Diese Anleitung gilt für Windows-Computer
Wenn Sie in Iru Endpoint Enterprise Wi-Fi auswählen, werden die Einstellungen Identity certificate und Certificate trust immer in der Benutzeroberfläche angezeigt, unabhängig vom ausgewählten EAP-Typ. Diese Felder sind nicht erforderlich und gelten bei manchen EAP-Typen nicht. Wenn Ihr EAP-Typ keine Zertifikate verwendet, können Sie diese Felder leer lassen.
EAP-TLS konfigurieren
EAP-TLS verwendet Transport Layer Security und ein Identitätszertifikat, um das Gerät beim Netzwerk zu authentifizieren. Sie müssen ein Identitätszertifikat bereitstellen, um EAP-TLS zu verwenden.1
EAP-Typ auswählen
Wählen Sie TLS unter Accepted EAP Types.
2
Quelle der Anmeldeinformationen wählen
Wählen Sie unter Credential source, wie der Client das Identitätszertifikat finden soll.
- Die meisten Bereitstellungen verwenden Certificate Store.
3
Einfache Zertifikatsauswahl aktivieren (empfohlen)
Aktivieren Sie Simple certificate selection, damit Windows bei der Authentifizierung automatisch das richtige Zertifikat auswählt.
Wenn diese Option deaktiviert ist, werden Benutzer möglicherweise aufgefordert, aus den verfügbaren Zertifikaten auszuwählen.
4
Servervalidierung konfigurieren (empfohlen)
Konfigurieren Sie die Validierungsoptionen entsprechend der Bereitstellung Ihrer RADIUS-/Zertifikatsinfrastruktur:
- Perform server validation (für die Produktion empfohlen)
- Benutzeraufforderung für die Servervalidierung deaktivieren
- Servername akzeptieren
5
EKU-Filterung konfigurieren (optional)
Wenn Ihre Umgebung EKU-Filterung verwendet, konfigurieren Sie:
- EKU für Clientauthentifizierung
- EKU für beliebigen Zweck
- EKU für alle Zwecke
EAP-TTLS konfigurieren
Tunneled Transport Layer Security (TTLS) verwendet einen TLS-Tunnel, um ein anderes Authentifizierungsprotokoll zu verschlüsseln. Es erfordert in der Regel kein Identitätszertifikat, und die meisten Bereitstellungen authentifizieren sich mit Benutzername und Passwort (oder je nach Infrastruktur mit Geräteanmeldeinformationen).1
EAP-Typ auswählen
Wählen Sie TTLS unter Accepted EAP Types.
2
Identitätsschutz aktivieren (optional, aber empfohlen)
Wenn Ihre Infrastruktur Identitätsschutz unterstützt, aktivieren Sie Enable identity privacy.
Wenn diese Option aktiviert ist, sendet der Client beim ersten Austausch eine anonyme äußere Identität und gibt die tatsächliche Identität erst innerhalb des verschlüsselten Tunnels preis.
3
Servervalidierung konfigurieren (empfohlen)
Konfigurieren Sie:
- Servervalidierung durchführen
- Benutzeraufforderung für die Servervalidierung deaktivieren
- Servername akzeptieren
4
Innere Authentifizierung konfigurieren
Wählen Sie unter Inner authentication das Authentifizierungsprotokoll aus, das innerhalb des TLS-Tunnels verwendet wird (gemäß Ihrer RADIUS-Konfiguration).
Einstellungen für Identitätszertifikate können in der Benutzeroberfläche angezeigt werden, werden für TTLS jedoch in der Regel nicht verwendet, es sei denn, Ihre Infrastruktur erfordert ausdrücklich ein Zertifikat.
