802.1x RADIUS authenticatie met TL-SG2008 switch.

[MaxTheKing]

Hallo allemaal,

Ik heb vanmorgen mijn nieuwe switch binnen gekregen (TP-Link TL-SG2008). Heb deze switch gekocht met als doel om clients in mijn netwerk te kunnen authenticeren door middel van een gebruikersnaam en wachtwoord.
Heb de radius server op mijn pfSense firewall draaien, deze radius server werkt ook, (getest met een testnetwerkje met wpaeap beveiliging op een UniFi AP). Alleen bedrade clients willen onmogelijk verbinden, geven telkens de melding "Authenticatie mislukt".
Weet iemand waar dit aan kan liggen?
Hier onder een aantal screenshots:






Bij voorbaat dank!

[ Voor 5% gewijzigd door MaxTheKing op 29-01-2021 14:32 ]

[MagicTempest]

Misschien is het handig om ook wat logs van de radius server bij te sluiten. Nu is het alleen maar gokken voor ons.

Komen de radius verzoeken bijvoorbeeld binnen op je radius server?
Als ze niet binnen komen, zie je dan wel dat de switch iets verstuurt?
Heeft de switch zelf misschien nog wat logging?

[MaxTheKing]

Ga vanavond even voor je kijken, moet zo werken namelijk.

[MaxTheKing]

Hierbij de logs;

Switch:
http://image.maxkoning.com/2016-11-19_17-17-55.jpg


pfSense:
http://image.maxkoning.com/2016-11-19_17-20-31.jpg
http://image.maxkoning.com/2016-11-19_17-20-40.jpg

[ Voor 8% gewijzigd door MaxTheKing op 30-04-2017 19:26 ]

[prutser001]

Run 'service freeradius restart' and 'service freeradius stop' commands Then run the command,'freeradius -X' you will not face binding issue anymore.

Misschien dat dat helpt?

[MaxTheKing]

Probleem ligt niet bij de RADIUS server denk ik, draadloze clients verbonden met een UniFi AP kunnen prima authenticeren, maar kan het toch wel even proberen.

EDIT: Heb de commands uitgevoerd, bedrade clients geven nog steeds de "Authentication failed" melding.

[ Voor 25% gewijzigd door MaxTheKing op 19-11-2016 17:35 ]

[MaxTheKing]

Iemand nog suggesties?? Kan op Google namelijk niets vinden als ik "Client challenge-response timeout" zoek.

[MaxTheKing]

Jammer, dacht dat ik hier wel geholpen kon worden

[YoVla]

Ik zie in je TP-Link afbeelding dat je 10.10.10.1 als IP ingeeft en in PFsense 10.10.10.2?
Moeten die niet gelijk zijn?

Hoe werkt je systeem trouwens. Een computer prikt een kabel in de switch en vervolgens moet je naar een portal om je ww etc. in te voeren?

Ik heb dit met certificaten op kantoor gedaan, daar moest je voor Wired / WLAN speciale group policy's aan zetten, maar ik weet niet of dat hier ook voor geldt. (denk het niet)

[ Voor 57% gewijzigd door YoVla op 23-11-2016 14:59 ]

[MaxTheKing]

YoVla schreef op woensdag 23 november 2016 @ 14:47:
Ik zie in je TP-Link afbeelding dat je 10.10.10.1 als IP ingeeft en in PFsense 10.10.10.2?
Moeten die niet gelijk zijn?

Hoe werkt je systeem trouwens. Een computer prikt een kabel in de switch en vervolgens moet je naar een portal om je ww etc. in te voeren?

Ik heb dit met certificaten op kantoor gedaan, daar moest je voor Wired / WLAN speciale group policy's aan zetten, maar ik weet niet of dat hier ook voor geld. (denk het niet)

Radius server (pfSense firewall) zit op 10.10.10.1 en de Switch (NAS) zit op 10.10.10.2.
De bedoeling van mijn systeem is dat elke client die bedraad verbonden word eerst geautoriseerd moet worden voordat deze daadwerkelijk netwerk en internettoegang heeft. En dan niet door middel van een portal, maar gewoon door middel van de ingebouwde 802.1x van de client zelf.

[ Voor 6% gewijzigd door MaxTheKing op 23-11-2016 15:02 ]

[YoVla]

Ik zie hier dat ze een TP-Link applicatie gebruiken voor de authenticatie.
http://www.tp-link.com.br/faq-787.html

Dat gebruik jij ook?

Op die site staat trouwens wel goed uitgelegd hoe het allemaal werkt, mogelijk dat je daar al iets uit kan vissen wat mogelijk fout staat?

[MaxTheKing]

Dat is het hem nou juist, ik was op de hoogte van die software, alleen is er nergens een download te vinden. Heb alles ook precies volgens die site gedaan. Maar alsnog weigeren bedrade clients te authenticaten.

