Freeradius 3 переключение клиентов на другой сервер

[trksergey]

Добрый день.

Настраиваем freeradius 3 (debian 12) + mikrotik. Протестировали настройки на виртуальной машине с подключение mikrotik. Делаем чистую установку на выделенном сервере и также настраиваем. Подключаем в сеть в замен виртуальной машины, тот же ip address, что и виртуальной машины с радиусом. 

После переключения, некоторые пользователи авторизируются. А большинство пользователей не авторизируются. Счетчик bad-replies и timeouts (/radius monitor) на mikrotik увеличивается,. В логах freeradius - чисто. В базе данных видно, что авторизация проходит успешно. Секреты проверили. Пробовали некоторые сессий сбросить на mikrotik, результат не изменился - не может авторизоваться. 

В чем может быть причина? Радиус имеет уникальный индификатор? Или микротик?

[Saab95]

Так микротик перезагружали после переустановки радиуса?

[TheUser]

В 22.03.2025 в 10:49, trksergey сказал:

Добрый день.

Настраиваем freeradius 3 (debian 12) + mikrotik. Протестировали настройки на виртуальной машине с подключение mikrotik. Делаем чистую установку на выделенном сервере и также настраиваем. Подключаем в сеть в замен виртуальной машины, тот же ip address, что и виртуальной машины с радиусом. 

После переключения, некоторые пользователи авторизируются. А большинство пользователей не авторизируются. Счетчик bad-replies и timeouts (/radius monitor) на mikrotik увеличивается,. В логах freeradius - чисто. В базе данных видно, что авторизация проходит успешно. Секреты проверили. Пробовали некоторые сессий сбросить на mikrotik, результат не изменился - не может авторизоваться. 

В чем может быть причина? Радиус имеет уникальный индификатор? Или микротик?

PCAP-дамп бы сняли со стороны микротика

 

12 часов назад, Saab95 сказал:

Так микротик перезагружали после переустановки радиуса?

Семь бед - один ресет

[trksergey]

RouterOS v7.15+
*) radius - added "require-message-auth" option that requires "Message-Authenticator" in received Access-Accept/Challenge/Reject messages;
*) radius - include "Message-Authenticator" in any RADIUS communication messages besides accounting for all services;

РЕШЕНИЕ: require-message-auth (в RADIUS меню) установить 'no'.