EAP PEAP-MSCHAPv2 как станция с v7

Привет! У меня такая же проблема с RBwAPG-5HacD2HnD / 2011UAS-2HnD / RBD53iG-5HacD2HnD, настроенными в режиме station pseudobridge для беспроводного uplink. На RouterOS v6.49.x всё работало нормально, но после обновления до v7.14.3 соединение падает с ошибкой в логах «802.1x authentication failed». При этом на Windows Radius сервере никаких событий не появляется.

Кому-нибудь вообще нужен PEAP-MSCHAPv2? Просматривая историю форума, вижу, что эта функция долго ждалась, так что баг в ROS v7 должен кого-то задеть... Если кто-то из MikroTik это читает... ваша поддержка ужасна! Я открыл тикет SUP-98029, старался следовать всем инструкциям (предоставлял всю информацию, supout-файлы для работающего и неработающего сценариев и так далее). Ответа нет уже больше двух месяцев. Я полностью понимаю, что это не платная поддержка с SLA, но всё равно совсем игнорировать запрос — это не по-человечески. Любой ответ был бы лучше, даже «не будем исправлять».

Нет дополнительных логов с topics=radius на станции. Я даже пробовал topics=debug. Единственное сообщение, которое я вижу — «lost connection, 802.1x authentication timeout». При использовании ROS6 (который работает нормально) тоже никаких интересных логов нет. Я не контролирую сторону точки доступа — нам нужно подключить MikroTik как станцию к сети, которая управляется другой компанией. Но я смог протестировать несколько сетей на разных платформах с таким же результатом (ROS6 работает, ROS7 нет), так что сомневаюсь, что проблема на стороне точки доступа или контроллера. Я мог бы собрать MikroTik-точку доступа с EAP в лаборатории, чтобы получить логи с стороны AP. Но раз поддержка MikroTik продолжает игнорировать моё подробное сообщение о баге, это кажется пустой тратой времени...

Спасибо, bpwl, за ссылки и идеи! Хорошо, я попробую подготовить лабораторную среду с точкой MikroTik station и MikroTik AP, прослушать трафик, чтобы проверить версии TLS, и потом вернусь к вам.

Нужно это поправить. Не всегда нормально работает на ROS6. У меня связка с основным роутером Draytek, который используется для аутентификации через RADIUS, отлично работает со всеми известными устройствами — планшет, смартфон, ПК, часы… iOS, Windows, Linux, Android. Но на Mikrotik в качестве клиента на ROS 6.45.6 (нормальная версия) и даже на ROS 6.49.7, самой свежей из ROS6, постоянно срабатывает сбо́й. Этот Mikrotik отлично работает с Enterprise логином у всех моих провайдеров с настройкой PEAP клиента (https://wiki.mikrotik.com/wiki/Manual:Wireless_PEAP_client_with_FreeRADIUS). В Draytek я выяснил, что он требует, чтобы “Supplicant Identity” в клиенте Mikrotik совпадала с зарегистрированным пользователем — это не совсем обычное требование. Это нужно, чтобы не выскакивало “RADIUS SRV: User-Name not found from user database” в Draytek. Но даже при этом получить “accept” от Draytek Radius не получается. Почему Draytek, а не Mikrotik ROS7 User-manager V5? Потому что в ROS7 слишком жёсткое ограничение лицензий: 20 или 50 сессий, или нужна лицензия уровня 6. Причём последовательность методов, которые договариваются между Radius сервером и клиентом, отличается. ???

P.S. Дополнительные тесты: проверял с ROS 7.8 User Manager v5 в роли RADIUS сервера… Ошибка в логе: “EAP auth stopped for <”“> reason: timeout + ssl: no common ciphers”.

Возможно, они это исправили… В примечаниях к стабильному релизу 7.15 говорится: *) eap — улучшена клиентская аутентификация eap-peap, eap-mschap2 (dot1x/wireless/ipsec);