[ Voor 35% gewijzigd door MaxTheKing op 23-11-2016 15:13 ]

[MasterMike]

Wat staat er bij FreeRadius onder MACs?

[MaxTheKing]

MasterMike schreef op woensdag 23 november 2016 @ 15:22:
Wat staat er bij FreeRadius onder MACs?

Niets, Daar hoort verder ook niets, toch?

[ Voor 9% gewijzigd door MaxTheKing op 23-11-2016 15:38 ]

[Qwerty-273]

MaxTheKing schreef op woensdag 23 november 2016 @ 15:09:
Dat is het hem nou juist, ik was op de hoogte van die software, alleen is er nergens een download te vinden. Heb alles ook precies volgens die site gedaan. Maar alsnog weigeren bedrade clients te authenticaten.

Gewoon bij TP-Link zelf?

OS: Win2000/XP/2003/Vista/7/8/8.1/10
Published Date: 28/03/16
http://static.tp-link.com...1X_Client_Software_V3.zip

OS: Win2000/XP/2003/Vista/7
Published Date: 26/09/13
http://static.tp-link.com...02.1X_Client_Software.zip

[MaxTheKing]

http://image.maxkoning.com/2016-11-23_16-00-52.jpg
Gaat hem niet worden ben ik bang.
Maargoed, het hoort natuurlijk gewoon te werken zonder een of andere software te moeten downloaden.

[ Voor 39% gewijzigd door MaxTheKing op 30-04-2017 19:26 ]

[MaxTheKing]

Weet bijna zeker dat het probleem bij de switch ligt, heb even een Radius server op mijn syno NAS geinstalleerd om te testen of dat wel werkt, werkt ook niet.

[YoVla]

Krijg je uberhaupt een scherm om een username of wachtwoord in te geven?
Want dat gedeelte snap ik nog steeds niet.

Wat verwacht je op de computer? Je prikt de netwerkstekker in je switch en dan?

[Qwerty-273]

Wat heb je ingegeven bij je NIC instellingen op je client? Staat daar wel alles goed? Kwa settings op je switch, tja het is natuurlijk maar een paar velden die je in kan stellen. Dus dat lijkt op het eerste oog wel allemaal goed te staan. De client van TP-Link kan ik gewoon binnen hengelen zonder problemen met de bovenstaande link....

[MasterMike]

Zoals je hier http://www.tp-link.com/ar/faq-787.html kan zien heb je toch echt de authenticator nodig. Ik zou contact opnemen met TP-Link met een verzoek voor de software.

[MaxTheKing]

YoVla schreef op woensdag 23 november 2016 @ 18:06:
Krijg je uberhaupt een scherm om een username of wachtwoord in te geven?
Want dat gedeelte snap ik nog steeds niet.

Wat verwacht je op de computer? Je prikt de netwerkstekker in je switch en dan?

Ik sluit de client (In dit geval laptop) aan op de switch. En dan kun je inloggen bij de properties van de netwerk adapter.
Dan moet de service "Wired AutoConfig" wel runnen, en deze runt ook. Net als je op android met een WPAEAP netwerk verbind je moet authenticeren met een gebruikersnaam en wachtwoord, het principe op een computer is hetzelfde.

[MaxTheKing]

Qwerty-273 schreef op woensdag 23 november 2016 @ 18:21:
Wat heb je ingegeven bij je NIC instellingen op je client? Staat daar wel alles goed? Kwa settings op je switch, tja het is natuurlijk maar een paar velden die je in kan stellen. Dus dat lijkt op het eerste oog wel allemaal goed te staan. De client van TP-Link kan ik gewoon binnen hengelen zonder problemen met de bovenstaande link....

Alles default gelaten. Kan op school ook gewoon gebruik maken van het netwerk met 802.1x, dus daar ligt het niet aan.

[MaxTheKing]

MasterMike schreef op woensdag 23 november 2016 @ 18:23:
Zoals je hier http://www.tp-link.com/ar/faq-787.html kan zien heb je toch echt de authenticator nodig. Ik zou contact opnemen met TP-Link met een verzoek voor de software.

Wat ik had vernomen is dat de TP-Link software gewoon een makkelijke versie is van hetgeen wat ik net postte. Naar je netwerk instellingen gaan en daar je cridentials invoeren. Kan me niet voorstellen dat je een aparte software moet gaan downloaden puur om in te loggen, aangezien deze functie al in Windows en vrijwel elk ander OS ingebouwd zit.

[MasterMike]

Klopt inderdaad, bij de settings heb je neem ik aan het vinkje uitstaan "Use Windows Credentials"?

MaxTheKing schreef op woensdag 23 november 2016 @ 21:29:
[...]

Wat ik had vernomen is dat de TP-Link software gewoon een makkelijke versie is van hetgeen wat ik net postte. Naar je netwerk instellingen gaan en daar je cridentials invoeren. Kan me niet voorstellen dat je een aparte software moet gaan downloaden puur om in te loggen, aangezien deze functie al in Windows ingebouwd zit.

