802.1X is een standaard die bepaalt wie er op je netwerk mag. Sluit iemand een laptop aan op een netwerkstopcontact of maakt hij verbinding met de bedrijfs-wifi, dan krijgt hij niet meteen toegang. Eerst moet het apparaat of de gebruiker zich identificeren. Pas als dat lukt, gaat de poort open. Je kunt het zien als een portier bij de deur in plaats van een deur die altijd los staat.
In veel MKB-kantoren staat het netwerk feitelijk open: wie binnen is, kan een kabel inpluggen en meekijken. Met 802.1X voorkom je dat een onbeheerd apparaat, een meegebrachte laptop of een bezoeker zomaar bij je servers en printers komt. Je kunt bovendien per apparaat bepalen waar het terechtkomt: bedrijfslaptops op het interne netwerk, privételefoons op een gastnetwerk. Dat scheelt een hoop risico zonder dat je aparte hardware hoeft neer te zetten.
Achter de schermen praten drie partijen met elkaar: het apparaat dat toegang wil, de switch of het access point dat de poort bewaakt, en een authenticatieserver die de beslissing neemt, meestal een RADIUS-server. Identificatie kan met een gebruikersnaam en wachtwoord, maar veiliger is een certificaat dat je centraal op bedrijfsapparaten uitrolt. Let op de randgevallen: printers, camera’s en betaalterminals kunnen vaak geen 802.1X, dus die geef je een aparte, afgeschermde plek in het netwerk.
Hoe werkt 802.1X onder de motorkap?
De standaard heet voluit IEEE 802.1X en regelt netwerktoegangscontrole op poortniveau: port based access control. Er zijn drie rollen. De supplicant is het apparaat dat toegang vraagt — die software zit al ingebouwd in Windows, macOS, iOS en Android. De authenticator is de switch of het access point dat de poort dichthoudt. En de authenticatieserver, in de praktijk vrijwel altijd een RADIUS-server, neemt de beslissing.
Het gesprek verloopt via EAP, het Extensible Authentication Protocol, dat over het lokale netwerk als EAPOL wordt verstuurd. Zolang er geen goedkeuring is, laat de poort alleen dat verkeer door en verder niets. Komt het akkoord er wel, dan gaat de poort open — en kan de RADIUS-server er meteen bij vertellen in welk VLAN het apparaat hoort. Zo belandt een bedrijfslaptop automatisch op het interne netwerk en de telefoon van een bezoeker op het gastnetwerk, zonder dat iemand een kabel hoeft te verhangen. De veiligste variant is EAP-TLS, waarbij zowel de client als de server zich met een certificaat identificeert.
Veelgestelde vragen
Wat is het verschil tussen 802.1X en een wifi-wachtwoord?
Bij een gedeeld wifi-wachtwoord gebruikt iedereen dezelfde sleutel. Lekt die, dan moet je hem op elk apparaat opnieuw instellen. Met 802.1X heeft elk apparaat of elke gebruiker een eigen identiteit. Gaat iemand uit dienst, dan trek je die centraal in en merkt de rest van het kantoor er niets van.
Heb ik hier speciale hardware voor nodig?
Je switches en access points moeten 802.1X ondersteunen. Bij zakelijke apparatuur van de laatste jaren is dat vrijwel altijd zo, bij consumentenapparatuur zelden. Daarnaast heb je een RADIUS-server nodig. Dat hoeft geen aparte machine te zijn: er zijn clouddiensten die die rol vervullen en die aansluiten op de gebruikers die je al in Microsoft 365 hebt staan.
Wat doe ik met printers en camera’s die 802.1X niet aankunnen?
Die geef je een uitzondering op basis van hun MAC-adres en zet je in een apart VLAN waar verder niets te halen valt. Houd er rekening mee dat zo’n uitzondering zwakker is dan echte authenticatie, want een MAC-adres is na te maken. Houd de lijst dus kort en loop hem periodiek na.
Vervangt 802.1X mijn firewall?
Nee. Een firewall bewaakt het verkeer tussen netwerken; 802.1X bewaakt wie er überhaupt op je netwerk komt. Ze doen verschillend werk en vullen elkaar aan.
Wat OkayICT hierin doet: Wij bekijken of 802.1X past bij jouw netwerk en zorgen dat apparaten die het niet ondersteunen toch veilig zijn afgeschermd.
Meer lezen: Wat is een RADIUS-server? · Wat is WPA3?
