某运营商出现用户正在认证中Portal问题的经验案例

一、           组网：

某运营商WLAN简略组网如图，AP通过BAS网关三层注册到AC。

二、问题描述：

某运营商局点凌晨出现IAG下挂所有用户Portal认证失败，提示正在认证中。

三、过程分析：

此类优先测试网络线路状况，确保设备与服务器链路没有问题，其次熟悉移动Portal流程规范，最后打开设备相关模块调试信息，定位问题所在。

1、设备带含Nas IP做源地址ping测试没有问题。

2、通过打开Portal与Radius调试，发现前几步的Portal交互没有问题，后续设备发送Radius认证请求，服务器侧没有回应。如下：

*Apr 30 12:57:35:895 2000 IAG PORTAL/7/PORTAL_DEBUG:

Portal socket receive packet length:47

Portal check packet OK

Portal packet head:

SN:46023 Type:3  AttrNum:2  ErrCode:0  UserIP:192.168.10.1

Portal packet attribute list:

[  1 UserName            ] [ 13] [13XXXXXXXXX]

[  4 ChapPassWord        ] [ 18] [555dddd7edf2a4d71ce62b4469232233]

Portal raw packet:

 01 03 00 00 b3 c7 63 83 0a cc 1b f1 00 00 00 02

 01 0d 31 33 34 31 38 39 33 35 34 34 38 04 12 5c

 0d 34 47 ed f2 a4 d7 1c e6 2b 44 69 4b 40 4a

*Apr 30 12:57:35:896 2000 IAG PORTAL/7/PORTAL_DEBUG:

ap mac:3ce5-a6f4-ba10, get ssid:CMCC, spot:

*Apr 30 12:57:35:900 2000 IAG RDS/7/DEBUG: NULL

*Apr 30 12:57:35:901 2000 IAG RDS/7/DEBUG: Send: IP=[222.111.111.111], UserIndex=[7225], ID=[206], RetryTimes=[0], Code=[1], Length=[266]

*Apr 30 12:57:35:901 2000 IAG DPPORTAL/7/DP_PORTAL_DEBUG:

Matched Redirect ACL.

*Apr 30 12:57:40:578 2000 IAG RDS/7/DEBUG: Recv MSG,[MsgType=PKT auth timeout Index = 7225, ulParam3=0]

*Apr 30 12:57:40:579 2000 IAG PORTAL/7/PORTAL_DEBUG:

Portal socket receive packet length:47

Portal check packet OK

Portal packet head:

SN:46023 Type:3  AttrNum:2  ErrCode:0  UserIP:192.168.10.1

Portal packet attribute list:

[  1 UserName            ] [ 13] [13XXXXXXXXX]

[  4 ChapPassWord        ] [ 18] [555dddd7edf2a4d71ce62b4469232233]

Portal raw packet:

 01 03 00 00 b3 c7 63 83 0a cc 1b f1 00 00 00 02

 01 0d 31 33 34 31 38 39 33 35 34 34 38 04 12 5c

 0d 34 47 ed f2 a4 d7 1c e6 2b 44 69 4b 40 4a

*Apr 30 12:57:43:379 2000 IAG PORTAL/7/PORTAL_DEBUG:

Portal socket receive packet length:16

Portal check packet OK

Portal packet head:

SN:46027 Type:1  AttrNum:0  ErrCode:0  UserIP:192.168.10.1

Portal packet attribute list:

 NULL

Portal raw packet:

 01 01 00 00 b3 cb 00 00 0a cc 1b f1 00 00 00 00

*Apr 30 12:57:43:380 2000 IAG PORTAL/7/PORTAL_DEBUG:

Portal socket send packet length:16

Portal packet head:

SN:46027 Type:2  AttrNum:0  ErrCode:3  UserIP:192.168.10.1     //ErrCode:3 为用户正在认证中提示

Portal packet attribute list:

 NULL

Portal raw packet:

 01 02 00 00 b3 cb 63 86 0a cc 1b f1 00 00 03 00

*Apr 30 12:57:43:380 2000 IAG DPPORTAL/7/DP_PORTAL_DEBUG:

Matched Redirect ACL.

3、由上述信息可见，其问题与我司设备无关，后续重点排查设备到Radius服务器侧。

4、通过在服务器侧查看接收到设备发送Radius 报文源地址不是指定NAS IP，而为防火墙接口地址。

5、经排查，定位为第三方防火墙做NAT转换时，源地址定义过大，把BAS包含进来。

四、解决办法：

通过对防火墙侧的Nat配置做些调整，业务已恢复正常。