802.1X voor zakelijke wifi: zo stelt u WPA2-Enterprise in
Met 802.1X logt iedere medewerker met een eigen account of certificaat in op de zakelijke wifi. Eén wachtwoord dat het hele kantoor kent, is dan niet meer nodig. In de wifi-instellingen heet dat WPA2-Enterprise (of WPA3-Enterprise). Uw access points vragen bij elke verbinding aan een centrale RADIUS-server of deze gebruiker of dit apparaat binnen mag. In deze gids leest u hoe dat werkt, wat u in huis moet hebben, hoe u WPA2-Enterprise stap voor stap instelt en waar het in de praktijk meestal misgaat.
Kort samengevat
- 802.1X vervangt het gedeelde wifiwachtwoord door inloggen per gebruiker of per apparaat. Vertrekt een medewerker, dan blokkeert u alleen diens account.
- U hebt drie onderdelen nodig: het apparaat van de gebruiker (de supplicant), het access point (de authenticator) en een RADIUS-server die de inlog controleert.
- PEAP met MSCHAPv2 is de bekendste instap met gebruikersnaam en wachtwoord. EAP-TLS met certificaten is sterker, maar vraagt meer beheer.
- Het servercertificaat, de shared secret en de RADIUS-poorten (1812 en 1813) zijn de drie instellingen die het vaakst fout staan.
- Zet persoonlijke telefoons en gasten op een apart netwerk en houd de firmware van uw access points actueel.
Inhoudsopgave
- Waarom een gedeeld wifiwachtwoord tekortschiet
- Hoe 802.1X werkt: drie rollen
- Welke EAP-methode kiest u?
- Wat u nodig hebt voordat u begint
- WPA2-Enterprise instellen in zes stappen
- Laptops en telefoons aansluiten
- Een VLAN per gebruikersgroep
- WPA2- of WPA3-Enterprise?
- Testen en veelvoorkomende problemen
- Onze kijk: begin klein, maar begin goed
- Uw zakelijke wifi volledig laten regelen
- Veelgestelde vragen
- Bronnen
Waarom een gedeeld wifiwachtwoord tekortschiet
Op veel kleine kantoren hangt het wifiwachtwoord op een briefje bij de koffieautomaat. Dat is handig, maar u verliest er wel het overzicht mee. Iedereen die het wachtwoord ooit heeft gehad, kan er nog steeds mee verbinden: oud-medewerkers, stagiairs, de monteur van vorig jaar. Wilt u iemand de toegang ontnemen, dan moet u het wachtwoord wijzigen en het op alle laptops, telefoons, printers en vergaderschermen opnieuw invoeren. In de praktijk gebeurt dat dus zelden.
Met een gedeeld wachtwoord ziet u bovendien niet wie er verbonden is. Gaat er iets mis, bijvoorbeeld een besmette laptop op het netwerk, dan kunt u niet herleiden van welke gebruiker die is.
802.1X lost beide problemen op. Elke verbinding hoort bij een identiteit. Toegang intrekken doet u door één account uit te schakelen, en in de logbestanden van de RADIUS-server ziet u wie wanneer verbonden was. Volgens Microsoft biedt WPA2-Enterprise, dat op de 802.1X- en EAP-frameworks draait, sterkere gegevensbescherming voor meerdere gebruikers en grote beheerde netwerken. Dat geldt net zo goed voor een kantoor met vijftien mensen als voor een universiteit.
Wilt u eerst breder kijken naar de beveiliging van uw draadloze netwerk? Ons stappenplan voor zakelijke wifi beveiligen zet de basismaatregelen op een rij.
