>[оверквотинг удален]
> ServerTimeout         = 30 Seconds
> SuppTimeout           =
> 30 Seconds
> TxPeriod            
>   = 10 Seconds
> Guest-Vlan            
> = 150
> AuthFail-Vlan         = 0
> AuthFail-Max-Attempts = 3
>

А что радиус то говорит?

> А что радиус то говорит?

Auth: Login incorrect: [test/<no User-Password attribute>] (from client test-network port 50021 cli 18-03-73-A6-0B-81)

настройки users

test<-->User-Password := "test"
<------>Framed-IP-Address = 192.168.2.5,
<------>Framed-IP-Netmask = 255.255.255.0,
<------>NAS-IP-Address = 10.95.46.230 (адрес циски)
<------>Tunnel-Type = 13,
<------>Tunnel-Medium-Type = 6,
<------>Tunnel-Private-Group-Id = 1

>

test<-->User-Password := "test" 
> <------>Framed-IP-Address = 192.168.2.5, 
> <------>Framed-IP-Netmask = 255.255.255.0, 
> <------>NAS-IP-Address = 10.95.46.230 (адрес циски) 
> 

На кой болт эта инфа каталисту, интересно?

radiusd -X

>>

test<-->User-Password := "test" 
>> <------>Framed-IP-Address = 192.168.2.5, 
>> <------>Framed-IP-Netmask = 255.255.255.0, 
>> <------>NAS-IP-Address = 10.95.46.230 (адрес циски) 
>> 

> На кой болт эта инфа каталисту, интересно?
> radiusd -X

ну  с NAS-IP-Address = 10.95.46.230 - это в качестве экспериметна добавлено.

А Framed-IP-Address - сообщает адрес, который будит настроен у пользователя. Разве нет?

>>>

test<-->User-Password := "test" 
>>> <------>Framed-IP-Address = 192.168.2.5, 
>>> <------>Framed-IP-Netmask = 255.255.255.0, 
>>> <------>NAS-IP-Address = 10.95.46.230 (адрес циски) 
>>> 

>> На кой болт эта инфа каталисту, интересно?
>> radiusd -X
> ну  с NAS-IP-Address = 10.95.46.230 - это в качестве экспериметна добавлено.
> А Framed-IP-Address - сообщает адрес, который будит настроен у пользователя. Разве нет?

dot1x и настройка адреса?

>>>>

test<-->User-Password := "test" 
>>>> <------>Framed-IP-Address = 192.168.2.5, 
>>>> <------>Framed-IP-Netmask = 255.255.255.0, 
>>>> <------>NAS-IP-Address = 10.95.46.230 (адрес циски) 
>>>> 

>>> На кой болт эта инфа каталисту, интересно?
>>> radiusd -X
>> ну  с NAS-IP-Address = 10.95.46.230 - это в качестве экспериметна добавлено.
>> А Framed-IP-Address - сообщает адрес, который будит настроен у пользователя. Разве нет?
> dot1x и настройка адреса?

А что разве радиус не может передать ip адрес?
Удаление этих строк никакого эффекта не дает

> А что разве радиус не может передать ip адрес?
> Удаление этих строк никакого эффекта не дает

Каталисту глубоко фиолетово на IP адрес, он L2 устройтво. Клиенту радиус ответ в 802х не передается никак.

> Клиенту радиус ответ в 802х не передается никак.

Вот этого предложения не понял

>> Клиенту радиус ответ в 802х не передается никак.
>  Вот этого предложения не понял

саппликант только предоставляет информацию для прохождения процедур аутентификации и авторизации. При этом радиус аттрибуты ходят между каталистом и радиусом. Каталист свитч, ему информация о IP адресе не нужна, это не PPP соединение.

>>> Клиенту радиус ответ в 802х не передается никак.
>>  Вот этого предложения не понял
> саппликант только предоставляет информацию для прохождения процедур аутентификации и
> авторизации. При этом радиус аттрибуты ходят между каталистом и радиусом. Каталист
> свитч, ему информация о IP адресе не нужна, это не PPP
> соединение.

Даже если убрать эти сторчки, аутентификация проходит неудачно

>> А что радиус то говорит?
> Auth: Login incorrect: [test/<no User-Password attribute>] (from client test-network
> port 50021 cli 18-03-73-A6-0B-81)

т.е. " Login incorrect:.... " вас не настораживает??

