8
Android WPA2 Enterprise Radius Fehler 262
Ich habe mehrer Access Points mit einem WPA2 Enterprise Funknetz. Radius Server spielt ein Windows Server 2012 R2.
Laptops und einige Android Geräte kommen problemlos ins Netz. Dabei werden Computer und Benutzerauthentifizerungen genutzt. Zertifikate werden hierbei nicht benötigt.
Nun habe ich jedoch 2 Android Geräte wo es einfach nicht klappen will. Hier erhalte ich eine Fehlermeldung im Eventlog des Win Server:
Fehler 262, Die angegebene Nachricht ist unvollständig. Die Signatur wurde nicht verifiziert.
Jemand eine Idee was das sein könnte? Das Zertifikat des Radius Servers habe ich auch schon mal importiert und in den WLAN Einstellungen eingefügt...Fehler bleibt.
Laptops und einige Android Geräte kommen problemlos ins Netz. Dabei werden Computer und Benutzerauthentifizerungen genutzt. Zertifikate werden hierbei nicht benötigt.
Nun habe ich jedoch 2 Android Geräte wo es einfach nicht klappen will. Hier erhalte ich eine Fehlermeldung im Eventlog des Win Server:
Fehler 262, Die angegebene Nachricht ist unvollständig. Die Signatur wurde nicht verifiziert.
Jemand eine Idee was das sein könnte? Das Zertifikat des Radius Servers habe ich auch schon mal importiert und in den WLAN Einstellungen eingefügt...Fehler bleibt.
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 252846
Url: https://administrator.de/contentid/252846
Ausgedruckt am: 23.11.2024 um 01:11 Uhr
8 Kommentare
Neuester Kommentar
Erste Anlaufstelle ist ja dann immer das Radius Server Log wie jeder netzwerker weiss. WAS steht denn dort wenn diese Endgeräte sich authentisieren wollen und das fehlschlägt ?
Letzteres wäre aber erheblicher Blödsinn und man kann nur hoffen das du das nicht machst, denn damit konterkarierst du solch eine Authentisierung komplett. Ohne das Server Zertifikat kann dir jeder einen x-belibigen Radius Server unterschieben und erhält so freien Zugang in den komplettes WLAN !!
So ein System ist dann quasi so wie ein offenes WLAN und wäre ziemlich sinnfrei.
Grundlegende Infos dazu findest du auch hier:
Sichere 802.1x WLAN-Benutzer Authentisierung über Radius
Zertifikate werden hierbei nicht benötigt.
Das ist aber einen Lüge ! Minimal musst du zwangsweise das Radius Server Zertifikat importieren, denn sonst kann der Client niemals den Radius Server verifizieren. Es sei denn natürlich du schaltest das ganze ab.Letzteres wäre aber erheblicher Blödsinn und man kann nur hoffen das du das nicht machst, denn damit konterkarierst du solch eine Authentisierung komplett. Ohne das Server Zertifikat kann dir jeder einen x-belibigen Radius Server unterschieben und erhält so freien Zugang in den komplettes WLAN !!
So ein System ist dann quasi so wie ein offenes WLAN und wäre ziemlich sinnfrei.
Grundlegende Infos dazu findest du auch hier:
Sichere 802.1x WLAN-Benutzer Authentisierung über Radius
Was im Eventlog steht dazu, habe ich ja bereits gepostet...jedoch hier noch mal die komplette Meldung:
Der Netzwerkrichtlinienserver verweigerte einem Benutzer den Zugriff.
Wenden Sie sich an den Administrator des Netzwerkrichtlinienservers, um weitere Informationen zu erhalten.