EAP-PEAP konfigurieren
Protected Extensible Authentication Protocol (PEAP) verwendet einen TLS-Tunnel, um Anmeldeinformationen zu schützen, die über eine innere Authentifizierungsmethode ausgetauscht werden. Wie TTLS erfordert PEAP in der Regel kein Identitätszertifikat und verwendet innerhalb des Tunnels meist eine Authentifizierung mit Benutzername/Passwort.1
EAP-Typ auswählen
Wählen Sie PEAP unter Accepted EAP Types.
2
Optionales PEAP-Verhalten konfigurieren
Konfigurieren Sie je nach Umgebung:
- Enable fast reconnect (verbessert die Roaming-Leistung)
- Require cryptobinding (empfohlen, sofern unterstützt; schützt vor einigen Tunneling-Angriffen)
- Enable NAP quarantine checks (veraltet; in modernen Bereitstellungen meist deaktiviert)
3
Vertrauensverhalten für nicht vertrauenswürdige Serverzertifikate steuern (empfohlen)
Konfigurieren Sie Allow user to accept untrusted server certificates.
- Wenn aktiviert, werden Benutzer möglicherweise zur Bestätigung aufgefordert, wenn der Server-CA nicht vertraut wird.
- Wenn deaktiviert, schlägt die Verbindung automatisch fehl, wenn der Server nicht validiert werden kann.
4
Servervalidierung konfigurieren (empfohlen)
Konfigurieren Sie:
- Servervalidierung durchführen
- Benutzeraufforderung für die Servervalidierung deaktivieren
- Servername akzeptieren
5
Identitätsschutz aktivieren (optional, aber empfohlen)
Aktivieren Sie Enable identity privacy, wenn Ihre Bereitstellung anonyme äußere Identitäten unterstützt.
6
Innere Authentifizierung konfigurieren
Wählen Sie eine Methode für Inner authentication entsprechend Ihren RADIUS-Anforderungen.
PEAP verwendet in der Regel kein Identitätszertifikat, auch wenn die Felder für das Identitätszertifikat angezeigt werden.
EAP-TEAP konfigurieren
Tunneled EAP (TEAP) ist eine moderne getunnelte EAP-Methode, die mehrere innere Authentifizierungsmechanismen und eine bessere Erweiterbarkeit als PEAP/TTLS unterstützt. Viele TEAP-Bereitstellungen authentifizieren sich mit Benutzername/Passwort, Zertifikaten oder einer Kombination davon.1
EAP-Typ auswählen
Wählen Sie TEAP unter Accepted EAP Types.
2
Vertrauensverhalten für manuell akzeptierte Serverzertifikate konfigurieren (optional)
Konfigurieren Sie Auto-trust servers accepted by the user.
Wenn aktiviert und ein Benutzer ein Serverzertifikat manuell akzeptiert und die Verbindung erfolgreich ist, können zusätzliche vom Server übermittelte Stammzertifikate zur Liste der vertrauenswürdigen CAs hinzugefügt werden.
3
Servervalidierung konfigurieren (empfohlen)
Konfigurieren Sie:
- Servervalidierung durchführen
- Benutzeraufforderung für die Servervalidierung deaktivieren
- Servername akzeptieren
4
Identitätsschutz aktivieren (optional)
Aktivieren Sie Enable identity privacy, sofern Ihre Infrastruktur dies unterstützt.
5
Innere Authentifizierung konfigurieren
TEAP kann mehrere innere Methoden verwenden. Konfigurieren Sie:
- Primäre innere Authentifizierung
- Sekundäre innere Authentifizierung (optional)
Einige TEAP-Bereitstellungen verwenden je nach Authentifizierungsstrategie Identitätszertifikate. Wenn Ihre TEAP-Bereitstellung keine Zertifikate verwendet, können Sie die Zertifikatsfelder leer lassen.
EAP-SIM konfigurieren
EAP-SIM verwendet eine SIM-Karte zur Authentifizierung. Es wird häufig in Mobilfunkanbieter- oder Unternehmensumgebungen eingesetzt, die eine SIM-basierte Identität für die Zugriffskontrolle nutzen.1
EAP-Typ auswählen
Wählen Sie SIM unter Accepted EAP Types.
