В данной статье рассматривается процесс интеграции AxelNAC с оборудованием Mikrotik.
AxelNAC поддерживает оборудование Mikrotik (RouterOS) для организациибеспроводной аутентификации 802.1X (WPA2-Enterprise и MAC-аутентификация) и проводной аутентификации 802.1X (EAPoL (Extensible Authentication Protocol over LAN)).
Требования для интеграции
Данная конфигурация была протестирована на различных устройствах MikroTik, включая RB433AH, hAP ac, hAP ac lite, RB1100, RB3011 и различные устройства CCR.
MikroTik поддерживает беспроводную аутентификацию RADIUS 802.1X в RouterOS 6.x и более поздних версиях. Проводная аутентификация EAPoL (802.1X) доступна с версии 6.46 (декабрь 2019), а запасной вариант MAB стабилен с версии 6.48.3. На момент написания статьи RADIUS Disconnect поддерживается для беспроводной аутентификации 802.1X, но для проводной аутентификации 802.1X (dot1x) данная функциональность недоступна.
Для бесплатного обновления программного обеспечения RouterOS вы можете использовать команды /system package update installи /system routerboard upgrade.
По умолчанию AxelNAC использует RADIUS для деаутентификации беспроводных устройств. Если вы предпочитаете использовать SSH как метод деаутентификации, измените строку 'my $default = $SNMP::RADIUS;' на 'my $default = $SNMP::SSH;'.
Если вы используете метод деаутентификации SSH, необходимо подключиться с учетной записи axelnac по SSH к точке доступа, для того чтобы получить SSH-ключ.
Настройка WPA2-EAP (WPA2 Enterprise) 802.1X SSID c MAC-аутентификацией на WPA2-PSK SSID
В данном примере интерфейсы с частотами 2,4 и 5 ГГц сконфигурированы для обеспечения беспроводной аутентификации 802.1X с виртуальной точкой доступа, которая добавляется для обеспечения MAC-аутентификации на WPA2-PSK SSID, где пароль указывается как часть SSID.
Несмотря на то, что Pre-Shared Key является публичным, каждое беспроводное соединение шифруется с использованием динамически сгенерированного ключа. Чтобы настроить WPA2-EAP (WPA2 Enterprise) 802.1X SSID c MAC-аутентификацией на WPA2-PSK SSID, выполните следующие действия:
Шаг 1. Создайте SSID и виртуальную точку доступа для второго SSID:
Параметр 'src-address' позволяет инициировать запросы с IP-адреса, отличного от адреса интерфейса, через который идет маршрут к AxelNAC. 172.31.31.1 — адрес маршрутизированной регистрационной сети, а 172.31.31.129 — адрес маршрутизированной изоляционной сети.
Настройка проводной аутентификации 802.1X с MAB (MAC authentication bypass)
Для настройки требуется bridge с включенной фильтрацией VLAN и активным Spanning Tree Protocol. Новые bridge по умолчанию используют RSTP (Rapid Spanning Tree Protocol), поэтому для настройки можно применять те же шаги, что и для беспроводной аутентификации 802.1X.
Для настройки проводной аутентификации 802.1X с MAB (MAC authentication bypass) выполните следующие действия:
Шаг 1. Настройте точку доступа с помощью следующей конфигурации:
/interface wireless
# managed by CAPsMAN
# channel: 5180/20-Ce/an(17dBm), SSID: OPEN, local forwarding
set [ find default-name=wlan1 ] band=5ghz-a/n channel-width=20/40mhz-Ce disabled=no l2mtu=1600 mode=ap-bridge ssid=MikroTik-05A64D
/interface ethernet
set [ find default-name=ether1 ] name=ether1-gateway
set [ find default-name=ether2 ] name=ether2-master-local
set [ find default-name=ether3 ] master-port=ether2-master-local name=ether3-slave-local
set [ find default-name=ether4 ] master-port=ether2-master-local name=ether4-slave-local
set [ find default-name=ether5 ] name=ether5-master-local
/interface vlan
add interface=BR-CAPS l2mtu=1594 name=default vlan-id=1
add interface=BR-CAPS l2mtu=1594 name=isolation vlan-id=3
add interface=BR-CAPS l2mtu=1594 name=registration vlan-id=2
/caps-man datapath
add bridge=BR-CAPS client-to-client-forwarding=yes local-forwarding=yes name=datapath1
/caps-man interface
#
add arp=enabled configuration.mode=ap configuration.ssid=OPEN datapath=datapath1 disabled=no l2mtu=1600 mac-address=\
D4:CA:6D:05:A6:4D master-interface=none mtu=1500 name=cap1 radio-mac=D4:CA:6D:05:A6:4D
/caps-man aaa
set interim-update=5m
/caps-man access-list
add action=query-radius interface=cap1 radius-accounting=yes signal-range=-120..120 time=0s-1d,sun,mon,tue,wed,thu,fri,sat
/caps-man manager
set enabled=yes
/interface bridge port
add bridge=bridge-local interface=ether2-master-local
add bridge=bridge-local interface=ether1-gateway
add bridge=BR-CAPS interface=ether5-master-local
/interface wireless cap
set bridge=BR-CAPS discovery-interfaces=BR-CAPS enabled=yes interfaces=wlan1
/ip accounting
set enabled=yes
/radius
add address=<IP-адрес вашего Captive-портала AxelNAC> secret=useStrongerSecret service=wireless
/radius incoming
set accept=yes
В этой конфигурации интерфейс ether5 используется как trunk для bridge, а ether1 — как интерфейс управления.
Настройка веб-аутентификации
Вы можете использовать веб-аутентификацию на точках доступа Mikrotik. Для этого необходимо активировать hotspot в конфигурации точки доступа и изменить шаблон перенаправления так, чтобы он указывал на AxelNAC. Выполните следующие действия:
Шаг 1. Установите FTP-соединение с вашей точкой доступа в файле hotspot/login.html:
