http://mikrotik.moscow Новое в теме CAPSMan + freeradius + VLAN для каждого пользователя форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 05 Aug 2026 05:23:17 -0400 CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Capsman автоматически создаёт необходимое VLAN-членство в мосту на основе настроенного VLAN ID в пути данных Capsman. Если через список доступа или radius задан другой VLAN ID, это не работает, потому что отсутствует тегированное VLAN-членство. Это можно проверить, установив соответствующее членство вручную — тогда всё работает. Поскольку caps-интерфейсы динамические (меняются ID?), эта настройка теряется после перезагрузки или повторного Provisioning. Если Capsman работает не в режиме форвардинга, а в локальном режиме, можно назначить физическим WLAN-интерфейсам в caps нужные VLAN, и тогда настройка сохраняется. Думаю, Mikrotik Support сможет подтвердить это и рассмотреть как предложение по улучшению. Конфигурация Capsman Datapath действительно должна позволять несколько VLAN: один по умолчанию, а остальные — для динамического назначения VLAN на мостах. Сейчас SSID с несколькими VLAN работает только в локальном режиме и только после ручной настройки VLAN-членств.
13.03.2020 20:47:00, mb99.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388914 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388914 Fri, 13 Mar 2020 20:47:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Как @ashpri, я вынужден вручную добавлять каждый (dyn vlan) cap интерфейс для каждого CAP (2G/5G), чтобы всё работало: главная проблема в том, что если, например, CAP перезагружается, cap интерфейсы в мосту VLAN заменяются на «ether1», и мне приходится снова всё делать вручную… Я пытаюсь направить весь Wi-Fi трафик на менеджер, используя динамические/назначенные VLAN с Radius (Windows NPS).
12.03.2020 08:36:00, swenske.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388913 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388913 Thu, 12 Mar 2020 08:36:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Привет, @anuser @ashpri, у меня такая же проблема с bridge/vlan. Я пытаюсь сделать то же самое, только с тем отличием, что использую Windows NPS. Кто-то уже настроил подобное? Один SSID + CAPsMAN Forwarding + Dynamic VLAN (radius/nps)? Я перепробовал кучу вариантов, но всегда получается одно и то же: динамический интерфейс CAP оказывается в дефолтном bridge vlan(1), когда кто-то подключается к EAP WiFi...
10.03.2020 14:55:00, swenske.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388912 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388912 Tue, 10 Mar 2020 14:55:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
У меня получилось так же, но пришлось немного изменить кое-что. Вот моя правка:

nano /etc/freeradius/3.0/sites-enabled/inner-tunnel

post-auth {
 if (1) {
   Эти атрибуты предназначены только для inner-tunnel и НЕЛЬЗЯ копировать в outer reply.
   update reply {
     User-Name !* ANY
     Message-Authenticator !* ANY
     EAP-Message !* ANY
     Proxy-State !* ANY
     MS-MPPE-Encryption-Types !* ANY
     MS-MPPE-Encryption-Policy !* ANY
     MS-MPPE-Send-Key !* ANY
     MS-MPPE-Recv-Key !* ANY
   }

   Копируем атрибуты inner reply в список outer session-state.
   Политика post-auth сама позаботится о том, чтобы скопировать outer session-state в outer reply.
   update {
     &outer.session-state: += &reply:
   }

   update outer.session-state {
     MS-MPPE-Encryption-Policy !* ANY
     MS-MPPE-Encryption-Types !* ANY
     MS-MPPE-Send-Key !* ANY
     MS-MPPE-Recv-Key !* ANY
     Message-Authenticator !* ANY
     EAP-Message !* ANY
     Proxy-State !* ANY
   }
 }
}
15.02.2020 13:25:00, pablorib.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388911 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388911 Sat, 15 Feb 2020 13:25:00 -0500 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Вы используете режим переадресации CAPSMAN manager? Положение: вы должны указать «vlan-id=» вместе с «vlan-mode=use-tag». «vlan-id=» не должен быть пустым в конфигурации datapath.
03.07.2019 09:27:00, anuser.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388910 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388910 Wed, 03 Jul 2019 09:27:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Я отлично понимаю, что происходит сейчас. В чем проблема: Если у меня есть 200 CAPов, мне что, приходится вручную добавлять все 200 интерфейсов CAP в мост? Это как-то не похоже на обычный способ работы Mikrotik. Наверное, я что-то упускаю.
16.06.2019 02:57:00, ashpri.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388909 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388909 Sun, 16 Jun 2019 02:57:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
ДЖЕКПОТ! При ручном создании SSID (Virtual AP) radius корректно аутентифицирует пользователя и назначает его в правильный vlan. Единственная проблема — приходилось делать ipconfig/release и /renew при переключении между разными пользователями в разных vlan. В рабочей среде это не должно быть проблемой. Как я и подозревал, CAPSMAN (скорее всего из-за того, как я его настроил) некорректно обрабатывает Mikrotik-Wireless-VLANID и Mikrotik-Wireless-VLANIDtype. Думаю, дело в динамическом интерфейсе cap к мосту и тегировании VLAN в мосту.
16.06.2019 02:01:00, ashpri.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388908 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388908 Sun, 16 Jun 2019 02:01:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Спасибо за ответ, Dorian. Скоро я опубликую эти данные. Я даже не уверен, что это проблема с radius. Сейчас я тестирую с Tekradius LT, как указано здесь https://mum.mikrotik.com/presentations/CN16/presentation_3107_1461137144.pdf. Я отключил DHCP и установил статический адрес 192.168.86.10 на клиенте, который постоянно пингует 192.168.86.1 (шлюз для vlan 86).

---- Тест 1 ----  
Когда конфигурация capsman ssid такая:  
add datapath.bridge=bridge1 datapath.vlan-mode=use-tag datapath.vlan-id=86 security.authentication-types=wpa2-eap security.eap-methods=passthrough  
Radius аутентифицирует Wi-Fi клиент, и клиент отлично пингует шлюз. Атрибут radius для указанного пользователя — просто проверка логина/пароля, без Mikrotik-Wireless-VLANID и Mikrotik-Wireless-VLANIDtype.

---- Тест 2 ----  
Однако, когда я добавляю:  
Mikrotik-Wireless-VLANID = 86  
Mikrotik-Wireless-VLANIDtype = 0 (пробовал и 2)  
и меняю конфигурацию capsman ssid на:  
add datapath.bridge=bridge1 security.authentication-types=wpa2-eap security.eap-methods=passthrough  
пинг до 192.168.86.1 не проходит. Похоже, capsman даже не ставит клиента в нужный vlan.

---- Тест 3 ----  
Я даже пробовал (как в инструкции на mum pdf):  
Mikrotik-Wireless-VLANID = 86 без Mikrotik-Wireless-VLANIDtype, и менял конфигурацию capsman ssid на:  
add datapath.bridge=bridge1 datapath.vlan-mode=use-tag security.authentication-types=wpa2-eap security.eap-methods=passthrough  
Результат тот же — пинг до шлюза 86.1 не проходит.

Не будем обсуждать DHCP, проблема здесь более фундаментальная. Похоже, capsman неправильно обрабатывает Mikrotik-Wireless-VLANID и Mikrotik-Wireless-VLANIDtype. Клиент, видимо, не в правильном vlan.

Можно попросить поделиться конфигурацией capsman (или wireless) для вашего ssid, где динамический vlan назначается корректно? Хотя я вряд ли думаю, что дело именно в этом. Возможно, проблема связана с VLAN-тегированием интерфейса cap на мосту.

