PC-(G1/0/7)S5016PV5-EI,设备上int vlan 16配置了portal,对该vlan内接入的终端进行portal认证。
交换机结合radius做portal认证,能认证成功,交换机也有portal user信息,但是终端无法上网。现场部署流统时发现该终端可以正常上网。
交换机上display portal user能够看到认证的用户,并且也有下发成功的arp。
===============display arp all===============
Type: S-Static D-Dynamic O-Openflow R-Rule M-Multiport I-Invalid
IP address MAC address VLAN/VSI name Interface Aging Type
10.52.16.68 5405-db14-5f06 16 GE1/0/7 -- R
当设备开启portal时,设备默认会下发一条deny的acl,匹配所有该 vlan内的报文;而当终端portal认证通过时,设备上会下发一条portal user用于放通该终端的流量。从收集的信息来看,设备上acl资源充足,并且portal相关的acl、portal user都已经成功下发。
------------------------------------------------------
Pri 4, usedEntries 10, mode Double
=========================================
acl type usedEntries[10]
=========================================
[39 ]Portal Free 6
[40 ]Portal User 1 //终端认证成功后,用于放通流量的acl
[41 ]Portal Redirect 2
[42 ]Portal Deny 1 //终端认证前,默认deny所有流量
======================================
========
Acl-Type Portal User, Stage IPCL 0, SinglePort, Installed, Active
Prio Mjr/Sub 0x204/0x5, RuleFormat INGRESS_EXT_NOT_IPV6, Vtcame/Idx 1/24,
Rule Match --------
Port: 6
Source mac: 5405-DB14-5F06, FFFF-FFFF-FFFF
Outer Vlan: 0x10, 0xfff
Source IP: 10.52.16.68, 255.255.255.255
IP Type: Any IPv4 packet
Actions --------
Permit
Red Permit
Yel Permit
========
经确认,该交换机设备并不是终端的网关,而是作为二层转发设备。当部署流统后,访问对应的地址就可以通信,通过测试,发现实际不通是因为回程的流量被设备deny掉了。内部和研发分析讨论,确认这种二层设备启用portal认证,当访问的回程报文从网关返回时,携带的vlan tag也是vlan 16,能够命中那条默认的portal deny 的底层acl。正常portal认证都是针对内网流量使用的,而针对现场这种二层组网,建议将上行连接网关的端口设置为portal free-rule source interface,不对外网回复的报文进行portal处理。现场配置后终端可以正常访问外网。
========
Acl-Type Portal Deny, Stage IPCL 0, Global, Installed, Active
Prio Mjr/Sub 0x204/0x3, RuleFormat INGRESS_EXT_NOT_IPV6, Vtcame/Idx 1/31,
Rule Match --------
Global range
Outer Vlan: 0x10, 0xfff //匹配的外层vlan tag 0x10,换成十进制就是vlan 16
IP Type: Any IPv4 packet
Actions --------
Deny
Account mode packets, green and non-green
Accounting: Hi 0, Lo 6377
========
因此,综合以上排查,可以采用如下方式解决:
1、调整进行portal认证的设备,网关设备对终端进行portal认证;
2、保持当前组网不变的情况下,将该二层交换机和网关设备互连接口设置为portal free-ti source interface,不对网关侧回复的报文进行认证。
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作