>>> А что радиус то говорит?
>> Auth: Login incorrect: [test/<no User-Password attribute>] (from client test-network
>> port 50021 cli 18-03-73-A6-0B-81)
> т.е. " Login incorrect:.... " вас не настораживает??

настрораживает, но я что-то не понимаю, где делаются настройки это затрагивающие. Cisco ведь получается NASом?

>>>> А что радиус то говорит?
>>> Auth: Login incorrect: [test/<no User-Password attribute>] (from client test-network
>>> port 50021 cli 18-03-73-A6-0B-81)
>> т.е. " Login incorrect:.... " вас не настораживает??
> настрораживает, но я что-то не понимаю, где делаются настройки это затрагивающие. Cisco
> ведь получается NASом?

Password - на радиусе должен быть, ему же надо с чем-то сверять то, что прилетит с клиента....

>>>>> А что радиус то говорит?
>>>> Auth: Login incorrect: [test/<no User-Password attribute>] (from client test-network
>>>> port 50021 cli 18-03-73-A6-0B-81)
>>> т.е. " Login incorrect:.... " вас не настораживает??
>> настрораживает, но я что-то не понимаю, где делаются настройки это затрагивающие. Cisco
>> ведь получается NASом?
> Password - на радиусе должен быть, ему же надо с чем-то сверять
> то, что прилетит с клиента....

да понятно, что на радиусе. в каком конкретно конфигурационном файле?

Ну и, кстати, на WinXP клиентах напляшетесь вы с этой авторизацией...

> Ну и, кстати, на WinXP клиентах напляшетесь вы с этой авторизацией...

Пока идет процесс вникания в технологию (изучение). Клиент под вин7

>> Ну и, кстати, на WinXP клиентах напляшетесь вы с этой авторизацией...
> Пока идет процесс вникания в технологию (изучение). Клиент под вин7

С точки зрения технологии, каталист самое простое, он просто посредник в EAP.
Через него суппликант (клиентское устройство) общается с радиусом.
Протоколов авторизации через EAP - херова гора.
В твоем случае EAP-PEAP с MSCHAPv2.
как я написал выше - дебаж на радиусе "radiusd -X", там будет ВСЕ написано.

>>> Ну и, кстати, на WinXP клиентах напляшетесь вы с этой авторизацией...
>> Пока идет процесс вникания в технологию (изучение). Клиент под вин7
> С точки зрения технологии, каталист самое простое, он просто посредник в EAP.
> Через него суппликант (клиентское устройство) общается с радиусом.
> Протоколов авторизации через EAP - херова гора.
> В твоем случае EAP-PEAP с MSCHAPv2.
> как я написал выше - дебаж на радиусе "radiusd -X", там будет
> ВСЕ написано.

вот дебаг радиуса.

++[auth_log] returns ok
ERROR: No authenticate method (Auth-Type) found for the request: Rejecting the user
Failed to authenticate the user.
Login incorrect: [test/<no User-Password attribute>] (from client test-network port 50019 cli 18-03-73-A6-0B-81)
Using Post-Auth-Type Reject

Но в нем больше вопросов, чем ответов (пока).

Вопрос:Циска, как аутентификатор, в настройках радиуса никаким образом не присутствует?

UPD
radtest нормально отрабатывает

# radtest -x -t mschap test test  10.95.46.227 1812 testing123
Sending Access-Request of id 106 to 10.95.46.227 port 1812
        User-Name = "test"
        NAS-IP-Address = 127.0.1.1
        NAS-Port = 1812
        Message-Authenticator = 0x00000000000000000000000000000000
        MS-CHAP-Challenge = 0x8a5694309810f31d
        MS-CHAP-Response = 0x00010000000000000000000000000000000000000000000000004e69814c48e29a469e45bc9028072a0da64d65cc95cfb668
rad_recv: Access-Accept packet from host 10.95.46.227 port 1812, id=106, length=111
        Tunnel-Type:0 = VLAN
        Tunnel-Medium-Type:0 = IEEE-802
        Tunnel-Private-Group-Id:0 = "1"
        Framed-IP-Address = 192.168.2.5
        Framed-IP-Netmask = 255.255.255.0
        MS-CHAP-MPPE-Keys = 0x01fc5a6be7bc69292066656e05c22f3a995ad9ecfed913d60000000000000000
        MS-MPPE-Encryption-Policy = 0x00000002
        MS-MPPE-Encryption-Types = 0x00000004

freeradius вываливает тонны информации. ты хочешь чтобы тебе тут по трем строчкам причину нашли?
телепатов не бывает

> freeradius вываливает тонны информации. ты хочешь чтобы тебе тут по трем строчкам
> причину нашли?
> телепатов не бывает

Он выдал не сильно больше, относительно гото что я привел. Я указал, на то что явно указывает на проблему. Впринципе могу привестиполный вывод.

