* ClearPass リクエストの詳細には、次の内容が表示されます。エラーコード: 9002 - エラーカテゴリ: RADIUS プロトコル - エラーメッセージ: リクエストがタイムアウトし、「クライアントは EAP トランザクションを完了しませんでした」というアラートが表示されます。正確な抜粋 (ClearPass トラブルシューティング): ClearPass が次の EAP メッセージを受信できない場合 (たとえば、RADIUS パケットがネットワーク上でドロップまたは断片化されている場合)、Policy Manager はエラーコード 9002 (リクエストがタイムアウトしました) と「クライアントは EAP トランザクションを完了しませんでした」というアラートを記録します。これは、資格情報または証明書のエラーではなく、NAS/AP と ClearPass 間のトランスポートに問題があることを示しています。
* AP show ap-debug auth-trace-buf は、次の情報を表示します:... eap-req / eap-resp ... rad-req ... dot1x-timeout ... server timeout 正確な抜粋 (Aruba WLAN デバッグ ガイド):「AP トレースの dot1x-timeout server timeout は、AP が認証サーバーから RADIUS 応答を受信しなかったことを示しています。AP/ゲートウェイと RADIUS サーバー間のパス MTU/フラグメンテーションまたはファイアウォール フィルタリングを調査してください。」
* Access-Request のパケットキャプチャには、AVP: Framed-MTU = 1100 と大きな EAP-TLS ペイロード（証明書交換）が含まれます。正確な抜粋（Aruba 802.1X/EAP 設計ガイダンス）：「EAP-TLS 交換では、証明書ペイロードのために大きな RADIUS パケットが生成されることがあります。パス MTU が EAP-TLS メッセージサイズより小さい場合、IP フラグメンテーションが発生し、中間デバイスでフラグメントがドロップされ、RADIUS タイムアウトが発生する可能性があります。EAP-TLS の障害を回避するには、Framed-MTU 属性（例：1100）を使用し、ネットワークパスが選択した MTU をサポートしていることを確認してください。」これをまとめると、AP は ClearPass に EAP-TLS を送信し、ClearPass はタイムアウトを報告し、AP はサーバタイムアウトを報告します。これは、パスのどこかで MTU が小さすぎることが原因で RADIUS/EAP-TLS フラグメンテーションが発生する典型的な症状です。Access-Request に Framed-MTU 1100 が存在することから、MTU 処理がさらに重要になります。いずれかのホップが依然として低い MTU を強制したりフラグメントをブロックしたりする場合、交換は停止し、ClearPass はタイムアウトになります。
したがって、この失敗は、オプション B に一致する、AP と ClearPass 間の MTU (断片化/ドロップ) 不足によって発生します。
HPE Aruba Networking Switching ドキュメントまたは学習ガイドの参考資料 (外部リンクなし):
* Aruba ClearPass Policy Manager トラブルシューティング ガイド - 「エラー コード 9002 (要求がタイムアウトしました)」および「クライアントが EAP トランザクションを完了しませんでした。」
* Aruba WLAN トラブルシューティングおよび診断ガイド - 「dot1x-timeout サーバー タイムアウトの意味と一般的な原因 (RADIUS 到達可能性、MTU/フラグメンテーション)」
* Aruba 802.1X および EAP 導入ガイド - 「EAP-TLS メッセージ サイズ、Framed-MTU 属性の使用、および RADIUS over UDP のパス MTU に関する考慮事項」