Country Code in Probe-Response? (Oder: Win10 18362 kein 802.11x)

[ua]

Moin Zusammen (wobei die Frage vermutlich direkt an Alfred geht );

nach dem ich mal wieder Probleme mit 802.1x und dem LC-Radius habe (nach dem letzten Win10-Update, Pro: Build 18362 und Enterprise: 17763) ist mir folgendes im WLAN-DATA Trace aufgefallen:

Code: Alles auswählen

[WLAN-DATA] 
** snip
Capabilities        : ESS Privacy Spectrum-Management APSD Radio-Measurement
SSID                : SSID
Supported Rates     : [6.0M] [9.0M] [12.0M] 18.0M [24.0M] [36.0M] [48.0M] [54.0M]
DS Param Set        : 64
Country Information : Ctry Code 'DEI' Ch36/1@23dBm Ch40/1@23dBm Ch44/1@23dBm Ch48/1@23dBm Ch52/1@23dBm Ch56/1@23dBm 
Ch60/1@23dBm Ch64/1@23dBm
***-----------------------------^^^^
<trailer>           : 00                      .
Power Constraint    : 0 dB
Aironet Info        : Load 30
                      Hops 0
                      Device Type AP350
                      Refresh 0
                      CWMin 0
                      CWMax 0
                      Flags 
                      Distance 0
                      Name LAB-AP 

Wofür steht der Begriff "DEI": "Deitschland oder DE 1? Auch Tante Google und Onkel Bing konnte mir nicht helfen?
Wenn ich mir den ganzen Trace anschaue, meine ich keinen Versuch einer Authentifizierung zu sehen. Es sind m.E. nur Probe-Request/Response, die aneinander vorbeilaufen?

Viele Grüße aus OBC

Udo

PS Anhang ggf. in .lct umbenennen

[alf29]

I=Indoor. Unterband 1 (Kanal 36...64) ist nur für Indoor-Benutzung zugelassen. Zitat aus 820.11-2016:

This attribute identifies the country or noncountry entity in which the
station is operating. If it is a country, the first two octets of this
string is the two character country code as described in document ISO
3166-1. The third octet is one of the following:
1. an ASCII space character, if the regulations under which the station is
operating encompass all environments for the current frequency band in the
country,
2. an ASCII 'O' character, if the regulations under which the station is
operating are for an outdoor environment only, or
3. an ASCII 'I' character, if the regulations under which the station is
operating are for an indoor environment only.
4. an ASCII 'X' character, if the station is operating under a noncountry
entity. The first two octets of the noncountry entity is two ASCII 'XX'
characters.
5. the hexadecimal representation of the Operating Class table number
currently in use, from the set of tables defined in Annex E, e.g., Table E-
1 is represented as x'01'."

Viele Grüße

Alfred

[alf29]

Moin,

Es sind m.E. nur Probe-Request/Response, die aneinander vorbeilaufen?

Naja, was heißt "aneinander vorbeilaufen"? Der Client ist offensichtlich nicht mit dem glücklich, was der AP ihm anbietet. Leider ist es nicht immer die beste Idee, einfach "alles anzuschalten", was geht, weil Clients dann über Elemente stolpern, die sie nicht kennen und eigentlich überlesen sollten, was sie in der Praxis dann aber nicht tun.

Z.B. hast Du für die Pairwise Ciphers CCMP128, CCMP256 und GCMP128 eingeschaltet, aber kein GCMP256:

Code: Alles auswählen

                      Pairwise Ciphers TGI-CSE-CCMP128, TGI-CSE-GCMP128, TGI-CSE-CCMP256

Gibt es eine Grund für diese Auswahl? Des weiteren bietest Du "Standard" und "Fast Transition" als WPA2-Key-Management an, aber kein SHA256. Letzteres betrachten aber einige Lesarten von WPA das als mandatory wenn PMF (802.11w) eingeschaltet ist.

Vielleicht versuchtst Du einfach mal auf den "Consensus Minimum" zurückzugehen: nur WPA2, nur "Standard" als WPA2-Key-Management, nur CCMP128, kein PMF. Damit sollte sich wirklich jeder Client verbinden, das ist grob die Variante, die es seit 2004 gibt. Vorn da aus kann man sich dann herantasten, was der Client nicht mag. Das Country-Element wirst Du probeweise los, wenn Du "EU/ETSI" als Land einstellst.

Viele Grüße

Alfred

[ua]

Hallo Alfred,

Danke für die Klarstellung mit dem Ländercode, habe ich direkt mal ausprobiert: Bei den Outdoor-Kanälen zeigt er dann nur "DE" an.

Zu dem anderen Phänomän, es handelt sich bei der betroffenen SSID um eine reine 5GHz-SSID (ist im WLC so konfiguriert).
Im Trace (finde gerade den richtigen nicht mehr wieder, reiche diesen nach) meine ich gesehen zu haben, daß der AP auch mit seinem WLAN-1 (2,4 GHz) auf den Probe-Request geantwortet hat....
Und jetzt kommt der Clou: Nach einer Umstellung der SSID auf 2,4 und 5 kann sich der Client im 2,4er Band ohne Probleme verbinden .
Da hört es dann bei mir auf.

Viele Grüße

Udo

[alf29]

Moin,

Danke für die Klarstellung mit dem Ländercode, habe ich direkt mal ausprobiert: Bei den Outdoor-Kanälen zeigt er dann nur "DE" an.

Yup, die Kanäle 100..140 sind für "buten" und "binnen" erlaubt.

Zu dem anderen Phänomän, es handelt sich bei der betroffenen SSID um eine reine 5GHz-SSID (ist im WLC so konfiguriert).
Im Trace (finde gerade den richtigen nicht mehr wieder, reiche diesen nach) meine ich gesehen zu haben, daß der AP auch mit seinem WLAN-1 (2,4 GHz) auf den Probe-Request geantwortet hat....
Und jetzt kommt der Clou: Nach einer Umstellung der SSID auf 2,4 und 5 kann sich der Client im 2,4er Band ohne Probleme verbinden .
Da hört es dann bei mir auf.

Klingt für mich ein bißchen danach, daß Dir das Client-Steering in die Suppe spuckt und nach irgendwelchen Regeln entscheidet, daß ein Client auf dieses Band und/oder diesen AP bevorzugt nicht "drauf soll". Eines der Mittel, das zu steuern, ist eben die Probes nicht zu beantworten. Vielleicht schaltest Du das ganze Client-Steering erstmal ab...bei dem Thema kann ich Dir nämlich auch nicht helfen...

Viele Grüße

Alfred