+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Capsman v2 + wpa2-eap + сервер 2012 NPS

Capsman v2 + wpa2-eap + сервер 2012 NPS, RouterOS

Buklov

Guest

06.04.2016 09:45:00

Привет! Я пытаюсь настроить capsman v2 + wpa2-eap. В домене 2008 все работает, включая один контроллер 2012r2 с NPS (уровень леса 2008). Но на новом контроллере с такими же настройками (уровень леса 2012 r2) это не работает. (pptp и l2tp с radius и NPS работают). В чем может быть проблема?

k5nic

Guest

22.08.2016 14:01:00

У меня похожая проблема. Похоже, что на данный момент это невозможно или служба поддержки MikroTik просто не знает, как это настроить. Всё, что они мне говорили последние три недели, не сработало, и они утверждают, что не видят никакого ответа от сервера RADIUS. Windows не отвечает на сообщения MikroTik? Есть ли какая-то несовместимость между MikroTik и Windows 2012 NPS? Пока что я не нашёл ответов на эти вопросы и уже почти готов забить и искать другое решение. Кто-нибудь сталкивался?

raffav

Guest

23.08.2016 18:37:00

Возможно, это меняет защиту на стороне контроллера домена для Protected Users. Пользователи Protected Users, аутентифицирующиеся в домене Windows Server 2012 R2, больше не могут:

- Аутентифицироваться с помощью NTLM
- Использовать шифры DES или RC4 в предварительной аутентификации Kerberos
- Получать делегирование с неограниченным или ограниченным делегированием
- Продлевать пользовательские билеты (TGT) сверх первоначального срока в 4 часа

Политики аутентификации
Новые политики Active Directory на уровне леса, которые можно применять к учетным записям в доменах Windows Server 2012 R2, чтобы контролировать, с каких хостов можно входить в аккаунт, а также задавать условия доступа при аутентификации сервисов, работающих от имени этой учетной записи.

Песочницы политики аутентификации (Authentication Policy Silos)
Новый объект Active Directory на уровне леса, который позволяет создавать связи между пользователями, управляемыми службами и компьютерами. Это используется для классификации учетных записей по политикам аутентификации или для их изоляции при аутентификации.

https://technet.microsoft.com/en-us/library/understanding-active-directory-functional-levels(v=ws.10).aspx

k5nic

Guest

01.09.2016 22:14:00

После настройки Windows 2012 NPS, FreeRADIUS и Windows 2008 NPS, и получив одинаковые результаты, начинаю задумываться, не появилась ли какая-то проблема в RouterOS на одном из этапов. Нашёл запись, где говорится, что в версиях 6.24 или 6.25 RADIUS работает, а в 6.28 — нет. Также много сообщений о том, что 6.25 и Win2k8 NPS работают нормально. Конкретно я использую RouterOS 6.36, не 6.36.2. Серверы RADIUS — FreeRadius 4.x, Windows 2008 с NPS и Windows 2012 с NPS. Логи Windows-сервера показывают, что сервер возвращает reason-code 0, что, судя по всему, совпадает с ответом FreeRadius — Authenticate = ok. FreeRadius тоже отправляет Authenticate = ok. Насколько я понимаю, это значит, что сервер RADIUS принял сообщение и всё устраивает. Но MikroTik просто игнорирует этот ответ и повторно отправляет запрос до полной потери времени ожидания. Кто-нибудь может подтвердить это, имея больше знаний о процессе RADIUS или лично настроив Win 2k8 или 2012 и проверив? Я уверен, что серверы настроены правильно, потому что они позволяют нашим Cisco Meraki устройствам аутентифицировать пользователей Wi-Fi. По сути, мы пытаемся настроить автоматическое подключение Wi-Fi для пользователей через их доменные учетные данные. Я уже почти месяц работаю над этим и пока не нашёл решения. ПОЖАЛУЙСТА, кто-нибудь подскажите, где я ошибаюсь, и я с удовольствием публично признаю свою ошибку и высоко оценю ваши знания! Спасибо!

k5nic Guest	#5 0 23.09.2016 20:40:00 Кто-нибудь уже добился успеха с этим? Я был вынужден отказаться и перестать использовать CAPsMAN и RADIUS из-за других проектов. Спасибо!

panosla Guest	#6 0 23.09.2016 21:45:00 Да, это точно работает. У меня оно уже около шести месяцев работает в домашней лаборатории. В чём, собственно, проблема? (Уровень функциональности леса и домена — 2012) Вот экспорт с каким-то мусором из эпохи до capsman. (Не думаю, что это нужно, но я никогда не заморачивался их удалением) /caps-man security add authentication-types=wpa2-eap eap-methods=passthrough eap-radius-accounting=yes encryption=aes-ccm name=local-security-nextgen /interface wireless security-profiles add authentication-types=wpa2-eap management-protection=allowed mode=dynamic-keys name=profile2 radius-mac-accounting=yes radius-mac-authentication=yes radius-mac-caching=30s radius-mac-mode=as-username-and-password supplicant-identity="" /radius add address=192.168.146.13 secret=somebigkey service=wireless

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры