802.1X Identity Пусто - Форум UBIQUITI.RU

802.1X Identity Пусто, UniFi Network

albertk

Guest

17.01.2017 07:21:00

У меня проблема с Unifi Cloud Key Controller (5.3.8): у некоторых пользователей не отображается Identity 802.1X. Причём для одного и того же пользователя иногда оно появляется, а иногда нет. У меня 18 устройств UAP AC-Lite с последней прошивкой 3.7.35.6029. Я пробовал прошивки 3.7.32 и 3.7.29 — во всех та же проблема. Использую Freeradius 3.0.11 для аутентификации и авторизации через Windows 2012 AD. VLAN динамически назначается Freeradius, всего два динамических VLAN: 40 для всех и 30 для группы управления. Это проблема контроллера или прошивки UAP?

di3

Guest

16.07.2018 15:54:00

@UBNT-Brandon

=> Я провёл некоторые тесты в выходные, и вот что выяснил, просто, но помогает сузить проблему: я отключил 2.4 ГГц для SSID, который использую для мобильных клиентов. Использую FT для всех своих UAP (4 штуки). Результат: идентификатор 802.1X остался и отображается прекрасно. Вывод: как многие заметили, скорее всего проблема связана с роумингом между 2.4 и 5 ГГц — именно поэтому UAP теряет идентификатор 802.1X, поскольку именно UAP не передаёт эту информацию (см. мой предыдущий пример).

di3

Guest

15.07.2018 07:58:00

@UBNT-Brandon

Я снова тестирую все функции UBiquiti для одного проекта, и много регрессионных тестов не проходят, включая проблему с отсутствием 802.1X идентификации на последней прошивке 3.9.42 с контроллером 5.9.12. Опять же, спустя некоторое время, UAP перестаёт передавать 802.1X идентификатор контроллеру, из-за чего контроллер не может его отобразить. Мы сейчас используем это решение во многих проектах: централизованный LDAP/Active Directory + интерфейс Radius, или простой Radius на USG для небольших развертываний, и явно это проблема для больших развертываний, так как невозможно отследить пользователей. 802.1X идентификация появляется только после переподключения, и у некоторых клиентов она всё ещё есть.

В этом примере: 3 клиента, все используют один и тот же SSID и логин/пароль. До и после некоторого времени: у 2 из 3 идентификатор пустой, и mca-ctrl -t dump с UAP показывает, что он пустой, а только один корректно передает 802.1X идентификатор.

Небольшое переподключение — и всё возвращается к норме

Похоже, UAP теряет эту информацию, так как дамп с mca-ctrl указывает, что именно UAP не передаёт правильные данные (дампы mca приложены).

vheijnen Guest	#4 20.12.2017 08:42:00 Я только что обновил прошивку своих AP до версии 3.9.15.8011, но, к сожалению, проблема всё ещё никуда не делась. Исправление уже включат в следующий релиз?

UI-Team Guest	#5 13.02.2017 04:07:00 Хорошо, исправление уже внесено. Следующее обновление прошивки будет с этим исправлением. Скорее всего, на следующей неделе. Извините за задержку. С уважением, Брандон

Sango Guest	#6 11.02.2017 02:22:00 cc @UBNT-Brandon

garyd9

Guest

11.02.2017 01:26:00

К вашему сведению, этот косметический баг ВСЁ ЕЩЁ присутствует в самой последней (.40) бета-версии прошивки. Немного расстраивает видеть, что баг вроде бы исправили, но исправление так и не попало ни в одну из официальных сборок... Гари

UI-Team Guest	#8 03.02.2017 07:55:00 Пока нет для последнего релиза. Мы выпустим это исправление в ближайшее время. В любом случае, спасибо за информацию, которая помогла нам разобраться и найти корень проблемы 😀

di3

Guest

22.08.2018 11:37:00

@UBNT-GavinLiao

Похоже, что последнее обновление прошивки https://community.ui.com/releases/57ab9514-e38d-43db-90b8-d97080dccd4d решает эту проблему. Я проверю и подтвержу, что это действительно решение, и тогда можно будет считать, что всё готово к работе ;-)

UI-Team Guest	#10 18.07.2018 09:31:00 Привет @di3, Не мог бы ты скинуть мне в личку конфигурацию aaa для твоего vap? Ты найдёшь её в папке /etc/, файл будет выглядеть как aaaX.cfg. Спасибо 😀

di3

Guest

#11

18.07.2018 09:20:00

@UBNT-GavinLiao

=> FT теперь включен полностью (с прошивки 3.9.41), так как у меня больше нет разрывов из-за неправильного имени пользователя и пароля. Эта проблема возникала постоянно, и я о ней сообщал. Но я изменил одну вещь: я использую 4 SSID, и теперь SSID с радиус-аутентификацией (wpa2 enterprise) работает ТОЛЬКО на частоте 5 ГГц, больше никаких 2.4 ГГц для этого SSID. И теперь 802.1X идентификация идеальна, то есть, похоже, что потеря идентичности происходит, когда пользователь переключается между 2.4 ГГц и 5 ГГц, а не между UAP! Я тестировал на одном UAP, результат тот же:
- при использовании обеих частот идентичность теряется
- при использовании только 5 ГГц всё идеально, идентичность сохраняется

UI-Team Guest	#12 18.07.2018 09:12:00 Привет, @di3! Ты имеешь в виду, что нужно включить fast roaming, чтобы увидеть проблему с пустым identity? Если отключить fast roaming, то проблемы с пустым identity не возникает, верно? Просто хочу уточнить твою ситуацию. 😀

garyd9

Guest

#13

02.02.2017 20:58:00

Как я уже говорил неделю назад, данные на веб-странице контроллера выглядят правильными с установленной исправленной прошивкой. Этот фикс включили в бета-версию прошивки .39? (Я ещё не перешёл, чтобы проверить.) Спасибо, Gary

UI-Team Guest	#14 02.02.2017 07:25:00 @MarcelMueller @garyd9 Спасибо. Лог соответствует нашим ожиданиям 😀 Так ты всё ещё видишь ненужные или пустые строки на стороне контроллера? Просто хочу убедиться, что мы движемся в правильном направлении по отладке.

Читают тему (гостей: 1)