> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/de/konfiguration/access-point-setup/radsec-available/meraki.md).

# Meraki

{% hint style="info" %}
Um die RadSec-Funktion auf Ihren Meraki-APs zu verwenden, ist die Firmware-Version **MR 30.X** oder neuer erforderlich.
{% endhint %}

### Wichtiger Hinweis für alle Meraki-Kunden

{% hint style="warning" %}
Meraki verlagert RadSec-Gerätezertifikate von der Keeper Organization CA zu ihrem neuen [PureCA-Dienst](https://documentation.meraki.com/Wireless/Design_and_Configure/Architecture_and_Best_Practices/Cisco_Keeper_to_PureCA_Migration_Strategy). Sobald ein Access Point ein von PureCA ausgestelltes Zertifikat vorlegt, lehnt RADIUSaaS seine RadSec-Verbindung ab, sofern der PureCA-Zertifikatsverbund nicht vertraut wird, und die Authentifizierung schlägt fehl.

Meraki nennt MR 33.1.2 als Mindest-Firmware für PureCA. Wir haben jedoch Access Points mit früheren Firmware-Versionen gesehen, die PureCA-Zertifikate vorlegen, sodass die Firmware-Version kein zuverlässiger Indikator dafür ist, ob Sie betroffen sind.

Um dies zu verhindern oder zu beheben, laden Sie die vollständige PureCA-Kette in Ihre RADIUSaaS-Vertrauenszertifikate hoch mit **Verwenden für** gesetzt auf **RadSec**, wie beschrieben in [RadSec-PureCA-Zertifikate](https://docs.radiusaas.com/configuration/access-point-setup/radsec-available/meraki#radsec-pureca-certificates). Behalten Sie auch Ihre vorhandene Keeper CA als vertrauenswürdig bei. Beide parallel zu vertrauen wird vollständig unterstützt und ermöglicht es den Access Points, sich zu verbinden, unabhängig davon, von welcher CA ihr Zertifikat ausgestellt wurde.

Wenn Sie Fragen dazu haben, welche CA oder Firmware Ihre Access Points verwenden, oder zur Migration selbst, wenden Sie sich bitte an den Meraki-Support.

\
*Zuletzt aktualisiert: 14. Oktober 2026*
{% endhint %}

## Zertifikate vorbereiten

{% hint style="warning" %}
Die Meraki-Plattform erlaubt es Ihnen nicht, RadSec-Clientzertifikate von einer CA Ihrer Wahl zu generieren. Stattdessen müssen Sie die integrierte **Organisation-CA** die eindeutig Ihrer Meraki-Organisation zugeordnet ist.
{% endhint %}

Laden Sie das Root-Zertifikat der CA herunter, die Ihr aktives **RADIUS-Serverzertifikat** wie [hier](/de/admin-portal/settings/settings-server.md#download). Sie müssen es später in Ihre Meraki-Konsole hochladen.

## Meraki-Konfiguration

{% hint style="info" %}
Die folgenden Einstellungen sind erforderlich, um eine funktionsfähige RadSec-Verbindung mit unserem Dienst herzustellen. Konfigurieren Sie alle anderen Einstellungen nach Belieben.
{% endhint %}

{% hint style="danger" %}
Stellen Sie sicher, dass Sie **die OCSP-Widerrufsprüfung des RadSec-Clientzertifikats deaktivieren** wie in Schritt 7 dieses Leitfadens beschrieben.
{% endhint %}

{% stepper %}
{% step %}

### Navigieren Sie zu Ihrem Meraki-Dashboard

Wählen Sie in Ihrem Dashboard **Wireless > Zugriffskontrolle** und stellen Sie sicher, dass Sie zur **neuen UI-Version** der Zugriffskontrollseite gewechselt haben:

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FRLtKMdY5l834M4uMHJVj%2Fimage.png?alt=media&amp;token=87edbda0-9b7b-4c58-a01e-bd453d64508a" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Konfigurieren Sie den RADIUS-Server in Ihrer SSID

Wählen Sie die **SSID** aus, für die Sie die RADIUS-Authentifizierung konfigurieren möchten (oder navigieren Sie zu **Wireless > Konfigurieren > SSIDs** um zunächst eine neue SSID zu erstellen).

