• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

iMC EIA Portal认证页面无法弹出问题排查

2021-04-11 发表
  • 1关注 ,224浏览
粉丝:4人 关注:2人

组网及说明

本文中举例组网如下:

 

IP规划:

认证终端PC192.168.3.2/24,网关192.168.3.1

认证设备H3CVLAN3:1192.168.3.1/24VLAN1192.168.1.104/24

iMC服务器:192.168.1.211/24,网关192.168.1.104

问题描述

Portal认证是一种网页认证,Portal页面重定向的原理为:认证上线的终端在向外发起HTTP GET请求时,网关设备会以配置好的Portal URL来填充地址字段,将该GET请求重定向到Portal服务器上,转而进行Portal认证。在使用iNode做认证的场景,建议先使用网页调试Portal认证。

Portal认证时,经常遇到无法触发弹页面的问题,本文即提供iMC EIA Portal认证网页故障排错常见定位思路:首先检查服务器软硬件及性能是否满足当前认证需要,然后从网页上线的现象来分析,相应做iMC服务器的检查、DNS服务器相关配置的检查和Portal相关配置的检查。

过程分析

1、  iMC服务器安装部署规范检查

服务器性能是保证iMC认证系统稳定运行的基本要素,所以排查问题时首先需要确认服务器软硬件配置情况是否符合要求。

请对照《智能管理中心(iMC)部署和硬件配置方案》查询这套iMC服务器对应业务量的配置需求。该配置方案是我们推荐的运行iMC最基本的部署要求。

(1) 对照《方案》检查服务器CPU、内存、硬盘等是否合乎规格,如果认证数量大、Portal网页在线数量多,是否根据《方案》要求将组件分布式部署在性能良好的服务器上。

重点需要检查内存占用是否过高,内存大小是否满足《方案》计算出的要求,操作系统是否是高性能的x64版本。

(2) 打开部署监控代理,在部署监控代理中查看部署页面,“用户接入管理”各组件是否是已部署的状态。

需要关注的组件有“用户接入管理”和“Portal服务器”,其状态都应为“已部署”。


2、  iMC服务器运行情况检查

查看“iMC智能部署监控代理中进程选项卡中是否有未启动的进程,各进程是否正常为“已经启动”。

(1) 打开部署监控代理,查看uam.exeportalserverwebServiceNode1webServiceNode2uamjob进程是否正常启动。另外如果是网页Portal认证还需要确认Portal服务器上的jserver/webserver进程是否正常启动。


n  一般情况下,这些进程通过鼠标右键设置启动方式为“自动启动”。

n  jserverPortal组件集中式部署时所需关注的进程;webserverPortal组件分布式部署时,在从机上需要确认的进程。

(2) 检查服务器181218135010050200 UDP端口是否被UAM相关进程所监听。


n  Windows操作系统中,通过

netstat –aon|findstr :端口号

命令来显示某一端口的监听状态及其对应的进程PID

举例,对于命令提示符回显:


其中第一列UDP所指监听的协议,第二列192.168.1.211:1812所指监听的服务器的IP和端口号,第三列*:*代表此行信息为监听状态,最右一列2456代表此协议监听的进程PID

n  查到端口所对应的进程PID后,请查看Windows任务管理器,1812/1813端口所对应的应为uam相关的进程,50100/50200所对应的应为java进程。

3、  iMC服务器和Portal设备、终端可达性检查

PC或手机浏览器输入Portal URLhttp://192.168.1.211:8080/portal,看是否正常弹出页面,如果正常弹出说明网络正常;如果不正常则需要排查网络。

1)网络可达性检查

在认证上线之前终端PC是可以和Portal所在服务器可达的。分别从iMC服务器上ping接入设备IPPortal设备IP和终端IP。对于本文的组网环境,需要分别测试

192.168.3.2192.168.1.211192.168.3.1iMC192.168.1.211192.168.1.104iMC192.168.1.211之间的双向可达性。

