> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# EAP-Typen (Extensible Authentication Protocol) konfigurieren

> Konfigurieren Sie EAP-Authentifizierungstypen für 802.1X auf Windows-Computern mit Iru Endpoint. Richten Sie TLS, TTLS, PEAP und EAP-FAST für WLAN-Netzwerkprofile ein.

<Callout icon="microsoft" color="#B84A7A" iconType="regular">Diese Anleitung gilt für Windows-Computer</Callout>
Für die Authentifizierung bei WLAN-Netzwerken stehen zahlreiche Optionen zur Verfügung, insbesondere wenn Ihre Infrastruktur mehr als eine Authentifizierungsmethode unterstützt. Jede Methode hat eigene Einstellungen, die Sie konfigurieren müssen. Dieser Artikel behandelt die gängigsten EAP-Konfigurationsoptionen, die unter [Das Wi-Fi Library Item konfigurieren](/de/endpoint/library/library-items-profiles/configure-the-wi-fi-library-item) für Windows verfügbar sind.
Ihre Netzwerkinfrastruktur muss den ausgewählten EAP-Typ unterstützen und korrekt konfiguriert sein, um die Authentifizierung zu ermöglichen. Wenn Sie nicht wissen, wie Ihr Netzwerk konfiguriert ist, klären Sie mit Ihren Netzwerkadministratoren, wie sich Netzwerk-Clients authentifizieren sollen.

<Note>
  Wenn Sie in Iru Endpoint Enterprise Wi-Fi auswählen, werden die Einstellungen Identity certificate und Certificate trust immer in der Benutzeroberfläche angezeigt, unabhängig vom ausgewählten EAP-Typ. Diese Felder sind nicht erforderlich und gelten bei manchen EAP-Typen nicht. Wenn Ihr EAP-Typ keine Zertifikate verwendet, können Sie diese Felder leer lassen.
</Note>

## EAP-TLS konfigurieren

EAP-TLS verwendet Transport Layer Security und ein **Identitätszertifikat**, um das Gerät beim Netzwerk zu authentifizieren.
Sie müssen ein Identitätszertifikat bereitstellen, um EAP-TLS zu verwenden.

<Steps>
  <Step title="EAP-Typ auswählen">
    Wählen Sie **TLS** unter **Accepted EAP Types**.
  </Step>

  <Step title="Quelle der Anmeldeinformationen wählen">
    Wählen Sie unter **Credential source**, wie der Client das Identitätszertifikat finden soll.

    * Die meisten Bereitstellungen verwenden **Certificate Store**.
  </Step>

  <Step title="Einfache Zertifikatsauswahl aktivieren (empfohlen)">
    Aktivieren Sie **Simple certificate selection**, damit Windows bei der Authentifizierung automatisch das richtige Zertifikat auswählt.
    Wenn diese Option deaktiviert ist, werden Benutzer möglicherweise aufgefordert, aus den verfügbaren Zertifikaten auszuwählen.
  </Step>

  <Step title="Servervalidierung konfigurieren (empfohlen)">
    Konfigurieren Sie die Validierungsoptionen entsprechend der Bereitstellung Ihrer RADIUS-/Zertifikatsinfrastruktur:

    * **Perform server validation** (für die Produktion empfohlen)
    * **Benutzeraufforderung für die Servervalidierung deaktivieren**
    * **Servername akzeptieren**
  </Step>

  <Step title="EKU-Filterung konfigurieren (optional)">
    Wenn Ihre Umgebung EKU-Filterung verwendet, konfigurieren Sie:

    * **EKU für Clientauthentifizierung**
    * **EKU für beliebigen Zweck**
    * **EKU für alle Zwecke**
  </Step>
</Steps>

## EAP-TTLS konfigurieren

Tunneled Transport Layer Security (TTLS) verwendet einen TLS-Tunnel, um ein anderes Authentifizierungsprotokoll zu verschlüsseln. Es **erfordert in der Regel kein Identitätszertifikat**, und die meisten Bereitstellungen authentifizieren sich mit Benutzername und Passwort (oder je nach Infrastruktur mit Geräteanmeldeinformationen).

<Steps>
  <Step title="EAP-Typ auswählen">
    Wählen Sie **TTLS** unter **Accepted EAP Types**.
  </Step>

  <Step title="Identitätsschutz aktivieren (optional, aber empfohlen)">
    Wenn Ihre Infrastruktur Identitätsschutz unterstützt, aktivieren Sie **Enable identity privacy**.
    Wenn diese Option aktiviert ist, sendet der Client beim ersten Austausch eine anonyme äußere Identität und gibt die tatsächliche Identität erst innerhalb des verschlüsselten Tunnels preis.
  </Step>

  <Step title="Servervalidierung konfigurieren (empfohlen)">
    Konfigurieren Sie:

    * **Servervalidierung durchführen**
    * **Benutzeraufforderung für die Servervalidierung deaktivieren**
    * **Servername akzeptieren**
  </Step>

