Cisco SG300 fragt Radius-Server nicht

Hallo zusammen,

folgendes Problem: Mein Cisco SG300-28p scheint den Radius-Server zum Zwecke der Portauthentifizierung gar nicht erst zu fragen....

SG300-28P Systemmodus L2
Verwaltungs-VLAN 95 192.168.95.2/255.255.255.0 Betriebsstandard-Gateway==Administratives Standard-Gateway: 192.168.95.1
TACACS+ nicht aktiviert
RADIUS-Abrechnung: keine
Radius-Server: Priorität 1: 192.168.5.10 1812 1813 Verwendungstyp Alle
802.1X/MAC/Web-Authentifizierung
Portbasierte Authentifizierung: Radius, kein
Gast-VLAN Deaktiviert
VLAN-Authentifizerungstabelle für alle Authentifizierung aktiviert.
Portauthentifizierung: 
Port GE21
Administrative Portsteuerung: Autom.
RADIUS-VLAN-Zuordnung: Deaktiviert
Gast-VLAN: Deaktiviert
802.1x-basierte Authentifizierung: Aktiiviert

Routing erfolgt über separaten Router

Radius-Server: 192.168.5.10 Windows 2012R2

Folgendes funktioniert:
- Ping vom Router an Radiusserver: OK
- Webinterface des Switchs von Radiusserver: OK
- WLAN-AP (gleiches VLAN wie Switch) als Radius-Client am Radiusserver: OK (funktioniert und Wireshark zeigt die Pakete auf dem Server an)

Schlussfolgerung:
- Routing funktioniert
- der Server läßt die Radius-Pakete rein

Was nicht funktioniert: Wireshark auf dem Radius-Server zeigt keine Radius Pakete vom Switch, folglich wird der Port auch nicht authentifiziert - und deshalb gesperrt.

Geprüft habe ich noch sicherheitshalber: Firewall am Radius-Server, Firewall am Router - nicht gesperrt.

Ich habe nichts dazu gefunden, ob die L2/L3 Einstellung Auswirkungen darauf hat. Der Switch war (lange her) mal L3 konfiguriert, ist jetzt aber als L2 eingestellt.

Hat irgendjemand eine Idee?

Ein ähnliches Problem schein schonmal jemand gehabt zu haben. https://serverfault.com/questions/630450/cisco-sg300-switch-does-not-sen ...

Grüße

lcer