Belangrijkste punten
- 802.1X-authenticatie is een netwerkbeveiligingsstandaard die vereist dat devices en gebruikers hun identiteit bevestigen voordat ze toegang krijgen tot bedrade of draadloze netwerken. Zo wordt ongeautoriseerde toegang voorkomen, omdat alleen goedgekeurde devices en referenties verbinding mogen maken.
- 802.1X controleert de identiteit van een device of gebruiker via een beveiligd authenticatieproces dat communiceert met een centrale authenticatieserver. Op basis van het resultaat wordt netwerktoegang verleend of geblokkeerd.
- Extensible Authentication Protocol (EAP) is een kader dat meerdere authenticatiemethoden ondersteunt die in 802.1X-implementaties worden gebruikt. Veelgebruikte EAP-methoden zijn:
- Extensible Authentication Protocol – Transport Layer Security (EAP-TLS)
- Protected Extensible Authentication Protocol (PEAP)
- Extensible Authentication Protocol with Microsoft Challenge Authentication Protocol Version 2 EAP-MSCHAPv2
- Extensible Authentication Protocol-Tunneled Transport Layer Security (EAP-TTLS)
- Veelvoorkomende problemen met 802.1X zijn onder meer:
- Ongeldige gebruikersnamen of wachtwoorden
- Verlopen, ontbrekende of niet-vertrouwde certificaten
- Niet-overeenkomende EAP-configuraties tussen client en server
- Een onbereikbare RADIUS-server of connectiviteitsproblemen
- Wel geauthenticeerd, maar geen netwerktoegang
- Veelvuldige verbroken verbindingen of mislukte herauthenticatie
- NinjaOne ondersteunt 802.1X-implementaties door beleid te centraliseren, de uitrol van certificaten te automatiseren en consistente deviceconfiguraties af te dwingen. Zo zijn veilige verbindingen mogelijk en houdt IT volledig zicht op de device-inventaris en de status van endpoints.
802.1X-authenticatie is een fundamenteel mechanisme binnen moderne network access control. Het fungeert als een waarborg die de identiteit van devices of gebruikers controleert voordat netwerktoegang wordt verleend. Om te voorkomen dat endpoints zomaar verbinding maken, kan een organisatie met 802.1X-authenticatie toegang op basis van identiteit afdwingen met referenties of digitale certificaten.
Deze aanpak zorgt ervoor dat toegang gekoppeld is aan individuele identiteiten. We laten u zien hoe 802.1X-authenticatie de beveiliging van zowel bedrade als draadloze bedrijfsnetwerken aanzienlijk versterkt.
Kerncomponenten van 802.1X
802.1X-authenticatie werkt met drie afzonderlijke rollen die tijdens het authenticatieproces samenwerken:
- Supplicant
De supplicant kan elk device zijn (laptop, desktop, telefoon of andere endpoints) of elke gebruiker die via een switchpoort of draadloos accesspoint toegang tot het netwerk vraagt. - Authenticator
De authenticator is het netwerkdevice, zoals een switch of draadloos accesspoint, dat de toegang regelt. Standaard blokkeert het al het verkeer en laat het alleen authenticatieberichten door totdat de identiteit is bevestigd. - Authenticatieserver
De authenticatieserver valideert referenties, toetst het identiteitsbeleid en stuurt een goedkeuring of afwijzing terug naar de authenticator. Meestal gaat het om een Remote Authentication Dial-In User Service (RADIUS)-server.
Als een van deze drie verkeerd is geconfigureerd of niet beschikbaar is, kan de authenticatie niet slagen.
Zo verloopt de 802.1X-authenticatie
Het 802.1X-authenticatieproces volgt een vaste uitwisselingsvolgorde die bedoeld is om de identiteit te verifiëren voordat toegang wordt verleend. Op hoofdlijnen gaat dat zo:
- De supplicant vraagt toegang tot het netwerk.
- De authenticator stuurt de referenties door naar de authenticatieserver.
- De authenticatieserver valideert de identiteit en stuurt het resultaat terug naar de authenticator.
- De authenticator verleent of weigert toegang.
EAP-methoden en hun impact
EAP is een flexibel authenticatiekader dat meerdere authenticatiemethoden ondersteunt, waardoor devices of gebruikers op verschillende manieren kunnen worden geverifieerd. Veelgebruikte EAP-methoden zijn:
EAP-TLS
Extensible Authentication Protocol – Transport Layer Security (EAP-TLS) is een methode die digitale certificaten van client en server gebruikt voor wederzijdse authenticatie. Er worden geen wachtwoorden verstuurd en daarom geldt dit als de veiligste en meest aanbevolen EAP-methode voor bedrijfsomgevingen.
PEAP en EAP-MSCHAPv2
Protected Extensible Authentication Protocol (PEAP) brengt een beveiligde TLS-tunnel tot stand tussen de client en de authenticatieserver. Binnen die tunnel worden interne authenticatiemethoden zoals MSCHAPv2 gebruikt om gebruikersnamen en wachtwoorden te valideren. Deze methoden zijn eenvoudiger uit te rollen dan authenticatie op basis van certificaten, maar ze staan of vallen met de sterkte en bescherming van de gebruikersreferenties.
