Sonoff BasicR2 i szyfrowanie WPA3

[nox]

Odgrzebałem starego Sonoffa BasicR2 z szafy. Zamieniłem firmware na Tasmota. Ruszyło.
Zmieniłem firmware na Supla (GUI-Generic.v26.04.08) i mam problem z połączeniem Wi‑Fi.
Router T-Mobile z WPA3 (nie mogę zmienić szyfrowania na WPA2 lub MIXED, bo rozdzieliłem nazwy sieci 2,4GHz i 5GHz, a programista mobilnej appki dla takiego myku nie przewidział opcji zmiany).
Odpaliłem stary router na WPA2 i ruszyło.

AI sugeruje:
"W ustawieniach routera poszukaj opcji PMF i zmień ją na "Capable" (Zgodne) lub "Disabled" (Wyłączone)", ale takich opcji nie można zmienić w routerze T-Mobile.

Czy ktoś miał jakieś problemy z szyfrowaniem WPA3? (sonoff basicr2 lub inny sprzęt)
Czy Supla poprawnie obsługuje WPA3?
Jakieś rady?

[klew]

Odgrzebałem starego Sonoffa BasicR2 z szafy. Zamieniłem firmware na Tasmota. Ruszyło.
Zmieniłem firmware na Supla (GUI-Generic.v26.04.08) i mam problem z połączeniem Wi‑Fi.
Router T-Mobile z WPA3 (nie mogę zmienić szyfrowania na WPA2 lub MIXED, bo rozdzieliłem nazwy sieci 2,4GHz i 5GHz, a programista mobilnej appki dla takiego myku nie przewidział opcji zmiany).
Odpaliłem stary router na WPA2 i ruszyło.

AI sugeruje:
"W ustawieniach routera poszukaj opcji PMF i zmień ją na "Capable" (Zgodne) lub "Disabled" (Wyłączone)", ale takich opcji nie można zmienić w routerze T-Mobile.

Czy ktoś miał jakieś problemy z szyfrowaniem WPA3? (sonoff basicr2 lub inny sprzęt)
Czy Supla poprawnie obsługuje WPA3?
Jakieś rady?

Z tego co się orientuję, to na rodzinie ESP8266 nie ma wsparcia dla WPA3. Tasmota też oficjlanie pisze, że nie wspiera WPA3 na ESP8266:
https://github.com/arendst/Tasmota/discussions/13414

Także nie wiem jakim cudem to mogło ruszyć na sofcie Tasamoty.

Także dla ESP8266 nie da się takiego wsparcia dodać.

Dla ESP32 powinno się dać. Ale nigdy tego nie sprawdzałem, ani jawnie nie ustawiałem nigdzie . Także nie wiem jaki jest status na ESP32.

[nox]

Jeszcze raz sprawdziłem.
Jednak się albo pomyliłem, albo po moim emailu do TMobile mi przestawili sami jakoś szyfrowanie.
Mam ustawione jednak WPA2/WPA3.
Na tym Tasmota ruszyła, a Supla nie.

[klew]

Jeszcze raz sprawdziłem.
Jednak się albo pomyliłem, albo po moim emailu do TMobile mi przestawili sami jakoś szyfrowanie.
Mam ustawione jednak WPA2/WPA3.
Na tym Tasmota ruszyła, a Supla nie.

Na stronie konfiguracyjnej powinno być widać coś w stylu "last state". Sprawdź co tam jest napisane

[nox]

Nie połączę się i już.
Widać, że mój Sonoff nie obsługuje szyfrowania WPA2/WPA3.
Prawdopodobnie jakbym zadzwonił do TMobile i poprosił o przestawienie na czyste WPA2 Only to by ruszyło.

Podobny problem mam ze starą kartą wifi.
Alfa AWUS051NH bgn (opartą na chipsecie Ralink RT3572) - też się nie chce połączyć, a na innym routerze z czystym WPA2 działa.
Co ciekawe jeszcze starsza karta WifiSky bg (na chipsecie Ralink) się łączy z routerem TMobile bez problemu.

No nic, trudno. Będę musiał odpalać dla Sonoffa stary router.

[klew]

A co jest w last state?

[klew]

GG ma włączony tylko tryb g na esp8266.

