Durante a conexão com o SSID oculto, o estado de PAE do suplicante = REALIZADO

Question

Aqui detalhes da minha rede sem fio

1. SSID oculto (sem difusão)
2. O protocolo de autenticação usado é o PEAP, que é um protocolo de nome de usuário e senha.
3. O nome de usuário e a senha são transmitidos entre o cliente e o servidor de autenticação (RADIUS) por meio de uma sessão criptografada por SSL.

4. Ambiente de CA de 3 camadas.

   Certificados de autoridade de certificação raiz (offline), intermediário (offline) e 2 emissores (online

   Os certificados SSL reais nos servidores de autenticação (RADIUS) serão provenientes de duas CAs emissoras. Isso permite que uma sessão SSL confiável seja estabelecida para passar o nome de usuário e a senha. Mas eu não tive a necessidade de adicionar esses certificados ao wpa_config.

5. Suporte para MS-CHAPv2

Meu wpa_supplicant.conf

NOTA: isso costumava funcionar por 6 meses, mas não funciona mais há alguns dias.

/etc/wpa_supplicant.conf

ctrl_interface=/var/run/wpa_supplicant
ctrl_interface_group=wheel
ap_scan=1
update_config=1
fast_reauth=0

network={
  priority=1
  mode=0
  ssid="hidden-ssid"
  scan_ssid=1
  proto=RSN
  key_mgmt=WPA-EAP
  eap=PEAP
  identity="user"
  password="[FILTERED]"
}

Quando funcionou, usei esse status:

[root@machine ~]# wpa_cli status
Selected interface 'wlan0'
bssid=00:48:00:12:0a:9d
ssid=hidden-ssid
id=0
pairwise_cipher=CCMP
group_cipher=TKIP
key_mgmt=WPA2/IEEE 802.1X/EAP
wpa_state=COMPLETED     <==============
ip_address=10.75.9.32
Supplicant PAE state=AUTHENTICATED <===
suppPortStatus=Authorized
EAP state=SUCCESS
selectedMethod=25 (EAP-PEAP)
EAP TLS cipher=AES128-SHA
EAP-PEAPv0 Phase2 method=MSCHAPV2

Mas agora, por um motivo ainda não descoberto, a autenticação não é concluída.

wpa_state goes : ... => ASSOCIATED => SCANNING ==> ASSOCIATING => ASSOCIATED => SCANNING => etc ...

 # wpa_cli status
 Selected interface 'wlan0'
 bssid=34:a8:4e:1f:ad:2d
 ssid=pmwproc
 id=0
 pairwise_cipher=CCMP
 group_cipher=TKIP
 key_mgmt=WPA2/IEEE 802.1X/EAP
 wpa_state=ASSOCIATED         <==== Associated with Access point but ....
 ip_address=0.0.0.0
 Supplicant PAE state=HELD    <==== PAE state is HELD instead of AUTHENTICATING or AUTHENTICATED
 suppPortStatus=Unauthorized
 EAP state=FAILURE            <==== Failure
 selectedMethod=25 (EAP-PEAP)
 EAP TLS cipher=(NONE)

MINHA PERGUNTA: Qual é o estado da PAE e por que, uma vez ASSOCIADO, o estado da PAE é REALIZADO?