  <Step title="Innere Authentifizierung konfigurieren">
    Wählen Sie unter **Inner authentication** das Authentifizierungsprotokoll aus, das innerhalb des TLS-Tunnels verwendet wird (gemäß Ihrer RADIUS-Konfiguration).
  </Step>
</Steps>

<Note>
  Einstellungen für Identitätszertifikate können in der Benutzeroberfläche angezeigt werden, werden für TTLS jedoch in der Regel nicht verwendet, es sei denn, Ihre Infrastruktur erfordert ausdrücklich ein Zertifikat.
</Note>

## EAP-PEAP konfigurieren

Protected Extensible Authentication Protocol (PEAP) verwendet einen TLS-Tunnel, um Anmeldeinformationen zu schützen, die über eine innere Authentifizierungsmethode ausgetauscht werden. Wie TTLS **erfordert PEAP in der Regel kein Identitätszertifikat** und verwendet innerhalb des Tunnels meist eine Authentifizierung mit Benutzername/Passwort.

<Steps>
  <Step title="EAP-Typ auswählen">
    Wählen Sie **PEAP** unter **Accepted EAP Types**.
  </Step>

  <Step title="Optionales PEAP-Verhalten konfigurieren">
    Konfigurieren Sie je nach Umgebung:

    * **Enable fast reconnect** (verbessert die Roaming-Leistung)
    * **Require cryptobinding** (empfohlen, sofern unterstützt; schützt vor einigen Tunneling-Angriffen)
    * **Enable NAP quarantine checks** (veraltet; in modernen Bereitstellungen meist deaktiviert)
  </Step>

  <Step title="Vertrauensverhalten für nicht vertrauenswürdige Serverzertifikate steuern (empfohlen)">
    Konfigurieren Sie **Allow user to accept untrusted server certificates**.

    * Wenn aktiviert, werden Benutzer möglicherweise zur Bestätigung aufgefordert, wenn der Server-CA nicht vertraut wird.
    * Wenn deaktiviert, schlägt die Verbindung automatisch fehl, wenn der Server nicht validiert werden kann.
  </Step>

  <Step title="Servervalidierung konfigurieren (empfohlen)">
    Konfigurieren Sie:

    * **Servervalidierung durchführen**
    * **Benutzeraufforderung für die Servervalidierung deaktivieren**
    * **Servername akzeptieren**
  </Step>

  <Step title="Identitätsschutz aktivieren (optional, aber empfohlen)">
    Aktivieren Sie **Enable identity privacy**, wenn Ihre Bereitstellung anonyme äußere Identitäten unterstützt.
  </Step>

  <Step title="Innere Authentifizierung konfigurieren">
    Wählen Sie eine Methode für **Inner authentication** entsprechend Ihren RADIUS-Anforderungen.
  </Step>
</Steps>

<Note>
  PEAP verwendet in der Regel kein Identitätszertifikat, auch wenn die Felder für das Identitätszertifikat angezeigt werden.
</Note>

## EAP-TEAP konfigurieren

Tunneled EAP (TEAP) ist eine moderne getunnelte EAP-Methode, die **mehrere innere Authentifizierungsmechanismen** und eine bessere Erweiterbarkeit als PEAP/TTLS unterstützt. Viele TEAP-Bereitstellungen authentifizieren sich mit Benutzername/Passwort, Zertifikaten oder einer Kombination davon.

<Steps>
  <Step title="EAP-Typ auswählen">
    Wählen Sie **TEAP** unter **Accepted EAP Types**.
  </Step>

  <Step title="Vertrauensverhalten für manuell akzeptierte Serverzertifikate konfigurieren (optional)">
    Konfigurieren Sie **Auto-trust servers accepted by the user**.
    Wenn aktiviert und ein Benutzer ein Serverzertifikat manuell akzeptiert und die Verbindung erfolgreich ist, können zusätzliche vom Server übermittelte Stammzertifikate zur Liste der vertrauenswürdigen CAs hinzugefügt werden.
  </Step>

  <Step title="Servervalidierung konfigurieren (empfohlen)">
    Konfigurieren Sie:

    * **Servervalidierung durchführen**
    * **Benutzeraufforderung für die Servervalidierung deaktivieren**
    * **Servername akzeptieren**
  </Step>

  <Step title="Identitätsschutz aktivieren (optional)">
    Aktivieren Sie **Enable identity privacy**, sofern Ihre Infrastruktur dies unterstützt.
  </Step>

  <Step title="Innere Authentifizierung konfigurieren">
    TEAP kann mehrere innere Methoden verwenden. Konfigurieren Sie:

    * **Primäre innere Authentifizierung**
    * **Sekundäre innere Authentifizierung** (optional)
  </Step>
</Steps>

<Note>
  Einige TEAP-Bereitstellungen verwenden je nach Authentifizierungsstrategie Identitätszertifikate. Wenn Ihre TEAP-Bereitstellung keine Zertifikate verwendet, können Sie die Zertifikatsfelder leer lassen.
</Note>

## EAP-SIM konfigurieren

EAP-SIM verwendet eine **SIM-Karte** zur Authentifizierung. Es wird häufig in Mobilfunkanbieter- oder Unternehmensumgebungen eingesetzt, die eine SIM-basierte Identität für die Zugriffskontrolle nutzen.

