根据日志定位的具体原因和解决方案

原因一：认证域（ISP Domain）配置错误或缺失（可能性最高）

由于日志中用户名没有带域名（如 220888@domain），交换机会按照以下顺序选择认证域：

1. 端口上配置的强制认证域（Mandatory auth domain）

2. 系统缺省认证域

3. 如果配置了 domain if-unknown，则使用unknown域

4. 如果以上都不存在，认证失败

检查命令：

• 确保存在一个有效的认证域，并且该域下正确配置了RADIUS方案

• 如果用户习惯不输域名，可以配置缺省域或unknown域

• 参考配置：

  domain default enable xxx # 设置缺省认证域

  # 或 domain if-unknown xxx # 设置未知域名用户的认证域

原因二：交换机缺少 authorization lan-access 配置

这是H3C官方知了社区案例中明确指出的问题。当交换机配置了RADIUS认证但没有配置授权方案时，虽然RADIUS服务器认证成功，但交换机侧拒绝用户接入，客户端提示“Rejected by local server”。

检查命令：

解决方案：
在RADIUS方案视图下添加授权配置：

交换机日志显示 authentication failed，但你需要进一步确认是服务器拒绝还是交换机本地处理失败。

检查命令：

• 共享密钥不一致：交换机和RADIUS服务器配置的密钥必须完全一致（区分大小写）

• NAS-IP配置错误：如果交换机有多个IP地址，需要在RADIUS方案中指定源IP

  radius scheme <方案名>

  nas-ip <交换机用于和RADIUS通信的接口IP>
• RADIUS服务器地址配置错误：确认 primary authentication的IP是否正确

原因四：认证方法不匹配

检查命令：

解决方案：
如需使用EAP中继（推荐，支持更安全的PEAP/MSCHAPv2等），配置：

根据日志，还需要确认是“服务器无响应”还是“服务器认证拒绝”。

检查命令：

RADIUS服务器侧需检查：

• 接入设备IP是否已添加到RADIUS客户端列表

• 共享密钥是否与交换机一致

• 用户账号 220888 是否存在、密码是否正确、账号是否过期或被锁定

• 如果服务器返回错误码26，通常表示用户名或密码错误