华为技术培训教程-MA5200G产品故障处理.ppt

MA5200G产品故障处理,ISSUE1.0,Page1,培训目标,学完本课程后，您应该能：掌握故障处理的思路掌握常见故障的可能原因及处理方法,Page2,目录,设备故障处理简介MA5200G一般故障处理典型故障案例分析,Page3,日常设备故障处理步骤,故障信息收集,故障定位,故障排除,Page4,目录,一般故障处理1.1故障信息收集1.2故障定位1.3故障排除,Page5,故障信息收集,WHO,WHAT,WHEN,故障信息收集,全方位，多角度收集,Page6,Who?谁出了问题？,是某个用户还是多个用户？用户类型是什么？PPP、L2TP、DHCP。？某个VLAN下用户故障？某个端口下用户故障？某块单板下用户故障？还是某个设备下用户故障？关键在于确定故障的范围！,Page7,What?是什么问题？,是不能上线还是不能上网？是访问DNS失败还是打开网页失败？是不能访问所有网站还是不能访问部分网站？是完全不能访问还是上网慢？关键在于确定故障的现象！,Page8,When?何时产生的？,是间歇性还是持续发生？发生时间有无规律？关键在于确定故障的时间！,Page9,举例,满足要求的故障信息收集：某设备的GE1/0/0下全部PPP用户出现不能上线的问题，在晚上的9：00故障出现，目前还未恢复。某设备下的全部DHCP用户不能打开部分网站的网页，如，DNS解析正常；ppp用户可以打开所有网站的网页；该现象从上行链路割接到A设备后出现，目前还未恢复。,Page10,目录,一般故障处理2.1故障信息收集2.2故障定位2.3故障排除,Page11,故障定位,故障定位即从众多可能的原因中找出故障成因的过程，它通过一定的方法或手段分析、比较各种可能的故障成因，不断排除可能因素，最终确定故障发生的具体原因,Page12,故障定位,常用的故障定位的方法有：故障原始信息分析告警信息分析指示灯状态分析仪器仪表辅助分析性能统计辅助分析测试活动辅助分析（如环回操作、对比/互换、倒换/复位）,Page13,常用故障定位工具介绍,Ping,Tracert,Display,DebuggingTrace,Reset,故障定位工具,Page14,Ping命令,ping-asource-ip-address|-ccount|-spacketsize|-ttimeout*host-asource-ip-address：设置发送ICMPEchoRequest报文的源IP地址。-ccount：设置发送ICMPEchoRequest报文的次数，缺省值为5。-spacketsize：设置发送ICMPEchoRequest报文的长度（不包括IP和ICMP报文头），以字节为单位，缺省值为56。-ttimeout：设置ping报文的超时时间，缺省值为2000ms。,Page15,Tracert命令,tracert利用IP报文的TTL域每经过一个路由器转发后减一，当TTL0时向源节点报告TTL超时这个特性实现。首先发送一个TTL为1的UDP报文，因此第一跳发送回一个ICMP错误消息，明此数据报不能被发送；之后再发送一个TTL为2的报文，在第二跳返回TTL超时，这个过程不断进行，直到到达目的地；在目的地，由于数据报中使用了无效的端口号（缺省为33434），目的主机会返回一个ICMP目的地不可达消息，该tracert操作结束。,Page16,Tracert命令参数介绍,tracert-asource-ip-address|-ffirst-TTL|-mmax-TTL|-pport|-qnqueries|-wtimeout*host-asource-ip-address：设置tracert报文的IP地址。-ffirst-TTL：设置初始TTL。-mmax-TTL：设置最大TTL。-pport：设置的主机的端口号，一般无须更改此选项。-qnqueries：设置每次发送的探测数据包的个数。-wtimeout：设置报文的超时时间，单位是秒。host：目的主机的IP地址。,Page17,Display命令,display命令是网络维护和故障处理的重要工具。display命令中的正则表达式查看版本信息使用displayversion命令查看配置信息displaycurrent-configuration命令用来查看当前的配置信息。displaysaved-configuration命令用来查看存储设备中查看接口信息可以使用命令displayipinterface。displaydiagnostic-information命令是多条display命令的集合,Page18,检查设备状态,查看系统告警使用displaytrapbuffer命令查看系统内存中的告警信息查看系统日志使用displaylogbuffer命令查看操作日志，确定是否有非法操作检查补丁使用displaypatch-informationall命令查看补丁情况。某些版本已经发现的问题可能已经在对应版本的补丁中解决，如果发现问题应当检查对应版本是否发布过相应问题的补丁，同时查看设备是否已经安装了相应的补丁程序。其它使用displaycpu-usage命令查看系统CPU利用率，确定系统是否运行正常,Page19,检查设备状态,其他使用displayversion命令查看系统开机工作持续时间，该项记录了系统复位或启动以来的时间，这样有利于问题定位。