Benutzer:
Sicherheits-ID: DOMAIN\User
Kontoname: User
Kontodomäne: DOMAIN
Vollqualifizierter Kontoname: DOMAIN\User
Clientcomputer:
Sicherheits-ID: NULL SID
Kontoname: -
Vollqualifizierter Kontoname: -
Betriebssystemversion: -
Empfänger-ID: MAC
Anrufer-ID: MAC
NAS:
NAS-IPv4-Adresse: x.x.x.x
NAS-IPv6-Adresse: -
NAS-ID: RalinkAP0
NAS-Porttyp: Funk (IEEE 802.11)
NAS-Port: 0
RADIUS-Client:
Clientanzeigenname: AccessPoint
Client-IP-Adresse: x.x.x.x
Authentifizierungsdetails:
Name der Verbindungsanforderungsrichtlinie: Sichere Drahtlosverbindungen
Netzwerkrichtlinienname: Sichere Drahtlosverbindungen
Authentifizierungsanbieter: Windows
Authentifizierungsserver: DC.domain.loc
Authentifizierungstyp: PEAP
EAP-Typ: -
Kontositzungs-ID: -
Protokollierungsergebnisse: Die Kontoinformationen wurden in die lokale Protokolldatei geschrieben.
Ursachencode: 262
Ursache: Die angegebene Nachricht ist unvollständig. Die Signatur wurde nicht verifiziert.
Direkt abgestellt habe ich meines Wissens nach nicht die Nutzung der Zertifikate. Die Nutzer geben ja in ihr Handy den Windows Benutzernamen und Passwort ein und bei fast allen funktionierte es einfach.
Meine Netzwerkrichtlinie sieht wie folgt aus:
Bedingungen:
NAS-Porttyp Funk (sonstige) OR Funk (IEEE 802.11)
Windows-Gruppe DOMAIN\wlannutzer
Einstellungen:
EAP-Konfiguration Konfiguriert
Erweiterter Status <Leer>
Zugriffsberechtigung Zugriff gewähren
EAP-Methode Microsoft: Geschütztes EAP (PEAP) OR Microsoft: Gesichertes Kennwort (EAP-MSCHAP v2)
Authentifizerungsmethode EAP OR Verschlüsselungsauthentifizierung (CHAP) OR MS-CHAP v1 OR MS-CHAP v1 (Benutzer darf das Kennwort nach Ablaufdatum ändern) OR MS-CHAP v2 OR MS-CHAP v2 (Benutzer darf das Kennwort nach Ablaufdatum ändern)
NAP-Erzwingung Vollständigen Netzwerkzugriff gewähren
Nicht kompatible Clients aktualisieren Wahr
Framed-Protocol PPP
Der Netzwerkrichtlinienserver verweigerte einem Benutzer den Zugriff.
Wenden Sie sich an den Administrator des Netzwerkrichtlinienservers, um weitere Informationen zu erhalten.
Benutzer:
Sicherheits-ID: DOMAIN\User
Kontoname: User
Kontodomäne: DOMAIN
Vollqualifizierter Kontoname: DOMAIN\User
Clientcomputer:
Sicherheits-ID: NULL SID
Kontoname: -
Vollqualifizierter Kontoname: -
Betriebssystemversion: -
Empfänger-ID: MAC
Anrufer-ID: MAC
NAS:
NAS-IPv4-Adresse: x.x.x.x
NAS-IPv6-Adresse: -
NAS-ID: RalinkAP0
NAS-Porttyp: Funk (IEEE 802.11)
NAS-Port: 0
RADIUS-Client:
Clientanzeigenname: AccessPoint
Client-IP-Adresse: x.x.x.x
Authentifizierungsdetails:
Name der Verbindungsanforderungsrichtlinie: Sichere Drahtlosverbindungen
Netzwerkrichtlinienname: Sichere Drahtlosverbindungen
Authentifizierungsanbieter: Windows
Authentifizierungsserver: DC.domain.loc
Authentifizierungstyp: PEAP
EAP-Typ: -
Kontositzungs-ID: -
Protokollierungsergebnisse: Die Kontoinformationen wurden in die lokale Protokolldatei geschrieben.
Ursachencode: 262
Ursache: Die angegebene Nachricht ist unvollständig. Die Signatur wurde nicht verifiziert.
Direkt abgestellt habe ich meines Wissens nach nicht die Nutzung der Zertifikate. Die Nutzer geben ja in ihr Handy den Windows Benutzernamen und Passwort ein und bei fast allen funktionierte es einfach.
