# WiFi

## Grundlagen

1. Um eine WiFi-Regel zu erstellen, fügen Sie eine **Element** unter dem **Regelsammlungs** Bereich und wählen Sie **WiFi-Regel hinzu.** 
2. Geben Sie der Regel einen **Namen** Namen, der erklärt, wofür die Regel verwendet wird. Außerdem hilft ein aussagekräftiger Name Ihnen später dabei, Authentifizierungsanforderungen, die von dieser Regel verarbeitet werden, in Ihren Protokollen leicht zu identifizieren.
3. Vergessen Sie nicht, **Aktivieren** show VPN-Regel

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fr4ZoHJ4wdmXQdTiOHLSa%2Fimage.png?alt=media&#x26;token=ac5bab84-f998-4b5e-ab55-2343b238eccc" alt="" width="401"><figcaption><p>Zeigt, wie eine Wi-Fi-Regel hinzugefügt wird</p></figcaption></figure>

## **Authentifizierung**&#x20;

Unter dem **Authentifizierung** Bereich ist Ihre erste Wahl, ob Sie **zertifikatsbasierte** oder **benutzername-/passwortbasierte** Authentifizierung für diese Regel zulassen oder ablehnen möchten.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F8pXQmlWRFBe5zGeJm3Eq%2Fimage.png?alt=media&#x26;token=5f5e549c-b005-41cc-80f6-39ed7f02b4b1" alt=""><figcaption><p>Zeigt die Authentifizierung</p></figcaption></figure>

### **Zertifikatsbasierte Authentifizierung**

Für die zertifikatsbasierte Authentifizierung haben Sie die folgenden Möglichkeiten, eingehende Authentifizierungsanforderungen weiter einzuschränken.

#### Nur bestimmte CAs zulassen (vertrauenswürdige CAs)

Damit können Sie eingehende Authentifizierungsanforderungen auf bestimmte vertrauenswürdige Root- oder ausstellende CAs eingrenzen. Diese CAs können eine Teilmenge aller vertrauenswürdigen Roots sein, die Sie auf der RADIUSaaS-Plattform konfiguriert haben.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FD3NOMFHGfmYH9tw7rN14%2Fimage.png?alt=media&#x26;token=eb59ae65-e50b-4161-924e-9895dcd19c39" alt=""><figcaption><p>Zertifikatsfilterung anzeigen</p></figcaption></figure>

#### Nach Intune-IDs filtern&#x20;

Dies ist eine historische Einstellung. Wenn sich Ihre Clients mit Zertifikaten authentifizieren, die Ihre Clients während des AAD-Join erhalten haben, möchten Sie nach Ihrer Intune-Mandanten-ID filtern.&#x20;

Falls Sie Ihre Mandanten-IDs wie beschrieben eingegeben haben [hier](https://docs.radiusaas.com/de/admin-portal/trusted-roots#intune-id), ist das Standardverhalten von RADIUSaaS, dass nur Maschinen Zugriff auf das Netzwerk erhalten, die ein Zertifikat mit der Erweiterung OID **1.2.840.113556.5.14** und einem auf der Whitelist stehenden Wert für die Mandanten-ID vorlegen. Mit der Regel-Engine haben Sie nun die Möglichkeit, den Zugriff für eine bestimmte Regel weiter auf bestimmte Intune-IDs einzuschränken oder die Zertifikatserweiterung zu ignorieren. Dadurch können Sie ein Multi-Deployment-Setup haben, bei dem einige Clients mit Zertifikaten kommen, die die entsprechende OID enthalten, und andere nicht.&#x20;

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FNkkMfAoeCiq23eBA8yQA%2Fimage.png?alt=media&#x26;token=84b3f419-8d1a-455a-bd25-b49c46b77533" alt=""><figcaption><p>Zeigt das Filtern nach Intune-ID</p></figcaption></figure>

### Benutzername-/Passwortbasierte Authentifizierung

Nach dem Aktivieren **benutzername-/passwortbasierte** der Authentifizierung können Sie zusätzliche Filterung anwenden, indem Sie einen Regex auf dem **Benutzername**. Standard ist alle Benutzernamen

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fois6zxZuiyt0COv1K2Gv%2Fimage.png?alt=media&#x26;token=03517d98-ae9f-48cf-9d40-554962c187bb" alt=""><figcaption></figcaption></figure>

## Konfiguration

Unter dem **Konfiguration** Hier können Sie zusätzliche Filterkriterien basierend auf der Herkunft der Authentifizierungsanforderungen konfigurieren sowie VLAN-IDs zuweisen.

