11 认证策略故障处理

11.1  终端认证时访问网站不弹认证Portal页面

11.1.1  故障描述：

在设备上配置了认证策略，某终端访问网站时不弹认证页面。

11.1.2  故障处理步骤

(1)     查看认证策略中用户any，源接口，源IP，目的接口，目的IP等匹配条件是否正确匹配。

(2)     检查此终端IP是否加入全局白名单（全局白名单IP报文不匹配任何策略）。

(3)     检查测试时是否超出认证策略中调用的时间范围。

(4)     检查该终端IP对象是否在识别范围内，进入“用户管理>认证管理>高级选项”页面，查看识别范围的配置。

(5)     检查在设备上是否能ping通终端IP，认证Portal需要终端与设备通信，需保证路由可达（设备如果是三层部署，需配置回程路由至核心交换机，设备如果是二层部署，需保证网桥接口地址与终端能够通信，同时保证路径一致）。

(6)     开启访问HTTPS网站弹Portal，通过命令user-policy https-portal enable 开启（开启前可以访问网站进行测试）。

(7)     检查触发弹Portal的网站是否可访问，可通过先禁用认证策略，然后访问该网站。若不正常，请检查终端获取DNS是否正确，NAT和默认路由是否正确（目前设备支持80，443，8080端口的网页访问进行触发）。

(8)     检查设备弹认证页地址与终端IP通信时，是否存在二次过设备，需在认证策略源IP和目的IP          将弹Portal页面地址排除。

(9)     针对部分安卓手机能够弹Portal页面，IOS终端无法自动弹Portal页面情况，可通过命令cna enable 观察是否得到改善，同时使用不同IOS版本的手机对比测试。

(10)     如未解决，请收集设备版本信息、配置文件、一键信息收集，联系售后工程师处理。