+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

802.1x / клиент dot1x не работает, когда интерфейс находится в мосту

802.1x / клиент dot1x не работает, когда интерфейс находится в мосту, RouterOS

wojo

Guest

31.07.2019 20:14:00

Я смог успешно аутентифицироваться с сервером 802.1x, используя RouterOS на простой интерфейс, но как только этот интерфейс становится частью моста (с настройками по умолчанию), я не могу завершить процесс EAPOL. Кажется, он никогда не доходит до обмена пакетами TLSv1, хотя я вижу запрос и ответ на идентификацию. У меня есть файлы с захватом пакетов, которые я скоро整理ую, но интересно, пробовал ли кто-то еще это или может воспроизвести проблему. Если вы задаетесь вопросом, почему этот интерфейс находится в мосту, это позволяет мне обработать ситуацию с удалением VLAN 0 (из-за приоритизации 802.1p без VLAN) с фильтрацией VLAN, чтобы я мог использовать стандартные IP-функции, включая DHCP и т.д. Я должен уметь обрабатывать эти помеченные кадры, поступающие в Mikrotik, но не генерировать их. Версия ROS 4.45.2

robbz Guest	#2 0 11.09.2019 20:01:00 +1 здесь

vsixnetworks Guest	#3 0 27.09.2019 14:30:00 +1 тоже

pcunite

Guest

12.12.2019 15:00:00

Надеюсь, что скоро займусь этим, чтобы обновить свою текущую процедуру. Можешь поделиться своей конфигурацией (скрыв свои сертификаты и прочее), которая у тебя работает? Думаю, что с помощью скриптов можно позволить процессу EAPOL завершиться сначала, а потом переместить интерфейсы туда, где они должны быть. Я никогда не видел, чтобы ONT снова пытался проверить сертификат. Если ONT потеряет питание, просто перезагрузи маршрутизатор, чтобы это обработать.

pcunite

Guest

19.12.2019 18:14:00

@wojo Я смог использовать ether1 и получить статус аутентификации Dot1x Cert. Также DHCP-клиент на ether1 получил IP, и всё это без добавления ether1 в мост. Всё, похоже, работает отлично. Использую прошивку 6.46.1 на RB4011. Можешь обновить эту тему с информацией о своём успехе?

wojo

Guest

20.12.2019 02:50:00

Я протестирую это, но могу сделать это не раньше выходных. Можешь поделиться своей конфигурацией (фрагменты важных частей) здесь? Действительно, возможно, что что-то изменилось в последних версиях! Волнительная ситуация. В прошлый раз я застрял на том, что мне пришлось разместить интерфейс на мосту, чтобы получить DHCP из-за проблемы с VLAN 0. Какой у тебя провайдер и используют ли они VLAN 0, как AT&T UVerse?

pcunite

Guest

20.12.2019 04:03:00

Хорошо, я скоро опубликую свои выводы по этой теме в новом посте. Сначала хотел обсудить с тобой. Я пользуюсь AT&T Fiber Internet 100 (у них есть и тариф 1 ГБ). Не знаю, что они отправляют по кабелю, так как ничего не записывал. Моя конфигурация очень простая: 1. импортировать сертификаты, 2. отключить CRL, 3. установить MAC-адрес ether1 на MAC-адрес RG, 4. включить клиентскую поддержку Dot1x EAP TLS на ether1, 5. установить идентичность и анонимность на MAC, 6. создать DHCP-клиент на ether1, 7. стандартный брандмауэр и внутреннюю сеть и так далее. На самом деле у меня возникли проблемы с работой клиента Dot1x на интерфейсе, который был частью моста. Так что мне пришлось использовать только голый интерфейс ether1. Хотя, возможно, я допустил ошибку (думаю, у меня это вышло с опцией CRL).

pcunite Guest	#8 0 20.12.2019 17:38:00 Пожалуйста, прочитайте мою новую статью на эту тему.

wojo Guest	#9 0 22.12.2019 00:59:00 Я все еще не могу пропустить никакой IP-трафик из-за тегирования VLAN 0. У меня ничего не изменилось, должно быть, это какая-то локальная конфигурация. Я разместил свою конфигурацию и скрипт в этой новой теме, она выглядит чуть чище и более целенаправленно: http://forum.mikrotik.com/t/bypassing-at-t-residential-gateways-with-mikrotik/135563/9

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры