iMC EIA执行强制下线命令不生效的解决办法

客户点击接入用户管理-在线用户-强制下线按钮后，iMC提示“对用户强制下线成功，系统已经成功发送断开用户连接的请求，请您稍后查看在线用户列表以确认用户是否已被断开”。但是刷新在线用户后发现用户仍然在线。

无

1、执行iMC强制下线按钮后，服务器会向设备发送Radius 20号报文（该报文为radius私有属性报文），设备收到该报文后会执行下线操作并清空设备在线用户。

2、收集UAM调试日志，查看问题复现时间段的日志截取信息如下所示：

% 2015-11-25 11:17:19.660 ; [L_DEBUG (4)] ; [7476] ; LAN ; $SYS$ ; (NULL) ; (NULL) ; (NULL) ; End ProcLanAcctMsg() successfully.

% 2015-11-25 11:17:20.531 ; [L_DEBUG (4)] ; [5072] ; LAN ; zhangtj ; 1 ; ee3d7680e9374a95bdf5d642c047765c ; (NULL) ; RT[0]: Receive message from 172.28.1.249:

CODE = 1.

ID   = 243.

ATTRIBUTES:

User-Name(1) = "...zhangtj". //认证请求报文

CHAP-Password(3) = "8563e6e3098ed3413a6b7870bb862ac202".

CHAP-Challenge(60) = "e84234e61f450bce8a448c06e2e3fb8b".

NAS-IP-Address(4) = 2887516665.

NAS-Identifier(32) = "DXSJZX-WX-AC-01".

NAS-Port(5) = 16779232.

NAS-Port-Id(87) = "0100000000002016".

NAS-Port-Type(61) = 19.

Service-Type(6) = 2.

Framed-Protocol(7) = 255.

Calling-Station-Id(31) = "68-A0-F6-A5-75-77".

Called-Station-Id(30) = "70-F9-6D-B6-49-60:HBND_WLAN5G".

Acct-Session-Id(44) = "11510251116c1b550".

Framed-IP-Address(8) = 2887015916.

hw_Connect_ID(26) = 9510.

hw_Product_ID(255) = "LSU3WCMD0".

hw_IP_Host_Addr(60) = "172.20.93.236 68:a0:f6:a5:75:77".

hw_Nas_Startup_Timetamp(59) = 1423392147.

% 2015-11-25 11:17:20.531 ; [WARNING (2)] ; [5072] ; UAM ; $SYS$ ; (NULL) ; (NULL) ; (NULL) ; [GetProxyType] No domain name.

% 2015-11-25 11:17:20.531 ; [L_DEBUG (4)] ; [5072] ; LAN ; $SYS$ ; (NULL) ; (NULL) ; (NULL) ; chkScenario: (zhangtj) user message is NasIP:2887516665,NasIpv6:,UserIP:2887015916,UserIpv6:,WlanSsid:HBND_WLAN5G,AP:DXSJZX-WX-AC-01.

% 2015-11-25 11:17:20.570 ; [L_DEBUG (4)] ; [8040] ; LAN ; $SYS$ ; (NULL) ; (NULL) ; (NULL) ; Call replyPrivateAttribute() successfully.

% 2015-11-25 11:17:20.571 ; [L_DEBUG (4)] ; [8040] ; LAN ; zhangtj ; 2 ; ee3d7680e9374a95bdf5d642c047765c ; GOECnLCl ; Send message attribut list:

Code = 2  //认证回应报文

ID = 243

ATTRIBUTES:

User-Name(1) = [1]zhangtj

Service_Type(6) = 2

State(24) = GOECnLCl

Termination-Action(29) = 0

Session-Timeout(27) = 86401

Acct-Interim-Interval(85) = 600

hw-Connect-Id(26) = 9510

hw-User-Group(140) = ndvpn-group

hw_User_Notify(61) =

IF_PROXY = 0

IF_DOUBLE_NETCARD = 0

IF_IE_PROXY = 0

CLIENT_SUPPLICANT_MSG = T=2;V=7.10-0305;U=http://10.10.3.4:8080/selfservice/1xdl?userName=zhangtj&fileName=dot1x_update7.1 (e0305).exe;L=66559020;M=46E60D002B460DF77E4EF452F55285E1;E=iNode PC 7.1 (E0305)

FRAMED_IP_SET_MODE = 0

IF_CHECK_MODIFY_MAC = 0

IF_CHECK_SAME_MAC = 0

SERVER_VERSION = V700R003B03D004

EAD_EVENT_SEQ_ID = GOECnLCl

% 2015-11-25 11:17:20.573 ; [L_DEBUG (4)] ; [7880] ; LAN ; zhangtj ; 4 ; 5b9af47bb26e4f4f8bd93d7d020952bd ; (NULL) ; RT[1]: Receive message from 172.28.1.249:

CODE = 4.

ID   = 244.

ATTRIBUTES:

User-Name(1) = "...zhangtj".

NAS-Identifier(32) = "DXSJZX-WX-AC-01".

NAS-Port(5) = 16779232.

NAS-Port-Id(87) = "0100000000002016".

NAS-Port-Type(61) = 19.

Calling-Station-Id(31) = "68-A0-F6-A5-75-77".

Called-Station-Id(30) = "70-F9-6D-B6-49-60:HBND_WLAN5G".

Acct-Status-Type(40) = 1. //计费开始报文

Acct-Authentic(45) = 1.

