本文中举例组网如下：

 

IP规划：

认证终端PC：192.168.3.2/24，网关192.168.3.1

认证设备H3C：VLAN3:1192.168.3.1/24，VLAN1：192.168.1.104/24

iMC服务器：192.168.1.211/24，网关192.168.1.104

Portal认证是一种网页认证，Portal页面重定向的原理为：认证上线的终端在向外发起HTTP GET请求时，网关设备会以配置好的Portal URL来填充地址字段，将该GET请求重定向到Portal服务器上，转而进行Portal认证。在使用iNode做认证的场景，建议先使用网页调试Portal认证。

Portal认证时，经常遇到无法触发弹页面的问题，本文即提供iMC EIA Portal认证网页故障排错常见定位思路：首先检查服务器软硬件及性能是否满足当前认证需要，然后从网页上线的现象来分析，相应做iMC服务器的检查、DNS服务器相关配置的检查和Portal相关配置的检查。

1、  iMC服务器安装部署规范检查

服务器性能是保证iMC认证系统稳定运行的基本要素，所以排查问题时首先需要确认服务器软硬件配置情况是否符合要求。

请对照《智能管理中心（iMC）部署和硬件配置方案》查询这套iMC服务器对应业务量的配置需求。该配置方案是我们推荐的运行iMC最基本的部署要求。

(1) 对照《方案》检查服务器CPU、内存、硬盘等是否合乎规格，如果认证数量大、Portal网页在线数量多，是否根据《方案》要求将组件分布式部署在性能良好的服务器上。

重点需要检查内存占用是否过高，内存大小是否满足《方案》计算出的要求，操作系统是否是高性能的x64版本。

(2) 打开部署监控代理，在部署监控代理中查看部署页面，“用户接入管理”各组件是否是已部署的状态。

需要关注的组件有“用户接入管理”和“Portal服务器”，其状态都应为“已部署”。

​2、  iMC服务器运行情况检查

查看“iMC智能部署监控代理”中进程选项卡中是否有未启动的进程，各进程是否正常为“已经启动”。

(1) 打开部署监控代理，查看uam.exe、portalserver、webServiceNode1、webServiceNode2、uamjob进程是否正常启动。另外如果是网页Portal认证还需要确认Portal服务器上的jserver/webserver进程是否正常启动。

n  一般情况下，这些进程通过鼠标右键设置启动方式为“自动启动”。

n  jserver是Portal组件集中式部署时所需关注的进程；webserver为Portal组件分布式部署时，在从机上需要确认的进程。

(2) 检查服务器1812、1813、50100、50200 UDP端口是否被UAM相关进程所监听。

n  Windows操作系统中，通过

netstat –aon|findstr :端口号

命令来显示某一端口的监听状态及其对应的进程PID。

举例，对于命令提示符回显：

其中第一列UDP所指监听的协议，第二列192.168.1.211:1812所指监听的服务器的IP和端口号，第三列*:*代表此行信息为监听状态，最右一列2456代表此协议监听的进程PID。

n  查到端口所对应的进程PID后，请查看Windows任务管理器，1812/1813端口所对应的应为uam相关的进程，50100/50200所对应的应为java进程。

3、  iMC服务器和Portal设备、终端可达性检查

PC或手机浏览器输入Portal URL：http://192.168.1.211:8080/portal，看是否正常弹出页面，如果正常弹出说明网络正常；如果不正常则需要排查网络。

（1）网络可达性检查

在认证上线之前终端PC是可以和Portal所在服务器可达的。分别从iMC服务器上ping接入设备IP、Portal设备IP和终端IP。对于本文的组网环境，需要分别测试

192.168.3.2与192.168.1.211、192.168.3.1与iMC192.168.1.211、192.168.1.104与iMC192.168.1.211之间的双向可达性。

（2）检查服务器防火墙是否关闭。

（3）检查网络中防火墙，终端到服务器之间的8080端口是否放通。

4、DNS相关配置检查

网络调通后，测试DNS相关配置是否正常。

如果浏览器输入普通URL比如www.baidu.com无法弹出页面，而输入任意IP地址比如1.1.1.1能够正常跳转，说明DNS无法正常解析URL，无法产生HTTP流量，导致设备不能触发重定向。此时，从终端ping DNS服务器的地址，看通不通，如果DNS通说明DNS解析有问题；如果DNS不通就需要调整网络调通。

（1）    终端到DNS不通，首先检查是否路由可达；然后配置免认证规则，放通终端到DNS通信，配置命令为：portal free-rule 0 source ip any destination ip 8.8.8.8 mask 255.255.255.255

（2）    终端到DNS通但无法解析：排查DNS服务器解析问题（比如ping www.baidu.com不通，ping百度的公网地址能通，说明DNS解析出了问题）。

如果浏览器输入IP地址1.1.1.1也无法弹出页面，则查看设备上配置的Portal URL是否写正确，不正确修改之，正确则确认接口是否启用Portal，如果已经启用，则说明设备重定向有问题，咨询设备侧。

[H3C] display current-configuration | include portal server imc portal server imc ip 192.168.1.211 key 123 url http://192.168.1.211:8080/portal portal server imc method direct

n  其中imc为设备本地有效的Portal服务器名称，192.168.1.211为Portal服务器的地址，123为Portal设备和Portal服务器交互时所用的共享密钥,http:// 192.168.1.211:8080/portal为Portal网页的重定向URL。

n  对于命令portal server imc method direct，需要详细检查其是否在认证接口上启用。

5、Portal配置排查

经过以上步骤的排查，一般情况下 Portal页面都会正常弹出，但有时也会有报错：portal服务器获取不到设备信息或者设备没有回应req-info报文。实际上目前实现和发送req_info已关系不大，所以出现此错误基本可以确认是根据用户地址找不到对应portal设备信息，有如下可能原因：

（1）用户上线IP地址没有包含在iMC的Portal IP地址组网段中。本案例用户认证网段为192.168.3.0/24，如果终端获取的地址不在该网段，则无法弹出页面。

（2）检查设备的sysname是否含有中文或特殊字符；

（3）iMC没有配置端口组，或者端口组中引用的地址组不正确。本案例IP地址组名称为vlan3。

(4)使用移动终端等上线，IP地址经常变化，而由于Portal具有缓存机制，因此，造成缓存中原地址和现有报文头地址不一致（分别对应私网地址属性和公网地址属性），被识别为NAT，从而无法匹配到对应的地址组。此时清空浏览器缓存测试。

(5)配置台配置没有生效，即，通知portal服务器加载失败，造成这种情况原因可能是portal服务器未正常启动或50900端口没有正常绑定，可以查看如下界面Portal主页信息显示正常与否来确认50900端口是否正常工作。

总结：

1、熟悉Portal认证基本流程；

2、熟悉Portal触发弹页面的原理：认证上线的终端在向外发起HTTP GET请求时，网关设备会以配置好的Portal URL来填充地址字段，将该GET请求重定向到Portal服务器上，转而进行Portal认证。

3、UAM和Portal调试日志收集方法

收集UAM调试日志：先将日志级别修改成“调试”（收集完后再调回“信息”级别），V7版本：用户>接入策略管理>业务参数配置>系统配置>UAM运行日志参数配置，复现问题2—3次，收集iMC安装目录下/uam/log文件夹当天的日志。

V5版本：业务>接入业务>业务参数配置>系统配置>UAM运行日志参数配置

收集Portal调试日志：进入用户》接入策略管理》Portal服务管理》服务器配置，将portal日志级别改成调试，然后复现问题，最后收集日志，日志路径：iMC安装目录/portal/log下当天的日志。