Site icon bintorosoft.com

NAC Troubleshooting: 802.1X, MAB, RADIUS und VLAN Assignment

Red Snapper

Close-up of network equipment with cables in a modern server room.

NAC Troubleshooting (Network Access Control) ist in Enterprise-Netzen eine der anspruchsvollsten Betriebsaufgaben, weil hier mehrere Disziplinen gleichzeitig zusammenkommen: Layer-2/Layer-3-Konnektivität am Switchport, 802.1X/EAP zwischen Supplicant und Authenticator, RADIUS zwischen Switch und AAA-Server, Zertifikats- und Identitätslogik im Backend sowie dynamische VLAN Assignment und Zugriffspolicies. Genau deshalb wirken NAC-Störungen häufig „unlogisch“: Ein Laptop authentifiziert morgens, mittags landet er plötzlich im Quarantäne-VLAN; ein Drucker bekommt mal Zugriff per MAB, mal gar nichts; ein IP-Telefon funktioniert nur, wenn der PC abgezogen ist; oder ein gesamter Standort verliert nach einem RADIUS-Update schlagartig die Netzfreigabe. Professionelles NAC Troubleshooting bedeutet, den Authentifizierungsfluss sauber zu zerlegen und mit Beweisen zu arbeiten: Kommt der Client überhaupt bis zum EAPOL-Start? Sieht der Switch die richtigen Frames? Wird RADIUS erreicht? Welche EAP-Methode wird verhandelt? Welche RADIUS-Attribute werden zurückgegeben? Und wie interpretiert der Switch diese Attribute in Bezug auf VLAN Assignment, dACLs und Session-State? Dieser Artikel erklärt die häufigsten Fehlerbilder bei 802.1X, MAB, RADIUS und dynamischer VLAN-Zuweisung und zeigt eine praxistaugliche Methodik, mit der Sie Störungen in Minuten eingrenzen – ohne Ratespiel und ohne „NAC erstmal aus“ als reflexartige Dauerlösung.

NAC-Bausteine verstehen: Wer spricht mit wem?

Bevor Sie debuggen, brauchen Sie ein klares Modell. In klassischen NAC-Designs gibt es vier Rollen:

Der „kleine“ Unterschied zum klassischen VLAN-Access ist: Der Switchport ist nicht nur ein L2-Port, sondern ein Policy-Enforcement-Punkt, der je Session dynamisch konfiguriert wird.

Der 802.1X-Ablauf in 60 Sekunden: EAPOL, EAP und RADIUS

802.1X auf Ethernet nutzt EAPOL (EAP over LAN) zwischen Supplicant und Switch. Der Switch kapselt EAP in RADIUS und spricht damit den AAA-Server an. Ein robuster Einstieg in die Terminologie ist RFC 3748 (EAP) sowie RFC 2865 (RADIUS) für die RADIUS-Grundlagen.

Für Zertifikatsbasierung (EAP-TLS) ist fast immer nicht die Kryptografie das Problem, sondern die Kette aus Trust, Zertifikat-Gültigkeit und Policy-Mapping.

MAB: Wenn 802.1X nicht möglich ist

MAB (MAC Authentication Bypass) ist typischerweise ein Fallback für Geräte ohne 802.1X-Supplicant: Drucker, Kameras, IoT, teils auch IP-Phones. Der Switch nutzt dann die MAC-Adresse als Identität und fragt per RADIUS an. Das ist operativ praktisch, aber sicherheitlich schwächer – und fehleranfällig, wenn MAC-Listen, OUI-Heuristiken oder Profiling nicht sauber gepflegt sind.

Die 6 häufigsten NAC-Fehlerklassen

Die meisten NAC-Incidents lassen sich sehr schnell einer Fehlerklasse zuordnen. Das spart Zeit, weil Sie gezielt die richtige Ebene debuggen.

Troubleshooting-Workflow: Vom Switchport nach oben

Ein praxistauglicher Workflow startet immer dort, wo der Fehler „sichtbar“ wird: am Switchport. Danach arbeiten Sie sich durch EAPOL, RADIUS und Policy.

Schritt 1: Port- und Link-Status verifizieren

Wenn ein VLAN „zugewiesen“ wird, aber nicht auf dem Uplink getaggt ist, wirkt es wie ein NAC-Problem, ist aber ein VLAN/Trunk-Problem.

Schritt 2: EAPOL sichtbar machen

Schritt 3: RADIUS-Exchange prüfen

RADIUS ist klassisch in RFC 2865 und Accounting in RFC 2866 beschrieben; im Betrieb ist vor allem wichtig, dass NAS-IP, Secret und UDP-Erreichbarkeit stimmen.

Schritt 4: EAP-Methode und Zertifikate (wenn relevant)

Schritt 5: Authorization und VLAN Assignment beweisen

VLAN Assignment: Die häufigsten Fehler und wie man sie schnell findet

Dynamische VLAN Assignment ist einer der größten Produktivitätsgewinne von NAC – und gleichzeitig eine Top-Fehlerquelle. Besonders häufig sind „technisch richtige“ RADIUS-Antworten, die im L2-Design nicht funktionieren.

802.1X + MAB in der Praxis: Reihenfolge, Fallback und „False Positives“

Viele Designs kombinieren 802.1X und MAB: Erst 802.1X versuchen, dann MAB als Fallback. Das ist sinnvoll, aber erzeugt typische Nebenwirkungen, wenn die Reihenfolge oder Timers nicht passen.

RADIUS Troubleshooting: Wenn AAA „läuft“, aber trotzdem nichts geht

RADIUS-Probleme sind oft nicht „Server down“, sondern subtile Mismatches: falsche NAS-IP, falsches Shared Secret, falsche VRF, oder Paketverlust/Fragmentierung auf dem Weg. RADIUS läuft über UDP; Drops wirken daher „stumm“.

CoA und Reauth: Warum Sessions „plötzlich“ umspringen

Viele NAC-Plattformen nutzen Change of Authorization (CoA), um während einer Session Rechte zu ändern: z. B. von Quarantine auf Prod nach erfolgreicher Posture-Prüfung. Das ist leistungsfähig, erzeugt aber Fehlerbilder, wenn CoA-Signale verloren gehen oder wenn Posture-Zustände pendeln.

Typische Spezialfälle im Betrieb

IP-Telefon + PC am gleichen Port

Drucker/IoT mit wechselndem Verhalten

„Nur an einem Switch“ klappt es nicht

Beweisführung mit Captures: Wann es sich lohnt

In vielen NAC-Fällen reichen Switch- und RADIUS-Logs. Captures sind jedoch sehr effektiv, wenn Sie EAPOL-Handshake-Fehler, EAP-Methodenverhandlungen oder RADIUS-Fragmentierungsprobleme beweisen müssen. Besonders hilfreich ist ein Capture am Switchport (Mirror/SPAN) oder direkt am AAA-Server (wenn möglich).

Runbook-Baustein: NAC Troubleshooting in 15 Minuten

Weiterführende Quellen

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version