Hoe 802.1X werkt: drie rollen
802.1X is een standaard voor toegangscontrole per netwerkpoort. Een apparaat krijgt pas toegang nadat het zich heeft aangemeld. Bij wifi is die poort niet fysiek, maar virtueel: het access point houdt de verbinding dicht tot de controle is geslaagd. Er zijn drie basisonderdelen:
| Rol | Wat het is | Voorbeeld in uw kantoor |
|---|---|---|
| Supplicant | De software op het apparaat die inlogt | De wifi-instellingen van een laptop of telefoon |
| Authenticator | Het apparaat dat de toegang bewaakt | Uw access point (of de switch bij een kabel) |
| Authenticatieserver | De server die de identiteit controleert | Een RADIUS-server, bijvoorbeeld NPS op Windows Server of FreeRADIUS |
De aanmelding verloopt in een vaste volgorde:
- Een laptop maakt verbinding met het netwerk. Het access point laat in dat stadium alleen EAPoL-verkeer toe, de berichten die nodig zijn om in te loggen. Internet en de bestanden op de server zijn nog onbereikbaar.
- Het access point stuurt de EAP-berichten door tussen de laptop en de RADIUS-server. Zelf beoordeelt het niets.
- De RADIUS-server controleert de inloggegevens of het certificaat tegen de gebruikersdatabase, bijvoorbeeld Active Directory of een cloudmap.
- Keurt de server de aanmelding goed, dan opent het access point de poort en krijgt de laptop een IP-adres. Keurt hij af, dan blijft de poort dicht.
Doordat de beslissing centraal valt, kunt u er beleid aan hangen: alleen medewerkers uit een bepaalde groep, alleen bedrijfslaptops of alleen op werktijden.
Welke EAP-methode kiest u?
EAP is de “taal” waarin apparaat en RADIUS-server de inlog afhandelen. Er zijn meerdere varianten. Voor een mkb-kantoor komen er in de praktijk drie in aanmerking:
| Methode | Waarmee logt de gebruiker in? | Sterk punt | Aandachtspunt |
|---|---|---|---|
| PEAP met MSCHAPv2 | Gebruikersnaam en wachtwoord | Eenvoudig, werkt met bestaande accounts | Alleen veilig als apparaten het servercertificaat controleren |
| EAP-TTLS | Gebruikersnaam en wachtwoord in een versleutelde tunnel | Flexibel, breed ondersteund door niet-Windowsapparaten | Ook hier is certificaatcontrole aan de clientkant nodig |
| EAP-TLS | Certificaat op het apparaat | Geen wachtwoord dat onderschept of uitgelekt kan worden | U hebt een certificaatautoriteit (CA) nodig die clientcertificaten uitgeeft en intrekt |
PEAP met MSCHAPv2 is een veelgebruikte configuratie, omdat medewerkers gewoon inloggen met het account dat ze al hebben. EAP-TLS is de sterkste keuze: er gaat geen wachtwoord over de lijn en een gestolen wachtwoord geeft geen wifitoegang. Daar staat tegenover dat u certificaten moet uitrollen, verlengen en intrekken. Dat gaat het makkelijkst als uw laptops al centraal worden beheerd.
Oudere methoden als EAP-MD5 en LEAP gelden als onveilig. Biedt uw apparatuur ze aan, laat ze dan uitgeschakeld.
Wat u nodig hebt voordat u begint
Zet deze gegevens op een rij voordat u ook maar één instelling verandert. Dat bespaart u later uren zoeken.
- Access points die WPA2-Enterprise ondersteunen. Vrijwel alle zakelijke apparatuur kan dat. Bij consumentenrouters ontbreekt de optie vaak of werkt ze beperkt.
- Een RADIUS-server. Dat kan NPS zijn op een Windows Server die u al hebt, FreeRADIUS op een kleine Linuxserver, een RADIUS-dienst in de cloud, of de ingebouwde RADIUS-functie van een netwerkcontroller.
- Een gebruikersdatabase. De RADIUS-server moet ergens kunnen nagaan wie er bestaat. Volgens Microsoft vraagt een implementatie met NPS om een servercertificaat dat clients vertrouwen en een gebruikersbasis om tegen te authenticeren.