Wynika to z błędu, który kiedyś był w boardach, ale wygląda że jest poprawiony:
https://github.com/esp8266/Arduino/issu ... 1410027594

@krycha88 może warto tu zmienić na bgn?

[nox]

A co jest w last state?

"Brak połączenia z siecią" i dioda mruga co sekundę.
Ewidentny problem z szyfrowaniem.

[nox]

wujek Ai odpowiedział tak:

"W routerze mam takie ustawienia szyfrowania: WPA2 Only, WP3 Only, WPA2/WPA3. Wyjaśnij dokładnie dlaczego niektóre urządzenia nie mogą się połączyć z routerem jeżeli mam ustawione WPA2/WPA3, a łączą się jak jest WPA2 Only.

To zjawisko jest dość powszechne i wynika z faktu, że tryb mieszany (WPA2/WPA3 Mixed Mode) nie jest tylko „sumą” obu standardów, ale wprowadza specyficzne wymagania techniczne, których starsze urządzenia nie potrafią zinterpretować.
Oto dokładne powody, dla których tryb WPA2/WPA3 powoduje problemy:

1. Wymóg PMF (Protected Management Frames)
To najważniejszy powód. Standard WPA3 wprowadza obowiązkowe stosowanie ramek zarządzających chronionych (PMF / 802.11w).
W trybie WPA2 Only: PMF jest zazwyczaj wyłączone lub opcjonalne.
W trybie WPA2/WPA3 Mixed: Router musi ogłaszać wsparcie dla PMF, aby umożliwić połączenie urządzeniom WPA3.
Dlaczego to problem? Wiele starszych kart sieciowych (szczególnie w starszych laptopach, tanich urządzeniach IoT czy starszych smartfonach) ma błędnie zaimplementowany stos Wi-Fi. Gdy widzą one w sygnale (beaconiah) routera informację o obsłudze PMF, "głupieją". Zamiast zignorować tę funkcję (jeśli jej nie obsługują), całkowicie odrzucają próbę połączenia lub zrywają je zaraz po autoryzacji, bo nie potrafią poprawnie obsłużyć dodatkowych bitów w ramkach kontrolnych.

2. Rozmiar i złożoność ramek Beacon oraz IE (Information Elements)
Router rozgłasza swoją obecność za pomocą tzw. ramek Beacon. Zawierają one informacje o tym, jakie szyfrowanie jest obsługiwane.
W trybie mieszanym ramka ta zawiera dodatkowe pola dla WPA3 (metoda uwierzytelniania SAE).
Niektóre starsze sterowniki kart sieciowych mają tzw. błędy parsowania. Jeśli napotkają w ramce Beacon dane, których nie rozpoznają (nowe identyfikatory standardu WPA3), uznają całą ramkę za uszkodzoną lub niekompatybilną i w ogóle nie wyświetlają sieci na liście lub odmawiają próby połączenia.

3. Nieudany "Fallback" (powrót do starszej wersji)
Z założenia tryb mieszany powinien działać tak: urządzenie próbuje się połączyć, router sprawdza: "Umiesz WPA3? Nie? To łączymy się przez WPA2".
W praktyce proces ten często zawodzi na etapie handshake’u (uścisku dłoni):
Urządzenie może próbować połączyć się przez WPA2, ale router wysyła mu parametry bezpieczeństwa, które zawierają wzmianki o nowszych metodach szyfrowania.
Urządzenie interpretuje to jako błąd konfiguracji i dla bezpieczeństwa przerywa połączenie, myśląc, że ktoś podszywa się pod sieć (ochrona przed atakami typu downgrade).

4. Specyfika pasma 5 GHz i roamingu
Wiele urządzeń ma problem z trybem mieszanym, gdy włączone są funkcje ułatwiające roaming (np. 802.11r / Fast Roaming). WPA3 ma własne metody szybkiego przełączania między punktami dostępowymi. Połączenie WPA2/WPA3 z włączonym Fast Roamingiem tworzy kombinację, której starsze urządzenia praktycznie nigdy nie są w stanie obsłużyć.

5. Problemy z urządzeniami IoT (Smart Home)
Tanie moduły Wi-Fi (np. popularne ESP8266 w starszych wersjach) używane w żarówkach, gniazdkach czy termostatach, mają bardzo uproszczone stosy sieciowe. Są one sztywno zaprogramowane na standardowy "uścisk dłoni" WPA2-PSK. Każda, nawet najmniejsza zmiana w sposobie negocjacji połączenia (którą wprowadza tryb Mixed) powoduje u nich błąd krytyczny komunikacji.