使用displayenvironment检查环境信息。使用displaydevice检查单板工作状态。,Page20,检查配置信息,使用displaycurrent-configuration检查系统的全部配置数据。可以通过将当前配置数据和备份数据进行比较发现定位问题。使用displayiprouting查看路由信息。,Page21,检查配置信息,使用displaysaved-configuration查看保存的配置信息。使用displaydomain查看域配置信息。使用displayradius-serverconfiguration查看Radius状态。,Page22,使用调试工具,打开某个模块调试开debuggingmodulename打开终端显示调试信息功能terminaldebugging打开终端显示信息中心发送的调试/日志/告警信息功能terminalmonitorundoterminalmonitor命令关闭调试信息输出开关时，所有模块的调试信息均不送往控制台。,Page23,使用调试工具,打开业务跟踪的调试开关Quidwaytraceenable创建跟踪对象Quidwaytraceobject如果是系统创建跟踪对象成功，为所创建的对象生成一个对象ID；如果是系统删除跟踪对象成功，返回提示信息。undotraceobject命令用于删除跟踪对象。,Page24,Reset命令,根据所提供的功能，VRP平台的reset命令主要包括两类：复位连接，例如：resetbgpipv4all清除统计信息resetcountersinterfaceresetipstatistics,Page25,Reset步骤,首先使用reset命令清空统计值。然后执行ping命令使路由器端口收发报文。最后使用display命令查看统计值。,Page26,目录,ME60一般故障处理2.1故障信息收集2.2故障定位2.3故障排除,Page27,故障排除,故障定位后，排除故障的典型措施或步骤如下：修改配置数据检修线路更换单板倒换系统复位单板,Page28,目录,设备故障处理简介MA5200G一般故障处理典型故障案例分析,Page29,常见故障业务,Page30,常见故障业务,Page31,IPOX业务故障处理,IPOX业务介绍IP地址获取流程介绍认证流程介绍常见故障现象分析,Page32,IPOX业务介绍,IPOX接入是指以ATM、EthernetII或802.1Q协议和用户之间建立链路，以静态配置或DHCP（DynamicHostConfigurationProtocol）方式获取IP地址，以Web认证、快速认证、绑定等方式验证用户身份的接入方式。IPOX接入方式中，MA5200G以VLAN或者PVC标识并严格隔离用户。,Page33,IP地址获取流程介绍,静态用户的IP地址获取流程静态用户的IP地址由用户指定，但需要在MA5200G上通过static-user命令进行配置，并且和客户端指定的IP地址保持一致，以通过报文一致性检查。,Page34,IP地址获取流程介绍（续）,Web/快速/绑定认证用户的IP地址获取流程(1)用户计算机开机时，广播DHCPDiscovery消息报文。(2)MA5200G收到DHCPDiscovery报文后，检查用户所在bas接口是否允许通过DHCP获取IP地址（即bas接口的认证方式中是否包含Web/快速/绑定认证中的一种）。(3)如果bas接口不允许通过DHCP获取IP地址，则分配IP地址失败；否则生成绑定格式的用户名到bas接口指定的认证前域进行认证，如果认证不通过，则分配IP地址失败，否则转(4)。,Page35,IP地址获取流程介绍（续）,(4)MA5200G回应用户的DHCPDiscovery消息报文。(5)用户发送DHCPRequest消息报文。(6)MA5200G判断根据用户所在bas接口指定的认证前域所引用的地址池是否为本地地址池。如果是本地地址池，转(7)，否则转(8)。(7)MA5200G从本地地址池中直接选取一个地址，并连同地址租期等信息一起回应给用户，转(9)。(8)MA5200G通过DHCPRelay功能将用户的DHCP请求转发给DHCP服务器，并将DHCP服务器的回应信息发送给用户。(9)用户获得具有一定租期的IP地址后，用户接入的链路建立。,Page36,WEB认证和快速认证流程,Page37,绑定认证流程,MA5200G收到用户的DHCP报文时，根据用户接入的bas接口信息自动生成用户名和密码，到用户所在bas接口指定的认证域进行认证。认证通过后，MA5200G为用户分配IP地址，用户可以正常上网，MA5200G开始计费。用户在线过程中，用户关机、断开网络或释放IP地址时，MA5200G删除用户的连接信息，停止计费。,Page38,静态用户认证流程,MA5200G收到用户的ARP/IP报文或者MA5200G通过ARP探测到用户存在时，由MA5200G根据用户接入的bas接口信息自动生成用户名和密码，到bas接口指定的认证域或者认证前域进行认证。认证通过后，用户可以正常上网，MA5200G开始计费。用户在线过程中，用户关机，断开网络时，MA5200G删除用户的连接信息，停止计费。