PPPOE_AUTH_FAILED Сетевое оборудование и VPN

MikroTik Log: pppoe,error PAP/CHAP authentication failed for username — Решение

Обновлено: 24.08.2026 · Официальная база знаний

Успешное прохождение фазы Discovery (PADI/PADO/PADR/PADS), но сброс сессии на этапе проверки учетных данных:

pppoe,error pppoe-out1: PAP/CHAP authentication failed for username <user>
pppoe,ppp,info pppoe-out1: terminating... - authentication failed
pppoe,ppp,error authentication rejected by remote peer
Соединение мгновенно разрывается и переходит в статус disconnected.

1. Проверка учетных данных в клиенте PPPoE

Самая распространенная причина — ошибка в логине или пароле (регистр символов, невидимые пробелы при копировании, спецсимволы). Обновите параметры авторизации:

/interface pppoe-client set [find name="pppoe-out1"] user="my_isp_login" password="my_isp_secure_password"

2. Согласование протоколов аутентификации (PAP vs CHAP)

Некоторые операторы связи поддерживают только стандартный протокол открытого пароля PAP, блокируя MS-CHAPv2, либо наоборот. Разрешите все стандартные алгоритмы на клиенте для автоматического выбора:

/interface pppoe-client set [find name="pppoe-out1"] allow=pap,chap,mschap1,mschap2

3. Диагностика на стороне PPPoE-сервера (если MikroTik выступает сервером)

Если ошибка возникает на вашем PPPoE-сервере, проверьте наличие пользователя в локальной базе /ppp secret или доступность RADIUS:

/ppp secret print detail where name="my_isp_login"
/radius monitor [find]

Убедитесь, что сервис не заблокирован по параметру disabled=yes или ограничению caller-id (привязка по MAC-адресу клиента).

Практический опыт инженера: Если провайдер требует аутентификацию по протоколу PAP, передача пароля осуществляется в открытом виде внутри L2 туннеля. Убедитесь, что физический сегмент подключения защищен от несанкционированного перехвата трафика.

Частые вопросы (FAQ)

Почему при правильном пароле появляется ошибка PAP authentication failed?

Провайдер может использовать биллинговую систему с привязкой сессии к MAC-адресу первого подключенного устройства (MAC-binding). В этом случае необходимо клонировать старый MAC-адрес на WAN-интерфейс MikroTik или обратиться в техподдержку для сброса привязки.

Как сменить MAC-адрес на физическом WAN порту MikroTik?

Выполните команду: /interface ethernet set [find name="ether1"] mac-address=XX:XX:XX:XX:XX:XX.

Что делать, если RADIUS-сервер возвращает Access-Reject?

Проверьте совпадение Radius Secret в /radius и на сервере (FreeRADIUS/NPS), проверьте журнал RADIUS-сервера на предмет блокировки учетной записи или исчерпания баланса абонента.

Как включить расширенный лог проверки паролей PPP?

Настройте правило логирования: /system logging add topics=ppp,error,account action=memory.