交换机对接负载做认证

注意协议类型，负载一般是tcp，radius是udp

RADIUS 是无连接 UDP 协议，经过负载均衡最常见坑集中在：USIP 透传源 IP、SNAT、UDP 会话超时、会话保持、后端服务器 NAS‑IP 白名单、防火墙放通、NAS‑IP 源地址配置。

一、组网简要

交换机 → 负载均衡 VIP (1812/1813 UDP) → 负载均衡业务池 → 多台真实 RADIUS 后端服务器。

直连后端真实服务器正常，说明交换机侧共享密钥、ISP 域、802.1X 业务逻辑本身没问题，故障发生在交换机‑LB‑后端 RADIUS 交互链路。

二、交换机侧关键检查

1. 配置固定 RADIUS NAS‑IP（必做） RADIUS 报文源 IP 不要依赖路由出接口动态变化；指定 loopback 或者管理 VLAN IP 作为 nas‑ip，该 IP 需要在负载均衡、后端 RADIUS 服务器白名单内H3C。

注意：后端每一台真实 RADIUS 服务器，接入设备列表必须添加这个 NAS‑IP，不能只加负载均衡 IP。

2. RADIUS 方案配置，服务器填写 LB‑VIP，端口 1812 认证、1813 计费，密钥和后端 RADIUS 保持一致。

3. 查看服务器状态、调试报文

调试看：交换机发出 Access‑Request，完全没有收到 Access‑Accept/Reject 应答，属于单向不通，请求出去，应答回不来。

三、负载均衡设备侧高频故障点（按优先级）

1、USIP（透传客户端源 IP）开启，无 SNAT，应答报文绕开负载均衡（最高概率）

如果 LB 虚服务开启 USIP（透传源 IP，不做 SNAT）： 交换机 RADIUS 请求源 IP 为交换机 NAS‑IP，LB 原样把源 IP 透传给后端 RADIUS。后端 RADIUS 回包查路由，如果回包路由直接指向交换机，不经过负载均衡设备，应答报文旁路绕过 LB，交换机收不到响应，表现就是 1812 不通，但 ping VIP 可以通（ICMP 不受影响）。

✅解决：

• 方案 A（推荐）：虚服务关闭 USIP，开启SNAT；后端 RADIUS 看到的源 IP 是 LB 的内网 SNIP 地址。此时后端 RADIUS 接入设备白名单添加 LB 的 SNIP，共享密钥匹配。
• 方案 B（业务要求保留真实 NAS‑IP）：不做 SNAT，必须保证后端 RADIUS 服务器返回给交换机 NAS‑IP 的路由下一跳强制指向负载均衡内网接口，所有应答必须经过 LB 回传给交换机。

2、UDP 会话超时时间太短

RADIUS 属于 UDP 无连接，负载均衡四层虚服务 UDP 会话老化时间默认通常比较短。认证报文交互间隔超过老化时间会话被删除，回复报文被丢弃。 ✅调整 LB 虚服务 UDP 会话超时，建议设置≥10s。

3、缺少 RADIUS 会话保持（持久化）

同一个认证会话的请求、计费报文，必须调度到同一台后端 RADIUS 实例。

• 四层 LB：基于源 IP 做会话保持；
• 七层 RADIUS 类型 LB：使用 RADIUS‑User‑Name 属性做持久化。

不配置保持，同一个会话的请求和应答被调度到不同后端服务器，认证异常。

4、虚服务只监听 TCP，没有开启 UDP 1812/1813

RADIUS 使用 UDP，很多负载均衡虚服务默认 TCP，需要单独新建 UDP 类型虚服务，分别监听 1812、1813 端口。健康检测要使用 UDP 类型 NQA 检测，不要用 ICMP ping 判断 RADIUS 服务状态。

5、负载均衡与后端服务器之间防火墙 / ACL 拦截 UDP‑1812/1813

即使直连后端正常，经过 LB 后，后端服务器防火墙、系统 iptables 需要放行来自 LB SNIP 的 UDP 1812/1813。

四、后端 RADIUS 服务器侧检查

1. 如果 LB 开启 SNAT，RADIUS 接入设备列表添加LB 内网 SNIP 地址，密钥和交换机配置一致。
2. 如果 LB 关闭 SNAT（透传源 IP），每台 RADIUS 服务器添加交换机 NAS‑IP。

❗不能只添加 VIP，VIP 是 LB 虚地址，后端看不到这个源 IP。

五、快速定位排错手段

1. 在负载均衡上抓包：
   • 是否收到交换机发过来 UDP 1812 Access‑Request；
   • 是否把报文转发到后端 RADIUS；
   • 是否收到后端 RADIUS 回复 Access‑Accept；
   • 是否把回复报文回传给交换机。
2. 在后端真实 RADIUS 服务器抓包，看请求是否到达本机，回复报文目的 IP 是否正确，下一跳是否走 LB。

表格

六、临时验证手段

交换机 RADIUS 方案直接填其中一台后端真实 RADIUSIP，认证正常，说明交换机配置完全没问题，问题 100% 出在负载均衡链路与配置。