2)检查服务器防火墙是否关闭。

3)检查网络中防火墙,终端到服务器之间的8080端口是否放通。

4DNS相关配置检查

网络调通后,测试DNS相关配置是否正常。

如果浏览器输入普通URL比如www.baidu.com无法弹出页面,而输入任意IP地址比如1.1.1.1能够正常跳转,说明DNS无法正常解析URL,无法产生HTTP流量,导致设备不能触发重定向。此时,从终端ping DNS服务器的地址,看通不通,如果DNS通说明DNS解析有问题;如果DNS不通就需要调整网络调通。

(1)    终端到DNS不通,首先检查是否路由可达;然后配置免认证规则,放通终端到DNS通信,配置命令为:portal free-rule 0 source ip any destination ip 8.8.8.8 mask 255.255.255.255

(2)    终端到DNS通但无法解析:排查DNS服务器解析问题(比如ping www.baidu.com不通,ping百度的公网地址能通,说明DNS解析出了问题)。

如果浏览器输入IP地址1.1.1.1也无法弹出页面,则查看设备上配置的Portal URL是否写正确,不正确修改之,正确则确认接口是否启用Portal,如果已经启用,则说明设备重定向有问题,咨询设备侧。

[H3C] display current-configuration | include portal server imc portal server imc ip 192.168.1.211 key 123 url http://192.168.1.211:8080/portal portal server imc method direct

n  其中imc为设备本地有效的Portal服务器名称,192.168.1.211Portal服务器的地址,123Portal设备和Portal服务器交互时所用的共享密钥,http:// 192.168.1.211:8080/portalPortal网页的重定向URL

n  对于命令portal server imc method direct,需要详细检查其是否在认证接口上启用。

5Portal配置排查

经过以上步骤的排查,一般情况下 Portal页面都会正常弹出,但有时也会有报错:portal服务器获取不到设备信息或者设备没有回应req-info报文。实际上目前实现和发送req_info已关系不大,所以出现此错误基本可以确认是根据用户地址找不到对应portal设备信息,有如下可能原因:

1)用户上线IP地址没有包含在iMCPortal IP地址组网段中。本案例用户认证网段为192.168.3.0/24,如果终端获取的地址不在该网段,则无法弹出页面。

2)检查设备的sysname是否含有中文或特殊字符;

3iMC没有配置端口组,或者端口组中引用的地址组不正确。本案例IP地址组名称为vlan3

(4)使用移动终端等上线,IP地址经常变化,而由于Portal具有缓存机制,因此,造成缓存中原地址和现有报文头地址不一致(分别对应私网地址属性和公网地址属性),被识别为NAT,从而无法匹配到对应的地址组。此时清空浏览器缓存测试。


(5)配置台配置没有生效,即,通知portal服务器加载失败,造成这种情况原因可能是portal服务器未正常启动或50900端口没有正常绑定,可以查看如下界面Portal主页信息显示正常与否来确认50900端口是否正常工作。


 

 

解决方法

总结:

1、熟悉Portal认证基本流程;

2、熟悉Portal触发弹页面的原理:认证上线的终端在向外发起HTTP GET请求时,网关设备会以配置好的Portal URL来填充地址字段,将该GET请求重定向到Portal服务器上,转而进行Portal认证。

3UAMPortal调试日志收集方法

收集UAM调试日志:先将日志级别修改成“调试”(收集完后再调回“信息”级别),V7版本:用户>接入策略管理>业务参数配置>系统配置>UAM运行日志参数配置,复现问题2—3次,收集iMC安装目录下/uam/log文件夹当天的日志。


V5版本:业务>接入业务>业务参数配置>系统配置>UAM运行日志参数配置


收集Portal调试日志:进入用户》接入策略管理》Portal服务管理》服务器配置,将portal日志级别改成调试,然后复现问题,最后收集日志,日志路径:iMC安装目录/portal/log下当天的日志。


0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +

亲~登录后才可以操作哦!

确定

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作