This discussion has been locked.

You can no longer post new replies to this discussion. If you have a question you can start a new discussion

WIFI RADIUS Problem

Hallo,

Ich habe ein kleines Problem mit der WPA2 Enterprise Authentifizierung. Die UTMs der Standorte verwalten ihre Wirelessumgebung selbst, haben aber die Radius-Server vom Hauptstandort eingetragen. Versucht sich nun ein Client zu verbinmden, steht im Log "A RADIUS message was received from the invalid RADIUS client IP address <IP vom AP im Standort>.". Im Radius ist natürlich nur die dortige UTM als RADIUS-Client eingetragen, denn ich dachte, dass auch diese die Anfrage schickt. Wo ist mein Denkfehler?

Danke und Grüße,

Sebastian

This thread was automatically locked due to age.

Parents

0 kerobra_retired over 8 years ago

Wenn die Außenstandorte selbst WLAN-Subscription haben muss die Authentifizierung via RADIUS dort erfolgen, der RADIUS Backend Server kann dann derselbe sein, wenn die UTMs der Außenstandorte dort als Client hinterlegt sind. Ich vermute mal das hast Du soweit eingerichtet.

Wird im VPN NAT verwendet oder ist eventuell ein '&' im Kennwort vom Radius-Client?

Entsprechende eigene Richtlinien auf dem Radius vorhanden für die Außenstandorte?

Ergänzung: wenn mehrere Netze auf demselben RADIUS authentifiziert werden sollen muss am besten die SSID als NAS-Bezeichner mit in die Richtlinie rein, sowohl in die Verbindungsanforderungs- als auch die Netzwerkrichtlinie. Die Radiusclient-IP allein reicht u.U. nicht, vor allem, wenn mehrere WPA2E Netze über dieselbe UTM laufen.
Cancel
Vote Up 0 Vote Down

Cancel
0 mod2402 over 8 years ago in reply to kerobra_retired

Hi zusammen,

ich habe da ein kleines Verständnis Problem. Da kommt sicher die IP des APs am Radius an? Der Radius Client ist definitiv die UTM die als Radius Proxy agiert. Hast du auf der UTM unter wireles / global / advanced den Radius Server hinterlegt oder gibst du den Radius Server per DHCP direkt weiter? Das hört sich für mich erst mal so an als wenn auf der UTM der Radius gar nicht konfiguriert ist.

vg

mod
Cancel
Vote Up 0 Vote Down

Cancel
0 Sebastian Wittmann over 8 years ago in reply to Sebastian Wittmann

Scheint bekannt zu sein...

community.sophos.com/.../121257
Cancel
Vote Up 0 Vote Down

Cancel
0 Sebastian Wittmann over 8 years ago in reply to Sebastian Wittmann
Hilft nur nicht wirklich.

NAT rule

Rule Type: SNAT(Source)

For Traffic from: Internal (network)

Using service: RADIUS

Going to: Internal (Address)

Change the source to: External (Address)

Hab ich noch irgendwo einen Denkfehler?

Sebastian
Cancel
Vote Up 0 Vote Down

Cancel
0 mod2402 over 8 years ago in reply to Sebastian Wittmann

Hi Sebastian,

der Artikel hat nichts mit dem Problem zu tun. Dann würden gar keine Anfragen am Radius ankommen. Da komen aber welche an.

vg

mod
Cancel
Vote Up 0 Vote Down

Cancel
0 Sebastian Wittmann over 8 years ago in reply to mod2402

War als Link in dem hier: https://community.sophos.com/products/unified-threat-management/f/wireless-security/56479/ap-talking-directly-to-radius-why

Vom Prinzip aber schon eigentlich mein Fehlerbild. Ich möchte, dass die Anfragen an den Radius nicht direkt kommen, sondern das die Anfrage mit der Source-IP der UTM im Standort kommen.

Sebastian
Cancel
Vote Up 0 Vote Down

Cancel
0 Sebastian Wittmann over 8 years ago in reply to Sebastian Wittmann

GEHT!!!! "Also a checkbox with "IPSEC" has to be set in this mapping rule. Doesn't work otherwise." Das hab ich übersehen. :)

Sebastian
Cancel
Vote Up 0 Vote Down

Cancel
0 mod2402 over 8 years ago in reply to Sebastian Wittmann

Hi Sebastian,

interessanter Artikel. Scheinbar findet hier ein Fallback auf den AP statt wenn die UTM den Radius nicht erreichen kann. Das ist aber nur ein Workarround. Das eigentlich Problem scheint zu sein das die UTM den Radius über VPN nicht erreichen kann. Das bedeutet für mich das hier die IP der WAN Schnittstelle nicht im Tunnel aufgeführt ist. Wenn du die WAN IP mit aufnimmst müssten die Anfragen des UTM Radius Proxy durchgehen. Ohne SNAT.

Es könnte aber nauch noch was anderes sein. Ich habe für ein ähnliches Problem ein case bei Sophos eröffnet das jetzt schon seit ein paar Wochen eskaliert ist.

Wenn du redundante Tunnel Anbindung hast, d.h. du benutzt die Option "Bind to lokal Interface", kommt die UTM nicht mehr an Remotenetze dran. Das war bei mir aufgefallen beim Versuch den UTM Manager über die interne IP des SUM am Remote Standort anzubinden.

Hast du redundante Tunnel in der Form?

vg

mod
Cancel
Vote Up 0 Vote Down

Cancel
0 Sebastian Wittmann over 8 years ago in reply to mod2402

Es ist ja nicht wirklich die WAN IP. Also meine SNAT-Regel ersetzt jetzt die Quelle in den RADIUS-Paketen durch die Adresse der UTMs, wie sie im RADIUS eingetragen sind.

Also im Prinzip durch die Gateway-Adresse des jeweiligen Netzwerksegments. So wie es eigentlich sein sollte.

Sebastian
Cancel
Vote Up 0 Vote Down

Cancel
0 mod2402 over 8 years ago in reply to Sebastian Wittmann

Stimmt, hast du natürlich Recht. Dann ist das aber definitiv ein Bug. Hast du redundante Tunnel? Würde mich interessieren.

vg

mod
Cancel
Vote Up 0 Vote Down

Cancel
0 Sebastian Wittmann over 8 years ago in reply to mod2402

Nein, immer nur einen Tunnel in eine Richtung. Sternförmig. Jede UTM nur ans Hauptquatier.

Sebastian
Cancel
Vote Up 0 Vote Down

Cancel
0 mod2402 over 8 years ago in reply to Sebastian Wittmann

Danke für die Rückmeldung. Dann wird das bei dir wohl ein anderes Problem sein das nur in einer bestimmten Konstelation auftritt.

Ich werde mir das bei meinem nächsten Kundenprojekt wo Radius eine Rolle spielt mal genauer anschauen.

Hauptsache es funktioniert jetzt erst mal bei dir ;)

vg

mod
Cancel
Vote Up 0 Vote Down

Cancel

Reply

0 mod2402 over 8 years ago in reply to Sebastian Wittmann

Danke für die Rückmeldung. Dann wird das bei dir wohl ein anderes Problem sein das nur in einer bestimmten Konstelation auftritt.

Ich werde mir das bei meinem nächsten Kundenprojekt wo Radius eine Rolle spielt mal genauer anschauen.

Hauptsache es funktioniert jetzt erst mal bei dir ;)

vg

mod
Cancel
Vote Up 0 Vote Down

Cancel

Children

No Data