2020版H3C网络802.1x与EAD故障排查

802.1x与EAD故障排查一、开始定位故障的思路是：以802.1x认证流程为基本方向。排查设备的基本配置后，关于URL跳转部分，先查看终端是否可以正常跳转至URL,然后Administrator2015-12-1303:48:49Administrator2015-12-1303:48:49--------------------------------------------authenticationdefault证方法不区分用户类型，即对所有类型的用户都起作用。此配置的优先级低于具体接入方式的配置。IP中，确保终端与URL主机间的连通性正常。关设备上802.1x认证方式正确，然后查看设备侧是否手工配置RadiusServer下发的相关属性，最后查看客户端、RadiusServer上记录的认证失败原因及查看设备的相关Log。1、检查802.1x、AAA、Domain的配置检查802.1x、AAA、Domain等配置，各部分注意事项如下：802.1x部分：在全局配置及接口下使能802.1x认证。例如：通过当前配置可确认在全局及接口GigabitEthernet1/0/1下使能了802.1x。AAA部分：配置RadiusScheme认证方案，指定认证、计费服务器。配置Nas-Ip且保证Nas-Ip到认证、计费服务器可达。同时保证User-Name-Format和Server-Type与RadiusServer匹配。例如：通过当前配置可知RadiusScheme的Server-Type为Extended，User-Name-Format为Without-Domain。认证计费Server都为1.1.1.1。Domain部分：在Domain视图下引用相应的RadiusScheme例如：通过当前配置可知，Domain下引用的RadiusScheme方案为h3c。2、URL跳转是否成功在浏览器中访问任意网站，设备都会将其重定向至URL页面。3、确保URL地址包含在Free-IP中在终端认证成功之前仅有Free-Ip中的地址才允许访问，因此需确保URLFree-Ip中。命令：displaydot.1x例如：通过命令查看，可以确认URL地址6.6.6.6包含在Free-Ip6.6.6.0/24范围内。4、确保终端DNS解析正常、终端与URL间路由正常只有终端DNS解析正常、终端与URL间路由正常，URL跳转才可以正常进行。5、认证是否成功查看终端上返回的认证结果可以确认本次认证是否成功。6、查看设备上在线用户及Server下发的属性通过下面的命令可以查看设备上的在线用户。命令：displayconnection例如：通过命令查看，可以确认此时设备上存在h3c用户在线，且其index为1。通过下面的命令可以进一步确认特定用户的具体属性。命令：displayconnectionucibindexindex例如：通过命令查看，可以确认Server向h3c用户下发了Vlan10，ACL3000。7、确保设备侧认证方式与客户端和Server匹配确保设备侧Authentication-Method与客户端和Server及Server要求设备的认证方法为EAP。命令：displaydot.1x例如：通过命令查看，设备目前配置的802.1X系统的认证方法为EAP。8、确保Server下发属性在设备侧正确配置设备支持Server向其下发授权、隔离Vlan，若设备侧接收到字符串形式的VlanName时，要求该Vlan必须是静态配置的，若收到整形的VlanID时，设备可以自动创建该Vlan。命令：displayvlanstatic例如：通过命令查看，设备上存在Vlan1、Vlan2两个静态Vlan。命令：displayvlanvlanid例如：通过命令查看，Vlan3的Name为OA。设备支持Server向其下发ACL。向设备下发ACL时，设备上必须提前手工配置该ACL。命令：displayaclall例如：通过命令查看，设备上存在ACL3000。9、查看客户端、Server记录的下线原因根据客户端及Server上常见的下线原因初步判断故障点。例如，下线原因为UserRequest，若iNode客户端与策略服务器通信的端口9019）不通，iNode会给出类似“未收到服务器回应，即将强行下线”的提示