WLAN Authentifizierung über Freeradius Server (Pfsense auf ALIX-Box) mit DD-WRT als Radius-Client

Hallo aqui,

danke für deine Antwort.

Das CA-Zerifikat ist unter "vertraunswürdige Stammzertifizierungsstellen" sowohl beim User als auch beim Computer importiert. Die Zertifikatsprüfung habe ich auch abgeschaltet aber leider ohne erfolg.

Ich habe anstatt "ca.der" mit PEM-Format "ca.pem" versucht, aber es leider auch nichts gebracht...

Keine Ahnung warum TLS das CA nicht kennt ?

Hallo aqui,


DD-WRT war als Gateway(NAT) eingestellt und nicht als Router. Nun kann sich ein Client Authentifizieren aber nur für eine kurze Zeit, weil dann die Verbindung nach ein paar Minuten abbricht bis ich den Win-Client abmelde und wieder neu anmelde, ansonsten versucht der Win-Client alle paar Minuten sich zu verbinden aber dann auch nur für eine kurze Zeit ...

Beim Win-Client erscheint auf der Symbolleiste :

Klicken Sie hier, um ein Zertifikat oder andere Anmeldeinformationen für die Verbindung mit dem folgenden. Netzwerk zu verwenden ....


Auth: Login OK: [client1/<via Auth-Type = EAP>] (from client DD-WRT port 0 via TLS tunnel)
Auth: Login OK: [client1/<via Auth-Type = EAP>] (from client DD-WRT port 48 cli 00-21-5d-62-a0-72)
Auth: Login incorrect: [00:21:5d:62:a0:72/abcdefgh] (from client DD-WRT port 1)


00:21:5d:62:a0:72 --> die Mac eines Win-Clients


"radtest user password localhost 0 radiustest" funktioniert nur dann, wenn ich unter "Interfaces" und "NAS/Client" die IP auf localhost einstelle.


radiusd -X :


Listening on authentication address 172.17.17.1 port 1812
Listening on accounting address 172.17.17.1 port 1813
Listening on proxy address 172.17.17.1 port 1814
Ready to process requests.
rad_recv: Access-Request packet from host 172.17.17.2 port 2049, id=3, length=69
User-Name = "00:21:5d:62:a0:72"
NAS-Port = 1
NAS-Port-Type = Wireless-802.11
User-Password = "abcdefgh"

1. Executing section authorize from file /usr/local/etc/raddb/sites-enabled/default

+- entering group authorize {...}
++[preprocess] returns ok
++- entering policy rewrite_calling_station_id {...}
+++? if (Calling-Station-Id =~ /([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})/i)
(Attribute Calling-Station-Id was not found)
? Evaluating (Calling-Station-Id =~ /([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})/i) -> FALSE
+++? if (Calling-Station-Id =~ /([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})/i) -> FALSE
+++- entering else else {...}
[noop] returns noop
+++- else else returns noop
++- policy rewrite_calling_station_id returns noop
[authorized_macs] expand: %{Calling-Station-ID} ->
++[authorized_macs] returns noop
++? if (ok)
? Evaluating (ok) -> FALSE
++? if (ok) -> FALSE
++[chap] returns noop
++[mschap] returns noop
++[digest] returns noop
[suffix] No '@' in User-Name = "00:21:5d:62:a0:72", skipping NULL due to config.
++[suffix] returns noop
[ntdomain] No '\' in User-Name = "00:21:5d:62:a0:72", skipping NULL due to config.
++[ntdomain] returns noop
[eap] No EAP-Message, not doing EAP
++[eap] returns noop
++[files] returns noop
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[daily] returns noop
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[weekly] returns noop
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[monthly] returns noop
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[forever] returns noop
rlm_checkval: Could not find item named Calling-Station-Id in request
rlm_checkval: Could not find attribute named Calling-Station-Id in check pairs
++[checkval] returns notfound
++[expiration] returns noop
++[logintime] returns noop
[pap] WARNING! No "known good" password found for the user. Authentication may fail because of this.
++[pap] returns noop
ERROR: No authenticate method (Auth-Type) found for the request: Rejecting the user
Failed to authenticate the user.
expand: ->
Login incorrect: [00:21:5d:62:a0:72/abcdefgh] (from client DD-WRT port 1)
Using Post-Auth-Type Reject

1. Executing group from file /usr/local/etc/raddb/sites-enabled/default

+- entering group REJECT {...}
[attr_filter.access_reject] expand: %{User-Name} -> 00:21:5d:62:a0:72
attr_filter: Matched entry DEFAULT at line 11
++[attr_filter.access_reject] returns updated
Delaying reject of request 0 for 1 seconds
Going to the next request
Waking up in 0.9 seconds.
Sending delayed reject for request 0
Sending Access-Reject of id 3 to 172.17.17.2 port 2049
Waking up in 4.9 seconds.
Cleaning up request 0 ID 3 with timestamp +95

Danke !

