Каталог Поиск 0 Сравнить 0 Закладки 0 Корзина Войти
Каталог
105082, Москва, ул. Фридриха Энгельса, 75с21, БЦ Бауманский ИТКОЛ
Пн - Пт: с 09-00 до 18-00 Сб: с 10-00 до 18-00 Вс: выходной
Страницы: 1
RSS
Как вы справляетесь с вращающимися приватными MAC-адресами в iOS 18 / macOS Sequoia? Мы – колледж, у нас есть вопросы., UniFi Network
 
Привет всем,

Если вы находитесь в среде, похожей на мою, как именно вы справляетесь с новой ротацией MAC-адресов каждые 2 недели, которую недавно внедрила Apple?

Вот наша ситуация:

Мы колледж, поэтому видим одних и тех же пользователей ежедневно в течение большей части года.
У нас есть гостевая сеть с порталом BYOD для телефонов, личных ноутбуков и т. д. Срок действия учетной записи гостя установлен примерно в 9 месяцев, что покрывает весь учебный год — раньше, когда срок был меньше, было просто море проблем и обращений в службу поддержки.

Теперь пользователи постоянно сталкиваются с какими-то странными ситуациями — их устройство думает, что оно зарегистрировано, но не подключается к интернету. Странные ошибки сертификатов и всплывающие окна, в которых отображается сертификат, привязанный к точке доступа, к которой они подключены, а не к порталу. Все выглядит нормально, когда выключается стандартная настройка «ротация» и переключается либо на статический приватный MAC, либо отключаются приватные MAC.

Для всех, кто оказался в похожей ситуации, какое у вас было решение? Вы объяснили пользователям, как отключать приватные MAC? Перешли на другой тип сети? Что-то еще?

Спасибо большое.

Скажу, что мы активно работаем над полной перестройкой нашей инфраструктуры UniFi. Мы в процессе приобретения примерно $250k новых точек доступа U7 и коммутаторов Pro XG. Вместе с этим я планирую все перестроить с нуля, поэтому сейчас самое лучшее время, чтобы спросить других, как они работают с этим изменением от Apple.
 
Твоё текущее решение вполне подойдёт для IoT-устройств. Они редко меняют MAC-адреса, да и с captive portal у них в любом случае проблемы будут. 😉 Это одноразовая настройка на год. Примерно как настройка школьного аккаунта.

Залогинься на школьный сайт со своего iOS 18 / Mac Sequoia устройства, скачай и дважды кликни на файл, перейди в настройки и подтверди.

Любой другой способ обойти рандомизацию MAC "без участия рук" будет использован не самыми честными организациями для обхода.

Насколько я помню, Android-устройства не запускают iOS 18 / Mac Sequoia 😉
 
Забавно, я удалил лишний пункт, где говорилось, что для корпоративных устройств мы используем WPA. Вот какие проблемы нам предстоит решить:Подключение к WPA-сети с личного устройства было довольно ужасным опытом. Я сейчас не на работе, поэтому могу судить только по тому, что вижу на своем (Android) телефоне. Помню, Android по умолчанию хочет использовать PEAP, и для этого нужно либо предоставить CA-сертификат, либо попросить телефон доверять ему при первом использовании.Дальше в настройках беспроводной сети есть поля "идентификатор" и "анонимный идентификатор". Если вы используете NPS (RADIUS), поле "идентификатор" остается пустым, а поле "анонимный идентификатор" получает ваше имя пользователя… попробуйте это объяснить пользователю!В качестве альтернативы, мы могли бы позволить пользователям запрашивать свои собственные сертификаты с онлайн-сервера и затем попросить их использовать EAP-TLS, но это совсем не элегантно.WPA3 Enterprise отлично работает с принадлежащими устройствам. Просто отправьте клиентский сертификат на устройство, и клиент сможет подключиться без каких-либо проблем. Просто он не очень удобен для личных устройств, что, конечно, печально.И это всё ещё не решает постоянную проблему с элегантным решением для устройств, которые плохо подключаются ни к одному из этих решений, например, для IoT-устройств.
 
Задумывались о WPA2/3 Enterprise + PEAP аутентификации? Студенты смогут напрямую подключаться к Wi-Fi, используя свои школьные учетные данные, без необходимости входа на какой-то сайт с "захватом" портала. Существующий "захват" портала, вероятно, просит студента войти в систему, а затем использует комбинацию MAC-адресов и, возможно, cookies браузера для аутентификации устройства.

С WPA2/3 Enterprise + RADIUS Wi-Fi будет просто предлагать пользователю ввести имя пользователя + пароль. После входа устройство сможет сохранить эти учетные данные и использовать их для аутентификации вместо MAC-адреса.

Вам потребуется настроить RADIUS для используемой вами системы входа. Затем создайте новый SSID и настройте его для использования вашего сервиса RADIUS.

Существуют более продвинутые (и более навязчивые) конфигурации с профилями Mobile Device Management (MDM). Но они вам не понадобятся, если вы готовы к тому, что студенты будут самостоятельно управлять своими паролями, и вам не нужно отслеживать каждое устройство.

Unifi имеет базовую RADIUS-аутентификацию, чтобы вы могли понять, как это работает. Самая сложная часть — это подключение RADIUS к вашей существующей инфраструктуре для входа. Например, Microsoft Active Directory, кажется, имеет опцию RADIUS.
Страницы: 1
Читают тему (гостей: 1)