Ошибка аутентификации MAC через RADIUS (принтер)

Ошибка аутентификации MAC через RADIUS (принтер), UniFi Network

tertius

Guest

16.02.2018 18:17:00

Пытаюсь аутентифицировать принтер с помощью MAC-аутентификации. Использую "allow empty passwords":

Thu Feb 15 11:33:20 2018 : Auth: Login incorrect (rlm_pap: empty password supplied): [40-49-0F-03-D3-BC] (от клиента client-5a1e1879e4b03d0f7c60cdcb порт 0 cli 40-49-0F-03-D3-BC)
Thu Feb 15 11:33:20 2018 : Auth: Login incorrect (rlm_pap: empty password supplied): [40-49-0F-03-D3-BC] (от клиента client-5a1e1879e4b03d0f7c60cdcb порт 0 cli 40-49-0F-03-D3-BC)

Не используя "allow empty passwords":
Thu Feb 15 11:33:46 2018 : Auth: Login incorrect (rlm_pap: CLEAR TEXT password check failed): [40-49-0F-03-D3-BC] (от клиента client-5a1e1879e4b03d0f7c60cdcb порт 0 cli 40-49-0F-03-D3-BC)
Thu Feb 15 11:33:47 2018 : Auth: Login incorrect (rlm_pap: CLEAR TEXT password check failed): [40-49-0F-03-D3-BC] (от клиента client-5a1e1879e4b03d0f7c60cdcb порт 0 cli 40-49-0F-03-D3-BC)

Пароль использую довольно простой и пытался много раз, дело не в этом.
Есть идеи? Подскажите, какую информацию нужно добавить.

sludgework

Guest

02.04.2018 21:09:00

Похоже, у меня такая же проблема. Ниже подробности моего случая. Все имена пользователей и пароли используются только для моих тестов, так что тут всё безопасно для публикации.

Я проверил, что аккаунт работает с той же парой имя пользователя/пароль:
root@HEIMDALL-01:/etc/freeradius# radtest -x 40-98-AD-XX-XX-XX testpassword 10.0.1.1 1819 testsecret
Sending Access-Request of id 74 to 10.0.1.1 port 1812
User-Name = "40-98-AD-XX-XX-XX"
User-Password = "testpassword"
NAS-IP-Address = 10.0.1.1
NAS-Port = 1819
Message-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Accept packet from host 10.0.1.1 port 1812, id=74, length=37
Tunnel-Type:0 = VLAN
Tunnel-Medium-Type:0 = IEEE-802
Tunnel-Private-Group-Id:0 = "204"

Это успешно проходит без проблем.

Далее вывод из radius.log:
Mon Apr 2 13:53:18 2018 : Auth: Login OK: [40-98-AD-XX-XX-XX] (from client client-58f7ffbb2e4ec7206e4aa2b4 port 1819)

Когда пытаюсь аутентифицироваться с помощью WPA2 Personal через аутентификацию по MAC с iPhone, radius.log показывает такую ошибку:
Mon Apr 2 13:40:55 2018 : Auth: Login incorrect (rlm_pap: CLEAR TEXT password check failed): [40-98-AD-XX-XX-XX] (from client client-58f7ffbb2e4ec7206e4aa2b4 port 0 cli 40-98-AD-XX-XX-XX)

Это конфигурация моего RADIUS-пользователя:

И наконец, конфигурация аутентификации по MAC в беспроводной сети:

Может, я что-то пропустил в настройках или есть какой-то шаг для отладки, который можно выполнить?

tertius Guest	#3 08.12.2020 17:46:00 Похоже, главное — чтобы WiFi-сеть была «открытой».

doino1990

Guest

10.01.2019 23:39:00

Хорошо, я понял для себя. Как указано в предыдущих сообщениях, и имя пользователя, и пароль должны быть MAC-адресом устройства, к которому вы пытаетесь подключиться, когда создаёте нового radius-пользователя USG. При подключении к вашей сети в качестве пароля следует использовать общий секрет.

doino1990

Guest

10.01.2019 23:15:00

Привет, тебе удалось выяснить, в чём проблема? Сегодня я настроил тестовую среду с WPA Personal — всё сработало отлично, но когда потом попытался настроить это же в другой среде, столкнулся с той же проблемой: rlm_pap: CLEAR TEXT password check failed. Пока что я перепробовал всё, что только мог придумать.

sludgework Guest	#6 09.04.2018 15:37:00 Интересно, показывается ли аутентификация по MAC для WPA2 Personal, хотя её там не должно быть. Перечитав руководство пользователя, я заметил, что там вообще не упоминается её наличие.

sludgework

Guest

09.04.2018 15:27:00

Моя цель в тестировании была сделать так, чтобы MAC-адрес выступал в роли имени пользователя на RADIUS-сервере, а VLAN каждого пользователя назначался через RADIUS. В моих тестах это, конечно, работает для WPA2 Enterprise. Я бы и не подумал, что аутентификация по MAC работает в WPA2 Personal, так что был удивлён, увидев такую опцию в контроллере Unifi. Просто интересно, как эта функция реализована для WPA2 Personal, наверное.

tertius Guest	#8 05.04.2018 15:00:00 Хорошее предложение, не уверен, что я это пробовал.

ml1950

Guest

05.04.2018 04:09:00

@tertius: Пароль должен быть MAC-адресом в формате, который ты указал для беспроводной сети (см. нижнее изображение, размещённое rot0xd). Ты говоришь, что используешь довольно простой пароль, но попробуй ввести MAC и как имя пользователя, и как пароль для пользователя RADIUS.

@rot0xd: Ты используешь WPA2 Personal? Это сеть с предварительно общий ключом, и я даже не уверен, работает ли MAC-аутентификация с WPA2 Personal, ведь она не использует RADIUS-сервер. Кто-то другой, возможно, сможет подтвердить, так ли это на UniFi. Но я не вижу особой нужды в MAC-аутентификации, ведь можно просто ввести пароль, как делает большинство клиентов. Также можно настроить WPA Enterprise, чтобы проверить, работает ли там MAC-аутентификация.

mjwhitta Guest	#10 04.04.2018 21:00:00 Вчера как раз игрался с этим и столкнулся с такой же проблемой. Сейчас нет вывода отладки, но моя настройка почти полностью совпадает с rot0xd. Думаю, я использовал другой формат MAC-адреса и поставил галочку в поле «Пустой пароль».

Читают тему (гостей: 1)