,Page39,常见故障现象分析,用户无法获取地址无法打开Web认证页面认证无法通过用户异常断线等,Page40,检查要点,WEB服务器,认证前/时域,BAS接口配置,地址池配置,DHCP服务器,交换机配置,UCL/ACL,Page41,用户无法获得IP地址分析,BAS接口接入类型配置错误用户认证前域认证失败打开DHCP调试开关后，只能收到用户的DHCPDiscovery报文，没有任何后续报文。IP地址池不存在打开DHCP调试开关后，只能收到用户的DHCPDiscovery报文，没有任何后续报文。地址池无空闲地址打开DHCP调试开关后，只能收到用户的DHCPDiscovery报文，没有任何后续报文：,常见原因,Page42,使用调试工具,DHCP调试命令包括DHCPS（DHCPServerModule）、DHCPC（DHCPClientModule）、DHCPR（DHCPRelayModule）三个模块的命令，分别负责DHCP服务器消息、DHCP客户端消息、DHCPRelay消息。debuggingdhcpc/dhcpr/dhcpspacketterminalmonitorterminaldebuggingWEB调试工具debuggingwebpacketterminalmonitorterminaldebuggingRadius调试工具debuggingradiuspacketterminalmonitorterminaldebugging,Page43,使用调试工具,业务跟踪QuidwaytraceenableQuidwaytraceobjectmac-address0006-5B68-172Doutputfilehd:/20070727trace.txt,Page44,使用命令查询,查看认证前域Quidwaydisplaydomainnamedefault0Domain-name:default0Domain-state:ActiveDomain-type:NormaldomainAuthentication-scheme-name:default0Accounting-scheme-name:default0User-group-name:1,Page45,使用命令查询,Web-server-IP-address:192.168.7.253Web-URL:-Web-server-work-mode:GETDns-IP-address:-Queue-profile-name:-IP-address-pool-name:tempTimeRange-Qos:Disabled,Page46,使用命令查询,查看认证域QuidwaydisplaydomainnameispDomain-name:ispDomain-state:ActiveDomain-type:NormaldomainAuthentication-scheme-name:auth1Accounting-scheme-name:acct1User-group-name:2IP-address-pool-name:huawei,Page47,使用命令查询,查看BAS接口信息Quidwaydisplaybas-interfaceEthernet2/0/1.1Accesstype:Layer2-subscriberBASIFstate:UpdatedBASIFname:-Pre-authenticationdefaultdomain:default0Authenticationdefaultdomain:ispReplaceauthenticationdomainforcibly:noneRoamdomain:default1AccountingcopyRADIUSserver:-Authenticationmethod:web,Page48,使用命令查询,查看地址池QuidwaydisplayippoolnamehuaweiPool-Name:huaweiPool-No:0Lease:3Days0Hours0MinutesDNS-Suffix:-Primary-DNS:-Secondary-DNS:-Primary-NBNS:-Secondary-NBNS:-Position:LocalStatus:UnlockedGateway:172.16.0.1Mask:255.255.255.0-IDstartendtotalusedidleconflicteddisable-0172.16.0.2172.16.0.1090900-,Page49,使用命令查询,查看认证策略Quidwaydisplayauthentication-schemeauth1Authentication-scheme-name:auth1Authentication-method:RADIUSAuthentication-supermethod:Superauthentication-superAuthentication-fail-policy:OfflineAuthentication-fail-domain:-,Page50,使用命令查询,查看计费策略Quidwaydisplayaccounting-schemeacct1Accounting-scheme-name:acct1Accounting-method:RADIUSRealtime-accounting-switch:DisabledRealtime-accounting-interval(min):-Start-accounting-fail-policy:OfflineRealtime-accounting-fail-policy:OnlineRealtime-accounting-failure-retries:3,Page51,强制WEB失败,直接输入web服务器的地址,可以访问,不可以访问,是否是DNS原因（输入IP是否强制）,认证前默认域是否配置了web认证服务器,web认证服务器是否允许用户认证前访问,web认证服务器配置,上行路由是否正确可达,ACL是否正确配置,Page52,强制WEB失败分析,常见原因,没有指定强制Web认证服务器没有配置相应的ACLWeb认证服务器不可达DNS服务器不可用Web服务器配置错误,Page53,处理建议一,用户获取地址后直接在浏览器中输入Web认证服务器的地址，检查是否能打开Web认证的页面，如果不能则有可能错误原因：,Page54,处理建议二,如果可打开Web认证页面，则在浏览器中随意输入一个IP地址（如1.1.1.1），检查是否可以重定向到Web认证页面，如果不能则可能有可能是：,Page55,处理建议三,如果在（处理建议二）中可以重定向到Web认证服务器，则在IE中输入一个域名（如），检查是否可以重定向到Web认证页面，如果不能则可能是DNS服务器不可达或不可用，可更换DNS服务器测试。,Page56,无法通过WEB认证,WEB服务器配置错误，未发送认证请求radius上不存在该帐号/帐号封死radius上做了位置绑定,与实际情况不符合radius上配置的NAS地址不正确设备和radius的密钥不一致到radius的路由不通radius下发数据不附合设备的定义,常见原因,Page57,静态用户无法上线分析,查看地址池中是否除去了静态用户地址使用displaycurrent-configuration命令查看,处理方法,Page58,常见故障业务,Page59,PPPOX业务故障处理,PPPOX业务介绍PPPOX业务接入流程常见故障现象分析,Page60,PPPOX业务介绍,PPPoX接入是指通过PPPoX虚拟拨号方式在MA5200G与用户之间建立点到点的连接，使用PAP或CHAP方式验证用户身份，通过PPP（Point-to-PointProtocol）协商获取IP地址的接入方式。MA5200G中，PPPoE和PPP（Point-to-PointProtocol）属于不同的功能项。MA5200G内置了PPPoE服务器和PPP服务器。,Page61,PPPOX业务介绍,PPPoE服务器用于建立用户和MA5200G之间的会话（Session），终结用户的PPPoE报文，从中取出相应的PPP报文发送给PPP服务器，或者将PPP服务器的PPP报文进行PPPoE封装后发送给用户。PPP服务器则在PPPoE会话建立后，或者PPPOA直接在相应的链路上和用户进行PPP协商，分配IP地址，验证用户身份，完成用户的接入认证过程。此时MA5200G的作用是BAS（BroadbandAccessServer），在认证后终结用户的PPP报文，取出相应的IP报文进行转发，或者将发送给用户的IP报文进行PPP封装后交给PPPoE服务器处理。,Page62,PPPOE接入流程,Page63,常见故障现象,用户认证无法通过用户无法获取地址用户异常断线等。,注意：1、PPPoE上线包括Discovery阶段、LCP（LinkControlProtocol）协商阶段、验证阶段及IP地址分配阶段，任何一步失败都可能导致用户上线失败。所以PPPoE业务失败时，可通过调试信息或业务跟踪的信息检查哪个阶段失败。2、使用调试命令或业务跟踪信息前，首先应确认MA5200G数据配置是否正确。,Page64,检查要点,Page65,使用调试工具,QuidwaytraceenableQuidwaytraceobjectmac-address0000-0000-0001outputfilehd:/ppp.txt,Page66,使用命令查询,displaycurrent-configuration|begin2/0/0.1interfaceEthernet2/0/0.1pppoe-serverbindvirtual-template1undoshutdownuser-vlan10basaccess-typelayer2-subscriberdefault-domainauthenticationhuawei,查询接口是否绑定了模板,Page67,使用命令查询,显示用户上线失败原因Quidwaydisplayaaaonline-fail-record-Username:huaweiispUserMAC:0050-04b4-604cUseraccesstype:PPPoEUseraccessinterface:Ethernet2/0/0.1UseraccessVlan:10UserIPaddress:255.255.255.255UserID:13Userauthenstate:AuthenedUseracctstate:AcctIdleUserauthorstate:AuthorIdleUseracctsessionID:Quidway0200000000001078658200013Userlogintime:2005/11/1815:29:13Useronlinefailreason:Radiusauthenticationsendfail-,Radius认证服务器通讯故障,Page68,使用命令查询,Radius认证服务器拒绝,显示用户上线失败原因Quidway-aaa-domain-huaweidisaaaonline-fail-record-Username:huaweihuaweiUserMAC:0050-04b4-604cUseraccesstype:PPPoEUseraccessinterface:Ethernet2/0/0.1UseraccessVlan:10UserIPaddress:255.255.255.255UserID:15Userauthenstate:AuthenedUseracctstate:AcctIdleUserauthorstate:AuthorIdleUseracctsessionID:Quidway020000000000100d286a00015Userlogintime:2005/11/1815:35:35Useronlinefailreason:Radiusauthenticationreject,Page69,使用命令查询,显示用户下线原因Quidwaydisplayaaaoffline-recordUsername:huaweiispUserMAC:0050-04b4-604cUseraccesstype:PPPoEUseraccessinterface:Ethernet2/0/0.1UseraccessVlan:10UserIPaddress:172.16.0.2UserID:10Userauthenstate:AuthenedUseracctstate:AcctIdleUserauthorstate:AuthorIdleUseracctsessionID:Quidway02000000000010899f1b00010Userlogintime:2005/11/1814:23:30Userofflinetime:2005/11/1814:24:10Userofflinereason:PPPuserrequest,用户请求,Page70,使用命令查询,显示某端口在线用户Quidwaydisplayaccess-userinterfaceEthernet2/1/1-UserIDUsernameInterfaceIPaddressMAC-35userpppEth2/1/1172.171.0.100000-0000-0001-Total1,Page71,常见问题,为什么拔号时显示找不到服务器？用户进行PPPoE拔号时，拔号器提示找不到服务器（WindowsXP自带的PPPoE拨号器提示错误678：远程计算机没有反应），这表示客户端发出PADI（PADM-Initialization）报文时没有收到PADO（PADM-Offer）响应。可能的原因如下。MA5200G上bas接口接入类型配置错误bas接口认证方法配置错误接口没有绑定虚模板二层网络中断ATM的封装格式不对(snap和vcmux)PPPOEOA时PVC没有绑定VE或者VE下没有VT所在BAS接口是否UPPPPOA时PVC下没有绑定VT,Page72,常见问题,二层网络中断的典型现象如下（打开PPPoE/PPP调试开关和业务跟踪功能）。用户进行PPPoE拨号时，MA5200G收不到任何报文。用户进行PPPoE拨号时，MA5200G收到PADI报文，并已经响应了PADO报文，但是收不到用户的PADR（PADM-Request）报文。此时请检查二层网络物理联接是否正常、VLAN划分是否正确，必要时可以在二层网络的设备上截取报文进行分析。,Page73,PPPRadius认证失败,打开RADIUS调试开关，检查是否能够收到RADIUS认证报文，如果不能则说明不是RADIUS故障.常见的AAA错误包括用户名或密码错误、用户名未激活、用户名不存在、域未激活等。对应以上每种原因，通过业务跟踪功能都可以看到对应的提示，常见的AAA业务跟踪信息格式如下。-2007/7/2713:41:27-AAA0006-5ba6-df2c:ReceiveauthenticationackfromLAMsuccessfully(UserID=42,Result=Failure,Failreason=Usernotexist),Page74,目录,设备故障处理简介MA5200G一般故障处理典型故障案例分析,Page75,故障案例,某局新开局使用：DLASM-MA5200G-路由器组网结构，DLASM下面有PPP拨号用户和VLAN绑定用户，用户VLAN绑定用户无法正常上网。,Page76,收集故障现象,故障申告所有VLAN绑定用户无法正常上网，PPP拨号用户正常。,Page77,故障分析,所有绑定用户都无法正常上网，说明可能是物理上出现问题或是数据配置问题。PPP拨号用户正常，说明从DLASM到MA5200G物理连接正常。VLAN绑定用户无法正常上网，需要从DLSAM侧开始判断。