[MaxTheKing]

MasterMike schreef op woensdag 23 november 2016 @ 21:47:
Klopt inderdaad, bij de settings heb je neem ik aan het vinkje uitstaan "Use Windows Credentials"?


[...]

Uiteraard, ik heb daar "User authentication" aangevinkt.

[MasterMike]

MaxTheKing schreef op woensdag 23 november 2016 @ 23:18:
[...]


Uiteraard, ik heb daar "User authentication" aangevinkt.

Dus je hebt je Windows username en password ingevoerd in FreeRadius?

[MaxTheKing]

MasterMike schreef op donderdag 24 november 2016 @ 18:19:
[...]


Dus je hebt je Windows username en password ingevoerd in FreeRadius?

Nee, zoals ik al zei, had user authentication gebruikt. Dus dit:

[MasterMike]

MaxTheKing schreef op donderdag 24 november 2016 @ 21:48:
[...]


Nee, zoals ik al zei, had user authentication gebruikt. Dus dit: [afbeelding]

Maar als de user niet bekend is binnen FreeRadius, dan zal hij zich toch ook niet kunnen authenticeren?

[MaxTheKing]

MasterMike schreef op vrijdag 25 november 2016 @ 08:01:
[...]


Maar als de user niet bekend is binnen FreeRadius, dan zal hij zich toch ook niet kunnen authenticeren?

Maar ik heb wel users toegevoegd in Freeradius hoor.

[MaxTheKing]

Zou iemand dat TP-Link authenticatie programma even naar een clouddienst willen uploaden en dan een download link sturen? Kan hem om de een of andere reden niet direct van de TP-Link website plukken, Denk dat mijn firewall het blokkeert.

[CyBeR]

Ik zie in dit topic nog geen paste van de logs van freeradius -X of wel?

[roelpa]

Je weet toch dat windows standaard geen md5 authenticatie meer ondersteund wegens veiligheidsredenen? Heb je de nodige aanpassingen gedaan in het register?

[MaxTheKing]

roelpa schreef op zaterdag 26 november 2016 @ 20:08:
Je weet toch dat windows standaard geen md5 authenticatie meer ondersteund wegens veiligheidsredenen? Heb je de nodige aanpassingen gedaan in het register?

Oh, daar was ik niet van op de hoogte. Ik gebruik momenteel EAP-MD5, omdat mijn switch niet anders ondersteund. (Ja PAP, maar dat is al helemaal een drama).

[roelpa]

Kijk hier eens dan:
https://support.microsoft.com/en-us/kb/922574

Dit is voor Vista, maar dit is hetzelfde voor latere versies.

[T.Kreeftmeijer]

Is er geen firmware update met nieuwe beveiligingstype beschikbaar? Dat zou ik eerst maar eens uitzoeken.

[MaxTheKing]

T.Kreeftmeijer schreef op zondag 27 november 2016 @ 18:07:
Is er geen firmware update met nieuwe beveiligingstype beschikbaar? Dat zou ik eerst maar eens uitzoeken.

Dat niet, maar heb even contact gehad met TP-Link, en heb ze zover gekregen dat de developers een firmware update gaan maken.

[T.Kreeftmeijer]

MaxTheKing schreef op maandag 28 november 2016 @ 15:28:
[...]


Dat niet, maar heb even contact gehad met TP-Link, en heb ze zover gekregen dat de developers een firmware update gaan maken.

Dat lijkt mij een goed begin...

[MaxTheKing]

Gaat hem niet worden denk ik. Ding zit sowieso vol veiligheidslekken, dus stuur hem retour. Iemand een suggestie voor een betaalbare (<€100) gigabit switch met 8 of meer poorten die 802.1x PEAP ondersteund? Zat zelf te denken aan de LINKSYS LGS308, maar heb geen zin om weer tegen hetzelfde probleem aan te lopen dat de switch geen PEAP ondersteund.

[ Voor 25% gewijzigd door MaxTheKing op 30-11-2016 15:06 ]

[T.Kreeftmeijer]

MaxTheKing schreef op woensdag 30 november 2016 @ 14:55:
Gaat hem niet worden denk ik. Ding zit sowieso vol veiligheidslekken, dus stuur hem retour. Iemand een suggestie voor een betaalbare (<€100) gigabit switch met 8 of meer poorten die 802.1x PEAP ondersteund? Zat zelf te denken aan de LINKSYS LGS308, maar heb geen zin om weer tegen hetzelfde probleem aan te lopen dat de switch geen PEAP ondersteund.

En de GS1900 serie van XyZel?

[MaxTheKing]

T.Kreeftmeijer schreef op woensdag 30 november 2016 @ 16:53:
[...]


En de GS1900 serie van XyZel?

Die zien er wel oké uit. Iemand hier enige ervaring met Zyxel? Kende het merk namelijk niet.