Meine Netzwerkrichtlinie sieht wie folgt aus:
Bedingungen:
NAS-Porttyp Funk (sonstige) OR Funk (IEEE 802.11)
Windows-Gruppe DOMAIN\wlannutzer
Einstellungen:
EAP-Konfiguration Konfiguriert
Erweiterter Status <Leer>
Zugriffsberechtigung Zugriff gewähren
EAP-Methode Microsoft: Geschütztes EAP (PEAP) OR Microsoft: Gesichertes Kennwort (EAP-MSCHAP v2)
Authentifizerungsmethode EAP OR Verschlüsselungsauthentifizierung (CHAP) OR MS-CHAP v1 OR MS-CHAP v1 (Benutzer darf das Kennwort nach Ablaufdatum ändern) OR MS-CHAP v2 OR MS-CHAP v2 (Benutzer darf das Kennwort nach Ablaufdatum ändern)
NAP-Erzwingung Vollständigen Netzwerkzugriff gewähren
Nicht kompatible Clients aktualisieren Wahr
Framed-Protocol PPP
Der Fehler ist ja eindeutig !
Grundlagen dazu findest du im oben zitierten Tutorial hier !
Ursache: Die angegebene Nachricht ist unvollständig. Die Signatur wurde nicht verifiziert.
Da hast du wohl vergessen das Radius Zertifikat zu importieren ?!Grundlagen dazu findest du im oben zitierten Tutorial hier !
Das habe ich bereits probiert auf einen der Android Handys wo es nicht funktioniert...jedoch bleibt selbige Fehlermeldung.
Und auf allen anderen Handys musste kein Zertifikat installiert werden! Dort geht es auf anhieb nach Eingabe des Benutzernamen und Passwortes.
Und auf allen anderen Handys musste kein Zertifikat installiert werden! Dort geht es auf anhieb nach Eingabe des Benutzernamen und Passwortes.
https://kb.meraki.com/knowledge_base/wpa2-enterprise-profile-setup-on-an ...
In diesem Konfigurationsbeispiel bedarf es auch keiner Importierung eines Zertifikates.
In diesem Konfigurationsbeispiel bedarf es auch keiner Importierung eines Zertifikates.
Und auf allen anderen Handys musste kein Zertifikat installiert werden! Dort geht es auf anhieb nach Eingabe des Benutzernamen und Passwortes.
Das ist aber ziemlich krank dann und konterkariert völlig deine Radius Installation. Den Geräten kann man dann ja jeden beliebigen Radius Server unterschieben und allen den Zugang erlauben.Das macht dann das gesamte Design zur Farce....
Ein Zertifikat MUSS immer zwingend importiert werden oder man muss es automatisch bei einem Domain Login laden lassen.
Wie sollte man auch sonst einen Radius Server in seiner Authentizität verifizieren.
Ohne Zertifikat ist das ja mal nun schwer möglich wie dir vermutlich auch selber einleuchten wird ?!
Klar kann man das abschlaten aber dann kannst du den Radius auch gleich ganz weglassen und das statische Passwort an die Eingangstür schreiben. Was für ein tieferen Sinn sollte dann Radius in so einem Umfeld noch haben ??
Im Zweifel nimm dir immer einen Wireshark und sniffer die Radius Anmeldung mit !! Da siehst du dann sofort wo es kneift !
Oder reden wir eventuell an einander vorbei? Mein Radius ist gleichzeitig mein DC sowie Zertifizierungsstelle, da relativ kleine Umgebung. Dort im Radius ist natürlich das Zertifikat importiert bzw. eingestellt.
Also da der Fehler leider immer noch besteht, war ich nun gezwungen eine zweite SSID anzulegen und diese mit WPA2 Personal zu verschlüsseln 
Wie gesagt, der Radius Server ist auf dem DC-Server installiert. Der Radius-Server wurde in Active Directory registriert. Das Zertifikat in der Radius Richtlinie wurde auch ausgewählt. An den Handys selbst sind keine Zertifikate installiert. Dort funktioniert wie gesagt bei allen Handys außer bei zweien die Verbindung nach Eingabe des Windows Benutzernamens und Passwortes...
Wie gesagt, der Radius Server ist auf dem DC-Server installiert. Der Radius-Server wurde in Active Directory registriert. Das Zertifikat in der Radius Richtlinie wurde auch ausgewählt. An den Handys selbst sind keine Zertifikate installiert. Dort funktioniert wie gesagt bei allen Handys außer bei zweien die Verbindung nach Eingabe des Windows Benutzernamens und Passwortes...
