• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

无线终端原因导致802.1x结合imc重复认证无法正常上网问题

2021-01-12 发表
  • 1关注
  • 1收藏 2823浏览
粉丝:3人 关注:0人

组网及说明

正常组网,AC管理AP发射信号做无线802.1x结合imc的认证,

问题描述

部分终端在移动到不同区域(正常联想到无线漫游)时会出现一段时间断网问题,需要终端强制下线后重新认证后才能正常  

过程分析

1、对于认证涉及设备认证客户端和imc认证服务器,需要先判断是设备侧问题还是imc软件侧问题,

(1)软件侧原因主要是设备发radius code1请求,账号密码正确的情况下imc回应conde3拒绝导致重复认证;

(2)设备侧原因主要就是设备一直发radius code1请求;

在imc侧抓取故障时UAM日志以及设备侧debug radius,  802.1x认证测试的用户名为nb.scm02




可见imc侧报文交互正常,服务器侧都回应了认证成功(code2)报文,搜索不到scm02账号的认证失败(code3)报文,说明确实是设备侧问题原因导致重复认证;


imc侧uam日志有初步原因——确实是终端漫游到不同AP上

%% 2020-12-22 15:37:28.258 ; [LDBG] ; [5372] ; LAN ; CN\nb.scm02 ; 1 ; 60689c499481447a8260fd8a18efe7f3 ; b4fafceaQ..V#H+\ ; Received message from 10.89.x.x:

CODE = 1 ID = 44. /// 第一次认证请求

         User-Name(1) 

         Called-Station-Id(30) = xx-xx-xx-D3-52-80:   // 接入APmac地址xx-xx-xx-D3-52-80

         Acct-Session-Id(44) = 120122215372804b4dbe694c9  /// 本次认证的会话ID

....................................

%% 2020-12-22 15:40:38.332 ; [LDBG] ; [5372] ; LAN ; CN\ nb.scm02    ; 1 ; bced4718fc69442bb4ecc512200ec7c1 ;  ; Received message from 10.89.2.5:

CODE = 1 ID = 120.  /// /// 第二次认证请求,此次认证请求前没有计费结束报文,所有信息与第一次请求又一致,IMC侧清除之前的在线信息,生成新的在线记录,把上一次的下线原因记录为重复认证。

         User-Name(1) 

         Called-Station-Id(30) = xx-xx-xx-D5-45-50:joysonquin /// 接入APmac地址变为xx-xx-xx-D5-45-50

         Acct-Session-Id(44) = 120122215403804b4dbe694e9


2、设备侧分析重复认证发radius code1请求原因,

在设备侧上logbuffer中有对应日志,802.1x用户上线后立马下线,下线原因是User request logoff

%Dec 23 11:20:38:655 2020 6#AC_35 8021X/6/DOT1X_USER_ONLINE: -UserName=CN\nb.scm02-IPAddr=0.0.0.0-IfName=WLAN-DBSS10:2303-VlanID=3106-MACAddr=E4:AA:EA:FB:9E:59-SSID=xxxx-Roam=0-APMAC=7C:1E:06:AF:xx:xx-Type=0-NasId=-NasPortId=-Acl=-UserProfile=-SessiOnTimeOut=86400; User got online successfully.

%Dec 23 11:20:38:655 2020 6#4AC_35 8021X/6/DOT1X_USER_OFFLINE: -UserName=CN\nb.scm02-IPAddr=0.0.0.0-IfName=WLAN-DBSS10:2210-VlanID=3106-MACAddr=E4:AA:EA:FB:9E:59-SSID=xxxx-APMAC=7C:1E:06:AF: xx:xx -NasId=-NasPortId=- Reason=User request logoff   ; User logged off.

如果故障发生V7  debug需要收集的信息:

debugging wlan client all           //终端无线关联过程

debugging dot1x all              //无线终端1x认证过程

debugging radius all            //跟imc的radius报文交互

如果故障发生在V5  debug需要收集的信息:

debugging wlan mac event

debugging wlan mac error

debugging dot1x all

debugging radius packet

当前设备都是V5,收集结果

15:56:32%Dec 25 15:56:30:300 2020 6#AC_35 PORTSEC/6/PORTSEC_DOT1X_LOGIN_SUCC: -IfName=WLAN-DBSS10:2245-MACAddr=E4:AA:EA:FB:9E:59-VlanId=3106-UserName=CN\nb.scm02; The user passed 802.1X authentication and got online successfully.

15:56:32%Dec 25 15:56:30:301 2020 6#AC_35 PORTSEC/6/PORTSEC_DOT1X_LOGOFF: -IfName=WLAN-DBSS10:2303-MACAddr=E4:AA:EA:FB:9E:59-VlanId=3106-UserName=CN\nb.scm02-ErrCode=1; Session of the 802.1X user was terminated.

15:56:32%Dec 25 15:56:30:309 2020 6#AC_35 RDS/6/RDS_USER_LOGOFF: -IfName=WLAN-DBSS10:2303-VlanId=3106-MACAddr=E4:AA:EA:FB:9E:59-IPAddr=N/A-IPv6Addr=N/A-UserName=CN\nb.scm02@imc-Reason=User Request; User logged off.

15:56:32%Dec 25 15:56:30:329 2020 6#AC_35 RDS/6/RDS_SUCC: -IfName=WLAN-DBSS10:2245-VlanId=3106-MACAddr=E4:AA:EA:FB:9E:59-IPAddr=N/A-IPv6Addr=N/A-UserName=CN\nb.scm02@imc; User got online successfully.

15:56:38#Dec 25 15:56:38:166 2020 6#AC_35 WMAC/4/Station Deassociate: Station Deassoc:1.3.6.1.4.1.2011.10.2.75.3.2.0.5<h3cDot11StationDeAssocTrap> StaMac1:E4:AA:EA:FB:9E:59 StaMac2:E4:AA:EA:FB:9E:59 UserName: StaMac3:E4:AA:EA:FB:9E:59 VLANId:3106 Radioid:2 SSIDName

15:56:38%Dec 25 15:56:38:167 2020 6#AC_35 WMAC/6/WMAC_CLIENT_GOES_OFFLINE:  Client e4aa-eafb-9e59 disconnected from WLAN joysonquin.  Reason code is 8.

另外使用无线软件进行无线空口抓包结果


从设备侧debug信息看终端在上线成功后马上会下线,下线原因为终端请求下线, Reason code is 8表示终端主动请求下线;从抓包信息看故障终端在故障时频繁发送disassociate报文,这是终端发出的解关联报文 。  综合目前信息看是由于终端频繁漫游上下线导致的短时间业务不通。建议升级终端网卡等手段进一步处理。  

解决方法

升级故障终端的网卡驱动程序后观察使用正常。

总结:

1、对于重复认证涉及设备认证客户端和imc认证服务器,需要先判断是设备侧问题还是imc软件侧问题,

(1)软件侧原因主要是设备发radius code1请求,账号密码正确的情况下imc回应conde3拒绝导致重复认证;

(2)设备侧原因主要就是设备一直发radius code1请求;

2、无线频繁漫游原因一般为无线环境不理想以及终端本身漫游主动性不合适,终端下线原因Reason code is 8表示终端主动请求下线;从抓包信息看故障终端在故障时频繁发送disassociate报文,这是终端发出的解关联报文。

该案例对您是否有帮助:

您的评价:1

若您有关于案例的建议,请反馈:

0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作