Всё настроено и работает (EAP->Radius->Winbind->AD). Но постоянно происходит следующее (выдержка из логов):

000340: Oct 13 13:28:51.029 MSD: %DOT11-6-ASSOC: Interface Dot11Radio0, Station   001c.2624.6c2c Associated SSID[XXXX] AUTH_TYPE[EAP-TTLS] KEY_MGMT[WPAv2]
000341: .Oct 13 13:30:49.047 MSD: %DOT11-4-MAXRETRIES: Packet to client 001c.2624.6c2c reached max retries, removing the client
000342: .Oct 13 13:30:49.051 MSD: %DOT11-6-DISASSOC: Interface Dot11Radio0, Deauthenticating Station 001c.2624.6c2c Reason: Previous authentication no longer valid SSID[XXXX]
000343: .Oct 13 13:30:53.627 MSD: %DOT11-4-MAXRETRIES: Packet to client 001c.2624.6c2c reached max retries, removing the client
000344: .Oct 13 13:30:53.627 MSD: Client 001c.2624.6c2c failed: reached maximum retries
000345: .Oct 13 13:31:03.998 MSD: %DOT11-6-ASSOC: Interface Dot11Radio0, Station   001c.2624.6c2c Reassociated SSID[XXXX] AUTH_TYPE[EAP-TTLS] KEY_MGMT[WPAv2]

Т.е. она не видит ответа на какие-то пакеты от клиента, выкидывает его, после чего тот на автомате цепляется обратно. no dot11 extension aironet прописал (клиенты - non-Cisco). dot11 activity-timeout client default 1800 - тоже. Какие ещё варианты?

• Cisco 871W и EAP,Myxa, 14:03 , 13-Окт-09
  • Cisco 871W и EAP,Dr.Bier, 15:23 , 13-Окт-09
  • Cisco 871W и EAP,Dr.Bier, 15:53 , 13-Окт-09

>000343: .Oct 13 13:30:53.627 MSD: %DOT11-4-MAXRETRIES: Packet to client 001c.2624.6c2c reached max retries, removing the client

Ошибка в аутентификации. Нет ответа от клаента. Радиус посылает pass-сообщение на AP, которое AP пересылает клиенту и ассоциируется с ним. В вашем случае клиент не ответил AP  на некоторое количество (max retries) EAP вызовов.
Вывод: дебажить аутентификацию

>>000343: .Oct 13 13:30:53.627 MSD: %DOT11-4-MAXRETRIES: Packet to client 001c.2624.6c2c reached max retries, removing the client
>
>Ошибка в аутентификации. Нет ответа от клаента. Радиус посылает pass-сообщение на AP,
>которое AP пересылает клиенту и ассоциируется с ним. В вашем случае
>клиент не ответил AP  на некоторое количество (max retries) EAP
>вызовов.
>Вывод: дебажить аутентификацию

Предположение хорошее. Но с аутенфикацией всё нормально. Все шаги по state-machine проходят на ура. Т.е. Executing Action(CLIENT_WAIT,TIMEOUT) в отладке не встречается ни разу.

>>000343: .Oct 13 13:30:53.627 MSD: %DOT11-4-MAXRETRIES: Packet to client 001c.2624.6c2c reached max retries, removing the client
>
>Ошибка в аутентификации. Нет ответа от клаента. Радиус посылает pass-сообщение на AP,
>которое AP пересылает клиенту и ассоциируется с ним. В вашем случае
>клиент не ответил AP  на некоторое количество (max retries) EAP
>вызовов.
>Вывод: дебажить аутентификацию

Добавлю, всё происходит как описано в http://www.cisco.com/en/US/products/hw/wireless/ps430/produc... в примере дебага успешной аутенфикации.

P.S. Вообще-то там есть упоминание про "%DOT11-4-MAXRETRIES: Packet to client xxxx.xxxx.xxxx reached max retries, removing the client" с указанием, что "Such error messages can indicate a radio frequency (RF) problem", но смена канала не особо помогает.