S9500交换机使用正确的用户名/密码仍然不能使用网络问题处理方法

S9500交换机使用正确的用户名/密码仍然不能使用网络问题处理方法

 

一、故障处理流程

         

图一、使用正确的用户名/密码仍然不能使用网络故障处理流程

二、故障处理步骤

1）步骤 1

    检查网络是否正确连接，使用ping确保到SERVER的链路畅通。确认网络连接正常，请转步骤2。

2）步骤 2

    通过命令display domain 查看用户默认域设置。

<S9500>dis domain

0  Domain = system

   State = Active

   Scheme = LOCAL  Access-limit = Disable

   Vlan-assignment-mode = Integer

   Domain User Template:

   Idle-cut = Disable

   Self-service = Disable

 

1  Domain = test

   State = Active

   RADIUS Scheme = cams  Access-limit = Disable

   Vlan-assignment-mode = Integer

   Domain User Template:

   Idle-cut = Disable

   Self-service = Disable

 

Default Domain Name: system

Total 2 domain(s).2 listed.

需要检查用户输入的用户名是否带有域名，客户端是否支持交换机上设置的认证方式。

3）步骤3

    检查交换机上是否有相应的domain，此domain是否选择了正确的radius或者hwtacacs方案。

    根据步骤2中可以查看用户配置的默认域为system，使用的认证方案是 local，表示使用本地认证。

    域使用的认证方案可以有local，radius认证方案，hwtacacs认证方案。

    如果使用local认证，则请确认设备上配置相应的用户。

    如果使用radius方案，则使用如下命令查看该radius方案的配置：

    查看radius方案cams的配置

<S9500>dis radius cams

SchemeName  =cams                             Index=2    Type=standard

Primary Auth IP  =192.168.80.80    Port=1812   State=active

Primary Acct IP  =192.168.80.80    Port=1813   State=active

Second  Auth IP  =0.0.0.0          Port=1812   State=block

Second  Acct IP  =0.0.0.0          Port=1813   State=block

Auth Server Encryption Key= hello

Acct Server Encryption Key= hello

Accounting method = required

ResponseTimeOut(in second)=3 RetryTimes=3 RealtimeACCT(in minute)=12

Permitted send realtime PKT failed counts       =5

Retry sending times of nonresponse acct-stop-PKT=500

Source-IP-address                               =0.0.0.0

Quiet-interval(min)                             =5

Username format                                 =without-domain

Data flow unit                                  =Byte

Packet unit                                     =1

如果使用hwtacacs认证方案，则使用如下命令进行查看

<S9500>dis hwtacacs hwt

  ---------------------------------------------------------------------------

  HWTACACS-server template name   : hwt

  Primary-authentication-server   : 192.168.0.23:49

  Primary-authorization-server    : 192.168.0.23:49

  Primary-accounting-server       : 192.168.0.23:49

  Secondary-authentication-server : 0.0.0.0:0

  Secondary-authorization-server  : 0.0.0.0:0

  Secondary-accounting-server     : 0.0.0.0:0

  Current-authentication-server   : 192.168.0.23:49

  Current-authorization-server    : 192.168.0.23:49

  Current-accounting-server       : 192.168.0.23:49

  Source-IP-address               : 192.168.0.1

  key authentication              : hello

  key authorization               : hello

  key accounting                  : hello

  Quiet-interval(min)             : 5

  Response-timeout-Interval(sec)  : 5

  Domain-included                 : No

  Traffic-unit                    : B

  Packet traffic-unit             : one-packet

  --------------------------------------------------------------------------- 

    请确认radius或者hwtacacs方案中的服务器地址，认证密钥，用户名格式，nas-ip，服务类型等配置正确。

4）步骤4

    检查服务器配置是否正确。检查如下几个方面：

    与服务器连接的网络是否畅通，从交换机ping服务器，是否能够ping通，交换机到用户的网络是否连接正常；

    服务器上是否配置了此用户，并为此用户提供认证服务等。如果使用win2k server active directory作为服务器，那么在md5 chap方式认证时，要使用了可逆的密钥保存方式保存用户密钥，在此设置之后必须重新设置用户密码。使用本地认证时，用户必须指定lan-access服务；

    这里需要注意的是 radius服务器的ip及端口是否正确，用户名格式是否正确，是否配置了计费可选，服务器与交换机上的密钥是否一致。察看服务器上是否有黑名单功能，有可能用户输入错误几次密码，被加入黑名单；

    服务器是否允许nas-ip或者虚接口ip作为其客户端，在服务器上设置接收交换机发送的radius，tacacs报文，或者更改交换机上nas-ip为服务器允许的ip作为nas-ip；

    服务器与交换机上配置的密钥必须完全一致，否则重新设置；

    服务上是否开通了相应的服务，服务的端口号要与交换机设置的相同。

[S9500]dis radius

------------------------------------------------------------------

SchemeName  =system                           Index=0    Type=huawei

Primary Auth IP  =127.0.0.1        Port=1645   State=active

Primary Acct IP  =127.0.0.1        Port=1646   State=active

Second  Auth IP  =0.0.0.0          Port=1812   State=block

Second  Acct IP  =0.0.0.0          Port=1813   State=block

Auth Server Encryption Key= huawei

Acct Server Encryption Key= huawei

Accounting method = required

TimeOutValue(in second)=3 RetryTimes=3 RealtimeACCT(in minute)=12

Permitted send realtime PKT failed counts       =5

Retry sending times of noresponse acct-stop-PKT =500

Username format                                 =without-domain

Data flow unit                                  =Byte

Packet unit                                     =1

Total 1 RADIUS scheme(s). 1 listed

[Quidway S8505]dis local-user

The contents of local user addd:

 State:          Active            ServiceType Mask: None

 Idle-cut:       Disable

 Access-limit:   Disable           Current AccessNum: 0

 Bind location:  Disable

 Vlan ID:        Disable

 IP address:     Disable

 MAC address:    Disable

5）步骤5 

    确认对于用户的设置是否正确。检查服务器上是否为用户绑定vlan、端口、mac等，服务器是否设置提供认证服务的时段。如果确认服务器设置正确，请转步骤6。

6）步骤6

    上述步骤无法定位问题，请联系800进一步处理。