Podsumowanie - co robić?
Jeśli masz urządzenia, które nie łączą się w trybie mieszanym, masz dwa wyjścia:
Zostać przy WPA2 Only (AES/CCMP): Jest to nadal bezpieczny standard dla większości użytkowników domowych.
Stworzyć osobną sieć (VLAN / Guest Network): Jeśli router na to pozwala, stwórz drugą sieć Wi-Fi (np. tylko dla gości lub IoT) ustawioną na WPA2 Only, a główną sieć dla nowych telefonów i laptopów ustaw na WPA3 Only lub WPA2/WPA3.

Aktualizacja sterowników: W przypadku komputerów PC z Windows, aktualizacja sterownika karty sieciowej Wi-Fi (ze strony producenta układu, np. Intel, Realtek) bardzo często rozwiązuje ten problem."
*
W przypadku problemów z moją starą kartą wifi odpisał mi podobnie:
"
Karta Alfa AWUS051NH oparta na chipsecie Ralink RT3572 to klasyczny, ale już dość stary sprzęt (standard Wi-Fi 4 - 802.11n). Jej problemy z trybem mieszanym WPA2/WPA3 w systemie Windows 10 wynikają z konkretnych ograniczeń sprzętowo-programowych tego chipsetu.
Oto dlaczego ten konkretny model "wykłada się" na trybie mieszanym:
1. Brak wsparcia dla PMF (802.11w) w sterownikach
Jak wspomniałem wcześniej, WPA3 wymaga Protected Management Frames (PMF). Chipset Ralink RT3572 powstawał w czasach, gdy PMF był opcjonalną nowinką, a nie standardem.
Problem: Sterowniki do RT3572 dla Windows 10 (często dostarczane przez Microsoft jako generyczne lub stare sterowniki MediaTek/Ralink z okolic 2015/2016 roku) nie potrafią poprawnie obsłużyć negocjacji PMF.
Efekt: Gdy router ogłasza: "Obsługuję WPA3, więc PMF jest obowiązkowy", karta Alfa próbuje połączyć się przez WPA2, ale nie potrafi poprawnie podpisać ramek zarządzających. Router odrzuca takie połączenie ze względów bezpieczeństwa.
2. "Legacy Silicon" vs Modern Beacons
Chipset RT3572 ma sztywno zaszytą logikę analizy ramek Beacon (sygnałów informacyjnych routera).
W trybie WPA2/WPA3 Mixed, router wysyła dodatkowe atrybuty (tzw. AKM - Authentication and Key Management) dla standardu SAE (WPA3).
Stary mikrokomponent (firmware) wewnątrz Alfy napotyka nieznany mu identyfikator szyfrowania. Zamiast go zignorować i wybrać znane mu WPA2-PSK, sterownik Ralink często interpretuje to jako "nieznany błąd zabezpieczeń" i przerywa proces kojarzenia (Association) z punktem dostępowym."


*
Może więc pomogłaby zmiana obsługiwanego szyfrowania w firmware Supla dla Sonoffa, tzn. dodać obsługę trybu MIXED, czyli WPA2/WPA3? (pkt 5)

[vajera]

Nie połączę się i już.
Widać, że mój Sonoff nie obsługuje szyfrowania WPA2/WPA3.
Prawdopodobnie jakbym zadzwonił do TMobile i poprosił o przestawienie na czyste WPA2 Only to by ruszyło.

Podobny problem mam ze starą kartą wifi.
Alfa AWUS051NH bgn (opartą na chipsecie Ralink RT3572) - też się nie chce połączyć, a na innym routerze z czystym WPA2 działa.
Co ciekawe jeszcze starsza karta WifiSky bg (na chipsecie Ralink) się łączy z routerem TMobile bez problemu.

No nic, trudno. Będę musiał odpalać dla Sonoffa stary router.

Tempus fugit...Może najprostszym rozwiązaniem będzie zastąpić starego R2 (który, np. za 3 miesiące, może przestać działać) jakimkolwiek alternatywnym modułem z ESP32 na pokładzie?