http://mikrotik.moscow Новое в теме Ikev2 + eap radius форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 14:59:48 -0400 Ikev2 + eap radius RouterOS в форуме RouterOS.
Привет, не мог бы ты скинуть ссылку на руководство по настройке IPsec для мобильных пользователей?
16.07.2018 20:25:00, marwooj.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388675 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388675 Mon, 16 Jul 2018 20:25:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
Я ещё раз проверил, не начнёт ли это работать после какого-нибудь обновления, но нет. ROS 6.42.3, последняя версия freeradius (3.0.17) и клиент Windows 10 (1803) — всё по-прежнему. IKEV2 с eap-only, используется сертификат, подписанный другим самоподписанным (не доверенным) центром сертификации. CA добавлена в доверенное хранилище Windows (локальное, компьютер, доверенные CA). При использовании «ikev2 rsa signature» всё работает идеально (клиент Windows тогда использует сертификат, подписанный тем же CA). Но когда переключаю на eap-only, получаю ошибки: в MikroTik это «ipsec no proposal chosen», в Windows — «rules mismatch». Обе ошибки выглядят странно, потому что смена «rsa signature → eap only» никак не должна влиять на «ipsec proposal», так что, возможно, проблема где-то ещё, просто в отладке не отображается? Аутентификация проходит отлично (клиент передаёт учётные данные MikroTik, тот отправляет на radius, radius возвращает access-accept), а потом просто падает с указанными ошибками. Возможно, что-то не так с сертификатом и его нужно изменить, но я не уверен, что именно. Очень хотелось бы увидеть работающую конфигурацию «eap only» для ikev2, именно для /ipsec.
09.07.2018 11:49:00, Lemahasta.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388674 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388674 Mon, 09 Jul 2018 11:49:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
Эта тема древняя, как моя бабушка, но я её очень люблю, поэтому воскресаю с простым: «конфиг или не было». Серьёзно, мне бы очень хотелось посмотреть, как это настраивается. Я пытаюсь сделать конфигурацию, которая может логиниться с Android (ikev2) и Windows (sstp/ikev2). Единственное, что у меня получилось — это pptp и l2tp, и то не за NAT, а я как раз пытаюсь разобраться с этим моментом.

Клиент (роутер/NAT) ==> интернет ==> Mikrotik (ikev2 + NAT) ==> radius ==> ldap…

Голова уже вся почесана, так что буду очень рад, если кто-нибудь поделится экспортом конфигурации.
04.07.2018 19:53:00, thenoob.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388673 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388673 Wed, 04 Jul 2018 19:53:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
Привет, Radius сервер должен быть правильно настроен. На самом деле сообщение «secret string is empty» связано с MSK — Mikrotik требует, чтобы radius сервер предоставлял MSK (в атрибутах MS-MPPE-Send-Key и MS-MPPE-Recv-Key). Поэтому настройте что-то вроде EAP-PEAP с MSCHAPv2, чтобы аутентифицировать клиента по имени пользователя и паролю, или EAP-TLS (с адекватным subjAltName в сертификате) для аутентификации на основе сертификата через radius. Всё отлично работает с strongswan для Android (как EAP-TLS, так и EAP-PEAP/MSCHAPv2) и на strongswan для Linux. С Windows не тестировал, но думаю, настроить несложно.
17.10.2017 21:27:00, anesth.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388672 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388672 Tue, 17 Oct 2017 21:27:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
У меня последняя RC-версия, и у меня та же проблема. Отправлено с iPhone через Tapatalk.
05.06.2017 10:41:00, Vaxter.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388671 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388671 Mon, 05 Jun 2017 10:41:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
Сейчас я использую 6.39 (стабильную версию), и eap-radius для ikev2 по-прежнему, похоже, не работает. Для sstp проблем нет, всё работает без сбоев. Для IKEV2 RADIUS-сервер принимает запрос, отправляет «access-accept», который Mikrotik получает (в логе MT я чётко вижу «received access-accept» со всеми нужными данными), но по какой-то причине Mikrotik выдаёт ошибку: ipsec, ошибка «no proposal chosen». Клиент Windows при подключении получает ошибку из-за несовпадения правил. Как только я меняю «eap radius» на «rsa signature», всё работает идеально — тот же Windows-клиент подключается к тому же устройству Mikrotik без каких-либо изменений в настройках. К сожалению, у меня нет запасных устройств Mikrotik, чтобы протестировать какие-нибудь из RC-версий.
05.06.2017 10:40:00, Lemahasta.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388670 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388670 Mon, 05 Jun 2017 10:40:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
Обновил, но без удачи… К сожалению, поддержки у меня больше нет, и мне как-то не хочется платить за поддержку, когда я уверен, что ошибка не в моей настройке. Radius работал с PPTP, IKEv2 работает с сертификатом, но не с eap radius.
19.03.2017 17:52:00, Vaxter.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388669 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388669 Sun, 19 Mar 2017 17:52:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
Обновитесь до последней версии v6.39rc и попробуйте снова. Если проблема останется, свяжитесь с технической поддержкой и приложите файл supout.
15.03.2017 06:56:00, mrz.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388668 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388668 Wed, 15 Mar 2017 06:56:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
После двух дней пыток с этим я должен признать поражение и поднять эту тему…
12.03.2017 18:55:00, Vaxter.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388667 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388667 Sun, 12 Mar 2017 18:55:00 -0400 RouterOS Ikev2 + eap radius RouterOS в форуме RouterOS.
Мне удалось запустить ikev2 с RSA-подписью, но я гораздо больше хочу использовать аутентификацию EAP RADIUS. Я пытался настроить это, но у меня не получается. Подключаюсь с Android с помощью клиента strongswan. Использование "certificate" работает нормально, но когда переключаю на "eap login/password" (в Android) и "auth: eap radius", получаю ошибку "AUTHENTICATION_FAILED".

RouterOS v.6.38.1. В логах MikroTik вижу, что роутер получил правильное имя пользователя и пересылает его на RADIUS-сервер, но потом возникает ошибка: secret string is empty, AUTH not matching. В логах RADIUS никаких ошибок нет — он получает правильное имя пользователя и проверяет его по локальному файлу пользователей. Те же учётные данные (логин/пароль) с тем же RADIUS-сервером прекрасно работают, например, при входе в MikroTik через winbox.

Единственная значимая часть в конфигурации IPsec, которую я меняю, — это метод аутентификации: radius eap в роутере. При настройке radius я включал “ipsec”. Всё работает, как только я меняю метод аутентификации на “rsa signature” и, конечно, в strongswan переключаю тип с eap user/password на certificate.

Если у кого-то есть советы, как правильно настроить ikev2 с eap radius, буду очень признателен. Я не могу разобраться сам и не вижу специфичной для MikroTik информации в вики.
21.02.2017 20:26:00, Lemahasta.]]> http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388666 http://mikrotik.moscow/forum/forum57/84641-ikev2-_-eap-radius/message388666 Tue, 21 Feb 2017 20:26:00 -0500 RouterOS