Я тестирую на capsman, следующим шагом проверю без capsman, с простым виртуальным AP. Чувствую, скоро повезёт.
16.06.2019 00:05:00, ashpri.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388907 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388907 Sun, 16 Jun 2019 00:05:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
У тебя есть больше информации о твоей настройке? Есть какие-нибудь конфиги? Конфигурация freeradius? DHCP работает? Если VLAN не устанавливается динамически?
15.06.2019 16:29:00, DorianGray.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388906 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388906 Sat, 15 Jun 2019 16:29:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Возможно, это связано с тем, что radius-сервер находится в vlan86, а клиент (согласно настройкам freeradius) должен быть в vlan60? DHCP-сервер и capsman работают на роутере mikrotik. Клиент подключается с капа. Может быть, какое-то правило фаервола (или что-то подобное) блокирует прием DHCP-ответов? Возможно, где-то при возврате от freeradius к capsman/DHCP-серверу происходит рассогласование vlan между клиентом и DHCP-сервером.
15.06.2019 16:26:00, ashpri.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388905 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388905 Sat, 15 Jun 2019 16:26:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Возрождаю старую, но актуальную тему. Я изучил всё в этой ветке, а также здесь: http://forum.mikrotik.com/t/solved-freeradius-aaa-assign-users-to-groups/47140/1 http://forum.mikrotik.com/t/capsman-dynamic-vlan/124118/1 http://forum.mikrotik.com/t/capsman-freeradius-user-based-vlan/99112/1 http://forum.mikrotik.com/t/feature-request-dynamic-vlan-assignment-wlan/111334/1 http://forum.mikrotik.com/t/wlan-client-isolation-in-dynamic-vlan-assignment/123458/1 http://forum.mikrotik.com/t/add-dynamic-vlan-assignment/76436/1

Проблема в том, что у меня выскакивает вот такая ошибка: dhcp,warning VL60 DHCP offering lease 172.16.60.60 for B0:65:BD:36:XX:XX without success (samsung, не apple) Эта ошибка появляется только при входе с WPA2-EAP и freeradius, который назначает VLAN. WPA2-PSK (без radius) с тегированным VLAN работает без проблем. WPA2-EAP freeradius пользователь без VLAN (нетегированный VLAN) тоже работает нормально. В чем может быть проблема?

ROS 6.44.3 на HAPAC2. Спасибо.

Вот лог radius:

23:06:57 radius,debug new request 58:2e0 code=Access-Request service=wireless called-id=66-D1-54-3F-XX-XX:RADIUSTEST  
23:06:57 radius,debug sending 58:2e0 to 192.168.86.59:1812  
23:06:57 radius,debug,packet sending Access-Request with id 164 to 192.168.86.59:1812  
23:06:57 radius,debug,packet Signature = 0x4d00fe3e97e6f42fd74f0eff0ac31252  
23:06:57 radius,debug,packet Service-Type = 2  
23:06:57 radius,debug,packet Framed-MTU = 1400  
23:06:57 radius,debug,packet User-Name = "vl60"  
23:06:57 radius,debug,packet State = 0x6dd7aae665deb30aba21bd840b612524  
23:06:57 radius,debug,packet NAS-Port-Id = "HAPACLITE-1-2"  
23:06:57 radius,debug,packet NAS-Port-Type = 19  
23:06:57 radius,debug,packet Acct-Session-Id = "82300029"  
23:06:57 radius,debug,packet Calling-Station-Id = "B0-65-BD-36-XX-XX"  
23:06:57 radius,debug,packet Called-Station-Id = "66-D1-54-3F-XX-XX:RADIUSTEST"  
23:06:57 radius,debug,packet EAP-Message = 0x0209002b19001703010020cbdc706573  
23:06:57 radius,debug,packet 85b670a0fe74c552022c034b1b621794  
23:06:57 radius,debug,packet 4f3759c13b6e47d4c10b67  
23:06:57 radius,debug,packet Message-Authenticator = 0xf5cc5b324de16aeadeb1b57417764f9e  
23:06:57 radius,debug,packet NAS-Identifier = "HAPAC2"  
23:06:57 radius,debug,packet NAS-IP-Address = 192.168.86.1  
23:06:57 radius,debug,packet received Access-Accept with id 164 from 192.168.86.59:1812  
23:06:57 radius,debug,packet Signature = 0x022a3492791cdde7f7ba3c7337d8f63c  
23:06:57 radius,debug,packet MT-Wireless-VLAN-ID = 60  
23:06:57 radius,debug,packet MT-Wireless-VLAN-ID-Type = 0  
23:06:57 radius,debug,packet User-Name = "vl60"  
23:06:57 radius,debug,packet MS-MPPE-Recv-Key = 0xa77f4eb50d0792ca2040d24a142151e8  
23:06:57 radius,debug,packet d4cd14be1b5d0dece1ccc145e62b473d  
23:06:57 radius,debug,packet d03b83912c96cd7b910c8a61ce9f03b8  
23:06:57 radius,debug,packet bf91  
23:06:57 radius,debug,packet MS-MPPE-Send-Key = 0xaf5765190f02b1179860f6de54de7da0  
23:06:57 radius,debug,packet 9efa9e1aac7d7ed435d9ee3cca115f04  
23:06:57 radius,debug,packet 24c56fd8337418c2f7993c58c04d7475  
23:06:57 radius,debug,packet 48f9  
23:06:57 radius,debug,packet EAP-Message = 0x03090004  
23:06:57 radius,debug,packet Message-Authenticator = 0xe749dfa7dd46e58f859e138dbae72441  
23:06:57 radius,debug received reply for 58:2e0  
23:06:58 dhcp,warning VL60 DHCP offering lease 172.16.60.60 for B0:65:BD:36:XX:XX without success

