portal认证提示设备拒绝请求

配置问题

 “设备拒绝请求”的核心排查思路

这个提示的本质是，Portal认证过程中的关键交互环节出现了问题。要找出具体症结，核心是定位“是哪个设备拒绝了谁的请求”。按照认证流程，我们可以从以下几个主要环节进行排查：

 终端与接入设备(AC)之间的交互

1. 检查用户侧的连通性

• IP地址与DNS：确保终端已通过DHCP或静态配置获取到正确的IP地址、子网掩码、网关和DNS服务器信息。

• 物理/无线连接：确保终端已成功连接到SSID portal，并且信号质量良好。

2. 检查AC侧配置一致性

• VLAN接口与IP地址：确认服务模板(service-template portal)下指定的vlan 210，与portal bas-ip命令指定的10.17.102.226所属的VLAN接口是否匹配。如果不匹配，会导致网关地址错误。

• Portal认证使能：确认在用户接入的VLAN接口（例如Vlan-interface210）下，是否已使用portal enable method direct命令开启了Portal认证。

 接入设备(AC)与Portal/Radius服务器之间的交互

1. 检查通信层面

• IP网络层可达性：在AC上执行ping 10.17.103.216，检查AC到Portal/RADIUS服务器的IP网络是否连通。同时，从任意客户端也尝试ping该地址，以排除网络路径问题。

• UDP端口可达性：使用telnet 10.17.103.216 1812和telnet 10.17.103.216 1813命令，检查AC到RADIUS服务器的认证（1812）和计费（1813）UDP端口是否开放。

2. 检查AC侧配置一致性

• 共享密钥一致性：这是最常见的原因之一。需严格确保以下三处配置的密钥完全一致：

  1. radius scheme portaltest 下的 key authentication 和 key accounting。

  2. portal server AC 下的 key。

  3. 在Portal服务器侧为该接入设备（对应IP 10.17.102.226）配置的共享密钥。

• NAS-IP地址一致性：确保radius scheme中的nas-ip命令（或默认使用的VLAN接口IP）与Portal服务器上配置的接入设备IP地址一致。

• 用户名格式匹配：radius scheme下配置了user-name-format with-domain，这意味着AC会将用户名以 username@domain 的格式发给RADIUS服务器。请确保Portal/RADIUS服务器侧的认证规则也配置了相同的域名后缀（如portal）。

3. 检查服务器侧配置

• IP地址组：在iMC的Portal设备配置中，确认端口组所引用的IP地址组，必须包含终端用户的IP地址段（例如10.17.102.226/27网段）。

• 进程状态：登录iMC服务器，检查其uam（用户接入管理）和portalserver这两个关键进程是否正常运行。

 深入调试

1. 使用AC调试命令

• 查看用户上线失败记录：在AC上使用命令display aaa online-fail-record，查看失败原因和代码，有助于快速定位。

• 开启debugging：在AC上执行debugging radius all和debugging portal all，然后复现认证过程，观察调试信息。如果看到Received AAA error code或根本没有RADIUS报文交互，问题就指向了RADIUS认证环节。

2. 收集服务器日志

• 获取iMC Portal日志：在iMC的“系统管理-系统配置-日志配置”中，将uam和portalserver的日志级别临时调整为debug，然后复现问题并下载日志。分析日志中的errorCode等信息。

3. 排除客户端问题

• 更换浏览器：部分终端（尤其是苹果设备）因浏览器缓存、COOKIE或安全策略问题可能导致认证异常。可以尝试更换浏览器或清除浏览器数据后重试。