Accesspoint mit 802.1X zu Switch mit 802.1X

Es ist wohl so das der AP den er verwendet sowohl 802.1x Client ist (damit authentisiert der AP sich selber am LAN Netzwerk (Switchport)) als auch auch gleichzeitig Supplicant (damit authentisiert er die WLAN Clients) !
Das ist bei guten APs so üblich das sie beide Funktionen haben. OpenWRT und DD-WRT supporten das ebenfalls !

Das der Switch dann im Multihost Betrieb arbeitet ist ja auch richtig. Andernfalls würde ein WLAN Client ja nachdem er den 802.1x Prozess am AP passiert hat an der 802.1x Authentisierung am Switchport hängen bleiben, denn der Switch darf diese Mac ja nicht durchlassen bei einer 1.x single Host Authentisierung am Port...logisch. Der angeschlossene AP ist ja aus technischer Sicht identisch vom Verhalten vergleichbar mit einem kleinen ungemanagten Switch den man an den .1x Port des Switches angeschlossen hat.
Bei singel Host Authentisierung in so einen Szenario wird auch jeder Client an diesem kleinen Switch einzeln am .1x Uplink Switchport authentisiert. Es ist nicht so das einer "aufmacht" und alle anderen mit durchkommen. Das wäre dann Multihost
Würde der kleine Switch auch selber .1x können müsste theoretisch 2 mal die Authentisierung durchlaufen werden. Das scheitert aber auch am Endgeräte Client, denn der ist ja schon einmal authentisiert und würde an der zweiten .1x Hürde niemals mehr EAPoL Pakte mehr senden. Kaskadierung ist da nicht vorgesehen.
Da der WLAN AP ja im Layer 2 Bridge Modus arbeitet wie ein Switch sieht der Switchport ja auch immer die Client Mac Adressen die dann dort hängen bleiben.
Abgesehen davon ist das auch Blödsinn das so einzurichten, denn was sollte der tiefere Sinn sein 2 mal eine Port Authentisierung zu machen mit WLAN Clients...normal ist das ja Unsinn.
Multihost macht also Sinn und es ist kein Fehler des Switches oder des APs !
Grundlagen auch hier: Sichere 802.1x WLAN-Benutzer Authentisierung über Radius

Du schreibst doch oben selber das dein OpenWRT auch ein .1x Supplicant ist !?? Oder doch nicht ?
Mit der Miete macht natürlich dann Sinn, da hast du Recht.
Ja, das kann es !
Die meisten der 802.1x fähigen Switches können auch eine .1x Authentisering über die Mac Adresse machen. Dann kannst du die Mac deines AP dort authentisieren lassen ohne eine Supplicant Funktion.
Klar kann man eine Client Mac manipulieren aber das erfordert erheblich mehr Energie und auch Wissen von dem der da was anschliesst.
In diesem Tutorial steht genau wie die Mac basierte Authentisierung funktioniert:
Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch

Ein gangbarer Weg wäre es, den Traffic der WLAN-Clients nicht am lokalen Port des Accesspoints/Switches auszukoppeln, sondern diesen enkapsuliert zu einem Backendsytem zu transportieren (z.B. per GRE-Tunnel). Der Switch sieht dann nur Traffic des Accesspoints. Einen solchen Tunnelmodus unterstützt optional jeder halbwegs brauchbare WLAN-Controller. Als Low-Budget-Lösung käme z.B. Mikrotik (CAPsMAN) in Betracht.

In diesem Szenario könnte man meines Erachtens sogar auf 802.1X am Switch verzichten, wenn man stattdessen ein isoliertes VLAN aufsetzt, in dem lediglich (durch eine Firewall reglementiert) der minimal nötige Traffic des APs zum Backendsystem zugelassen ist. Als fix-und-fertig-Lösung würde ich z.B. den WLAN-Controller NXC2500 von ZyXEL empfehlen. Dieser Controller könnte wenn gewünscht auch gleich als Firewall und Authentifizierungsserver fungieren. Selbiges (und noch mehr) geht natürlich auch mit Mikrotik, aber da ist die Einrichtung halt deutlich komplexer.

Gruß
sk

Der Vorschlag vom Kollegen sk ist in der Tat der Sinnvollste !
Solange du den AP im normalen Bridge Modus betreibst am Switch wie es ja üblich ist wirst du das Problem logischerweise mit 802.1x nicht lösen können, da die Absender Adressen ja immer die Mac Adressen der WLAN Clients sind und nie die des AP wie es eben üblich ist im Bridge Betrieb.
Der Tunnel Mode mit einem simplen WLAN Controller ist dann das Mittel der Wahl.
Alle Hersteller die Controller basierte APs betreiben haben auch einen .1x Client embedded im AP.
Das löst also deine Anforderung umfassend !

Das kann er ja....er arbeitet ja im reinen Bridge Mode, da der OpenWRT ja nur als simple Bridge benutzt wird im AP Modus. D.h. der Switchport muss im .1x Mode dann so konfiguriert sein das jede Mac sich authentisieren muss.
Das gilt dann erstens für den im AP Betrieb laufenden OpenWRT, der muss sich selber authentisieren. Obwohl....er muss es nicht unbedingt, denn seine eigene Mac Adresse ist nur für das Management erforderlich. Authentisiert er sich selber nicht, dann kannst du halt nur nicht mehr auf ihn zum Managen der Einstellungen zugreifen.
Da er als Bridge arbeitet, schaltet er wie ein Switch den Switchport L2 transparent ins WLAN. Er "reicht" also die EAPoL Pakete der .1x Authentisierung einfach durch wie du schon richtig vermutest !
Folglich müssen sich dann alle WLAN Clients per .1x entweder über ihre WLAN Mac Adresse oder Username/Passwort oder Zertifikat authentisieren.
Das würde so funktionieren !