Im **Sicherheit** Abschnitt Ihrer SSID wählen Sie **Enterprise mit** und im Dropdown-Menü **mein RADIUS-Server:**

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FjopG00mWY56nwsR319b1%2Fimage.png?alt=media&amp;token=53c6664b-117d-409f-85f1-8cc6c5dbadd4" alt=""><figcaption></figcaption></figure>

Unter **RADIUS**, klicken Sie auf **Server hinzufügen**. Konfigurieren Sie die **Host-IP oder FQDN** so, dass sie der IP-Adresse oder dem DNS-Namen Ihres [RadSec-Dienstendpunkts](/de/admin-portal/settings/settings-server.md#properties), setzen Sie den **Port** auf 2083 und setzen Sie den **Secret** Wert auf "radsec" und aktivieren Sie das **RadSec** Kontrollkästchen.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FSCtO35XEIsqFt93Le0QU%2Fimage.png?alt=media&amp;token=1e1b880a-0864-4334-8fa1-b2a6396cabd3" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### EAP-Zeitüberschreitungen konfigurieren

Konfigurieren Sie **EAP-Parameter und Zeitüberschreitungen** gemäß [diesem](/de/andere/faqs/general.md#timers-and-timeouts) Referenzleitfaden, indem Sie zu **Wireless** > **RADIUS** > **Erweiterte RADIUS-Einstellungen.** Sobald konfiguriert, sollte es ähnlich wie im folgenden Screenshot aussehen. Klicken Sie auf **Speichern** um die Einstellungen anzuwenden.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FwYlgfLexYcWm400DulBZ%2Fimage.png?alt=media&amp;token=48c307ca-89f2-4933-a47a-b164da332685" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### RadSec-Serverzertifikat hinzufügen

Um die erforderlichen Zertifikate hochzuladen und zu generieren, die die RadSec-Verbindung funktionsfähig machen, navigieren Sie zu **Organisation > Zertifikate > RADSEC**.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FEnApli3g02jjWf3A0Lvj%2Fimage.png?alt=media&amp;token=dd4a25d2-624a-40ad-9fc5-2f41100f5048" alt=""><figcaption></figcaption></figure>

Klicken Sie in der oberen Tabelle auf **Zertifikat hochladen** und geben Sie das Root-Zertifikat der CA an, die Ihr [**RADIUS-Serverzertifikat**](/de/admin-portal/settings/settings-server.md#server-certificates), das Sie bereits in diesem [Schritt](#prepare-certificates). Ihre Meraki-APs vertrauen nun Ihrem RADIUS-Server.

{% tabs %}
{% tab title="Verwendung der RADIUSaaS-Kunden-CA" %}

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FobW4brUKwgCGyPwW9vAd%2Fimage.png?alt=media&amp;token=1d21a6e0-7f30-4cbd-9baa-4ed9cd391c9a" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Verwendung von SCEPman oder einer anderen CA" %}

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F4t5xf690TwRZxshp9uAk%2Fimage.png?alt=media&amp;token=f53eff64-da51-4d20-a28a-b87ee9e9e9f3" alt=""><figcaption></figcaption></figure>
{% endtab %}
{% endtabs %}
{% endstep %}

{% step %}

### RadSec-Clientzertifikat erstellen

{% tabs %}
{% tab title="Keeper" %}
Unter **RadSec-Gerätezertifikate**, erstellen Sie zunächst eine **Organisation-CA** indem Sie auf **CA generieren**. Diese CA ist eindeutig Ihrer Meraki-Organisation zugeordnet.\nDie Meraki-Plattform wird nun automatisch RadSec-Clientzertifikate für alle Ihre APs generieren, die von dieser CA signiert sind. Die Lebensdauer des Zertifikats ist sehr lang (> 50 Jahre), d. h. Sie müssen sich keine Gedanken über deren Erneuerung machen.

Laden Sie das Root-CA-Zertifikat Ihrer **Organisation-CA** Ihres Meraki-Systems herunter, indem Sie auf **CA herunterladen**.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FwsgYUzgZJWgyW59b5T6P%2Fimage.png?alt=media&amp;token=74c5490c-036a-4254-b344-2c9b6e6e59c1" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="RadSec-PureCA-Zertifikate" %}
{% hint style="info" %}
PureCA befindet sich derzeit in der Beta-Phase.
{% endhint %}

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FWANixFM5av2ynRFGJ0X1%2Fimage.png?alt=media&amp;token=3e32330b-6b87-4770-86d2-c1db0ac03526" alt=""><figcaption></figcaption></figure>

Nach dem Herunterladen der Zertifikatskette müssen Sie sie aufteilen und jedes Zertifikat in der Kette einzeln in RADIUSaaS > Vertrauenswürdige Zertifikate hochladen, beginnend mit dem Root-Zertifikat.&#x20;

Sie können PowerShell verwenden, um die Kette in 5 Zertifikate aufzuteilen. Beispielsweise teilt das folgende Skript die heruntergeladene Kette auf und speichert jede Datei separat unter Verwendung des commonName des Zertifikats als Dateinamen.&#x20;