### SSID-Filter

Um einen SSID-Filter festzulegen, wählen Sie entweder **Namen** oder **Gruppen**.&#x20;

* Wenn Sie **Namen**auswählen, können Sie mehrere **SSIDs.**
* Wenn Sie **Gruppen,** können Sie auf eine oder mehrere Ihrer vordefinierten **SSID-Gruppen**.&#x20;

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FAsp23xbh2EusKB57aIuj%2Fimage.png?alt=media&#x26;token=ab5b3df0-9326-4186-8516-81f4c1c60423" alt=""><figcaption><p>Zeigt das Filtern nach SSID-Name oder -Gruppe</p></figcaption></figure>

### Access-Point-Filter

{% hint style="info" %}
Mit diesem MAC-Adressen-Filter können Sie bestimmte **Access Points** für die Kommunikation mit RADIUSaaS zulassen. **Dies ist kein MAC-Adressen-Filter für Endpunkte!**
{% endhint %}

Um einen **MAC-Adressbasierten** Access-Point-Filter, wählen Sie entweder **Adressen** oder **Gruppen**.&#x20;

* Wenn Sie **Adressen**, Sie können mehrere Access-Point-MAC-Adressen angebe&#x6E;**.**&#x20;
* Wenn Sie **Gruppen,** können Sie auf eine oder mehrere Ihrer vordefinierten **MAC-Adressgruppen**.&#x20;

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FJbOWqgrBxh82B4uyDKZM%2Fimage.png?alt=media&#x26;token=2ea2b809-eef8-41da-9240-a19a88783094" alt="" width="402"><figcaption><p>Zeigt die Auswahl von Access Points nach MAC-Adressen oder Gruppe</p></figcaption></figure>

Für die MAC-Adressen werden die folgenden Schreibweisen unterstützt:

* xx-xx-xx-xx-xx-xx
* xx:xx:xx:xx:xx:xx
* xxxxxxxxxxxx

{% hint style="info" %}
Ihr Access Point (AP) verwendet höchstwahrscheinlich nicht die LAN-MAC-Adresse, die auf dem AP-Gehäuse aufgedruckt ist und im AP-Admin-Portal als primäre MAC-Adresse angezeigt wird. Viele Hersteller erzeugen für jede einzelne SSID und Frequenz individuelle/zufällige MAC-Adressen (BSSIDs).

Wenn Sie die verwendeten MAC-Adressen in Ihrer AP-Admin-Oberfläche nicht finden können, können Sie auch das Protokoll "Rule Engine" (im Abschnitt "Insights") in Ihrer RADIUSaaS-Admin-Webkonsole konsultieren. Sie finden die MAC-Adresse, die Ihr AP sendet, im Feld "`AP-MAC"`.
{% endhint %}

### VLAN-Zuweisung

{% hint style="info" %}
Falls Sie herstellerspezifische VLAN-Return-Attribute benötigen, können Sie diese verwalten [hier](https://docs.radiusaas.com/de/admin-portal/settings/general-structure#vlan-attributes).
{% endhint %}

Die RADIUSaaS-Regel-Engine bietet mehrere Möglichkeiten, Virtual-LAN-IDs zuzuweisen. Die folgenden Optionen sind verfügbar:

#### Statisch

* Die VLAN-ID statisch angeben, die basierend auf der zugehörigen Regel zugewiesen werden soll

#### Über Zertifikatserweiterung

{% hint style="info" %}
Derzeit wird es von vielen MDM-Systemen, einschließlich Microsoft Intune und JAMF, nicht unterstützt, benutzerdefinierte Zertifikatserweiterungen zu SCEP-Profilen hinzuzufügen.

