wenn entweder dessen Fingerabdruck im Profil steht oder die Kette vertrauenswürdig ist und der Fingerabdruck der Stammzertifizierungsstelle im Profil eingetragen ist. Profile ohne ausgewählte Stammzertifizierungsstelle führen deshalb nach dem Wechsel auf Windows 11 zu Verbindungsabbrüchen.

Verifizieren: Auf einem Client zeigt gpresult /r das GPO unter den angewendeten Richtlinien, und netsh wlan show profiles listet die SSID als Gruppenrichtlinienprofil.

Typische Fehler

• Anmeldung erfolgreich, Gerät landet im Standard-VLAN: Die VLAN-Attribute fehlen im Access-Accept. Bei FreeRADIUS mit PEAP die Übernahme aus dem inner-tunnel prüfen (Schritt 4), bei NPS die Attribute der zutreffenden Richtlinie. Außerdem muss am Access Point die RADIUS-VLAN-Zuweisung aktiviert und das VLAN auf dem Trunk erlaubt sein.
• Keine Antwort vom RADIUS-Server: Shared Secret falsch. FreeRADIUS verwirft solche Pakete mit „Received packet from 127.0.0.1 with invalid Message-Authenticator! (Shared secret is incorrect.)“, der Client läuft in eine Zeitüberschreitung.
• Falsches Kennwort: FreeRADIUS meldet „mschap: ERROR: MS-CHAP2-Response is incorrect“ und sendet Access-Reject; NPS protokolliert Ereignis 6273 mit Reason Code 16. Microsoft nennt als Ursachen falsches Kennwort, gesperrtes Konto oder eine Anfrage an die falsche Domäne.
• Client bricht beim Zertifikat ab: Die Stammzertifizierungsstelle ist im Client nicht hinterlegt. eapol_test zeigt dann „CTRL-EVENT-EAP-TLS-CERT-ERROR“ mit „self-signed certificate“ oder „unable to get local issuer certificate“.
• NPS lehnt ab, obwohl das Kennwort stimmt: EAP-Verfahren in Netzwerkrichtlinie und WLAN-Profil weichen voneinander ab oder in der Richtlinie ist kein Serverzertifikat ausgewählt. Beide Seiten auf dasselbe Verfahren stellen und den Reason Code im Ereignis 6273 lesen.
• Windows 11 verbindet nicht mehr per PEAP-MSCHAPv2: Credential Guard verhindert die automatische Anmeldung mit Windows-Zugangsdaten. Auf EAP-TLS umstellen.

Häufige Fragen

Unterstützt NPS TLS 1.3?

Laut Microsoft unterstützt NPS TLS 1.3 derzeit nicht. Windows 11 ab 22H2 bietet für EAP TLS 1.3 an und fällt bei NPS auf TLS 1.2 zurück. Auch FreeRADIUS beschränkt TLS in der Standardkonfiguration auf 1.2; im Test bot der Client TLS 1.3 an, der Server antwortete mit TLS 1.2.

Wie binde ich Drucker ohne 802.1X an?

Über ein eigenes SSID mit WPA2- oder WPA3-Personal in einem abgeschotteten VLAN oder, am kabelgebundenen Switch, über MAC Authentication Bypass. Die MAC-Adresse ist kein sicheres Merkmal, weil sie sich fälschen lässt; das Druckernetz darf deshalb nur die nötigen Ziele erreichen.

Kann ich NPS und FreeRADIUS parallel betreiben?

Ja, zum Beispiel NPS für Domänengeräte und FreeRADIUS für ein Gästenetz. Jeder Access Point oder jede SSID verweist dann auf den passenden Server. Für Ausfallsicherheit tragen Sie je SSID einen zweiten RADIUS-Server ein.

Ist das Gäste-WLAN mit 802.1X sinnvoll?

Für Gäste ohne Konto meist nicht. Ein getrenntes SSID mit eigenem VLAN und Internetzugang ohne Zugriff auf interne Netze ist einfacher zu betreiben.

Fazit

802.1X ersetzt das gemeinsame WLAN-Passwort durch Einzelanmeldungen und macht das VLAN zur Eigenschaft des Kontos statt des Access Points. In AD-Umgebungen ist NPS mit EAP-TLS und Computerzertifikaten der direkte Weg, FreeRADIUS die flexible Alternative. Wer jede Stufe einzeln prüft, erst radtest, dann eapol_test, dann ein echtes Gerät, findet Fehler bei Secret, Zertifikat und VLAN-Attributen schnell.

Weiterführende Anleitungen und Quellen

• VLANs verstehen und auf einem Managed Switch einrichten
• Active Directory: Domäne einrichten und erste Benutzer/OUs anlegen
• Zero-Trust-Netzwerksegmentierung im KMU
• Microsoft: Wireless Access Deployment (NPS, GPO)
• Microsoft: Configure Network Policies (VLAN-Attribute)
• Microsoft: EAP, What's changed in Windows 11
• Microsoft: Troubleshoot Network Policy Server
• Microsoft: Credential Guard, WLAN und VPN
• FreeRADIUS 3.2: Standardkonfiguration (eap, inner-tunnel, mschap)
• RFC 3580: IEEE 802.1X RADIUS Usage Guidelines