Netzwerk · WLAN
EAP-TLS, Gäste-VLAN, VLAN-Steuerung und sauberes Roaming — für Aruba, Ubiquiti und Cisco Meraki. Endlich Schluss mit neuem WLAN-Passwort bei jedem Wechsel.
Was wir bauen
EAP-TLS Flow
Gerät bekommt von Intune ein Zertifikat. NPS prüft Zertifikat und Mitgliedschaft in der Firmen-PKI. Bei Erfolg landet das Gerät automatisch im passenden VLAN.
Persönlich von Ali
Du kennst das: Ein Mitarbeiter geht, das WLAN-Passwort muss geändert werden — und die nächsten zwei Wochen erklärst du allen, wo sie das neue Passwort eingeben. Mit zertifikatsbasierter Authentifizierung (EAP-TLS) ist das vorbei. Jedes Firmen-Notebook hat sein eigenes Zertifikat, meldet sich automatisch an. Beim Ausscheiden wird das Zertifikat einfach gesperrt. Fertig.
Für wen lohnt sich das?
Oder du hast den Wechsel aufgegeben und alle nutzen seit 5 Jahren dasselbe.
Saubere Zertifikats-Rotation ist deutlich entspannter als Passwort-Versand per Zettel.
Gäste-Netz, IoT-Netz, Office-Netz — sauber getrennt mit RADIUS-Steuerung.
Wer ins WLAN will, muss konformes Intune-Gerät sein — geht über Zertifikat-Bindung.
So gehen wir vor
Wir bauen das auf deinem bestehenden WLAN-Stack auf — Aruba InstantOn, Ubiquiti UniFi und Cisco Meraki kann ich alle. Vorher schauen wir uns vor Ort an, ob die Funkversorgung passt (Site Survey), und planen die VLAN-Struktur. Roll-out meist in 1–2 Wochen, je nach Geräteanzahl.
802.1X im Detail
Microsoft NPS ist der Richtlinienserver. Access Points, WLAN-Controller, Switches oder VPN-Gateways sind RADIUS-Clients. Erst zusammen mit Identität, Zertifikat und sauberer Policy entsteht eine belastbare Anmeldung.
Für 802.1X werden RADIUS-Clients, Shared Secrets, Connection Request Policies und Network Policies eindeutig dokumentiert. Bedingungen wie Benutzer- oder Gerätegruppe, NAS-Port-Typ und Zertifikatsmerkmale müssen zur gewünschten VLAN- oder Zugriffsentscheidung passen.
Bei EAP-TLS prüft der Client das Serverzertifikat und NPS das Clientzertifikat. Vertrauen, EKU, Zertifikatskette, Sperrprüfung und Namensabgleich müssen stimmen. Typische Fehler entstehen durch falsche Templates, abgelaufene Zertifikate, nicht erreichbare CRLs oder unpassende NPS-Policies.
Intune kann WLAN-Profile und Zertifikate an verwaltete Endpunkte verteilen. Je nach Architektur kommen Microsoft Cloud PKI oder eine bestehende AD-CS-Umgebung mit SCEP/NDES infrage. Entscheidend ist, dass Registrierung, Erneuerung und Entzug beim Offboarding ebenso funktionieren wie die erste Anmeldung.
FAQ
Nächster Schritt
Persönliche IT-Beratung aus München. Vor Ort nach Vereinbarung oder DACH-weit remote.
HUGETEC
Active Directory härten und dokumentieren: Tiering, AGDLP, Berechtigungen, AD CS, Enterprise PKI, NDES, SCEP und Zertifikats-Lifecycle.
Leistung ansehen →Intune und Entra ID für KMU: Autopilot, Compliance, Conditional Access, MDM, MAM, Zertifikate und Endpoint Security – sauber dokumentiert.
Leistung ansehen →Windows Server analysieren, migrieren und härten: Active Directory, Fileserver, RDS, Backup, Rollen und Dokumentation für kleine Unternehmen.
Leistung ansehen →E-Mail-Domains gegen Spoofing und Phishing absichern: SPF, DKIM, DMARC, Defender, Reporting und optional S/MIME – für KMU aus München.
Leistung ansehen →