Hostapd AP-Mode mit Radius Client, ext. Radius Serv. über IPSEC, sehr merkwürdig
-
Hallo zusammen,
seit längerem Versuche ich ein WLAN im AP-Mode als RADIUS Client zu konfigurieren. Die Besonderheit ist das die Authentifizierung von einem zentralen RADIUS Server vorgenommen wird der nur über IPSEC-VPN zu erreichen ist.
Setup ist WAN Port (Dhcp Client, NAT usw.), LAN (Static IP, DHCP Server), WLAN (AP-Mode), LAN-WLAN mit Bridge verbunden. Das ganze läuft auf der Nanobsd Plattform, aktuelle Version 2.3.3-p1, der Fehler besteht aber in gleicher Weise mindestens seit 2.2.6.
Nach einem Reboot versucht der Router immer mit der WAN IP den Radius Server zu erreichen wenn er einen WLAN Client authentifizieren muss, das klappt natürlich nicht und die Authentifizierung schlägt fehl.
Wenn man das WLAN Interfache mit "Save" und "Apply changes" neu lädt, wird ordnungsgemäß bei einem neuen WLAN Verbindungsversuch eines Client, über das eingerichtete "Gateway" LAN von der LAN IP der IPSEC Tunnel angesteuert, ggf. aufgebaut und die Authentifizierung völlig problemlos vorgenommen und alles funktioniert wie es soll. Den Umweg über die Static Route zum Remote Subnet des VPN über das Local Interface des VPN Subnet muss man ja auch für andere Anwendungen gehen wenn der Router selbst ein Ziel im Remote Subnet connecten soll.
Bisher habe ich folgendes getestet:
in der /etc/inc/interfaces.inc habe ich own_ip_addr="LAN IP Adresse"
über
auth_server_addr={$wlcfg['auth_server_addr']}
auth_server_port={$auth_server_port}
auth_server_shared_secret={$wlcfg['auth_server_shared_secret']}hinzugefügt. Wird auch nach Reboot oder Save/Apply in die hostapd.conf des WLAN Interface übernommen, bringt leider nach einem Reboot auch nicht den gewünschten Erfolg.
An der Firewall, dem RADIUS Server, dem Tunnel etc. kann es ja eigentlich nicht liegen, es geht ja alles wenn das hostapd Interface einmal reloaded wird.
Hat jemand eine Idee? Gibt es einen Ansatz wo man weiter suchen könnte?
Wenn irgend jemand etwas dazu beitragen kann würde ich mich sehr freuen.