{% code overflow="wrap" %}

```powershell
$c=[regex]::Matches((Get-Content .\chain.pem -Raw),'(?s)-----BEGIN CERTIFICATE-----.*?-----END CERTIFICATE-----').Value | % { [Security.Cryptography.X509Certificates.X509Certificate2]::new([Text.Encoding]::ASCII.GetBytes($_)) }; $ord=[Collections.ArrayList]@(); $seen=@{}; $cur=$c | ? { $_.Subject -eq $_.Issuer } | Select -First 1; while($cur){ [void]$ord.Add($cur); $seen[$cur.Thumbprint]=1; $cur=$c | ? { $_.Issuer -eq $ord[-1].Subject -and -not $seen[$_.Thumbprint] } | Select -First 1 }; $c | ? { -not $seen[$_.Thumbprint] } | % { [void]$ord.Add($_) }; $i=0; $ord | % { $cn=($_.GetNameInfo('SimpleName',$false) -replace '[\\/:*?"<>|]','_'); $f=".\{0:d2}-{1}.pem" -f $i++,$cn; Set-Content $f ("-----BEGIN CERTIFICATE-----`n"+[Convert]::ToBase64String($_.RawData,'InsertLineBreaks')+"`n-----END CERTIFICATE-----") -Encoding ascii; "$f   subject=$($_.Subject)   issuer=$($_.Issuer)" }

```

{% endcode %}

Das obige Skript erzeugt die folgende Zertifikatsstruktur.

```
00-Cisco Meraki Dashboard Root CA.pem
  └─ 01-Cisco Meraki Dashboard Cluster SubCA.pem
    └─ 02-Meraki.com Cluster CA.pem
      └─ 03-1608009.pem                   (Ihre Organisations-CA)
        └─ 04-radsec-1608009.pem          (stellt die RadSec-Clientzertifikate aus)
```

{% endtab %}
{% endtabs %}

{% hint style="warning" %}
Sie werden mit Meraki nicht in der Lage sein, RadSec-Clientzertifikate einer anderen CA hochzuladen. Stattdessen stellt Ihnen die Organisation-CA, die eindeutig Ihrer Organisation zugeordnet ist, für alle Ihre Access Points geeignete Zertifikate bereit.
{% endhint %}
{% endstep %}

{% step %}

### Organisation-CA in RADIUSaaS vertrauen

Laden Sie nun das heruntergeladene CA-Zertifikat in Ihre [Vertrauenswürdigen Zertifikate in Ihrer RADIUSaaS-Webkonsole](/de/admin-portal/settings/trusted-roots.md#add) und wählen Sie **RadSec** unter **Verwenden für**.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F7nWmyyegri5KupEslWdo%2Fimage.png?alt=media&amp;token=3f36a44b-6e97-406d-b5fe-e05886377392" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Falls Ihre PKI eine mehrstufige Hierarchie (Root-CA, Intermediate-CA, Issuing-CA) hat, stellen Sie sicher, dass Sie alle davon in den RADIUSaaS-Speicher für vertrauenswürdige Zertifikate hochladen.
{% endhint %}
{% endstep %}

{% step %}

### Widerrufsprüfung für RadSec-Zertifikate deaktivieren

Deaktivieren Sie abschließend die [Widerrufsprüfung für die RadSec-Clientzertifikate](/de/admin-portal/settings/settings-server.md#verification-check-for-radsec-certificates) in Ihrer RADIUSaaS-Instanz (dies hat keine negativen Auswirkungen auf die Sicherheit, da die Meraki Organization CA das Widerrufen von RadSec-Clientzertifikaten nicht zulässt). Navigieren Sie daher zu Ihrer RADIUSaaS-Instanz und dann **Einstellungen > Servereinstellungen** und deaktivieren Sie das Kontrollkästchen **Verifizierungsprüfung für RadSec-Zertifikate**.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fx2AwP1KBglH14xdrsSe5%2Fimage.png?alt=media&amp;token=4b8b0f19-14f1-4f92-8a13-224669559ace" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### Konfiguration testen

Um zu testen, ob die Konfiguration funktioniert, können Sie in Ihrem [Portal](/de/admin-portal/benutzer/users.md#add-a-new-user) einen Benutzer hinzufügen und die Meraki-Testfunktion verwenden.

<figure><img src="https://3933237825-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FmMlZKcqr82x0TpYbZ9j0%2Fimage.png?alt=media&amp;token=468075bf-21b9-4e37-9da2-9972739f4917" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

### Referenzen

Link zur Meraki-Dokumentation für die RadSec-Konfiguration: <https://documentation.meraki.com/MR/Encryption_and_Authentication/MR_RADSec>

{% code overflow="wrap" %}

```
FEHLER: (0) SSL meldet Fehler 20: das lokale Ausstellerzertifikat kann nicht abgerufen werden
FEHLER: (0) TLS-Alarm write:fatal:unbekannte CA
```

{% endcode %}


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.radiusaas.com/de/konfiguration/access-point-setup/radsec-available/meraki.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.