Radius Client Zertifikat für WLAN Profil nutzen, aber wie?

[moppi1988]

Hallo!
Wir nutzen einen FreeRadius-Server für die WLAN-Authentifizierung innerhalb eines Windows-basierenden Netzwerks. Das klappt auch alles wunderbar. Die Nutzer melden sich mit ihren persönlichen Credentials an, dabei gibt es keinerlei Probleme.
Ich habe auch von Anfang an das Radius-Server Root Zertifikat auf allen Clients (z.B. Win10 Pro Laptops) installiert. Auch das ging problemlos.
Aber für ein paar spezielle Laptops habe ich einen festen"Nutzer" definiert, der für die Anmeldung im WLAN benutzt wird. (z.B. beim Hochfahren der PCs). Und hierfür hätte ich gern statt der manuellen Eingabe der Credentials das passende Client-Zertifikat benutzt, das ich in Verbindung mit dem Radius-Server Root Zertifikat generiert habe.
Und genau hier liegt das Problem. Ich bekomme es einfach nicht hin, dass das Client-Zertifikat durch das WLAN-Profil benutzt wird.
Ich habe das Zertifikat in den Client-PC importiert und installiert. Es taucht dort nun im Zertifikatsverzeichnis auf und wenn man dessen Eigenschaften abfragt, so sieht man, dass es für die Sicherstellung der Identität eines Nutzers gedacht ist.
Es sieht also so aus, als ob das Zertifikat korrekt installiert wurde.

Stelle ich das WLAN-Profil nun so um, dass statt "Gesichertes Kennwort" die Option "Zertifikat auf dem Computer oder SmartCard" (oder so ähnlich ) ausgewählt wird, kann ich in dem nun erscheinenden Untermenü noch ein paar Filteroptionen auswählen.

Aber was ich auch einstelle: Wenn ich dann das WLAN-Profil verwenden will, dann kommt immer die Fehlermeldung (sinngemäß) "Kann keine Verbindung herstellen, da kein Zertifikat gefunden wurde".
Was mache ich denn falsch? Ich habe heute auch noch einmal das Client-Zertifikat neu erzeugt und installiert, auch in verschiedenen Cert-Ordnern, aber nichts hilft.
Hat vielleicht jemand eine Idee oder nutzt gar diese Konstellation (Freeradius + Client Cert auf Win10) selber?
Vielen Dank für Eure Hilfe!

 

[VDC]

Und warum benutzt ihr nicht einfach den MS-basierten Radius? Da könnte man dann auch einfach Computerauthentifizierung nutzen und den Zugriff über Gruppen analog zu Usern nutzen.

 

[GTrash81]

Dir ist schon bewusst, dass du für zertifikatsbasierte Anmeldungen EAP-TLS verwunden musst?
Heißt auch eine eigene SSID, da man nicht zwei Verschlüsselungsverfahren auf einer SSID laufen lassen kann.

 

[moppi1988]

Und warum benutzt ihr nicht einfach den MS-basierten Radius? Da könnte man dann auch einfach Computerauthentifizierung nutzen und den Zugriff über Gruppen analog zu Usern nutzen.

Na ja, wenn ansonsten alles seit Monaten stabil läuft, warum sollte man das komplett neu machen?
Es ist ja nur dieses eine Detail, was ich gern noch implementiert hätte....

Ergänzung (26. Mai 2020)

Dir ist schon bewusst, dass du für zertifikatsbasierte Anmeldungen EAP-TLS verwunden musst?
Heißt auch eine eigene SSID, da man nicht zwei Verschlüsselungsverfahren auf einer SSID laufen lassen kann.

Ähhmm, heißt das, ich kann normale User Authentifizierung über Passwort mittels WPA2-Enterprise/AES und PEAP nicht mit einer zertifikatsbasierte Anmeldung mischen?

 

[GTrash81]

Richtig. EAP-PEAP ist für Nutzername + Passwort, EAP-TLS für Zertifikate.
Es gibt Sonderformen von EAP-PEAP, die haben aber mit einfachen Zertifikaten nichts am Hut.
Da braucht man Smartcards wenn ich mich richtig entsinne.

 

[moppi1988]

Dir ist schon bewusst, dass du für zertifikatsbasierte Anmeldungen EAP-TLS verwunden musst?
Heißt auch eine eigene SSID, da man nicht zwei Verschlüsselungsverfahren auf einer SSID laufen lassen kann.

Sorry, ich habe noch mal tief darüber nachgedacht und -gelesen:

• Wer in der WLAN-Konfiguration hat denn eigentlich das Problem mit den zwei Verschlüsselungsverfahren? Ist das nicht der Radius-Server? Wenn das so ist, dann ist es doch kein Problem, denn FreeRadius kann beide Verfahren behandeln (wenn das eine nicht geht, nimm das nächste usw.)
• Wenn das Verschlüsselungsverfahren das Problem wäre, dann wäre doch die Fehlermeldung, die ich bekomme irgendwas mit "kann nicht verbinden" oder "Protokollfehler" oder irgendsowas. Aber ich bekomme nur die Meldung, dass beim Verbindungsaufbau kein Zertifikat gefunden wird.

Ich denke also, dass mein Problem noch vor der eigentlichen Verbindung liegt.

 

[GTrash81]

EAP-PEAP kann anscheinend doch mit Zertifikaten arbeiten.
Okay, so noch nie genutzt.
Wie ich es sehe muss bei Authentifizierungsmodus "Smartcard- oder anderes Zertifikat" ausgewählt und bei konfigurieren alles weitere eingestellt werden.

 

[moppi1988]

Wie ich es sehe muss bei Authentifizierungsmodus "Smartcard- oder anderes Zertifikat" ausgewählt und bei konfigurieren alles weitere eingestellt werden

Ja, genau so habe ich es gemacht, aber siehe oben

Ergänzung (26. Mai 2020)

Ich denke, ich habe ein Verständnisproblem bei der Installation und Nutzung des Client Zertifikats.
Beispielsweise: Das Zertifikat ist für einen generischen WLAN Nutzer ausgestellt. Muss ich als dieser Nutzer angemeldet sein, wenn ich es installiere? Oder kann ich es genauso als Admin machen? Und in welchen Zertifikatfolder muss ich es installieren?
Das WLAN Profil muss nun unter diesem speziellen Nutzer laufen, denn nur dann wird auch sein Zertifikat verwendet werden können, oder? Wie stelle ich das sicher?
Ich denke, irgendwo in dieser Fragekette mache ich was falsch.

 

[GTrash81]

Puh, gute Frage. Da müsste ein Windows-Admin mal helfen, da ich vom Windows Zertifikatsspeicher auch keine Ahnung habe.