unicast key exchange timeout Сетевое оборудование и VPN

MikroTik: unicast key exchange timeout on AP — Причины и решение

Обновлено: 24.08.2026 · Официальная документация ↗

Клиенты не могут подключиться к Wi-Fi сети MikroTik, зависая на этапе получения IP или проверки подлинности.
В системном журнале RouterOS циклически фиксируется событие: wireless,info <MAC>@wlan1: unicast key exchange timeout.
Клиентские устройства (особенно IoT, старые ОС Windows или Android) рапортуют о сбое авторизации или неверном пароле.
Периодические обрывы беспроводной сессии при роуминге между точками доступа.

1. Анализ проблемы 4-стороннего рукопожатия (4-Way Handshake)

Ошибка указывает на то, что точка доступа (AP) отправила клиенту EAPOL-сообщение (обычно Message 1 или Message 3 в процедуре WPA2-PSK Handshake) для генерации парного сессионного ключа (PTK), но не получила ответное подтверждение в течение тайм-аута (по умолчанию 1000 мс).

2. Корректировка настроек профиля безопасности (Security Profile)

Основными причинами являются включенная защита кадров управления (PMF / 802.11w), не поддерживаемая клиентом, или одновременное использование протоколов смешанного режима WPA/WPA2/WPA3.

# Для классического драйвера Wireless:
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk \
    unicast-ciphers=aes-ccm group-ciphers=aes-ccm \
    management-protection=disabled group-key-update=1h \
    eapol-timeout=30s

# Для пакета WifiWave2 / WiFi (RouterOS v7):
/interface wifi security
set [ find name="default" ] authentication-types=wpa2-psk,wpa3-psk \
    wpa3-fast-transition=no ft-over-ds=no management-protection=optional

3. Увеличение времени ожидания EAPOL на AP

/interface wireless security-profiles
set [ find default=yes ] eapol-timeout=2s

4. Тюнинг уровня сигнала (Access List)

Если таймаут возникает из-за слишком слабого RSSI, настройте порог отключения плохих клиентов:

/interface wireless access-list
add action=reject allow-signal-out-of-range=10s interface=all \
    signal-range=-120..-82

💡 Практика специалистов: В 90% случаев в корпоративных сетях эта ошибка вызвана включением PMF (Management Protection = required) или попыткой заставить старые сканеры ШК и IoT работать в смешанном профиле WPA2+WPA3. Разделяйте IoT и современные клиенты по разным SSID.

Частые вопросы (FAQ)

Что конкретно означает 'unicast key exchange timeout' в MikroTik?

Это означает, что беспроводной клиент успешно прошел стадию ассоциации (Association), но не ответил вовремя на сетевой пакет согласования ключей шифрования (EAPOL Handshake).

Почему отключение Management Protection (PMF) решает эту проблему?

Многие устаревшие чипы Wi-Fi и недорогие контроллеры умного дома не поддерживают стандарт 802.11w. Если на AP включен режим 'required', такие клиенты не могут расшифровать кадры управления и отваливаются по таймауту.

Может ли неверный пароль Wi-Fi вызывать данную ошибку?

Да. Если клиент вычисляет неверный MIC (Message Integrity Code) в EAPOL Message 2 из-за ошибочного PSK-пароля, AP отбрасывает пакет и завершает сессию по тайм-ауту обмена ключами.

Как влияет радиопомеховая обстановка на возникновение этой ошибки?

Высокий уровень шума (высокий Noise Floor) и коллизии приводят к потере широковещательных и EAPOL-фреймов в эфире, из-за чего рукопожатие не успевает завершиться в отведенный тайм-аут.