<Steps>
  <Step title="EAP-Typ auswählen">
    Wählen Sie **SIM** unter **Accepted EAP Types**.
  </Step>

  <Step title="Starke Chiffrierschlüssel erzwingen (optional)">
    Konfigurieren Sie **Require strong cipher keys**, um stärkere Verschlüsselungsschlüssel (drei RANDs) zu erzwingen.
    Ist dies nicht konfiguriert, können je nach Serververhalten zwei oder drei RANDs zulässig sein.
  </Step>

  <Step title="Permanente Teilnehmeridentität (IMSI) verbergen (optional)">
    Konfigurieren Sie **Hide permanent subscriber identity (IMSI)**, um zu verhindern, dass die IMSI preisgegeben wird, wenn aus früheren Authentifizierungen eine Pseudonym-Identität vorhanden ist.
  </Step>

  <Step title="Anbieter und Realm konfigurieren (optional)">
    * **Provider name** (beschränkt die Authentifizierung auf SIMs, die diesem Anbieter entsprechen)
    * **Realm configuration** (steuert den Realm, der beim Senden der Identität an den Server verwendet wird)
  </Step>
</Steps>

## EAP-AKA konfigurieren

EAP-AKA verwendet eine **USIM-basierte Authentifizierung**, die häufig bei Mobilfunkanbietern und in SIM-fähigen Unternehmensbereitstellungen eingesetzt wird.

<Steps>
  <Step title="EAP-Typ auswählen">
    Wählen Sie **AKA** unter **Accepted EAP Types**.
  </Step>

  <Step title="Permanente Teilnehmeridentität (IMSI) verbergen (optional)">
    Konfigurieren Sie **Hide permanent subscriber identity (IMSI)** je nachdem, ob die IMSI geschützt werden soll, wenn Pseudonyme vorhanden sind.
  </Step>

  <Step title="Anbieter und Realm konfigurieren (optional)">
    * **Anbietername**
    * **Bereichskonfiguration**
  </Step>
</Steps>

## EAP-AKA' konfigurieren

EAP-AKA' ist eine erweiterte Version von EAP-AKA mit Verbesserungen bei der Identitätsbindung und Schlüsselableitung. Es wird in einigen modernen SIM-basierten Bereitstellungen verwendet.

<Steps>
  <Step title="EAP-Typ auswählen">
    Wählen Sie **AKA'** unter **Accepted EAP Types**.
  </Step>

  <Step title="Netzwerknamen vom Server validieren (optional)">
    Konfigurieren Sie **Validate network name from server**, um zu steuern, ob der Client den erwarteten Netzwerknamen mit dem vom Server angekündigten abgleicht.
  </Step>

  <Step title="Schnelle erneute Authentifizierung aktivieren (optional)">
    Konfigurieren Sie **Enable fast reauthentication**, um nach Möglichkeit kürzere, schnellere AKA'-Austausche zu ermöglichen.
    Wenn deaktiviert oder nicht konfiguriert, verwendet jede Verbindung die vollständige Authentifizierung.
  </Step>

  <Step title="Permanente Teilnehmeridentität (IMSI) verbergen (optional)">
    Konfigurieren Sie die Einstellungen zum IMSI-Schutz, falls Ihre Umgebung dies erfordert.
  </Step>

  <Step title="Anbieter und Realm konfigurieren (optional)">
    * **Anbietername**
    * **Bereichskonfiguration**
  </Step>
</Steps>

## Empfehlungen und Best Practices

* **Verwenden Sie nach Möglichkeit immer die Servervalidierung**. Das Deaktivieren der Validierung oder das Zulassen nicht vertrauenswürdiger Serverzertifikate erhöht das Risiko des Abfangens von Anmeldeinformationen und von Man-in-the-Middle-Angriffen.
* **Aktivieren Sie den Identitätsschutz**, sofern verfügbar, insbesondere in TTLS-/PEAP-/TEAP-Umgebungen.
* **Verwenden Sie EAP-SIM / AKA / AKA' nur**, wenn Ihre Organisation eine SIM-/USIM-basierte Identitätsauthentifizierung unterstützt. Diese sind in standardmäßigen WLAN-Bereitstellungen in Unternehmen unüblich.
* Wenn Sie nicht sicher sind, welchen EAP-Typ Sie verwenden sollen, klären Sie mit Ihrem WLAN-/RADIUS-Team, welche Methoden in Ihrer Infrastruktur aktiviert sind.