802.11x mit weiteren Optionen

[MoC88 2]

Hallo zusammen,

 

ich würde gerne ein vorhandes WLAN in einer mittelgroßen Organisation von PSK auf Radius umstellen (Ich habe das nicht eingerichtet) :D. Mein Test WLAN läuft bereits problemlos über EAP-MSCHAPv2. Nun würde ich gerne den Zugang noch weiter kontrollieren. Es könnte sich mit der Methode ja jemand mit seinem privaten Smartphone und AD Login trotzdem einloggen. Ich weiß, dass dafür EAP-TLS implementiert werden muss, aber ich bin mir nicht sicher, ob das nicht zu übertrieben hier wäre. Mir kam der Gedanke, sowas über einen MAC FIlter o.Ä. zu realisieren. Nur leider habe ich im NPS so eine Funktion nicht gefunden. Gibt es vielleicht sonst noch eine Möglichkeit?

 

VG

 

Marco

bearbeitet 16. September 2019 von MoC88

[NorbertFe 2.276]

Dafür braucht man nicht zwingend EAP-TLS. Du könntest als Verbindungsrichtlinie auch einfach "Domänencomputer" verwenden. Dann sind automatisch alle Windows PCs autorisiert und alles andere bleibt draussen. Zusätzlich zweite Richtlinie konfigurieren und für alle "benutzerbezogenen" Verbindungen per Radius in ein anderes VLAN verschieben, so dass die Dinger dann quasi wie Gäste ausserhalb des LANs in einem Guest-WLAN landen obwohl sie die selbe SSID verbinden.

 

Bye

Norbert

[MoC88 2]

Das wäre auch eine Idee. Da muss ich mal schauen , wie ich das hier mit den IPads geregelt bekomme. Die User Benutzen darüber nämlich Apps. die auf das interne LAN zugreifen...

[testperson 1.857]

OT:

vor 13 Minuten schrieb MoC88:

(Ich habe das nicht eingerichtet)

Darüber könnte man diskutieren. Zumindest hast du es nicht als Mitarbeiter "einer mittelgroßen Organisation" eingerichtet. :-P

[NorbertFe 2.276]

Gerade eben schrieb MoC88:

Die User Benutzen darüber nämlich Apps. die auf das interne LAN zugreifen...

Ok, dann ggf. Mittels Ausnahmen konfigurieren, oder diese Dienste aus dem Gast(Dmz) wlan heraus erreichbar machen. Möglichkeiten gibts viele. :)

[MoC88 2]

vor 5 Minuten schrieb testperson:

OT:

Darüber könnte man diskutieren. Zumindest hast du es nicht als Mitarbeiter "einer mittelgroßen Organisation" eingerichtet. :-P