Wir empfehlen daher, stattdessen den [Subject Name des Zertifikats](#by-certificate-subject) zu verwenden, um eine VLAN-Zuweisung hinzuzufügen.
{% endhint %}

* Wählen Sie eine Ihrer erstellten Zertifikatserweiterungen aus
* Der Filter wird so gesetzt, dass der Wert mit Ihrer angegebenen Erweiterung (OID) übereinstimmt
* Wildcards werden in. \* Regex übersetzt

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FA6Lhnfy3CfEmFuFLsztF%2Fimage.png?alt=media&#x26;token=c54082c6-daf0-440e-87b1-31f7a304d575" alt="" width="402"><figcaption></figcaption></figure>

#### Über Zertifikats-Subject-Name-Eigenschaft

* Sie können VLAN-IDs auch basierend auf Eigenschaften im Subject Name Ihres Zertifikats zuweisen
* Geben Sie daher an, in welcher Eigenschaft die VLAN-ID gespeichert ist
* Konfigurieren Sie anschließend, mit welchem String die VLAN-ID als Präfix versehen wird
* Die VLAN-ID muss nicht zwingend ein Präfix haben. Es kann jedoch erforderlich sein, ein Präfix zu verwenden, falls Ihr Subject Name dasselbe Attribut mehr als einmal enthält (z. B. sind mehrere CNs recht üblich).

Als Beispiel weist die folgende Regel die VLAN-ID 15 basierend auf dem `Subject Name` Attribut `OU` mit dem Präfix `vlan-`

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FzpAMpK6PrpB2BjrjGEkC%2Fimage.png?alt=media&#x26;token=95d877db-a71c-4dc0-908c-a9df99be0a30" alt="" width="403"><figcaption><p>VLAN-Filterung anzeigen</p></figcaption></figure>

![](https://content.gitbook.com/content/SWU1DQ4UGkqER7uGNUOm/blobs/BkaDrlChuy8gxYtQFwnJ/image.png)

### Zusätzliche RADIUS-Attribute

{% hint style="info" %}
Falls Sie Rückgabeattribute benötigen, die standardmäßig nicht verfügbar sind, fügen Sie diese bitte hinzu [hier](https://docs.radiusaas.com/de/admin-portal/settings/general-structure#radius-attributes).
{% endhint %}

Die RADIUSaaS-Regel-Engine bietet mehrere Möglichkeiten, zusätzliche RADIUS-Attribute zurückzugeben (neben der VLAN-ID). Die folgenden Optionen sind verfügbar:

#### Statisch

Geben Sie das/die zurückzugebende(n) Attribut(e) und deren Wert(e) statisch an, die basierend auf der zugehörigen Regel zugewiesen werden sollen.

#### Über Zertifikatserweiterung

{% hint style="info" %}
Derzeit wird es von vielen MDM-Systemen, einschließlich Microsoft Intune und JAMF, nicht unterstützt, benutzerdefinierte Zertifikatserweiterungen zu SCEP-Profilen hinzuzufügen.

Wir empfehlen daher, stattdessen den [Subject Name des Zertifikats](#by-certificate-subject) zu verwenden, um eine VLAN-Zuweisung hinzuzufügen.
{% endhint %}

* Wählen Sie eine Ihrer erstellten Zertifikatserweiterungen aus
* Der Filter ist so eingestellt, dass der Wert des angegebenen Rückgabeattributs mit Ihrer angegebenen Erweiterung (OID) übereinstimmt
* Platzhalter werden in .\* Regex übersetzt

#### Über Zertifikats-Subject-Name-Eigenschaft

* Sie können zusätzliche RADIUS-Attribute auch basierend auf Eigenschaften im Subject Name Ihres Zertifikats zurückgeben
* Geben Sie daher an, in welcher Eigenschaft der Wert des Rückgabeattributs gespeichert ist
* Konfigurieren Sie dann, mit welchem String der Wert des Rückgabeattributs vorangestellt wird
* Der im Subject Name-Eigenschaft bereitgestellte Wert muss kein Präfix haben. Es kann jedoch erforderlich sein, ein Präfix zu verwenden, falls Ihr Subject Name dasselbe Attribut mehr als einmal enthält (z. B. sind mehrere CNs recht üblich).