- Een servercertificaat. Daarmee bewijst de RADIUS-server aan laptops en telefoons dat hij echt is. Zonder dat certificaat kan een aanvaller met een nagemaakt access point wachtwoorden onderscheppen.
- De verbindingsgegevens: het IP-adres van de RADIUS-server, de UDP-poorten (standaard 1812 voor authenticatie en 1813 voor accounting) en een lange, willekeurige shared secret die access point en server delen.
- Een plan voor apparaten die geen 802.1X kunnen. Denk aan printers, slimme tv’s en sommige IoT-apparaten. Die horen op een apart netwerk.
WPA2-Enterprise instellen in zes stappen
De menu’s verschillen per merk, maar de volgorde is altijd dezelfde.
- Richt de RADIUS-server in. Installeer de RolNPS of FreeRADIUS, koppel de server aan uw gebruikersdatabase en installeer het servercertificaat. Kies bij voorkeur een certificaat van een eigen CA waarvan u het rootcertificaat op alle bedrijfsapparaten zet.
- Voeg elk access point toe als RADIUS-client. Op de server registreert u het IP-adres van elk access point (of van de controller) met dezelfde shared secret. Een access point dat hier niet staat, krijgt geen antwoord.
- Maak het toegangsbeleid. Leg vast wie binnen mag: bijvoorbeeld de groep “Medewerkers”, met PEAP-MSCHAPv2 of EAP-TLS als toegestane methode. Microsoft adviseert om de beleidsregels af te stemmen op de instellingen van uw netwerk en clients.
- Configureer het access point. Maak een SSID aan met beveiliging WPA2-Enterprise en versleuteling AES (niet TKIP). Vul het RADIUS-IP-adres, de poorten en de shared secret in. Heeft het access point een ingebouwde DHCP-server, zet die dan uit, zodat adressen uit uw centrale DHCP komen.
- Controleer de poorten. NPS luistert standaard op UDP 1812 en 1645 voor authenticatie en op 1813 en 1646 voor accounting. Zorg dat access point en server dezelfde poorten gebruiken en dat geen firewall ertussen ze blokkeert.
- Test met één apparaat voordat u uitrolt. Laat het oude netwerk eerst nog aan staan. Verbind één testlaptop en één telefoon, controleer in het RADIUS-logboek of de aanmelding als geslaagd staat, en zet daarna de rest van het kantoor over.
Werkt u met een systeem waarin één access point de andere aanstuurt, zonder aparte controller? Dan stelt u de RADIUS-gegevens meestal maar één keer centraal in en neemt elk access point ze over. Dat scheelt werk en voorkomt dat één access point een afwijkende shared secret heeft.
Laptops en telefoons aansluiten
De server en de access points zijn klaar. Nu moeten de apparaten verbinden, en dat is het moment waarop medewerkers vragen stellen.
Windows-laptops in een domein. Hier gaat het het eenvoudigst. Met groepsbeleid kunt u een WPA2-Enterprise-profiel uitrollen, inclusief controle van het servercertificaat en EAP-MS-CHAP v2. Medewerkers merken er niets van: de laptop verbindt vanzelf. Gebruikt u een cloudplatform voor apparaatbeheer, dan rolt u het profiel op dezelfde manier uit.
macOS, iPhone en Android. Handmatig verbinden kan, maar het apparaat vraagt dan of de gebruiker het certificaat vertrouwt. Medewerkers tikken daar zonder nadenken op “Vertrouw”. Daarom is een beheerd profiel beter: daarin staat precies welk servercertificaat en welke servernaam verwacht worden. Bij Android moet u bij handmatige installatie expliciet een CA-certificaat en een domeinnaam opgeven. Kies daar nooit voor “Niet valideren”.
