Вот что я вижу в FreeRadius на базе freeradius3-3.0.17 в pfSense.  
# Вместо «use_tunneled_reply» измените в этом месте «if (0)» на «if (1)».  
#  
if (1) {  
 #  
 # Эти атрибуты предназначены только для inner-tunnel и НЕЛЬЗЯ копировать во внешний ответ.  
 #  
 update reply {  
  User-Name !* ANY  
  Message-Authenticator !* ANY  
  EAP-Message !* ANY  
  Proxy-State !* ANY  
  MS-MPPE-Encryption-Types !* ANY  
  MS-MPPE-Encryption-Policy !* ANY  
  MS-MPPE-Send-Key !* ANY  
  MS-MPPE-Recv-Key !* ANY  
 }  

 #  
 # Копируем атрибуты внутреннего ответа во внешний список session-state.  
 # Политика после аутентификации позаботится о копировании внешнего session-state в внешний ответ.  
 #  
 update {  
  &outer.session-state: += &reply:  
 }  
}  

Даже после изменения на «if (1)» я всё равно не могу получить IP из нужного VLAN, вместо этого выдают IP из дефолтного MGMT VLAN. Уже провёл несколько часов в исследовании, чтобы это заработало, но решения пока не нашёл. Есть какие-нибудь мысли?

Мы попробовали то, что предложил AdamD, и теперь динамическое назначение VLAN через AC-LITE работает как надо. Спасибо, AdamD!!!

Я тоже сталкиваюсь с такой же проблемой: в трассировке Wireshark видно, что FreeRadius отправляет правильный VLAN ID, но точка доступа UBNT вообще, похоже, никак это не обрабатывает. Пользователь проходит аутентификацию нормально, но оказывается на VLAN по умолчанию (1), хотя это неверно. У точки доступа три SSID. Первый использует VLAN по умолчанию (без тега) — VLAN 1 и WPA2 Personal, второй работает с тегированным VLAN (33) и WPA2 Personal. Третий SSID настроен на использование RADIUS-профиля с WPA Enterprise. Этот RADIUS-профиль ссылается на сервер FreeRadius и должен динамически назначать VLAN 128, 129 или 130 в зависимости от аутентифицируемого пользователя. В данном случае мы аутентифицируемся как Test128, и точка доступа должна назначить пользователю VLAN 128. FreeRadius отправляет правильные данные на UBNT AP, но пользователь всё равно попадает в VLAN 1. Версия контроллера UBNT у нас 5.8.24, а точка доступа UBNT AP-AC-LITE работает на прошивке версии 3.9.42.9152.

@tman222

К сожалению, у меня VLAN номер хранится в виде строки, и проблема всё равно остаётся точно такая же, как у @Computer_Dude95.

Так как точка доступа работает в роли аутентификатора, вы сможете захватывать двунаправленный трафик на порту 1812 между ней и вашим сервером FreeRADIUS.

Чтобы сделать захват пакетов, нужно знать, на каком интерфейсе снимать трафик:

Физический порт точки доступа.

Введите команду ifconfig, чтобы узнать, какой интерфейс использует управляющий IP.

Команда tcpdump в SSH-сессии:
sudo tcpdump -npi <интерфейс> port 1812 -w /tmp/radius.pcap

Когда tcpdump запущен, начните пытаться аутентифицироваться с клиентом. Вывод сохраняется в файл, поэтому в командной строке ничего не будет отображаться. Как только почувствуете, что процесс занял достаточно времени, остановите tcpdump сочетанием ctrl + c.

Файл с логами будет сохранён в каталоге /tmp/ и его можно скопировать с точки доступа через SCP для анализа. В Wireshark вы сможете просматривать RADIUS-атрибуты, которые отправляет сервер, изучая содержимое пакетов. Если увидите, что атрибут vlan_id действительно передаётся правильно, будете знать, куда двигаться дальше.

Если возникнут вопросы по этому процессу, дайте знать.

@Computer_Dude95

Твои RADIUS-атрибуты выглядят правильно, тут особо вопросов нет. Ты уже используешь VLAN 30 статически на каком-то другом своём SSID? Есть ли возможность, что ты сделал захват пакетов RADIUS-сообщений на AP?