Fragen und Antworten zu RADIUSaaS

Ja. RADIUSaaS ist der RADIUS-Server für dein Wi-Fi, kabelgebundenes 802.1X und VPN: Deine Access Points, Switches und VPN-Gateways senden ihre Anfragen an deine Instanz statt an NPS, und Geräte authentifizieren sich mit dem Zertifikat, das dein MDM ausrollt, ohne dass ein Active Directory-Konto dahintersteckt. Genau das brauchen Entra-joined-Geräte, da NPS ein Gerätezertifikat gegen ein Computerkonto in Active Directory prüft. Hybrid-joined-Geräte mit Device Writeback können mit NPS funktionieren, aber Writeback kann verzögern und Windows Autopilot-Provisionierung läuft in ein Timing-Problem, weshalb wir davon abraten, darauf aufzubauen. Geräte, die kein Zertifikat verwenden können, erhalten ein Konto in RADIUSaaS.

Nein. RADIUSaaS läuft in unseren Clustern, und deine Access Points und Switches erreichen es über das Internet, entweder direkt per RadSec oder über einen RADIUSaaS-Proxy. Auf den Geräten ist nichts weiter nötig als das Zertifikat und das Netzwerkprofil, das dein MDM bereits verteilt.

Frag, ob du eine dedizierte Instanz erhältst, wie Geräte ohne RadSec sich verbinden, wie die Sperrung geprüft wird und was die Lizenz zählt. RADIUSaaS gibt jedem Kunden eine dedizierte Instanz mit eigenem RadSec-Server auf einer dedizierten öffentlichen IP, eigenem Portal und separatem Log-Bereich, und verbindet Geräte ohne RadSec über Proxys mit festen IPs. Es prüft die Sperrung pro CA per OCSP oder CRL; mit SCEPman als CA werden Zertifikate deaktivierter Geräte automatisch gesperrt. Die Lizenzierung erfolgt pro Nutzer, ab 50 Nutzern.

Ja. Zwischen Access Point und Proxy schützt RADIUS die Anfrage mit dem Shared Secret, und der Teil, der das Zertifikat oder das Passwort enthält, liegt innerhalb eines EAP-Tunnels, der mit TLS verschlüsselt ist. Ab dem Proxy läuft alles über RadSec. Mit Zertifikaten überquert in keinem der beiden Abschnitte ein Geheimnis das Netzwerk.

Ja, als MAB-to-EAP: Der Switch authentifiziert sich im Namen des Geräts über PEAP-MSCHAPv2 oder EAP-TTLS-PAP, mit der MAC-Adresse als Benutzername und Passwort. Weise diesen Geräten per Regel ein Fallback-VLAN mit minimalem Zugang zu. Klassisches MAB über PAP oder CHAP funktioniert nicht.

Ja. RADIUSaaS vertraut jeder CA, die Client-Zertifikate ausstellt. Du trägst also deine eigene Root und die daran verankerte ausstellende Cloud PKI-CA ein, jeweils mit Sperrprüfung. Unsere Anleitung geht davon aus, dass Cloud PKI beide CAs hostet; die übrigen Schritte bleiben gleich.

Weil Microsoft Cloud PKI Sperrungen ausschließlich als CRLs veröffentlicht und keinen OCSP-Responder betreibt. OCSP wäre die bessere Wahl, da es für jedes Zertifikat zum Zeitpunkt der Anmeldung antwortet, diese CA bietet es jedoch nicht an. Intune stellt für jede CA einen Verteilungspunkt bereit und aktualisiert die CRL bei jeder Sperrung. RADIUSaaS ruft diese CRLs stündlich ab und lädt jede erneut herunter, wenn sie abläuft oder die gespeicherte Kopie älter als drei Stunden ist.

Teilweise. Cloud PKI deckt Client-Zertifikate für Geräte ab, die Intune verwaltet: Wenn das alles ist, was du für Wi-Fi, LAN oder VPN benötigst, stellt Intune die Zertifikate aus und RADIUSaaS prüft sie. SCEPman, als Service in deinem RADIUSaaS-Portal oder als Enterprise Edition, übernimmt den Rest: Geräte in Jamf Pro oder einem anderen MDM, RadSec-Client-Zertifikate für deine Access Points und Switches, dein RADIUSaaS-Serverzertifikat aus deiner eigenen CA mit automatischer Erneuerung sowie Webserver-, TLS-Inspection- und Domaincontroller-Zertifikate. Der OCSP-Responder von SCEPman ermöglicht es RADIUSaaS außerdem, eine Sperrung bereits bei der nächsten Anmeldung zu erkennen und nicht erst mit der nächsten CRL.

Ja. Eine Regel kann das VLAN aus einem Zertifikatsfeld auslesen, etwa der OU im Subject, und auf ein Standard-VLAN zurückfallen, wenn nichts übereinstimmt.

Pro Nutzer, der sich auf mindestens einem Gerät authentifizieren kann, ab 50 Nutzern. Jeder Nutzer darf bis zu fünf stationäre und fünf mobile Geräte verbinden. Die Details findest du auf der Preisseite.

Jede Person, die berechtigt ist, sich über RADIUSaaS auf mindestens einem Gerät zu authentifizieren, unabhängig davon, ob das Gerät aktiv genutzt wird oder ausgeschaltet ist. In den meisten Fällen entspricht das der Anzahl der Nutzer, die in deinem MDM dem Wi-Fi- oder kabelgebundenen Profil zugewiesen sind.

Bis zu fünf stationäre und fünf mobile Geräte.

Ja, 50 Nutzer pro Organisation. Ein Nutzer-Abonnement ist für mindestens einen Kalendermonat an eine Person gebunden.

Nein. RADIUSaaS zeigt keinen Lizenzverbrauch an, daher solltest du die Profilzuweisungen in deinem MDM im Blick behalten.

Nein. Ein Abonnement deckt die Nutzer und Geräte einer Organisation ab und kann weder aufgeteilt noch weiterverkauft werden.

Alle Funktionen, alle Updates, Support für Incidents und technische Fragen sowie zwei RADIUS-Proxies. Ein zweiter RadSec-Endpunkt für zusätzliche Redundanz und SCEPman as a Service sind optional erhältlich.