Explicação sobre a falha de autenticação no portal após a extensão do EAP com repetidores de sinal (Range Extenders)

Fenômeno do problema: Após a configuração da autenticação do portal no EAP, se um extensor de alcance (range extender - RE) for usado para expandir a rede EAP, apenas os clientes que se conectam ao extensor de alcance pela primeira vez precisam de autenticação via portal, e todos os dispositivos subsequentes conectados ao extensor de alcance conseguem acessar a Internet sem autenticação.

Interpretação relevante:

1. Princípios da autenticação do portal

A figura a seguir mostra um processo simples de autenticação do portal. Quando o cliente se conecta ao EAP pela primeira vez, o EAP vincula o endereço MAC do cliente ao servidor controlador. Após a autenticação, o cliente pode acessar os recursos da rede.

2. Processo de encaminhamento de quadros de dados sem fio sob WDS

WDS, ou seja, Wireless Distribution System, é a abreviação de sistema de extensão de implantação de rede sem fio. Em suma, o WDS serve para usar dois (ou mais) roteadores sem fio/AP/RE para estender o sinal sem fio a um alcance mais abrangente através de uma conexão mútua. Os dados de comunicação entre APs em WDS podem ser divididos em comunicação de três endereços e comunicação de quatro endereços.

2.1 Comunicação de quatro endereços (WDS Padrão)

Quando o AP1 e o AP2 usam quatro endereços para comunicação, a estrutura de seu quadro de dados inclui quatro endereços MAC: PC1, AP1, AP2 e PC2. A estrutura da rede é transparente e o envio e recebimento de dados são completamente iguais.

Nota: Dois APs precisam suportar quatro endereços para que a comunicação de quatro endereços possa ser realizada, visando reduzir problemas de compatibilidade entre dispositivos.

2.2 Comunicação de três endereços (WDS Não-Padrão)

Neste caso, o RE é associado ao AP como um cliente e, em seguida, transmite o SSID para a retaguarda, o que equivale a um cliente com múltiplos IPs conectados ao AP.

Nesse momento, a estrutura de quadros de dados da comunicação entre o RE e o AP consiste em três endereços. O RE substituirá os endereços MAC de todos os dispositivos na retaguarda pelos endereços MAC do próprio RE, de modo que o lado do AP pense que apenas um dispositivo está conectado a ele. O RE precisa manter uma tabela correspondente entre IP e MAC, realizando o trabalho de endereçamento e encaminhamento de substituir o MAC de origem e o MAC de destino.

O encaminhamento de dados de três endereços precisa ser realizado com a ajuda de um endereço IP, e a eficiência do encaminhamento é baixa; no entanto, possui boa compatibilidade e pode expandir o sistema de rede com a maioria dos dispositivos.

A figura a seguir é uma estrutura típica de dados de comunicação de três endereços. O IP de origem é diferente, mas o endereço MAC no quadro de dados é exatamente o mesmo.

3. Razões pelas quais a autenticação do portal não entra em vigor

Atualmente, quando o RE expande a rede EAP, três endereços são usados para a comunicação entre eles. Como os cenários de aplicação dos dois dispositivos são diferentes, eles não podem ser compatíveis com quatro endereços. Não importa quantos dispositivos existam na retaguarda do RE, o endereço MAC vinculado entre o EAP e o servidor controlador é o endereço MAC do RE durante a autenticação do portal. Nesse momento, o servidor pensa que apenas um dispositivo está conectado ao EAP. Portanto, os dispositivos conectados ao RE só precisam ser autenticados uma vez, e outros dispositivos não precisam ser autenticados novamente.

4. Soluções relacionadas

É utilizado o RE com modo de proxy. No modo de proxy, o RE virtualizará o endereço MAC do dispositivo conectado a ele. O RE usará esse endereço MAC virtual para se comunicar com o AP frontal, para que o AP frontal possa reconhecer endereços MAC diferentes, tornando a autenticação do portal eficaz.

No entanto, para que alguns dispositivos sejam considerados na premissa de compatibilidade, nem todos os REs suportam o modo de proxy. Os modelos de RE que não suportam o modo de proxy estão listados abaixo apenas para referência:

850RE v7; 855RE v5; 860RE v6; 854RE v4; RE550; RE505X; RE605X; RE200 v5; RE315 v1.0; RE230 v2.0; RE450 v2.0; RE450 v3.0

Nota: RE = Extensor de Alcance (Range Extender)