Aber im DD_WRT unter Wireless --> Radius ist "MAC Radius" auf enable und "MAC Format" aa:bb:cc:dd:ee:ff und "Password Format" auf shared Key eingestellt.

Bei den Clients wüsste ich nicht wo man das einstellen könnte !

In der users steht :

"client1" Cleartext-Password := "abcdefgh"

was natürlich nicht passt !!!

sehr eigenartig ....

Ich habe nun in der Datei "users" als Benutzername die Mac-Adresse eingetragen, /var/log/radius.log :

Auth: Login OK: [00:21:5d:62:a0:72/abcdefgh] (from client DD-WRT port 1)

Der Win-Client sendet einige hundert Pakete kann aber nichts empfangen und nach ein paar Minuten bricht ab, die Route ist im Pfsense vom OPT auf DD-WRT-Lan/WLan-Netz gesetzt.

Das ist richtig, was du sagst, die TLS-Authentifizierung erfolgt auf Layer 2 und so sieht etwa das Frame aus:

[{(<TLS>EAP)EAPoL}MAC] , der DD-WRT kann nur die MAC als Benutzername übermitteln.

Die MAC habe ich in der Datei users eingetragen, wenn ich das rausnehme, dann scheitert die TLS Authentifizierung ...

Mit dem Satz "die Route ist im Pfsense vom OPT auf DD-WRT-Lan/WLan-Netz gesetzt" meinte ich, wenn man den DD-WRT als transparenter WLAN-ROUTER einrichtet, dann muss das LAN/Wlan hinter dem DD-WRT dem Pfsense bekannt sein, DD-WRT ist direkt mit dem OPT verbunden. Ist der DD-WRT als Gateway eingerichtet, dann macht er NAT und Pfsense sieht nur die WAN-Adresse des DD-WRT und das LAN/Wlan Netz hinter DD-WRT ist unwichtig.

Ich habe das soweit zum Laufen gebracht, allerdings solange der Win-Xp/7 nicht neu gestartet ist, weil nach dem Neustart, sieht man im Log eine erfolgreiche Authentifizierung :

Auth: Login OK: [00:21:5d:62:a0:72/abcdefgh] (from client DDWRT port 1)

Aber dann kann der Windows-Client keine Pakete mehr empfangen ???

Dann deaktiviere ich im DD-WRT den RADUIS und setze wieder auf WPA-PSK zurück, und bei dem Win-Client stelle ich ebenfalls auf WPA-PSK und schon gibt es eine Wlan Verbindung und ich komme mit dem Client auch ins Internet also die Routing stimmt, dann stelle ich DD-WRT wieder auf RADIUS ein bzw. WPA-Enterprise auch beim Win-Client und der Client authentifiziert sich ohne Probleme und das läuft auch sehr stabil... allerdings nur bis zum nächsten Neustart ...

Ob der DD-WRT als Gateway oder als transparenter Router eingerichtet ist, spielt dabei keine Rolle.

Ist der Radius normal gestartet mit eingetragener MAC in users und Windows-Client fährt hoch ,dann steht im LOG:

Auth: Login OK: [00:21:5d:62:a0:72/abcdefgh] (from client DDWRT port 1)

Aber wie gesagt der Client kann keine Pakete empfangen.

