Die MAC-Authentifizierung (auch MAC Authentication Bypass, MAB) prüft ein Gerät anhand seiner MAC-Adresse, bevor ein Switch-Port den Datenverkehr freigibt. Sie ist der klassische Fallback für Geräte ohne 802.1X-Supplicant — Drucker, IP-Kameras, Telefone und andere Geräte, die keine EAP-Software mitbringen.
Ablauf
Der Port versucht zuerst die 802.1X-Authentifizierung. Antwortet das Gerät nicht (kein Supplicant), läuft nach einem Timeout der MAC-Authentifizierungs-Bypass an: Der Switch schickt die MAC-Adresse des Geräts als Benutzernamen und Passwort an den RADIUS-Server. Kennt der Server die Adresse, gibt er den Port frei — oft mit einer VLAN-Zuweisung für genau diese Geräteklasse.
Konfiguration
Auf Cisco-Switches aktiviert der Befehl mab im Interface-Konfigurationsmodus den Bypass. Die Reihenfolge der Verfahren ist konfigurierbar: Üblich ist erst 802.1X, dann MAB; danach greift bei weiterhin nicht authentifizierten Geräten optional ein Gast-VLAN mit eingeschränktem Internetzugang. Der Administrator pflegt die erlaubten MAC-Adressen im RADIUS-Server (oder als statische Liste), nicht am Switch.
Abgrenzung und Risiken
Die MAC-Authentifizierung ist keine starke Identitätsprüfung: Eine MAC-Adresse lässt sich fälschen (Spoofing), daher gilt MAB nur als pragmatische Lösung für Geräte ohne bessere Verfahren. Sie arbeitet oft mit der IP Source Guard und der Dynamic ARP Inspection zusammen, die beide gegen die DHCP-Snooping-Binding-Tabelle prüfen. Bei einer reinen MAC-Liste am Switch spricht man von MAC-Adressfilterung; der Bypass über RADIUS ist die zentral verwaltete Variante.
Verwandte Grundlagen: MAC-Adresse, Switch, Authentifizierung.