UniFi 802.1x mit Cisco ISE konfigurieren

IEEE 802.1x – oft auch dot1x geschrieben – ist ein Netzwerkprotokoll, das den Zugang zu einem kabelgebundenen oder drahtlosen Netzwerk (LAN/WLAN) kontrolliert. Bevor ein Endgerät kommunizieren darf, muss es sich gegenüber einem Authenticator (Switch oder Access Point) ausweisen. Der Authenticator leitet die Anfrage an einen RADIUS-Server weiter, der die Identität prüft und dem Gerät Netzwerkzugang gewährt oder verweigert. 802.1x bildet die technische Grundlage für Netzwerkzugangskontrolle (NAC) in Unternehmen.

Ja. 802.1x ist die am weitesten verbreitete Technologie für Network Access Control (NAC) auf Layer 2. Das Protokoll stellt sicher, dass nur authentifizierte und autorisierte Geräte Zugang zum NAC-Netzwerk erhalten. In Kombination mit einem Policy-Server wie Cisco ISE lassen sich darüber hinaus Posture Checks (Prüfung des Sicherheitszustands), dynamische VLAN-Zuweisung und automatische Quarantäne umsetzen.

Bei der RADIUS-Authentifizierung sendet das Endgerät seine Zugangsdaten (Benutzername/Passwort oder ein Zertifikat) an den Authenticator – also den UniFi Enterprise Switch oder WiFi 7 Access Point. Dieser leitet die Daten per RADIUS-Protokoll (Port 1812) an den RADIUS-Server weiter – z.B. die Cisco ISE oder den integrierten UniFi RADIUS Server. Der Server prüft die Identität gegen eine Verzeichnisdienst-Datenbank wie Active Directory und antwortet mit einer Freigabe (Access-Accept) oder Ablehnung (Access-Reject). Bei Freigabe können zusätzlich RADIUS-Attribute wie VLAN-Nummer oder Zugriffsrechte mitgegeben werden.

Es gibt keinen funktionalen Unterschied – dot1x ist lediglich die Kurzschreibweise für IEEE 802.1x, die vor allem in CLI-Konfigurationen (z.B. bei Cisco IOS) und technischer Dokumentation verwendet wird. Beide Begriffe bezeichnen dasselbe Netzwerkprotokoll zur Port-basierten Zugangskontrolle. In der UniFi Console wird die Funktion als „802.1x Control" bezeichnet.

Ja. Alle aktuellen UniFi Enterprise Switches – von den kompakten Flex-Modellen bis zu den Enterprise-Switches mit 100 GBit Backbone – unterstützen 802.1x Port Authentication. Die Konfiguration erfolgt einheitlich über die UniFi Console per Port-Profil. Auch die älteren UniFi Switch-Generationen (USW, USW-Pro) unterstützen 802.1x, sofern sie auf aktuelle Firmware aktualisiert sind.

Nein. UniFi arbeitet mit jedem standardkonformen RADIUS-Server zusammen – also auch mit Microsoft NPS (Network Policy Server), FreeRADIUS oder dem integrierten UniFi RADIUS Server. Cisco ISE ist jedoch die umfassendste Lösung, wenn dynamische VLAN-Zuweisung, Posture Assessment, Profiling und Threat-Containment gewünscht sind. Für einfache Szenarien kann auch der in der UniFi Console integrierte RADIUS-Server ausreichend sein.

Ja. Wenn die Cisco ISE in ihrem Authorization Profile die RADIUS-Attribute Tunnel-Type, Tunnel-Medium-Type und Tunnel-Private-Group-ID zurückgibt, weist der UniFi Switch den authentifizierten Port automatisch dem entsprechenden VLAN zu. Voraussetzung ist, dass das jeweilige VLAN auf dem Switch konfiguriert ist.

Bei 802.1x authentifiziert sich das Endgerät aktiv mit Credentials (Benutzername/Passwort oder Zertifikat) über das EAP-Protokoll. Bei MAC Authentication Bypass (MAB) wird stattdessen die MAC-Adresse des Geräts als Identität verwendet – das Gerät selbst muss keine aktive Authentifizierung durchführen. MAB ist weniger sicher, da MAC-Adressen gefälscht werden können, wird aber als Fallback für Geräte benötigt, die kein 802.1x unterstützen – beispielsweise Drucker, IoT-Sensoren wie UniFi SuperLink oder ältere IP-Telefone.

Das hängt stark von der Größe der Umgebung und dem vorhandenen Reifegrad der Infrastruktur ab. Für ein mittelständisches Unternehmen mit 100 bis 500 Ports und einer bestehenden Cisco ISE rechnen wir erfahrungsgemäß mit 3 bis 5 Projekttagen für Konzeption, Konfiguration und stufenweise Einführung. Die reine Konfiguration von UniFi und ISE ist in wenigen Stunden erledigt – der Großteil der Projektzeit fließt in die Inventarisierung der Endgeräte, die VLAN-Planung und die Testphase im Monitor Mode. Sprechen Sie uns für eine individuelle Einschätzung gerne über unser Ubiquiti UniFi Consulting an.

Ja. Wir übernehmen sowohl die Integration neuer UniFi-Hardware in eine bestehende Cisco-ISE-Umgebung als auch die Ersteinrichtung der ISE selbst. Typische Szenarien sind der Austausch älterer Access-Switches gegen UniFi Enterprise Switches bei gleichzeitig bestehender ISE, die Erweiterung einer kabelgebundenen 802.1x-Umgebung um UniFi WLAN mit WPA2/WPA3 Enterprise, sowie die schrittweise Migration von einer reinen Cisco-Infrastruktur hin zu UniFi mit zentraler ISE als NAC-Instanz. Im laufenden Betrieb sichert unser UniFi Managed Service mit Remote Management die Umgebung ab.