Radius WLAN keine Verbindung

[ChrisRa 42]

Hallo zusammen,

 

ich habe aktuell an einem Standort ein merkwürdiges Problem, bei dem wir nicht weiter kommen. Vielleicht hat jemand von euch ja noch eine Idee.

 

Wir richten an Außenstandorten immer ein WLAN über 802.1x ein. Die Standorte sind mittels SSL angebunden. An den Außenstandorten gibt's dann meistens die Firewall (Sophos RED), einen Switch und die APs. Auf den APs hinterlegen wir unseren Radius aus der Zentrale. Das Ganze funktioniert auch über alle Standorte hinweg. Das Regelwerk der Firewalls ist immer gleich. 

 

Nun haben wir einen neuen Standort dazwischen, der Probleme macht. Ich habe das Ganze mal mit dem Netmon mitgeschnitten.

 

Hier das Beispiel von einem anderen Standort, an dem alles ordnungsgemäß funktioniert:

 

Und hier das Beispiel von dem Standort, an dem es nicht funktioniert:

 

Warum kommt der Handshake nicht zustande? Der Radius hat ein offizielles, von einer Zertifizierungsstelle gekauftes Zertifikat. Das ist auch gültig und wird vom Client nicht abgelehnt. Zumindest wenn ich es mir anschaue nicht.

Das Zertifikat unterscheidet sich ja auch nicht zu den anderen Standorten, an denen es funktioniert. Mit dem Client kann es auch nicht zusammenhängen. Mit dem komme ich am anderen Standort ins WLAN.

 

Hat jemand von euch eine Idee, wo ich ansetzen kann?

Firewall und Routing ist 1000x geprüft. Das kann ich ausschließen.

 

Grüße!

 

Edit: die Screenshots stammen vom Radius.

bearbeitet 17. Juni 2022 von ChrisRa

[cj_berlin 1.133]

vor 23 Minuten schrieb ChrisRa:

o zusammen,

Die Standorte sind mittels SSL angebunden.

Was heißt das?

 

Vermutlich müsstest Du etwas tiefer in die Frames reinschauen. Nicht, dass der neue Access Point eine andere Auswahl an Cipher Suites mitbringt als die bestehenden, und sich nicht mit dem RADIUS-Server einigen kann.

[ChrisRa 42]

Klassische Anbindung über ein RED-Device von Sophos. Das ist aber an allen Standorten gleich. Damit kann es nicht zusammenhängen.

 

Cipher Suites sollten passen:

 

ClientHello:

 

ServerHello:

 

Wir haben jedoch gerade rausgefunden, dass die Firmware der besagten nicht funktionierenden APs eine andere ist.

Wir machen mal ein Firmwareupdate und schauen weiter.

[ChrisRa 42]

Firmware kann ich auch ausschließen.

[MurdocX 904]

Eine Überlegung wäre noch den AP mit an einen funktionierenden Standort zu nehmen und sich dann nochmal die Kommunikation anzuschauen. Den AP zu resetten kann auch nicht schaden. Solche Themen sind, aus den Erfahrungen im Forum, schwer und schlecht zu lösen. 

[ChrisRa 42]

Das Problem hing tatsächlich mit der Firmware eines eingesetzten Routers zusammen. Wie auch immer das zustande gekommen ist. Nach Austausch des Routers lief die Authentifizierung wieder problemlos.