123788
Jan 26, 2017
1429
2
0
Freeradius, einige Win10-Clients machen Probleme
Nabend zusammen,
ich betreibe Freeradius auf Debian stable mit einer EAP-TTLS-Konfiguration.
Wir nutzen Windows-10-Laptops, auf welchen ganz schlicht Benutzername+Passwort eingegeben wurde, damit können sie sich dann mit dem WLAN verbinden.
Das TLS-Zertifikat muss natürlich einmal händisch bestätigt werden.
Problematisch ist: Das funktioniert auf fast allen Clients (auch diverse Mobil-Betriebssysteme, Linux, Mac...) problemlos, aber einige der Windows-10-Maschinen werfen folgenden Fehler:
Habt ihr eine Idee oder einen Ansatz für mich?
ich betreibe Freeradius auf Debian stable mit einer EAP-TTLS-Konfiguration.
Wir nutzen Windows-10-Laptops, auf welchen ganz schlicht Benutzername+Passwort eingegeben wurde, damit können sie sich dann mit dem WLAN verbinden.
Das TLS-Zertifikat muss natürlich einmal händisch bestätigt werden.
Problematisch ist: Das funktioniert auf fast allen Clients (auch diverse Mobil-Betriebssysteme, Linux, Mac...) problemlos, aber einige der Windows-10-Maschinen werfen folgenden Fehler:
Wed Jan 25 19:53:49 2017 : Auth: Login incorrect (TLS Alert read:fatal:unknown CA): [host/USER] (from client WLAN-Controller port 48 cli xx-xx-xx-xx-xx-xx)
Wed Jan 25 19:53:51 2017 : Error: TLS Alert read:fatal:unknown CA
Wed Jan 25 19:53:51 2017 : Error: TLS_accept: failed in unknown state
Wed Jan 25 19:53:51 2017 : Error: rlm_eap: SSL error error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca
Wed Jan 25 19:53:51 2017 : Error: SSL: SSL_read failed inside of TLS (-1), TLS session fails.Habt ihr eine Idee oder einen Ansatz für mich?
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 327571
Url: https://administrator.de/contentid/327571
Printed on: April 25, 2024 at 20:04 o'clock
2 Comments
Latest comment
Sieht nach einem defekten Zertifikat auf den betroffenen Clients aus. Hat das zufällig noch den SHA-1-Hash? Dann ein neues generieren.
Glaub' ich eigentlich nicht... wie prüf' ich das? Stammt noch von meinem Vorgänger...
Wäre das hier der richtige Befehl, um ein korrektes zu erzeugen?
openssl req -new -x509 -extensions v3_ca -keyout CA/private/cakey.pem -out CA/cacert.pem
Wäre das hier der richtige Befehl, um ein korrektes zu erzeugen?
openssl req -new -x509 -extensions v3_ca -keyout CA/private/cakey.pem -out CA/cacert.pem
