Globale Ethernet-Einstellungen

Mit der Konfiguration Globale Ethernet-Einstellungen wird festgelegt, wie sich ein Mac über eine kabelgebundene Verbindung per 802.1X (EAP) am Netzwerk anmeldet, etwa an einem Switch-Port mit RADIUS-Authentifizierung. Die Einstellungen gelten für alle Ethernet-Schnittstellen des Mac. Relution überträgt sie als Profil mit dem Payload-Typ com.apple.globalethernet.managed und der Schnittstelle AnyEthernet; auf dem Mac erscheint die Konfiguration unter dem Namen 802.1X Ethernet: Global.

Voraussetzungen #

• Die Konfiguration ist einmal pro Richtlinie möglich.
• Sie steht für Geräte mit Geräteregistrierung und für Geräte mit Benutzer-Einschreibung → zur Verfügung.
• Eine Mindestversion von macOS legt Relution nicht fest. Ein überwachtes Gerät ist nicht erforderlich.
• Das Netzwerk muss 802.1X-Authentifizierung anbieten, in der Regel über einen RADIUS-Server.

Allgemein #

Der Abschnitt Allgemein enthält zwei Grundeinstellungen. In Klammern steht jeweils der Schlüssel im Profil.

• Netzwerk automatisch beitreten (AutoJoin, Standardwert: aktiv): Der Mac meldet sich selbstständig am Netzwerk an, sobald eine Ethernet-Verbindung besteht.
• Setup-Modus (SetupModes, Pflichtfeld): legt fest, in welchem Kontext die Anmeldung erfolgt. Genau ein Wert ist auswählbar.
  • System (Standardwert): Laut Apple authentifiziert sich der Mac systemweit, unabhängig von einer Benutzeranmeldung.
  • Anmeldefenster: Laut Apple erfolgt die Authentifizierung im Anmeldefenster mit den Zugangsdaten, die dort eingegeben werden.

Anders als die Konfiguration WLAN → bietet das Formular die Werte Standard und Beides nicht an. Welche EAP-Verfahren macOS im jeweiligen Modus unterstützt, entscheidet Apple.

EAP-Typen #

Unter Zulässige EAP-Typen muss mindestens ein Typ ausgewählt sein: TLS, TTLS, LEAP, PEAP, EAP-FAST, EAP-AKA und EAP-SIM. Bei EAP-FAST lassen sich zusätzlich PAC verwenden, Provision PAC und Provision PAC Anonym aktivieren. Eine neue Konfiguration enthält keinen ausgewählten Typ und lässt sich erst nach der Auswahl speichern.

Welche weiteren Felder erscheinen, hängt von den gewählten EAP-Typen ab:

Ist ausschließlich TLS gewählt, überträgt Relution die Vorgabe, dass ein Identitätszertifikat erforderlich ist (TLSCertificateIsRequired), andernfalls nicht.

Identitätszertifikat #

Mit einem Identitätszertifikat weist sich der Mac am RADIUS-Server aus. Zwei Varianten stehen zur Verfügung:

• Zertifikat wählen: Über Auswählen wird ein Zertifikat aus der Zertifikatsverwaltung → oder eine Zertifikatsvorlage ausgewählt, z. B. der Built-In CA → oder eines Zertifikatspools →. Bei einer Vorlage erhält jedes Gerät ein eigenes Zertifikat.
• Benutzerdefiniertes Zertifikat verwenden: Verwendet wird das WLAN-Zertifikat aus dem Profil des Benutzers, der dem Gerät zugewiesen ist (siehe Benutzerzertifikate →). Ein eigener Zertifikatstyp für Ethernet existiert nicht. Besitzt der Benutzer mehrere WLAN-Zertifikate, wählt das optionale Feld Zertifikatsname eines davon aus. Bleibt es leer, wird das am längsten gültige Zertifikat verwendet.

Lässt sich das Benutzerzertifikat für ein Gerät nicht ermitteln, etwa weil dem Gerät kein Benutzer zugewiesen ist oder der Benutzer kein passendes Zertifikat besitzt, wird die Konfiguration ohne Zertifikat übertragen. Enthält die Auswahl keinen EAP-Typ mit Identitätszertifikat, verwirft Relution ein gewähltes Zertifikat beim Speichern.

Vertrauen #

Die folgenden Felder legen fest, welchem Serverzertifikat des RADIUS-Servers der Mac vertraut. Sie stehen bei allen EAP-Typen zur Verfügung.

• Erlaubt den Benutzer das Vertrauen von Zertifikaten (TLSAllowTrustExceptions): Kann der Mac das Serverzertifikat nicht prüfen, darf der Benutzer ihm selbst vertrauen. Standardmäßig aktiviert. Für eine strikte Prüfung wird die Option deaktiviert und die beiden folgenden Felder werden gepflegt.
• Vertrauenswürdige Servernamen: Liste der Namen, die im Serverzertifikat stehen dürfen, z. B. radius.example.com.
• Vertrauenswürdige Zertifikate: Mehrfachauswahl aus der Zertifikatsverwaltung →, typischerweise das Stammzertifikat der Zertifizierungsstelle, die das Serverzertifikat ausgestellt hat. Angeboten werden nur Zertifikate im Format PKCS#1.

Besonderheiten #

• Zertifikate im Profil: Identitätszertifikat und vertrauenswürdige Zertifikate überträgt Relution automatisch mit der Konfiguration. Eine zusätzliche Konfiguration Zertifikat ist dafür nicht erforderlich.
• Organisationsgrenzen: Zertifikate und Zertifikatsvorlagen müssen aus der Organisation der Richtlinie stammen. Verweist die Konfiguration auf ein Zertifikat oder eine Vorlage einer anderen Organisation, lehnt Relution das Speichern ab.
• Gespeicherte Passwörter: Seit Relution 26.5.5 wird ein gespeichertes EAP-Passwort im Formular nicht mehr angezeigt; das Feld zeigt dann *****. Bleibt es unverändert, wird das gespeicherte Passwort beibehalten.
• Keine Platzhalter: Anders als bei der Konfiguration WLAN sind für diese Konfiguration keine Platzhalter vorgesehen; das Formular zeigt keine Platzhalterliste an.
• Regelverletzung: Kann die Konfiguration auf einem Mac nicht angewendet werden, meldet Relution die Regelverletzung Konfiguration der globalen Ethernet-Einstellungen.
• Apple Configurator 2: Enthält eine Richtlinie bereits eine Apple-Configurator-2-Konfiguration mit dem Payload-Typ com.apple.globalethernet.managed, lässt sich die Konfiguration Globale Ethernet-Einstellungen dort nicht mehr hinzufügen, und umgekehrt (siehe Apple Configurator 2 Konfiguration →).

Verwandte Themen #

• Verfügbare Konfigurationen → — Alle Konfigurationen für macOS im Überblick.
• WLAN → — 802.1X-Authentifizierung für drahtlose Netzwerke, auch auf macOS.
• Zertifikatsverwaltung →
• Built-In CA →
• Zertifikatspool →
• Erweiterte Platzhalter → — u. a. Benutzerzertifikate.
• Apple Configurator 2 Konfiguration →