/caps-man configuration add datapath.bridge=bridge1 mode=ap name="RADIUS TEST" security.authentication-types=wpa2-eap security.eap-methods=passthrough security.encryption=aes-ccm security.group-encryption=aes-ccm ssid=RADIUSTEST
14.06.2019 15:15:00, ashpri.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388904 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388904 Fri, 14 Jun 2019 15:15:00 -0400 RouterOS CAPSMan + freeradius + VLAN для каждого пользователя RouterOS в форуме RouterOS.
Привет, ребята, я пытаюсь настроить свой Mikrotik + FreeRADIUS, чтобы мои пользователи попадали в разные группы, например: SSID: WIRELESS  
user-A = VLAN23  
user-B = VLAN37  

Думаю, что настройка FreeRADIUS у меня в порядке, я добавил Mikrotik_Wireless_VLANID =* ANY, Mikrotik_Wireless_VLANIDTYPE =* ANY в /mods-config/attr_filter/post-proxy (атрибуты пользователей задаются через группы в таблице SQL), и у меня есть:  
ATTRIBUTE       MIKROTIK_WIRELESS_VLANID                26      integer  
ATTRIBUTE       MIKROTIK_WIRELESS_VLANIDTYPE            27      integer  

Мои VLANы находятся на datapath мостах SSID:  
/interface bridge add name=WIRELESS  
/caps-man datapath add name=WIRELESS-PATH bridge=WIRELESS vlan-mode=use-tag  
/interface vlan add interface=WIRELESS vlan-id=23 use-service-tag=no  
/interface vlan add interface=WIRELESS vlan-id=37 use-service-tag=no  

Ну, пользователь аутентифицируется через RADIUS и получает доступ к WLAN, я вижу правильный VLANID в выводе freeradius, но мой Mikrotik всегда использует VLANID=1.  

Так что? Как это исправить?  

Я также пробовал разные варианты, вместо MIKROTIK_WIRELESS_VLANID использовать MIKROTIK-WIRELESS-VLANID, Mikrotik-Wireless-VLANID, Mikrotik_Wireless_VLANID — какой из них правильный?  

Кто-нибудь может подсказать? Где вы, специалисты по CAPSMAN и VLAN (обычно вас можно найти в зонах @ eduroam)?
11.03.2017 19:10:00, DorianGray.]]> http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388903 http://mikrotik.moscow/forum/forum57/84666-capsman-_-freeradius-_-vlan-dlya-kazhdogo-polzovatelya/message388903 Sat, 11 Mar 2017 19:10:00 -0500 RouterOS