2
Starke Chiffrierschlüssel erzwingen (optional)
Konfigurieren Sie Require strong cipher keys, um stärkere Verschlüsselungsschlüssel (drei RANDs) zu erzwingen.
Ist dies nicht konfiguriert, können je nach Serververhalten zwei oder drei RANDs zulässig sein.
3
Permanente Teilnehmeridentität (IMSI) verbergen (optional)
Konfigurieren Sie Hide permanent subscriber identity (IMSI), um zu verhindern, dass die IMSI preisgegeben wird, wenn aus früheren Authentifizierungen eine Pseudonym-Identität vorhanden ist.
4
Anbieter und Realm konfigurieren (optional)
- Provider name (beschränkt die Authentifizierung auf SIMs, die diesem Anbieter entsprechen)
- Realm configuration (steuert den Realm, der beim Senden der Identität an den Server verwendet wird)
EAP-AKA konfigurieren
EAP-AKA verwendet eine USIM-basierte Authentifizierung, die häufig bei Mobilfunkanbietern und in SIM-fähigen Unternehmensbereitstellungen eingesetzt wird.1
EAP-Typ auswählen
Wählen Sie AKA unter Accepted EAP Types.
2
Permanente Teilnehmeridentität (IMSI) verbergen (optional)
Konfigurieren Sie Hide permanent subscriber identity (IMSI) je nachdem, ob die IMSI geschützt werden soll, wenn Pseudonyme vorhanden sind.
3
Anbieter und Realm konfigurieren (optional)
- Anbietername
- Bereichskonfiguration
EAP-AKA’ konfigurieren
EAP-AKA’ ist eine erweiterte Version von EAP-AKA mit Verbesserungen bei der Identitätsbindung und Schlüsselableitung. Es wird in einigen modernen SIM-basierten Bereitstellungen verwendet.1
EAP-Typ auswählen
Wählen Sie AKA’ unter Accepted EAP Types.
2
Netzwerknamen vom Server validieren (optional)
Konfigurieren Sie Validate network name from server, um zu steuern, ob der Client den erwarteten Netzwerknamen mit dem vom Server angekündigten abgleicht.
3
Schnelle erneute Authentifizierung aktivieren (optional)
Konfigurieren Sie Enable fast reauthentication, um nach Möglichkeit kürzere, schnellere AKA’-Austausche zu ermöglichen.
Wenn deaktiviert oder nicht konfiguriert, verwendet jede Verbindung die vollständige Authentifizierung.
4
Permanente Teilnehmeridentität (IMSI) verbergen (optional)
Konfigurieren Sie die Einstellungen zum IMSI-Schutz, falls Ihre Umgebung dies erfordert.
5
Anbieter und Realm konfigurieren (optional)
- Anbietername
- Bereichskonfiguration
Empfehlungen und Best Practices
- Verwenden Sie nach Möglichkeit immer die Servervalidierung. Das Deaktivieren der Validierung oder das Zulassen nicht vertrauenswürdiger Serverzertifikate erhöht das Risiko des Abfangens von Anmeldeinformationen und von Man-in-the-Middle-Angriffen.
- Aktivieren Sie den Identitätsschutz, sofern verfügbar, insbesondere in TTLS-/PEAP-/TEAP-Umgebungen.
- Verwenden Sie EAP-SIM / AKA / AKA’ nur, wenn Ihre Organisation eine SIM-/USIM-basierte Identitätsauthentifizierung unterstützt. Diese sind in standardmäßigen WLAN-Bereitstellungen in Unternehmen unüblich.
- Wenn Sie nicht sicher sind, welchen EAP-Typ Sie verwenden sollen, klären Sie mit Ihrem WLAN-/RADIUS-Team, welche Methoden in Ihrer Infrastruktur aktiviert sind.