Mikrotik.moscow [тема: EAP PEAP-MSCHAPv2 как станция с v7]

EAP PEAP-MSCHAPv2 как станция с v7

Thu, 25 Jul 2024 13:46:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Я тоже на это надеялся, когда увидел заметки к выпуску v7.15, но у меня проблема осталась. Пробовал разные настройки безопасности WiFi (PEAP, EAP-TLS с сертификатами и так далее), но всё равно не работает. Mikrotik, было бы здорово, если бы это исправили как можно скорее. Спасибо!
25.07.2024 13:46:00, mrtn.

EAP PEAP-MSCHAPv2 как станция с v7

Sun, 14 Jul 2024 20:35:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Возможно, они это исправили… В примечаниях к стабильному релизу 7.15 говорится: *) eap — улучшена клиентская аутентификация eap-peap, eap-mschap2 (dot1x/wireless/ipsec);
14.07.2024 20:35:00, bpwl.

EAP PEAP-MSCHAPv2 как станция с v7

Sat, 13 Jan 2024 07:34:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
7.13 та же ошибка — потеря соединения, тайм-аут аутентификации 802.1x.
13.01.2024 07:34:00, slavik.

EAP PEAP-MSCHAPv2 как станция с v7

Tue, 18 Apr 2023 12:14:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Нужно это поправить. Не всегда нормально работает на ROS6. У меня связка с основным роутером Draytek, который используется для аутентификации через RADIUS, отлично работает со всеми известными устройствами — планшет, смартфон, ПК, часы… iOS, Windows, Linux, Android. Но на Mikrotik в качестве клиента на ROS 6.45.6 (нормальная версия) и даже на ROS 6.49.7, самой свежей из ROS6, постоянно срабатывает сбо́й. Этот Mikrotik отлично работает с Enterprise логином у всех моих провайдеров с настройкой PEAP клиента (https://wiki.mikrotik.com/wiki/Manual:Wireless_PEAP_client_with_FreeRADIUS). В Draytek я выяснил, что он требует, чтобы “Supplicant Identity” в клиенте Mikrotik совпадала с зарегистрированным пользователем — это не совсем обычное требование. Это нужно, чтобы не выскакивало “RADIUS SRV: User-Name not found from user database” в Draytek. Но даже при этом получить “accept” от Draytek Radius не получается. Почему Draytek, а не Mikrotik ROS7 User-manager V5? Потому что в ROS7 слишком жёсткое ограничение лицензий: 20 или 50 сессий, или нужна лицензия уровня 6. Причём последовательность методов, которые договариваются между Radius сервером и клиентом, отличается. ???

P.S. Дополнительные тесты: проверял с ROS 7.8 User Manager v5 в роли RADIUS сервера… Ошибка в логе: “EAP auth stopped for <”“> reason: timeout + ssl: no common ciphers”.
18.04.2023 12:14:00, bpwl.

EAP PEAP-MSCHAPv2 как станция с v7

Sat, 28 Jan 2023 20:26:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
У меня была такая же проблема при подключении RouterOS v7 CPE в режиме станции к v7 cAP ac, управляемому CAPsMAN…
28.01.2023 20:26:00, m4rk3J.

EAP PEAP-MSCHAPv2 как станция с v7

Fri, 27 Jan 2023 08:42:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Спасибо, bpwl, за ссылки и идеи! Хорошо, я попробую подготовить лабораторную среду с точкой MikroTik station и MikroTik AP, прослушать трафик, чтобы проверить версии TLS, и потом вернусь к вам.
27.01.2023 08:42:00, hoh.

EAP PEAP-MSCHAPv2 как станция с v7

Thu, 26 Jan 2023 18:46:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Ну, возможно, будет сложно разобраться или диагностировать без полного доступа и контроля со стороны AP. Если RADIUS работает — отлично. Проблемы с версиями TLS у меня лично не так просто диагностировать и исправить. С FreeRADIUS (открытый исходный код) хотя бы есть много информации и режим отладки. ROS6-ROS7 могут по-разному обрабатывать версии TLS. И тогда важны поддерживаемые версии TLS в самом AP. Возможно, здесь @sindy сможет помочь. Смотрите: http://forum.mikrotik.com/t/eap-tls-wireless-authentication-why-a-mikrotik-station-cannot-connect-to-a-mikrotik-ap/147954/1. Также https://github.com/multiduplikator/mikrotik_EAP. Я знаю, что это больше про сторону сервера. И https://freeradius-users.freeradius.narkive.com/iRfmx7XY/authentication-problems-with-some-devices-tls-version-too-low
26.01.2023 18:46:00, bpwl.