Acct-Session-Id(44) = "11510251116c1b550".

Framed-IP-Address(8) = 2887015916.

NAS-IP-Address(4) = 2887516665.

Event-Timestamp(55) = 1448450162.

hw_Connect_ID(26) = 9510.

hw_Input_Peak_Rate(1) = 0.

hw_Input_Average_Rate(2) = 0.

hw_Output_Peak_Rate(4) = 0.

hw_Output_Average_Rate(5) = 0.

hw_Priority(22) = 0.

hw_IP_Host_Addr(60) = "172.20.93.236 68:a0:f6:a5:75:77".

分析发现在用户执行强制下线按钮之后iMC并没有收到设备发送的计费结束报文，此时可以在iMC服务器侧进行抓包进行进一步分析，判断iMC是否向设备发送了强制下线报文。

3、抓包分析：

图中红框为iMC向接入设备发送的强制下线报文

强制下线报文具体分析如下所示：

   14 01 00 4e a3 c2 bf 59 76 24 d2 6d 3b ac c8 27

   96 1d d9 48 2c 16 31 31 35 31 30 32 34 31 38 31

34 31 34 62 32 61 62 30 30 30 1a 0c 00 00 07 db

14 06 00 00 00 02 1a 0c 00 00 07 db 1a 06 00 48

50 00 1a 0c 00 00 07 db 18 06 00 00 00 01 

14 01 00 4e a3 c2 bf 59 76 24 d2 6d 3b ac c8 27 96 1d d9 48 --------------这是报文头，长度   20 

根据tlv格式查看后面的属性：

 2c 16 31 31 35 31 30 32 34 31 38 31 34 31 34 62 32 61 62 30 30 30  -----这是acct_session_id（44）属性信息

 1a 0c 00 00 07 db 14 06 00 00 00 02

由于hw_commond（20）是扩展属性，所以放在26号扩展属性中，其中14 06 00 00 00 02对应的是具体的hw_commond属性信息（也根据tlv格式查看）

1a 0c 00 00 07 db 1a 06 00 48 50 00

同上所述，hw_connect_id（26）也是放在26号扩展属性中，其中1a 06 00 48 50 00对应具体的hw_connect_id属性信息 

1a 0c 00 00 07 db 18 06 00 00 00 01

同理， 18 06 00 00 00 01对应具体的hw_Control_Identifier（24） 属性信息

通过以上分析得知，iMC服务器确认给设备发送了强制下线报文，但是为什么仍然有在线用户呢?此时可以在设备进行debug查看设备是否收到强制下线报文。

4、设备Debug信息如下：

*Nov 25 14:25:59:260 2015 DXSJZX-WL-SR6608 DPPORTAL/7/DP_PORTAL_DEBUG: -Slot=4;

 Matched User ACL, Action:Permit.

 IfName=Route-Aggregation1, PortName=, SrcIP=172.28.104.20, DstIP=223.202.19.31, Flow=-1610482987!

*Nov 25 14:25:59:260 2015 DXSJZX-WL-SR6608 DPPORTAL/7/DP_PORTAL_DEBUG: -Slot=4;

 Matched Redirect ACL.

 IfName=Route-Aggregation1, PortName=, SrcIP=172.18.125.31, DstIP=125.39.202.27, Flow=-1610285291!

*Nov 25 14:25:59:260 2015 DXSJZX-WL-SR6608 RDS/7/DEBUG:

[44 Acct-Session-Id             ] [22] [1151024181414b2ab000]

[H3C-20 Command                  ] [6 ] [2]

[H3C-26 Connect_ID               ] [6 ] [4739072]

[H3C-24 Control_Identifier       ] [6 ] [1]

*Nov 25 14:25:59:260 2015 DXSJZX-WL-SR6608 RDS/7/DEBUG:  The source ip(221.192.241.97) of session-control is illegimate.   //提示源ip的控制动作是非法的

*Nov 25 14:25:59:261 2015 DXSJZX-WL-SR6608 DPPORTAL/7/DP_PORTAL_DEBUG: -Slot=4;

 Matched User ACL, Action:Permit.

 IfName=Route-Aggregation1, PortName=, SrcIP=172.18.18.37, DstIP=183.61.167.95, Flow=-1610203009!

*Nov 25 14:25:59:261 2015 DXSJZX-WL-SR6608 DPPORTAL/7/DP_PORTAL_DEBUG: -Slot=4;

 Matched Redirect ACL.

 IfName=Route-Aggregation1, PortName=, SrcIP=172.18.125.31, DstIP=125.39.202.27, Flow=-1610285291!

分析后发现source ip(221.192.241.97)并非imc地址，也不是用户的地址，与现场沟通了解后得知，在iMC和接入设备之间存在防火墙，判断是由于防火墙的某些策略导致imc下发至设备的强制下线命令非法。

1、排查iMC服务器和接入设备之间的中间链路，iMC侧已经给设备下发了强制下线报文，但是设备侧提示源ip动作非法。

2、现场定位后发现是防火墙的某些策略导致的强制下线不生效。

1、iMC UAM日志收集，判断是否有设备发送的计费结束报文

2、iMC服务器测抓包，判断iMC侧是否向接入设备发送了相关命令

3、接入设备Debug收集，查看接入设备是否收到imc发送的命令

4、如以上信息定位后仍然不能判断问题根因，联系二线进行定位