FreeRADIUSで認証エラーが多発する人がいる（最終的にはつながっている）

Question

実現したいこと

認証エラーをなくしたい。

発生している問題・分からないこと

無線LANシステムを運用しています。
RADIUS認証を採用しており、FreeRADIUS 3.0（ EAP-PEAP（MACアドレスにより制限あり））を
使用しています。
APはバッファローの法人用APを使っています。

RADIUSサーバーやAPのログを見ると、認証エラーが多発している人がいるのが確認されました。
ただ最終的にはAPにつながっているので、何が原因なのかが検討がつきません、、、

エラーメッセージ

※時刻同期の関係で完全に時間は一致していません

【radiusサーバー側のログ】
10:20:03	 Auth: (12590) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 6 cli “MACアドレス”)
10:20:03	 ERROR: (12590) eap_peap: ERROR: TLS Alert read:fatal:unknown CA																	
10:20:04	 Auth: (12596) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 6 cli “MACアドレス”)
10:20:04	 ERROR: (12596) eap_peap: ERROR: TLS Alert read:fatal:unknown CA																	
10:20:05	 Auth: (12602) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 4 cli “MACアドレス”)
10:20:05	 ERROR: (12602) eap_peap: ERROR: TLS Alert read:fatal:unknown CA																	
10:20:06	 Auth: (12607) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 4 cli “MACアドレス”)
10:20:06	 ERROR: (12607) eap_peap: ERROR: TLS Alert read:fatal:unknown CA																	
10:20:08	 Auth: (12616) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 6 cli “MACアドレス”)
10:20:08	 ERROR: (12616) eap_peap: ERROR: TLS Alert read:fatal:unknown CA																	
10:20:09	 Auth: (12622) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 6 cli “MACアドレス”)
10:20:09	 ERROR: (12622) eap_peap: ERROR: TLS Alert read:fatal:unknown CA																	
10:20:10	 Auth: (12627) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 6 cli “MACアドレス”)
10:20:10	 ERROR: (12627) eap_peap: ERROR: TLS Alert read:fatal:unknown CA																	
10:20:12	 Auth: (12635) Login incorrect (eap_peap: TLS Alert read:fatal:unknown CA): [host/●●●●.☓☓☓.net/<via Auth-Type = eap>] (from client ▲▲▲▲▲▲ port 6 cli “MACアドレス”)
10:20:12	 ERROR: (12635) eap_peap: ERROR: TLS Alert read:fatal:unknown CA
10:21:13	 Auth: (12700)   Login OK: [“ユーザID”/<via Auth-Type = eap>] (from client ●●●●.☓☓☓.net port 6 cli “MACアドレス”via TLS tunnel)	
10:21:13	 Auth: (12701) Login OK: [“ユーザID”/<via Auth-Type = eap>] (from client ●●●●.☓☓☓.net port 6 cli “MACアドレス”)

【radiusサプリカント（無線AP）のログ】
10:03:31　WIRELESS wl0.0 (5GHz): DisAssociated User - “MACアドレス”
10:03:32　WIRELESS wl0.0 (5GHz):  “SSID名”: Associated User(-50dBm) - “MACアドレス”
10:03:36　AUTH wl0.0 (5GHz): Authentication Failed User [host/●●●●.☓☓☓.net] -  “MACアドレス”
10:03:36　WIRELESS wl0.0 (5GHz): DisAssociated User -  “MACアドレス”
10:04:06　WIRELESS wl0.0 (5GHz):  “SSID名”: Associated User(-49dBm) -  “MACアドレス”
10:04:06　AUTH wl0.0 (5GHz): Authenticated (WPA2-EAP: TTL 3600) User [“ユーザID”] - “MACアドレス”

該当のソースコード

特になし

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

先輩にきくと、どうやらwindows側で色んな認証のメカニズムを試しているからエラーがでるんだ、と
いっていました。
なので認証メカニズムをEAP-PEAP？に固定できればいいのかなとおもうのですがそのやり方を調べても私が調べた範囲ではでてきませんでした。

windowsの【802.1X設定】➜【認証モードを指定する】で、ユーザー認証　に指定すれば改善するかもしれませんが、エラーが全く出ない人もいるので、出る人と出ない人の違いがわかればとおもっております。

補足

特になし

Answer 1

エラーメッセージ eap_peap: ERROR: TLS Alert read:fatal:unknown CA は、クライアント証明書のベリファイで CA (証明書発行元) が ca_file に見つからないということです。

最終的にはAPにつながっている

EAP-TLS ならばクライアント証明書が必須ですが、EAP-PEAP はなくてもいいはず。
推測ですが、クライアントPC に(FreeRADIUS が知らない)証明書がインポートされていて、EAP-PEAP のときにこの証明書を使って TLS 接続しようとしてエラー → リトライで証明書なしで接続・認証して OK となっているのかもしれません。

エラーが全く出ない人もいる

クライアントPC に(FreeRADIUS が知らない)証明書がある／ないの違いかもしれません。

認証メカニズムをEAP-PEAP？に固定できればいいのかなと

ログは eap_peap モジュールですので、ここは問題ないはずです。

Comments

[hitoshi_1982]

＞EAP-TLS ならばクライアント証明書が必須ですが、EAP-PEAP はなくてもいいはず。
＞推測ですが、クライアントPC に(FreeRADIUS が知らない)証明書がインポートされていて、
＞EAP-PEAP のときにこの証明書を使って TLS 接続しようとしてエラー → リトライで
＞証明書なしで接続・認証して OK となっているのかもしれません。
＞ログは eap_peap モジュールですので、ここは問題ないはずです。
回答有りありがとうございます。参考になりました。
たしかに証明書絡みのエラーかもしれません、、確認してみます