WX3520X-G
- 0关注
- 0收藏，82浏览
问题描述：
Nov 6 09:20:32:632 2026 JF-(WX3520X-G) STAMGR/5/STAMGR_MACA_LOGIN_FAILURE : -Username=34fa1c9c0bce-UserMAC=34fa-1c9c-0bce-BSSID=105e-aee8-6809-SSID=YJGLBS-Y-APName=105e-aee8-67f0-RadioID=3-VLANID=320-UsernameFormat=MAC address; A user failed MAC authentication.Reason:MAC authentication failed, client quiet
AC上老报这个错，是不是认证出了问题？WIFI是使用的PORTAL认证，认证设备是个深信服的上网行为管理
排查步骤：
1. 查看静默原因
终端之前多次认证失败，触发静默机制
命令：display wlan client quiet-info 查看静默列表
2. 检查认证配置
确认MAC认证服务器配置正确：
display mac-authentication connection
display radius scheme
检查本地MAC认证账户是否存在：
display local-user
3. 验证终端MAC格式
日志显示Username=34fa1c9c0bce（无分隔符）
确认认证服务器要求的MAC格式（如34fa-1c9c-0bce或34fa1c9c0bce）
命令：display mac-authentication
4. 检查静默时长配置
默认静默时间为60秒
可调整：mac-authentication timer quiet
或手动解除：reset mac-authentication quiet-client
5. 查看失败历史
display wlan client mac-address 34fa-1c9c-0bce verbose
display mac-authentication failure
常见原因：
认证服务器无此MAC账户
MAC格式不匹配
密码配置错误（MAC认证通常用MAC作密码）
终端短时间内多次失败触发静默
建议： 先在认证服务器确认该MAC是否已录入，再检查MAC格式一致性。
STAMGR_MACA_LOGIN_FAILURE: A user failed MAC authentication.Reason:MAC authentication failed, client quiet
- MAC authentication failed：AC 尝试对该 STA 做 MAC 地址认证，认证被 RADIUS 拒绝；
- client quiet：MAC 认证失败后，AC 将该终端 MAC 加入静默（quiet）列表，静默定时器周期内，不再处理该终端的 MAC 认证报文，防止反复重试冲击设备和 RADIUS 服务器H3C。
⚠️关键现象：业务本应是纯 Portal 网页认证，不该触发 MAC 地址认证流程，却在反复执行 MAC 认证。
产生该日志的两大根因
根因 1：WLAN 服务模板下错误开启了 mac‑authentication（最高概率）
Portal 认证≠MAC 认证。如果 wlan service‑template 下面误敲了mac‑authentication enable；终端关联 WiFi 拿到预授权 VLAN（VLAN320）后，AC 优先发起 MAC 地址认证，送给 RADIUS（深信服 AC）校验。
深信服 Portal 场景，RADIUS 上没有该终端的 MAC 账号，RADIUS 直接 reject，MAC 认证失败，终端进入
quiet静默，输出这条告警日志。 终端实际还能走 Portal 网页弹出认证，但是 AC 后台会持续打印这条报错日志。
根因 2：域 domain 下 LAN‑ACCESS 认证方案错误配置了 RADIUS
Portal 属于portal类型认证；lan‑access 是给 802.1X/MAC 认证使用。如果默认域authentication lan‑access radius‑scheme xxx，无线终端关联上来会先触发 lan‑access 类别的 MAC 认证，Portal 还没跑，先报 MAC 认证失败。
注意：外置 Portal（深信服 AC）场景，不需要配置 lan‑access 的 radius，lan‑access 不要绑定深信服 RADIUS，Portal 单独引用 radius。
排查检查命令
#1、检查服务模板，看是否误开启mac‑authentication
display wlan service‑template name YJGLBS‑Y
#2、检查AAA域配置
display domain name xxx
#重点：authentication lan‑access 不要绑定深信服RADIUS方案！
#3、查看当前静默MAC列表，看该MAC是否被静默
display mac‑authentication silent‑mac
#4、查看Portal配置，确认portal引用的radius‑scheme
display portal web‑server
display portal policy
修复配置（针对外置深信服 Portal 场景）
- 进入对应 wlan 服务模板，关闭 MAC 地址认证（Portal 场景不需要）
system‑view
wlan service‑template name YJGLBS‑Y
undo mac‑authentication
quit
- 修正 AAA 域：lan‑access 不要绑定深信服 RADIUS（lan‑access 用于 802.1X/MAC）
Portal 认证走 portal 的 radius 绑定，不受 lan‑access 影响。
domain portal‑domain
undo authentication lan‑access radius‑scheme SANGFOR‑RADIUS
undo authorization lan‑access radius‑scheme SANGFOR‑RADIUS
undo accounting lan‑access radius‑scheme SANGFOR‑RADIUS
quit
注意：portal policy 视图内正常引用 radius‑scheme，这个保留不动。
- 清除已存在的静默 MAC（立即生效，无需等 quiet 定时器超时，默认 quiet 为 10 分钟）
undo mac‑authentication silent‑mac 34fa‑1c9c‑0bce
全局可以调小静默时间（可选）：
mac‑authentication timer quiet 60
现象区分
- 终端业务正常，可以弹出 Portal 网页登录上网，只是日志刷屏报错：基本就是服务模板误开
mac‑authentication enable或者 domain 的 lan‑access 绑定了 RADIUS，属于配置多余，业务不受影响，日志干扰。 - 终端连 WiFi 都连不上、拿不到 IP：说明 MAC 认证失败直接阻断，需要立刻关闭 mac‑authentication。
额外 Portal 对接深信服 AC 核对清单
- WX3520X‑G（H3C）和深信服 AC 的 Portal 对接密钥、IP 白名单、COA 动态授权端口 1812/1813 互通；
- 预授权 VLAN（示例 VLAN320）放通访问深信服 Portal 页面，DNS 正常解析；
- 无线服务模板安全策略为开放 / PSK，不要开启 dot1x/mac‑authentication。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论