Komplexe Frage zu Freeradius

Ich bin mir recht sicher, dass dieses Forum das Problem nicht lösen kann, aber mangels einer besseren Alternative versuche ich es dennoch und würde mich unglaublich freuen, wenn ich positiv überrascht werde!

Problem ist folgendes:
In der Firma haben wir kabelgebundene und kabellose Netzwerke per RADIUS gesichert. Das funktioniert nach einigem Basteln hervorragend zusammen mit der Prüfung der User gegen das AD und vorheriger MAC-Auth...
Nun haben wir noch ein Gastnetz (WLAN) welches ich am liebsten abschalten möchte, denn es verwendet "nur" WPA2...
Die Idee ist, dass als allererstes die users gelesen wird. Darin befindet sich derzeit ein einzelner Benutzer ohne default-Setting und mit VLAN Config:

Firmengast Cleartext-Password := "GastPasswort"
Tunnel-Type = VLAN,
Tunnel-Medium-Type = IEEE-802,
Tunnel-Private-Group-Id = 111

Natürlich sind die relevanten Infos geändert, aber die Syntax ist identisch.
Nachdem also gecheckt wurde, ob besagter Benutzer versucht hat sich mit dem Netzwerk zu verbinden, soll bei positiver Prüfung der Benutzer eben in besagtes VLAN geschoben werden (unser Gastnetz) und ansonsten den normalen Prozess weiter durchlaufen, wobei als nächstes die MAC-Prüfung kommt.
Ich bin mir relativ sicher, dass ich das mit einer if-Abfrage hin bekommen kann, aber war damit bisher noch nicht erfolgreich.


Und wenn wir schon dabei sind: Ich habe auch einige Clients, welche 802.1x gar nicht unterstützen... ich würde auch diese eigentlich gerne (MAC-gestützt) in ein eigenes VLAN schieben oder wenigstens authentifizieren... funktioniert bisher aber auch nicht. Da ich PEAP erzwinge habe ich hier aber auch wenig Hoffnung, dass es funktionieren kann...

Wie gesagt, ich freue mich auf eure Antworten, vielleicht kann mir ja jemand den entscheidenden Schubs in die richtige Richtung geben.

Um welche WLAN-Hardware gehts denn überhaupt?

Edit: Zu den nicht 802.1x fähigen Clients: Schau mal ob du MAC Authentication Bypass konfiguriert kriegst.

Das sind Lancom Router... wir nutzen entsprechend auch einen WLC. Geht MAB nicht nur für Dell und Cisco (vor allem letzeres?)
Ich habe zumindest keine Anleitung gefunden, die nicht von Cisco ist...

Ich kenn mich leider mit Lancom Netzwerkhardware nicht aus, aber die Konfigurationsmöglichkeiten sehen da ja nicht so extensiv aus.

In einem Paper "An Initial Security Analysis of the IEEE 802.1X Standard" (link) der University of Maryland hab ich folgenden Absatz auf Seite 4 gefunden:

[im Kontext des Dual-Port Modells] This model also enables backward compatibility with clients incapable of supporting RSN: an administrative decision could allow their traffic through the Uncontrolled Port.

Zum Vergrößern anklicken....

Scheint mir also, als ob eine "Kompatibilitäts-Anbindung" schon im Standard vorgesehen ist.

Wie man allerdings bestimmte User in bestimmte VLANs hängt, kann ich dir mangels eigener Erfahrung leider nicht beantworten.

Edit: läuft der RADIUS Server auf einem Windows Server oder wird der von einer Lancom Komponente bereitgestellt?

Edit2: Sieht so aus, als würde dieses LCOS nur VLANs für verschiedene WLAN SSIDs vergeben, nicht aber für verschiedene User.

Schau mal hier, unter dem Punkt Dynamische VLAN Zuweisung vom Switch. Vielleicht hilft dir das. (Mangels Testhardware kann ich das nicht selber austesten grad)
http://www.administrator.de/contentid/154402#toc-9