某局点结合第三方服务器微信连WIFI认证成功后立刻被AC踢下线经验案例

某局点结合第三方服务器做微信连WIFI认证，认证原理采用的分两次Portal认证，第一次是临时账户认证通过，认证通过后网络放通，终端拉起微信，在拉起微信后，服务器先将第一次临时账户强制下线，然后再发起第二次以微信信息为用户名的Portal认证，这时也可以认证成功，但随后AC就发起Portal的强制下线报文（Type 8）将用户再次踢下线，问题必现。

第二次Portal认证成功后，AC发了Type 8的下线报文将客户端又强制踢下线。

*Nov 10 15:47:31:891 2017 H3C_wireless_AC PORTAL/7/PORTAL_DEBUG: 
Portal send to 10.11.119.138 packet length:16
  Portal packet head:
   Type:8   SN:360  ReqId:0    AttrNum:0  ErrCode:0  UserIP:10.43.2.0
  Portal packet attribute list:
   NULL
  Portal raw packet:
   01 08 00 00 01 68 00 00 0a 2b 02 00 00 00 00 00
  

在服务器上抓包进行分析：      首先可以看到两次完整的Portal认证，第一次认证成功后，服务器发送了Radius强制下线报文（Disconnect-Request(40)），AC正常响应，且发送Portal强制下线报文（NTF_LOGOUT）下线成功，随后服务器发起第二次Portal认证，并且认证成功，但隔了5秒左右AC又发了Portal的强制下线报文（NTF_LOGOUT）并且还发了两次，导致用户被强制踢下线。

一般上线成功后AC发起强制下线的情况是因为服务器下发了一些不识别的属性，比如下发了ACL，但在AC又没有创建相应的ACL，或者是做了Portal的双机热备，但Portal同步失败也会导致AC强制下线。但排查配置后发现AC没有做双机热备，且服务器也没有下发Radius属性。

观察抓包发现，三个NTF_LOGOUT都是间隔了5秒发送一次，并且发出去的NTF_LOGOUT都没有得到服务器的回应，所以怀疑是同一个NTF_LOGOUT重传了两次，导致正巧赶上第二次认证成功的时间了，所以碰巧下线的，再回顾Portal的认证报文。

#define PT_NORMAL_REQ_CHALLENGE 0x01 /* Portal Server向BAS发送的Challenge请求报文 */
#define PT_NORMAL_ACK_CHALLENGE 0x02 /* BAS对Portal Server请求Challenge报文的回应报文 */
#define PT_NORMAL_REQ_AUTH 0x03 /* Portal Server向BAS发送的请求报文 */
#define PT_NORMAL_ACK_AUTH 0x04 /* BAS对Portal Server请求认证报文的回应报文*/
#define PT_NORMAL_REQ_LOGOUT 0x05 /* Portal Server向BAS发送的下线请求报文 */
#define PT_NORMAL_ACK_LOGOUT 0x06 /* BAS对Portal Server下线请求的回应报文 或者Portal Server回应BAS的下线请求报文*/
#define PT_NORMAL_AFF_ACK_AUTH 0x07 /* Portal Server收到认证成功响应报文后向BAS发送的确认报文 */
#define PT_NORMAL_NTF_LOGOUT 0x08 /* BAS发送给Portal Server的，用户被强制下线的通知报文 */
#define PT_NORMAL_REQ_INFO 0x09 /* 信息询问报文 */
#define PT_NORMAL_ACK_INFO 0x0a(10) /* 信息询问的应答报文 */
#define PT_NORMAL_NTF_USERDISCOVER 0x0b(11) /* Portal Server向BAS发送的发现新用户要求上线的通知报文 */
#define PT_NORMAL_NTF_USERIPCHANGE 0x0c(12) /* BAS向Portal Server发送的通知更改某个用户IP地址的通知报文 */
#define PT_NORMAL_AFF_NTF_USERIPCHANGE 0x0d(13) /* Portal Server通知BAS对用户表项的IP切换成功 */
#define PT_NORMAL_ACK_NTF_LOGOUT 0x0e(14) /* Portal Server通知BAS用户强制下线成功 */

跟客户分析清楚原理后，建议客户考虑对以后对其他厂家AC的兼容，建议回应ACK_LOGOUT 0x06即可，客户针对服务器进行调整后问题解决。

由于微信连WIFI认证方式的特殊性，涉及到两次Portal认证，且需要将第一次Portal认证踢下线，所以才诱发此问题，需要服务器对第一次强制下线的报文流程进行回应。建议排查此问题时参考认证流程，每个报文都按照规范来做处理即可解决。