Persoonlijke telefoons. Hier gaat het vaak mis. Het NCSC noemt privételefoons die IT niet beheert een vorm van shadow IT die de organisatie blootstelt. Laat ze dus niet op het bedrijfsnetwerk, maar geef ze een apart netwerk met alleen internettoegang. Daar kunnen ook gasten op.
Apparaten zonder 802.1X. Printers, beamers en sensoren zet u op een eigen SSID of VLAN, afgeschermd van uw werkplekken en servers.
Een VLAN per gebruikersgroep
Als 802.1X eenmaal draait, kan de RADIUS-server meer doen dan ja of nee zeggen. Hij kan ook meegeven in welk netwerksegment een gebruiker terechtkomt: de financiële afdeling in het ene VLAN, de rest van het kantoor in een ander, beheerders in een derde. Zo bedient één SSID meerdere groepen.
Die VLAN-toewijzing hoort strikt genomen niet bij de 802.1X-standaard zelf, maar is een optionele uitbreiding uit RFC 3580. Ga dus na of uw access points en RADIUS-server dit allebei ondersteunen. Voor de meeste kleine kantoren is het een tweede stap: eerst 802.1X stabiel, daarna pas segmenteren.
WPA2- of WPA3-Enterprise?
WPA3-Enterprise is de opvolger en gebruikt hetzelfde 802.1X-principe met een RADIUS-server. Uw serverkant blijft dus grotendeels gelijk. Het verschil zit in strengere eisen aan versleuteling en beveiliging van beheerframes. Nieuwe apparatuur kan vaak beide. Veel organisaties draaien een overgangsmodus zolang er nog oudere laptops of scanners in gebruik zijn.
In ons artikel WPA3-Enterprise uitgelegd leest u welke modi er zijn en wanneer de overstap voor u loont. De stappen in deze gids blijven gewoon bruikbaar: wat u nu voor WPA2-Enterprise inricht, neemt u mee naar WPA3.
Testen en veelvoorkomende problemen
Werkt het niet? De oorzaak zit bijna altijd in een van deze punten. Begin elke keer in het logboek van de RADIUS-server. Daar staat of een aanvraag binnenkwam en waarom die is afgewezen.
| Wat u ziet | Waarschijnlijke oorzaak | Oplossing |
|---|---|---|
| De RADIUS-server ziet geen enkele aanvraag | Verkeerd IP-adres, andere poort of een firewall die UDP 1812 blokkeert | IP-adres en poorten op access point en server vergelijken, firewall controleren |
| De aanvraag komt binnen maar wordt direct genegeerd | Shared secret wijkt af, of het access point staat niet als RADIUS-client geregistreerd | Shared secret op beide kanten opnieuw invoeren |
| Laptop vraagt steeds opnieuw om inloggegevens | Het servercertificaat wordt niet vertrouwd of is verlopen | Rootcertificaat op het apparaat zetten, geldigheid van het certificaat nakijken |
| Inloggen lukt, maar er is geen internet | Geen IP-adres: DHCP op het access point staat aan of het VLAN klopt niet | Ingebouwde DHCP uitzetten, VLAN-instellingen nalopen |
| Eén groep gebruikers wordt afgewezen | Het toegangsbeleid sluit hun groep of EAP-methode uit | Beleidsregels op de server aanpassen |
Zet daarnaast een terugkerende afspraak in de agenda voor onderhoud. Het NCSC adviseert om regelmatig bij de fabrikant te controleren op nieuwe firmware voor uw draadloze apparatuur. Leg ook vast wanneer het servercertificaat verloopt. Een verlopen certificaat legt in één klap de wifi van het hele kantoor plat, en het overkomt organisaties vaker dan u denkt.
Valt de verbinding juist af en toe weg terwijl de aanmelding gewoon slaagt? Dan ligt het eerder aan dekking of storing. In waarom bedrijfswifi wegvalt zetten we de gebruikelijke oorzaken op een rij.