Wenn ich Radius im Debug-Modus starte mit eingetragener MAC in users und der Win-Client fährt hoch, dann:

rad_recv: Access-Request packet from host 172.17.17.2 port 2051, id=4, length=69
User-Name = "00:21:5d:62:a0:72"
NAS-Port = 1
NAS-Port-Type = Wireless-802.11
User-Password = "abcdefgh"

1. Executing section authorize from file /usr/local/etc/raddb/sites-enabled/default

+- entering group authorize {...}
++[preprocess] returns ok
++- entering policy rewrite_calling_station_id {...}
+++? if (Calling-Station-Id =~ /([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})/i)
(Attribute Calling-Station-Id was not found)
? Evaluating (Calling-Station-Id =~ /([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})/i) -> FALSE
+++? if (Calling-Station-Id =~ /([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})[-:]?([0-9a-f]{2})/i) -> FALSE
+++- entering else else {...}
[noop] returns noop
+++- else else returns noop
++- policy rewrite_calling_station_id returns noop
[authorized_macs] expand: %{Calling-Station-ID} ->
++[authorized_macs] returns noop
++? if (ok)
? Evaluating (ok) -> FALSE
++? if (ok) -> FALSE
++[chap] returns noop
++[mschap] returns noop
++[digest] returns noop
[suffix] No '@' in User-Name = "00:21:5d:62:a0:72", skipping NULL due to config.
++[suffix] returns noop
[ntdomain] No '\' in User-Name = "00:21:5d:62:a0:72", skipping NULL due to config.
++[ntdomain] returns noop
[eap] No EAP-Message, not doing EAP
++[eap] returns noop
[files] users: Matched entry 00:21:5d:62:a0:72 at line 2
++[files] returns ok
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[daily] returns noop
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[weekly] returns noop
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[monthly] returns noop
rlm_counter: Entering module authorize code
rlm_counter: Could not find Check item value pair
++[forever] returns noop
rlm_checkval: Could not find item named Calling-Station-Id in request
rlm_checkval: Could not find attribute named Calling-Station-Id in check pairs
++[checkval] returns notfound
++[expiration] returns noop
++[logintime] returns noop
++[pap] returns updated
Found Auth-Type = PAP

1. Executing group from file /usr/local/etc/raddb/sites-enabled/default

+- entering group PAP {...}
[pap] login attempt with password "magicradius"
[pap] Using clear text password "magicradius"
[pap] User authenticated successfully
++[pap] returns ok
expand: ->
Login OK: [00:21:5d:62:a0:72/abcdefgh] (from client DDWRT port 1)

1. Executing section post-auth from file /usr/local/etc/raddb/sites-enabled/default

+- entering group post-auth {...}
++[exec] returns noop
Sending Access-Accept of id 4 to 172.17.17.2 port 2051
Finished request 0.
Going to the next request
Waking up in 4.9 seconds.
Cleaning up request 0 ID 4 with timestamp +289
Ready to process requests.
Ready to process requests.
Signalled to terminate
Exiting normally.

Das mit WPA-PSK ist natürlich nicht Sinn der Sache, aber nur so, authentifiziert sich der Client ohne Probleme, einen Sinn macht das auf gar keinen Fall

Die Clients sind Notebooks mit integrierten WLAN-Adapter "Intel WiFi Link 5100 AGN", zum konfigurieren verwende ich windows selbst, es ist keine Wlan-Suite installiert.

Ich vermute, dass das Problem durch den Treiber verursacht wird, das mit dem Popup Screen erscheint bei mir, allerdings nur manchmal und dann klappt auch mit der Authentifizierung, ob nach einem Neustart oder sogar Trennen der Verbindung wieder zu einem Popup Fenster kommt, ist mittlerweile Glückssache

Auf DD-WRT ist Firewall und Syslog deaktiviert.

Hat bei dir schon mal die Authentifizierung über Pfsense als Radius-Server und DD-WRT als NAS funktioniert ?

Ich danke dir für den Test!

Bei dir ist der Freeradius auf Suse installiert, bei mir ist er auf Pfsense, ich muss z.B. zusätzlich die Mac-Adresse des einzelnen Supplicants in der Datei "users" eintragen. Sobald ich die Mac-Adresse rausnehme oder mit einer anderen Wlan-Karte, deren Mac nicht eingetragen ist, versuche, dann scheitert die TLS-Authentifizierung. Ist die Mac eingetragen, dann klappt es mit "manchen Wlan-Karten" die TLS-Auth. und auch die 2. Phase der Auth.

Ich habe das aber soweit zum Laufen gebracht, aber wie gesagt es läuft leider nicht mit jedem Wlan-Treiber obwohl sie alle 802.1x beherrschen und ich muss jede Mac in users eintragen !!!