Mikrotik.moscow [тема: IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер?] http://mikrotik.moscow Новое в теме IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 02 Aug 2026 10:00:49 -0400 IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? RouterOS в форуме RouterOS.
Извиняюсь, что воскресил старую тему, но у меня точно такая же проблема, как и у автора несколько лет назад. Разница в том, что я использую RouterOS 7.10 и у меня уже установлен CA+Cert+Key сервера RADIUS, но всё равно не работает. При использовании IPSec RSA с radius нет никакого контакта. Зато при IPSec MSCHAPv2 всё работает отлично. Сертификат, используемый в RADIUS, сгенерирован Mikrotik и подписан CA, который тоже сделал Mikrotik. Соответственно, есть CA + Cert + Key как для сертификата в RADIUS, так и для сертификата в /ipsec identity. Minfrin, ты ещё здесь? Ты уже переносил эту настройку на ROS7?
29.06.2023 14:37:00, celebrant.]]> http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437676 http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437676 Thu, 29 Jun 2023 14:37:00 -0400 RouterOS IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? RouterOS в форуме RouterOS.
Изучая RFC 3579, я пришёл к выводу, что всё правильно — Mikrotik, выступающий в роли NAS по терминологии RFC 3579, аутентифицирует собственное взаимодействие с клиентами, используя свой сертификат, подписанный доверенным клиентами центром сертификации, что подразумевает наличие закрытого ключа (как и указано в инструкции). Связь между Mikrotik и RADIUS-сервером только аутентифицируется и частично шифруется посредством общего секрета, то есть RADIUS-сервер не использует сертификаты для аутентификации ни перед NAS, ни перед клиентами. Заявленная личность клиента определяется NAS (Mikrotik) на основе сертификата клиента, подписанного CA, которому доверяет NAS, и передаётся RADIUS; затем RADIUS отправляет клиенту вызов через защищённый канал, установленный между NAS и клиентом, и ожидает корректного ответа на вызов.

Священное руководство Mikrotik сбивает с толку тех, кто не глубоко погружён в тему, утверждая, что параметр сертификата peer «применим, если используется метод аутентификации с RSA-подписью (auth-method=rsa-signature)», в то время как для значения auth-method eap-radius говорится, что «в этом случае требуется сертификат сервера». Единственная реальная проблема здесь в том, что в объяснении параметра сертификата упоминается только один метод аутентификации (rsa-signature), тогда как на самом деле это относится также к методам rsa-signature-hybrid и eap-radius.
11.10.2018 17:45:00, sindy.]]> http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437675 http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437675 Thu, 11 Oct 2018 17:45:00 -0400 RouterOS IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? RouterOS в форуме RouterOS.
Возвращаясь к этому. В моём случае сертификат подписан УЦ. Флаги: K – закрытый ключ, D – dsa, L – crl, C – ключ со смарт-карты, A – удостоверяющий центр, I – выдан, R – отозван, E – истёк, T – доверенный

NAME               COMMON-NAME                SUBJECT-ALT-NAME                                             FINGERPRINT  
2  K L    T x…               x                                           DNS:x                                                                       x…  
3     L    T x…                DigiCert SHA2 Extended …                                                                                 x…  
4          T x…                DigiCert High Assurance…                                                                                  x…  