EAP PEAP-MSCHAPv2 как станция с v7

Wed, 25 Jan 2023 20:04:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Нет дополнительных логов с topics=radius на станции. Я даже пробовал topics=debug. Единственное сообщение, которое я вижу — «lost connection, 802.1x authentication timeout». При использовании ROS6 (который работает нормально) тоже никаких интересных логов нет. Я не контролирую сторону точки доступа — нам нужно подключить MikroTik как станцию к сети, которая управляется другой компанией. Но я смог протестировать несколько сетей на разных платформах с таким же результатом (ROS6 работает, ROS7 нет), так что сомневаюсь, что проблема на стороне точки доступа или контроллера. Я мог бы собрать MikroTik-точку доступа с EAP в лаборатории, чтобы получить логи с стороны AP. Но раз поддержка MikroTik продолжает игнорировать моё подробное сообщение о баге, это кажется пустой тратой времени...
25.01.2023 20:04:00, hoh.

EAP PEAP-MSCHAPv2 как станция с v7

Tue, 24 Jan 2023 22:09:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Действительно отлично работает в ROS6. А добавление [ logging topics = “radius,!packet” ] даёт ли дополнительную информацию по точке доступа или станции?
24.01.2023 22:09:00, bpwl.

EAP PEAP-MSCHAPv2 как станция с v7

Tue, 24 Jan 2023 13:13:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Кому-нибудь вообще нужен PEAP-MSCHAPv2? Просматривая историю форума, вижу, что эта функция долго ждалась, так что баг в ROS v7 должен кого-то задеть... Если кто-то из MikroTik это читает... ваша поддержка ужасна! Я открыл тикет SUP-98029, старался следовать всем инструкциям (предоставлял всю информацию, supout-файлы для работающего и неработающего сценариев и так далее). Ответа нет уже больше двух месяцев. Я полностью понимаю, что это не платная поддержка с SLA, но всё равно совсем игнорировать запрос — это не по-человечески. Любой ответ был бы лучше, даже «не будем исправлять».
24.01.2023 13:13:00, hoh.

EAP PEAP-MSCHAPv2 как станция с v7

Wed, 18 Sep 2024 09:53:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Привет снова! Я только что протестировал последнюю версию RouterOS 7.15.3 на RBwAPG-5HacD2HnD — всё прошло успешно, станция подключена.
18.09.2024 09:53:00, rohovsky.

EAP PEAP-MSCHAPv2 как станция с v7

Wed, 18 Sep 2024 09:14:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Привет! У меня такая же проблема с RBwAPG-5HacD2HnD / 2011UAS-2HnD / RBD53iG-5HacD2HnD, настроенными в режиме station pseudobridge для беспроводного uplink. На RouterOS v6.49.x всё работало нормально, но после обновления до v7.14.3 соединение падает с ошибкой в логах «802.1x authentication failed». При этом на Windows Radius сервере никаких событий не появляется.
18.09.2024 09:14:00, rohovsky.

EAP PEAP-MSCHAPv2 как станция с v7

Thu, 24 Nov 2022 14:56:00 +0300

EAP PEAP-MSCHAPv2 как станция с v7 RouterOS в форуме RouterOS.
Нужно подключить MikroTik в качестве клиента (станции) к Wi-Fi сети с защитой WPA2-Enterprise через PEAP-MSCHAPv2. На ROS 6.49.7 всё отлично работает с таким конфигом security-profile:

/interface wireless security-profiles add authentication-types=wpa2-eap eap-methods=peap management-protection=allowed mode=dynamic-keys mschapv2-password=_SECRET_ mschapv2-username=_USERNAME_ name=wifi_client supplicant-identity=_USERNAME_ tls-mode=dont-verify-certificate

При попытке сделать то же самое на v7 соединение молча отваливается. Единственное, что есть в логе — это сообщение:

“XX:XX:XX:XX:XX:XX@wlan2: lost connection, 802.1x authentication timeout”.

Пробовал крутить все возможные настройки в /interface/wireless — без толку. Открыл SUP-98029 у MikroTik, но пока никакой реакции. Кто-нибудь сталкивался с такой проблемой?
24.11.2022 14:56:00, hoh.