Onze kijk: begin klein, maar begin goed
We zien bij kleine bedrijven vaak hetzelfde patroon. Er is een zakelijk netwerk met één wachtwoord dat al jaren niet is veranderd, en iemand heeft gelezen dat 802.1X veiliger is. Dat klopt. Maar een half ingerichte WPA2-Enterprise-omgeving, waarin telefoons het servercertificaat niet controleren en niemand weet wanneer het verloopt, geeft vooral een vals gevoel van veiligheid.
Ons advies is daarom: begin klein, maar begin goed. Eerst PEAP of EAP-TLS stabiel voor de bedrijfslaptops, met beheerde profielen en certificaatcontrole aan. Daarna een apart netwerk voor gasten en persoonlijke telefoons. Pas als dat soepel loopt, kijken we samen naar VLAN’s per afdeling of de stap naar WPA3. Zo houdt u het overzicht en blijven uw medewerkers gewoon aan het werk.
Wat ons betreft is wifi geen project dat u één keer afrondt. Certificaten verlopen, firmware veroudert en medewerkers komen en gaan. Daarom nemen we dat beheer graag van u over: persoonlijk bereikbaar, met een probleem dat we binnen één dag oplossen, en tegen een vast maandbedrag zonder verrassingen.
— Ken
Uw zakelijke wifi volledig laten regelen
Wilt u 802.1X wel, maar zelf geen RADIUS-server, certificaten en firmware-updates bijhouden? Met ons Hosted WIFI netwerk richten we uw zakelijke wifi in en beheren we die daarna, inclusief een apart gastennetwerk en monitoring. U belt ons direct als er iets is, en wij lossen het binnen één dag op. Meer over de aanpak leest u op onze pagina over hosted wifi netwerken, of lees hoe wifi beheer voor het mkb storingen voorkomt. Neem contact met ons op voor een vrijblijvend gesprek of een ICT-scan van uw huidige netwerk.
Veelgestelde vragen
Heb ik voor 802.1X een eigen server nodig?
Niet per se. U hebt een RADIUS-server nodig, maar die kan op een bestaande Windows Server draaien, als kleine Linuxserver, in de cloud, of ingebouwd zijn in sommige netwerkcontrollers. Belangrijker dan de plek is dat iemand het certificaat en de updates bijhoudt.
Is 802.1X ook zinvol voor een kantoor met tien medewerkers?
Ja. Ook met tien mensen wilt u toegang kunnen intrekken zonder het wachtwoord op alle apparaten te wijzigen, en wilt u kunnen zien wie verbonden is. De investering zit vooral in de eerste inrichting. Daarna kost het nauwelijks extra werk.
Wat is het verschil tussen WPA2-Personal en WPA2-Enterprise?
Bij WPA2-Personal deelt iedereen één wachtwoord dat in het access point staat. Bij WPA2-Enterprise logt elke gebruiker of elk apparaat apart in, en een RADIUS-server controleert die inlog via 802.1X. Enterprise geeft u dus controle per persoon.
Kunnen gasten ook op een 802.1X-netwerk?
Dat kan met tijdelijke accounts, maar we raden het niet aan. Een apart gastennetwerk met alleen internettoegang is eenvoudiger en veiliger. Uw interne netwerk blijft dan voorbehouden aan beheerde bedrijfsapparaten.
Bronnen
- Intel: 802.1X Overview and EAP Types
- ANSSI: Recommandations de déploiement du protocole 802.1X
- Microsoft Learn: Password-based 802.1X geverifieerde draadloze toegang implementeren
- Microsoft Learn: Wireless Access Deployment
- FreeRADIUS: Enterprise Wi-Fi / IEEE 802.1X
- NCSC: Exposure Management
- NCSC: Stappenplan draadloos bedrijfsnetwerk beveiligen
Reacties0
Nog geen reacties
Deel als eerste uw gedachten.
Meld u aan of registreer u om een reactie te plaatsen.