С сертификатом, полной цепочкой и ключом radius работает.  
С сертификатом и полной цепочкой, но без ключа — radius не работает (контакт с radius не устанавливается).  
Только с сертификатом УЦ radius не работает (контакт с radius не устанавливается).
11.10.2018 12:45:00, minfrin.]]> http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437674 http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437674 Thu, 11 Oct 2018 12:45:00 -0400 RouterOS IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? RouterOS в форуме RouterOS.
Подожди. В зависимости от того, как сгенерирован сертификат RADIUS (самоподписанный или подписанный удостоверяющим центром), сервер RADIUS должен предоставить полный цепочку сертификатов, а Mikrotik должен иметь либо сам этот сертификат (если он самоподписанный), либо сертификат удостоверяющего центра (если подписан CA) в своём хранилище доверенных сертификатов. В любом случае, на стороне Mikrotik не нужен приватный ключ сервера RADIUS. В сертификате обычно хранится публичный ключ, который используется для шифрования данных, а расшифровка происходит с помощью приватного ключа, который никуда не отправляется. И никакие ключи отдельно тебе не нужны, всё уже внутри сертификата. Можешь показать вывод команды /certificate print? Поменяй пару байтов в шестнадцатеричных строках сертификатов и IP-адресах — это не важно.
23.07.2018 16:51:00, sindy.]]> http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437673 http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437673 Mon, 23 Jul 2018 16:51:00 -0400 RouterOS IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? RouterOS в форуме RouterOS.
Основываясь на моём скромном опыте с сертификатами и удостоверяющими центрами, предполагаю, что MT нужен сертификат и ключ для зашифрованного обмена данными с сервером RADIUS. Возможно, нужно создать сертификат для MT и получить подпись от CA, чтобы он был доверенным.
23.07.2018 16:24:00, tippenring.]]> http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437672 http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437672 Mon, 23 Jul 2018 16:24:00 -0400 RouterOS IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? RouterOS в форуме RouterOS.
Привет, Грэм, что такое 192.168.x.x и 192.168.y.y? С уважением, Иса
23.07.2018 06:40:00, isa982.]]> http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437671 http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437671 Mon, 23 Jul 2018 06:40:00 -0400 RouterOS IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? IKEv2 VPN + Radius + EAP-TLS — почему сертификат Radius нужно устанавливать на роутер? RouterOS в форуме RouterOS.
Всем привет! Я успешно настроил RouterOS, чтобы VPN-клиенты могли подключаться через IKEv2, с использованием radius и аутентификацией по EAP-TLS (без паролей). Конфигурация ниже. Что я выяснил — эта настройка работает только если я беру закрытый ключ и сертификат нашего radius-сервера и устанавливаю этот сертификат на RouterBOARD (certificate=certificate-of-the-radius-server.pem). Очевидно, это не очень удобно — я бы предпочёл, чтобы сертификат был только на radius-сервере, а не дублировался на роутерах, которые, к тому же, не всегда физически защищены так же хорошо, как radius. Может кто-то объяснить, почему так происходит? Какие требования предъявляются к сертификату на RouterBOARD, почему сертификат, который установлен на radius, недостаточен?

# feb/25/2018 13:00:00 by RouterOS 6.41.2  
# software id = 95CM-PS1P  
#  
# model = 1100AHx2  
# serial number = 5732041E2225  

/ip ipsec mode-config  
add address-pool=default-dhcp name=roadwarrior split-include=192.168.x.x/24  

/ip ipsec policy group  
add name=roadwarrior  

/ip ipsec proposal  
set [ find default=yes ] enc-algorithms=blowfish pfs-group=modp4096
add auth-algorithms=sha256,sha1 enc-algorithms=aes-256-cbc lifetime=8h name=roadwarrior pfs-group=none  

/ip ipsec peer  
add address=0.0.0.0/0 auth-method=eap-radius certificate=certificate-of-the-radius-server.pem dh-group=ecp256,modp2048,modp1536,modp1024 enc-algorithm=aes-256 exchange-mode=ike2 generate-policy=port-strict hash-algorithm=sha256 mode-config=roadwarrior passive=yes policy-template-group=roadwarrior send-initial-contact=no  

/ip ipsec policy  
add dst-address=192.168.x.x/24 group=roadwarrior proposal=roadwarrior src-address=0.0.0.0/0 template=yes  
add dst-address=192.168.y.y/24 group=roadwarrior proposal=roadwarrior src-address=0.0.0.0/0 template=yes  

С уважением,  
Graham
02.03.2018 13:41:00, minfrin.]]> http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437670 http://mikrotik.moscow/forum/forum57/89515-ikev2-vpn-_-radius-_-eap_tls-_-pochemu-sertifikat-radius-nuzhno-ustanavlivat-na-router/message437670 Fri, 02 Mar 2018 13:41:00 -0500 RouterOS