802.1X-Authentifizierung erfolgreich, aber Clients landen trotzdem im Guest VLAN – RADIUS- und Switch-Konfiguration prüfen

Question

802.1X-Authentifizierung erfolgreich, aber Clients landen trotzdem im Guest VLAN – RADIUS- und Switch-Konfiguration prüfen

Tilda Zimmermann 20

Hallo,

Wir haben ein Problem mit der VLAN-Zuweisung in unserer NAC-Umgebung: Workstations durchlaufen die 802.1X Machine Authentication erfolgreich, werden anschließend aber trotzdem dem Guest VLAN statt dem vorgesehenen Corporate VLAN zugewiesen.

Es sieht so aus, als ob die Authentifizierung selbst funktioniert, die dynamische VLAN-Zuweisung über RADIUS jedoch nicht korrekt greift. Ich möchte deshalb prüfen, ob der RADIUS-Server die erforderlichen Tunnel-Attribute korrekt zurückliefert und ob der Switch diese Attribute richtig interpretiert.

Konkret geht es um die RADIUS-Attribute Tunnel-Type, Tunnel-Medium-Type und Tunnel-Private-Group-ID sowie um die zugehörigen Switch-Port-Profile und die Konfiguration für Dynamic VLAN Assignment.

Welche Schritte würdet ihr zur Fehlersuche empfehlen? Sollte man zuerst die RADIUS-Accept-Response und die zugewiesenen Attribute im RADIUS-Log prüfen oder direkt die Switch-Konfiguration, VLAN-Zuordnung und 802.1X-Policies untersuchen?

Interessant wäre auch, welche typischen Ursachen dazu führen, dass ein Client trotz erfolgreicher Machine Authentication im Guest VLAN landet – beispielsweise fehlende oder fehlerhafte Tunnel-Attribute, nicht vorhandene VLANs, falsch konfigurierte Port-Profile oder Unterschiede zwischen Machine Authentication und User Authentication.

Ziel ist, die Ursache einzugrenzen und sicherzustellen, dass authentifizierte Workstations zuverlässig dem richtigen VLAN zugewiesen werden, ohne die NAC- und 802.1X-Sicherheitsrichtlinien aufzuweichen.

0 Kommentare

1 Antwort

Ihre Antwort

Answer 1

Hallo Tilda Zimmermann,

da die Workstation die 802.1X-Machine-Authentifizierung erfolgreich durchläuft, würde ich zunächst die RADIUS-Access-Accept-Response überprüfen und sicherstellen, dass die erforderlichen VLAN-Attribute tatsächlich zurückgegeben werden: Tunnel-Type = VLAN, Tunnel-Medium-Type = IEEE-802 und Tunnel-Private-Group-ID = VLAN-ID. Fehlt eines dieser Attribute, ist es fehlerhaft formatiert oder falsch zugeordnet, fällt der Switch häufig auf das Guest VLAN zurück, obwohl die Authentifizierung erfolgreich war.

Als Nächstes solltest du prüfen, ob das Ziel-VLAN auf dem Switch angelegt ist, auf den Uplinks zugelassen wird und dem richtigen Port-Profil zugeordnet ist. Ich habe auch schon Fälle gesehen, in denen die Machine-Authentifizierung erfolgreich war, die VLAN-Zuweisung anschließend aber durch die Richtlinien für die Benutzerauthentifizierung überschrieben wurde. Dadurch landete der Client unerwartet im Guest VLAN. Wenn du die RADIUS-Logs und die 802.1X-Event-Logs des Switches für denselben Zeitpunkt vergleichst, lässt sich schnell feststellen, ob die VLAN-Informationen korrekt empfangen und verarbeitet wurden.

Eine weitere häufige Ursache ist eine Abweichung zwischen der von RADIUS zurückgegebenen VLAN-ID und der Switch-Konfiguration. Ebenso kann ein Port-Profil dafür verantwortlich sein, wenn es keine dynamische VLAN-Zuweisung zulässt. Falls deine NAC-Lösung mit Authorization Policies arbeitet, solltest du außerdem prüfen, ob der Endpoint tatsächlich der vorgesehenen Policy zugeordnet wird oder versehentlich in eine standardmäßige Guest-Regel fällt.

Ich empfehle, bei der Fehlersuche in dieser Reihenfolge vorzugehen: Zuerst die VLAN-Attribute in der RADIUS-Access-Accept-Response validieren, anschließend die VLAN- und Port-Profil-Konfiguration auf dem Switch überprüfen und danach die NAC-Autorisierungsrichtlinien sowie die Übergänge zwischen den Authentifizierungszuständen (Machine-to-User) untersuchen. Mit diesem Vorgehen lässt sich die eigentliche Ursache in der Regel eingrenzen, ohne das Sicherheitsmodell deiner NAC-Umgebung aufweichen zu müssen.

Ich hoffe, diese Hinweise helfen dir bei der Fehlersuche. Wenn die Antwort hilfreich war, klicke bitte auf „Accept Answer“, damit ich weiß, dass sie deine Frage beantwortet hat.

Jason