Проблему с аутентификацией решил так

authorize { 
<------>eap { 
<------><------>ok = return 
<------>} 
<------>files 
<------>auth_log 
} 

и убрал mschap.

Порт теперь в аутентифицированном состоянии, но влан остался первым. Можно ли изменить vlan аутентифицированного порта?

>[оверквотинг удален]
>

authorize { 
> <------>eap { 
> <------><------>ok = return 
> <------>} 
> <------>files 
> <------>auth_log 
> } 

> и убрал mschap.
> Порт теперь в аутентифицированном состоянии, но влан остался первым. Можно ли изменить
> vlan аутентифицированного порта?

ты же делал уже:

rad_recv: Access-Accept packet from host 10.95.46.227 port 1812, id=106, length=111
        Tunnel-Type:0 = VLAN
        Tunnel-Medium-Type:0 = IEEE-802
        Tunnel-Private-Group-Id:0 = "1"

>[оверквотинг удален]
>> <------>auth_log
>> }
>> и убрал mschap.
>> Порт теперь в аутентифицированном состоянии, но влан остался первым. Можно ли изменить
>> vlan аутентифицированного порта?
> ты же делал уже:
> rad_recv: Access-Accept packet from host 10.95.46.227 port 1812, id=106, length=111
>         Tunnel-Type:0 = VLAN
>         Tunnel-Medium-Type:0 = IEEE-802
>         Tunnel-Private-Group-Id:0 = "1"

я потом поменял Tunnel-Private-Group-Id:0 = "101", но порт все равно в первый влан назначается

>[оверквотинг удален]
>>> и убрал mschap.
>>> Порт теперь в аутентифицированном состоянии, но влан остался первым. Можно ли изменить
>>> vlan аутентифицированного порта?
>> ты же делал уже:
>> rad_recv: Access-Accept packet from host 10.95.46.227 port 1812, id=106, length=111
>>         Tunnel-Type:0 = VLAN
>>         Tunnel-Medium-Type:0 = IEEE-802
>>         Tunnel-Private-Group-Id:0 = "1"
> я потом поменял Tunnel-Private-Group-Id:0 = "101", но порт все равно в первый
> влан назначается

а вилан такой есть вообще на свиче?
и как ты проверяешь назначение вилана?

>[оверквотинг удален]
>>>> vlan аутентифицированного порта?
>>> ты же делал уже:
>>> rad_recv: Access-Accept packet from host 10.95.46.227 port 1812, id=106, length=111
>>>         Tunnel-Type:0 = VLAN
>>>         Tunnel-Medium-Type:0 = IEEE-802
>>>         Tunnel-Private-Group-Id:0 = "1"
>> я потом поменял Tunnel-Private-Group-Id:0 = "101", но порт все равно в первый
>> влан назначается
> а вилан такой есть вообще на свиче?
> и как ты проверяешь назначение вилана?

sh vlan id 101
VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
101  test_802.1x                      active

>[оверквотинг удален]
>

sh vlan id 101 
> VLAN Name           
>            
>        Status    
> Ports 
> ---- -------------------------------- --------- ------------------------------- 
> 101  test_802.1x          
>            
>  active 
> 

не уверен что вывод этой команды покажет динамическое назначение в вилан
по траффику проверял?

>[оверквотинг удален]
>>
>>        Status
>> Ports
>> ---- -------------------------------- --------- -------------------------------
>> 101  test_802.1x
>>
>>  active
>>
> не уверен что вывод этой команды покажет динамическое назначение в вилан
> по траффику проверял?

а почему нет? по крайней мере назначение в гостевой влан показывает.
Да трафик проходит, по крайней мере могу пинговать хосты в первом влане