,Page78,接口UP说明物理连接没有问题,链接协议也是UP,查看数据,查看MA5200G接入端口状态displayinterfaceEthernet2/0/0.1Ethernet2/0/0.1currentstate:upLineprotocolcurrentstate:up,Page79,查看数据,查看MA5200G接入端口配置QuidwayinterfaceEthernet2/0/0.1Quidway-Ethernet2/0/0.1displaythis#interfaceEthernet2/0/0.1undoshutdownuser-vlan10basaccess-typelayer2-subscriberdefault-domainauthenticationispauthentication-methodbind#,用户所属VLAN10检查于DSLAM是否匹配,Page80,查看数据,确保DLSAM数据匹配的后检查接口引用的域配置QuidwaydisplaydomainnameispDomain-name:ispDomain-state:ActiveDomain-type:NormaldomainAuthentication-scheme-name:auth1Accounting-scheme-name:acct1Authorization-scheme-name:-RADIUS-server-group:rd1.IP-address-pool-name:pool1TimeRange-Qos:Disabled,重点关注红色部分内容,上述部分发现该域使用的是RADIUS认证,并且引用POOL1的地址池,Page81,查看数据,查看认证策略及计费策略是否正确Quidwaydisplayauthentication-schemeauth1Authentication-scheme-name:auth1Authentication-method:RADIUSAuthentication-supermethod:Superauthentication-superAuthentication-fail-policy:OfflineAuthentication-fail-domain:-Quidwaydisplayaccounting-schemeacct1Accounting-scheme-name:acct1Accounting-method:RADIUSRealtime-accounting-switch:DisabledRealtime-accounting-interval(min):-Start-accounting-fail-policy:OfflineRealtime-accounting-fail-policy:OnlineRealtime-accounting-failure-retries:3,说明认证和计费策略正确,Page82,查看数据,查看Radius服务器是否UPQuidwaydisplayradius-serverconfigurationWY-R1-YY-radius-testdisplayradius-serverconfigurationRADIUSnoresponsepacketcount:10RADIUSautorecovertime(Min):3-Server-group-name:rd1Authentication-server:IP:192.168.7.253Port:1812Weight0UPVpn:-Authentication-server:-Accounting-server:IP:192.168.7.253Port:1813Weight0UPVpn:-,Radius服务器UP,Page83,查看数据,查看是否是地址池设置问题Quidwaydisplayippoolpool1Pool-Name:pool1Pool-No:0Lease:3Days0Hours0MinutesPosition:LocalStatus:UnlockedGateway:172.16.1.1Mask:255.255.255.0Vpninstance:publicvpn-instance-IDstartendtotalusedidleconflicteddisable-0172.16.1.2172.16.1.1009909900-,地地池OK,Page84,查看数据,综上查询发现MA5200G的数据配置基本没有问题，由于VLANbind认证是在Radius上完成的，怀疑Radius上的设置有问题。打开Radius的debug开关查看故障：*Nov2111:35:342005QuidwayRDS/8/debug2:RadiusSentaPacketServerTemplate:0ServerIP:192.168.1.251Protocol:StandardCode:1Len:288ID:39User-name(1)28Quidway-02000000000010ispPassword1864cf4bca5d17bc8898938b8577b3c247NAS-Port(5)633554442NAS-IP-Address(4)6192.168.1.1Service-Type(6)62Framed-Protocol(7)61Framed-IP-Address(8)6255.255.255.255Callin