EAP-TTLS
Extensible Authentication Protocol-Tunneled Transport Layer Security (EAP-TTLS) brengt een beveiligde TLS-tunnel tot stand en ondersteunt meerdere interne authenticatiemethoden, waardoor referenties flexibel binnen een versleutelde sessie kunnen worden gevalideerd.
Kies uw EAP-methode op basis van de beveiligingseisen, afgewogen tegen de benodigde inspanning voor de uitrol en de compatibiliteit van devices.
802.1X toepassen op bedrade en draadloze netwerken
802.1X-authenticatie kan toegangscontrole afdwingen ongeacht het verbindingstype, bedraad of draadloos. Tot de identiteitscontrole is afgerond wordt toegang geweigerd.
Bedrade netwerken
- Switchpoorten blijven geblokkeerd voor regulier verkeer; alleen 802.1X-verkeer is toegestaan totdat de authenticatie slaagt.
- Devices moeten zich authenticeren voordat ze netwerktoegang krijgen.
- Na een geslaagde authenticatie gaat de poort over naar een geautoriseerde status en wordt regulier verkeer toegelaten.
Draadloze netwerken
- Het accesspoint staat koppeling met de SSID toe, maar blokkeert regulier dataverkeer totdat de authenticatie slaagt.
- Devices moeten de 802.1X-authenticatie afronden voordat ze volledige netwerktoegang krijgen.
- Na een geslaagde authenticatie worden encryptiesleutels aangemaakt en is regulier netwerkverkeer toegestaan.
Veelvoorkomende oorzaken van mislukte authenticatie
De meeste problemen met 802.1X ontstaan in de identiteitsinfrastructuur en niet in switches of accesspoints. Inzicht in mislukte authenticaties maakt het eenvoudiger om problemen op te sporen en op te lossen. Dit zijn de meest voorkomende oorzaken:
| Problemen | Mogelijke oplossingen |
| Ongeldige gebruikersnamen of wachtwoorden | Controleer de referenties van de gebruiker in de identity store (zoals Active Directory) en zorg dat het clientdevice geen verouderde inloggegevens in de cache bewaart. |
| Verlopen, ontbrekende of niet-vertrouwde certificaten | Vernieuw het servercertificaat of installeer het juiste Root CA-certificaat in de certificaatopslag Vertrouwde basiscertificeringsinstanties op de client om een geldige vertrouwensketen op te bouwen. |
| Niet-overeenkomende EAP-configuraties tussen client en server | Stem de EAP-typen, zoals PEAP of EAP-TLS, op elkaar af op zowel de clientsupplicant als de RADIUS-server, zodat beide dezelfde handshake-methode gebruiken. |
| Een onbereikbare RADIUS-server of connectiviteitsproblemen | Controleer het netwerkpad op geblokkeerde UDP-poorten (1812/1813) en zorg dat de RADIUS-service draait en het IP-adres van het netwerkdevice als geldige shared-secret client is geconfigureerd. |
| Wel geauthenticeerd, maar geen netwerktoegang | Controleer de VLAN-toewijzing, de access policies en de autorisatieattributen die de RADIUS-server na een geslaagde authenticatie teruggeeft. |
| Veelvuldige verbroken verbindingen of mislukte herauthenticatie | Bekijk de instellingen voor sessietime-out, idle timeout en het herauthenticatie-interval op zowel de authenticator als de authenticatieserver en zorg dat ze op elkaar aansluiten. |
Operationele aandachtspunten bij 802.1X
Een geslaagde 802.1X-implementatie staat of valt met de ondersteunende systemen en processen.
Belangrijke operationele aandachtspunten zijn:
- Betrouwbaarheid en redundantie van identityproviders
- Beheer van de certificaat-lifecycle en planning van vernieuwingen
- Consistente clientconfiguratie op alle besturingssystemen
- Heldere strategieën voor gasttoegang of fallback-toegang
Operationele planning beperkt de hinder voor gebruikers en de doorlopende belasting van de supportafdeling.
Overige aandachtspunten
Om problemen bij de uitrol te beperken, is het goed om rekening te houden met een aantal factoren die de stabiliteit en het succes op lange termijn bepalen:
- 802.1X leunt sterk op een gezonde identiteitsinfrastructuur.
- Certificaatbeheer is cruciaal voor stabiliteit op lange termijn.
- Voor gasttoegang worden vaak alternatieve mechanismen gebruikt.
- Omgevingen met verschillende besturingssystemen vragen mogelijk om extra configuratie op de clients.
802.1X-authenticatie binnen network access control
Het gebruik van 802.1X-authenticatiemethoden verbetert de beveiliging, schaalbaarheid en beheerbaarheid voor organisaties met uiteenlopende gebruikers, besturingssystemen en devicetypen. Wie deze beschermingsaanpak begrijpt en de mogelijke knelpunten kent, kan de authenticatiemethode betrouwbaarder uitrollen.
In dit tijdperk van geavanceerde cyberaanvallen en destructieve dreigingen biedt 802.1X-authenticatie een cruciale verdedigingslaag, doordat alleen vertrouwde en geverifieerde identiteiten toegang krijgen tot bedrijfsnetwerken.
Gerelateerde onderwerpen:
