Wat is 802.1X?
802.1X is een netwerktoegangscontroleprotocol waarmee apparaten of gebruikers geauthenticeerd worden voordat ze netwerktoegang krijgen. Het is onderdeel van de IEEE 802-standaard en wordt vaak gebruikt in combinatie met Switches, Wifi en RADIUS-servers.
In OT-netwerken is 802.1X een krachtig middel om ongeautoriseerde toegang tot kritieke netwerksegmenten te voorkomen — met name in gemengde IT/OT-omgevingen.
🧠 Hoe werkt 802.1X?
- Een eindapparaat (de supplicant) probeert verbinding te maken met het netwerk via een Switch of draadloos toegangspunt (de authenticator)
- De switch blokkeert netwerktoegang totdat authenticatie succesvol is
- De switch stuurt de authenticatie-aanvraag naar een RADIUS-server (de authentication server)
- Na succesvolle authenticatie krijgt het apparaat toegang tot het netwerk
802.1X ondersteunt authenticatie op basis van:
- Gebruikersnaam/wachtwoord (bijv. EAP-MSCHAPv2)
- Digitale certificaten (bijv. EAP-TLS)
- MAC-authentication bypass voor apparaten zonder 802.1X-ondersteuning
🏭 Toepassing van 802.1X in OT-netwerken
- Toegangscontrole voor laptops van onderhoudspersoneel
- Beveiligde toegang tot OT-netwerksegmenten vanaf engineeringstations
- Port Security via 802.1X op Switches in zones 2 en 3
- Authenticatie van apparaten met certificaten of via MAC-authentication
- Segmentatie op basis van gebruikers- of apparaatrol via VLAN-toewijzing
802.1X wordt vaak gecombineerd met Zero Trust-principes in moderne industriële netwerken.
🔍 802.1X vs. Port security
| Aspect | 802.1X | Port security |
|---|---|---|
| Authenticatie | Gebruikers/identiteit-gebaseerd | MAC-adres-gebaseerd |
| Beveiliging | Sterker, met encryptie en certificaten mogelijk | Eenvoudig maar kwetsbaar voor MAC-spoofing |
| Flexibiliteit | Dynamische VLAN-toewijzing mogelijk | Statisch MAC-toewijzingsbeleid |
| Beheer | Vereist RADIUS-server en certificaatbeheer | Configuratie op switchniveau |
| Toepassing in OT | Voor moderne en hybride omgevingen | Voor vaste, statische installaties |
🔐 Beveiligingsaspecten
- Gebruik EAP-TLS met certificaten voor de veiligste implementatie
- Combineer met Firewall, SIEM en Syslog voor volledige zichtbaarheid
- Stel Fail-closed gedrag in: geen netwerktoegang zonder authenticatie
- Voor niet-802.1X-apparaten (zoals oudere PLC’s): gebruik MAC-authentication bypass
- Beperk toegang per rol of gebruiker met RBAC en VLAN-toewijzing
802.1X verhoogt aanzienlijk het security posture van industriële netwerken – mits correct geïmplementeerd.
📌 Samengevat
802.1X biedt veilige, op identiteit gebaseerde netwerktoegang en is ideaal voor hybride IT/OT-omgevingen waar betrouwbaarheid én beveiliging essentieel zijn. Het is krachtiger dan Port Security en ondersteunt dynamische, contextbewuste toegang.