Probleme bei Port Aggregation & Radius Server

Hallo zusammen,

ich hoffe mir kann jemand bei dem folgenden Problem helfen, ich habe hierzu bereits den gestrigen Abend erfolglos bei google verbracht.

Folgendes Problem:

Ich wollte für die LAN-Ports meiner beiden Switchs via Radius und Mac-Adressen Authentifizierung die Einteilung der Geräte in die diversen VLans vornehmen. Soweit funktioniert dies ohne Probleme, mit Ausnahme meines Q-NAP TS-231P2. Dies möchte ich gerne via Link Aggregation verwenden.

Im Interface des NAS habe ich die Aggregation aktiviert (Netzwerkeinstellungen -> Port Trunking 802.3ad dynamic -> Hash Policy Layer 2 (MAC)

Sobald ich jedoch in meinem Unifi Controller die beiden Ports zusammenschalte spinnt die komplette DHCP-Vergabe & VLan zuordnung.

Das NAS erhält eine 162er IP, welche ich in meinem Netzwerk nirgendwo definiert habe und ist über den PC nicht mehr erreichbar. Nehme ich die Aggregation wieder raus bleibt das Problem bestehen bis ich eines der beiden Kabel am Switch entferne. Dann erhält der zweite Anschluss wieder eine definierte Adresse (wird aber nicht dem korrekten VLan zugeordnet).

Ich habe schon folgendes versucht:

Portprofil von dem ersten der zu aggregierenden Ports auf Radius gestellt und dann die Aggregation aktiviert

Portprofil von dem zweiten der zu aggregierenden Ports auf Radius gestellt und dann die Aggregation aktiviert

Portprofil von beiden zu aggregierenden Ports auf Radius gestellt und dann die Aggregation aktiviert

Erst die Aggregation aktiviert und dann am ersten Port das Profil auf den Radius User gesetzt. Der zweite Port ist in dieser Konfiguration ja nicht mehr ansprechbar & durch die Änderung des Portprofils wird die Aggregation wieder entfernt.

Als alternative zum USW 24 an dem es eigentlich angeschlossen werden soll, habe ich die oben stehenden Schritte auch nochmal am US-8 getestet, gleiches Ergebnis.

Das obenstehende wurde sowohl mit den MAC-Adressen beider Netzwerkkarten des Q-NAPs im Radius User getestet als auch nur mit der Angabe von jeweils nur einer der beiden MAC-Adressen.

Langsam gehen mir hierbei allerdings auch die Ideen aus. Meinem PC wird an jedem Port mit Radius Profil das richtige VLan zugeordnet, sobald ich das mit dem NAS versuche tritt der oben beschriebene Fehler mit seltsamer IP-Vergabe und nicht Erreichbarkeit auf.

Zur UI Hardware:

- USG

- CloudKey gen. 2

- USW 24

- US-8

- UniFi OS 2.5.11

Ich hoffe, dass es hierbei eine einfache Lösung gibt

Am USW-24 sind es Port 9 & 10, das sollte soweit richtig sein. Unterschiedliche Kabel habe ich ebenfalls heute mal getestet

Ohne Radius funktioniert die Aggregation ohne Probleme. Das Problem tritt nur auf, sobald ich das ganze als Portprofil aktiviere und das NAS sich eine neue IP beziehen möchte.

In den generellen Einstellungen für die Portprofile oder auch das Radius Profil konnte ich zumindest keine Einstellungen finden, welche sich speziell auf aggregierte Ports beziehen

[EDIT]

So habe heute nochmal folgendes getestet:

Radius User nur für die aggregierte MAC-Adresse der Ports am NAS angelegt

Radius User für beide Netzwerkadapter des NAS angelegt

Bei beiden Alternativen (mit aggregierten Ports) erhalte ich ausschließlich eine 169er IP sobald ich das Port-Profil auf Radius wechsele. Bleibe ich im "All" Profil ist das NAS ganz normal erreichbar - wird allerdings dem Management VLan mit entsprechender IP zugeordnet.

Tagge ich den Port mit dem vorgesehenen VLan-Profil, wird das NAS auch bei aggregierten Ports in das passende VLan geschoben. Das ganze wäre natürlich eine Alternative, allerdings natürlich nicht dynamisch.

Auch wenn es bei Wired eigentlich nicht vorgesehen ist habe ich die MAC-Adressen sowohl im Format aa:bb:cc... wie auch AABBCC getestet, identische Ergebnisse.

Nutze ich das NAS mit getrennten Netzwerkadapter, nur einem Kabel und aktivem Radius Profil auf dem Port: VLan Zuweisung funktioniert ohne Probleme.

So langsam fallen mir keine weiteren Testmöglichkeiten mehr ein um das Problem noch weiter eingrenzen zu können.

[EDIT 2]

Zum testen der grundlegenden Funktion habe ich nun nochmal ein Gerät welches noch nicht als Radius-User angelegt ist auf einem Port angeschlossen, auf dem das Mac-Auth Profil geschaltet ist.

Statt das Gerät einfach nur in das Gast-VLan zu verfrachten (welches als Fallback eingestellt ist) und dort eine IP zu vergeben passiert folgendes:

Es wird dem Gast-VLan zugeordnet, erhält allerdings trotzdem eine 169er IP statt der Range, die für das Gast-VLan definiert ist.

Zudem habe ich heute die gesamte Konsole einmal resettet, sämtliche Ubiquiti Produkte auf Factory Reset gesetzt und mein Netzwerk neu aufgebaut um evtl. vorhandene alte Einstellungen los zu werden, welche hier ein Problem darstellen könnten. Allerdings ebenfalls ohne Erfolg.

Grade das Verhalten von dem letzten Test verwundert mich und sollte eigentlich nicht auftreten.

Vielleicht hilft einer der Tests noch um eine Lösung für das Problem zu finden.