无线802.1认证失败

 1. 如何查看该节点的详细日志？

• 查看上线失败的具体原因：
  执行命令 display aaa online-fail-record。
  在输出信息中，重点查看 Online failure reason（上线失败原因）字段。这里通常会给出比 code=2052 更直白的文字描述，例如提示缺少授权方案、RADIUS 服务器无响应等。
• 查看详细的 802.1x 调试信息（慎用）：
  如果上述命令无法定位，可以在故障复现时打开调试开关（注意：调试信息量极大，建议在业务低峰期操作，并及时关闭）：
  1. 打开调试：debugging dot1x event
  2. 打开终端监视：terminal monitor 和 terminal debugging
  3. 复现用户认证失败的过程，观察终端打印出的实时日志。如果提示 Rejected by local server，则印证了是本地授权配置缺失的问题。

 2. 针对 code=2052 的核心排查与解决方法

• 排查命令： 执行 display radius scheme，查看输出中是否有 authorization lan-access radius-scheme [方案名] 的相关配置。
• 解决方法： 进入 RADIUS 方案视图，补充授权配置。参考命令如下：
  1system-view 2radius scheme [你的RADIUS方案名称] 3authorization lan-access radius-scheme [你的RADIUS方案名称]

• 排查命令： 执行 display domain 查看当前配置的认证域，以及 display dot1x interface [端口号] 查看接口是否绑定了强制认证域。
• 解决方法： 确保存在一个有效的认证域，并且该域下正确引用了你的 RADIUS 方案。如果用户习惯不输域名，可以配置缺省域：
  1domain default enable [你的域名]

贴出你的802.1X相关配置来，单说没法判断

先说结论：code=2052 在 H3C 无线 802.1X 里，就是「AC / 上游设备拒绝添加该无线用户」，原因多是授权 / 域 / AAA/ACL 配置缺失或错误，不是账号密码错。下面直接告诉你：这条日志在哪看、怎么查详细原因、常见根因和排查步骤。
一、code=2052 官方含义（H3C）
plaintext
2052: Device received Add Mobile failure response from upstream
翻译：AP 把终端信息发给 AC / 上游，上游返回 “添加移动用户失败”。
等价于：RADIUS 可能验过了，但 AC / 本地 AAA 没有授权策略，或授权下发失败。
二、你要查的「节点日志」怎么看（必敲命令）
登录 AC 或 核心交换机（做 802.1X 的设备）：
1）看在线失败记录（最关键，直接显示原因）
bash
运行
display aaa online-fail-record
重点看：
User name：哪个用户
MAC address：终端 MAC
Online failure reason：真实失败原因（2052 会对应这里的文本）
2）看详细日志（含 2052 原始日志）
bash
运行
display logbuffer level 7
# 或
display logbuffer | include 2052
3）看无线用户关联 / 认证日志（AC 上）
bash
运行
display wlan client
display wlan ap all
display dot1x session
4）debug 抓过程（复现时用，谨慎）
bash
运行
terminal monitor
terminal debugging
debugging dot1x all
debugging radius all
三、2052 最常见 5 个原因（按概率）
域（domain）下没配置授权方案
症状：RADIUS 认证过了，但域下没有 authorization 配置，AC 不知道放不放行。
bash
运行
domain system
authentication lan-access radius-scheme radius1
authorization lan-access none # 这里应该是 radius-scheme 或 local
RADIUS 服务器没下发授权属性（ACL/VLAN/ 用户组）
比如 iMC/SAM 上用户没绑定 VLAN、ACL，或下发的 ACL 在 AC 上不存在。
AC 上 AAA 授权配置错误
bash
运行
aaa authorization lan-access default group radius
没配、配错组、或 radius-scheme 名字不对。
CAPWAP 隧道不稳 / AP 与 AC 控制通道丢包
表现：AP 发 Add Mobile，AC 没回应或回应异常，导致 2052。
终端重复上线、旧会话残留
同一 MAC 频繁上下线，AC 表项满或状态异常，拒绝新接入。
四、快速排查步骤（直接照做）
display aaa online-fail-record → 看 Online failure reason 写的啥。
检查 domain 配置：认证、授权是否都调用正确 radius-scheme。
检查 RADIUS 服务器（iMC）：用户是否启用、是否绑定 VLAN/ACL、密钥是否和 AC 一致。
AC 上检查 ACL 是否存在（服务器下发的 ACL 编号必须在 AC 上有）。
检查 CAPWAP 隧道：display wlan ap all 看 AP 状态是否 Run、隧道是否 Up。
五、给你一句最实用总结
2052 = 认证过了，但授权没过 / 没下发。
优先看：display aaa online-fail-record → 原因字段直接告诉你是缺授权、ACL 不存在、还是域配置错。