向设备发送请求超时

你遇到的“向设备发送请求超时”是Portal认证中的典型报错，意思是iMC Portal服务器把认证报文发给华为AC后，AC没有回响应。既然Portal页面能弹出，说明重定向是正常的，问题出在后续的认证交互环节。

 核心原因分析

跨厂商对接时，这个问题通常由以下几类原因引起：

1. 网络连通性问题：iMC服务器与华为AC之间路由不可达，或中间有防火墙/ACL拦截了Portal协议报文（UDP 50100端口）。

2. 配置不一致：iMC上添加的设备IP与AC实际发送Portal报文的源IP不一致；或者Portal共享密钥、协议类型两边不匹配。

3. AC未放行iMC服务器：华为AC的ACL或域隔离策略拦截了iMC Portal服务器的IP，或者没有放通Portal通信端口。

4. RADIUS认证问题：AC收到Portal报文后向iMC发起RADIUS认证，但iMC没有回应（例如未添加AC的RADIUS源地址为接入设备）。

5. NAT/回程路由问题：如果终端、AC、iMC之间存在NAT或跨网段，可能导致报文单通，回程路由缺失。

 分步排查指南

建议按以下顺序逐步排查，每一步都有明确的验证方法。

第一步：验证基础网络连通性

这是所有排查的基础，先确保底层网络没有问题。

• AC ping iMC：在华为AC上执行 ping [iMC服务器IP]，确认可达。

• iMC ping AC：在iMC服务器上执行 ping [AC的Portal源IP]，确认回程可达。

• 检查ACL/防火墙：检查AC上的ACL策略，确认没有拦截iMC Portal服务器的IP。华为Portal流程中，PC提交账号密码后，网页会把认证报文发给交换机的TCP 50100端口，AC再转发RADIUS到iMC。如果ACL拦截了iMC服务器IP或TCP 50100端口，网页发请求给AC就会无应答，直接报超时。

第二步：核对iMC与AC的配置一致性

这是跨厂商对接最容易出问题的地方。

• 设备IP地址匹配：在iMC上“用户 > 接入策略管理 > 接入设备管理 > 接入设备配置”中，检查添加的接入设备IP，必须与华为AC实际发送Portal报文的源IP地址一致。华为AC上可以通过 display portal server 查看配置的Portal服务器信息，确认源IP。如果AC上配置了 portal nas-ip x.x.x.x，则iMC上添加的设备IP必须是这个 nas-ip，而不是接口IP。

• 共享密钥一致：iMC接入设备配置中的共享密钥，必须与AC上Portal服务器配置的密钥完全一致。

• Portal协议类型一致：iMC侧Portal设备信息中的协议版本，需要与华为AC支持的Portal协议版本匹配。如果华为AC使用的是CMCC 2.0协议，而iMC配置为CMCC 1.0，可能导致交互失败。可以尝试在iMC的Portal设备信息配置中将版本修改为CMCC 1.0进行测试。

第三步：检查华为AC侧的特殊配置

华为AC有几个特有的配置点需要确认。

• Portal源接口/源地址：华为交换机/AC的Portal认证必须指定portal source-interface（或等价的源地址配置），否则AC回包给终端网页时可能因无路由而丢包超时。可以在AC上执行 display current-configuration | include portal source 确认是否已配置。

• 免认证规则：检查AC上是否配置了Portal免认证规则，iMC服务器的IP通常需要加入免认证规则，否则AC可能会拦截iMC发来的Portal报文。执行 display portal free-rule 查看。

• ACL放行50100端口：确认AC的接口ACL或域ACL中，放通了TCP 50100端口。华为Portal认证中，终端网页与AC的Portal交互固定使用TCP 50100，如果被ACL拒绝，交互会中断超时。

第四步：检查iMC侧RADIUS配置与端口状态

即使Portal报文到达了AC，AC发起RADIUS认证时iMC也可能无回应。

• iMC是否添加了正确的接入设备：iMC的接入设备配置中，必须有以AC的RADIUS报文源地址IP添加的设备条目。AC的RADIUS源地址由 radius scheme 下的 nas-ip 指定，默认为设备上最接近RADIUS服务器的接口IP。

• RADIUS端口1812是否被占用：在iMC服务器上执行 netstat -aon | findstr 1812（Windows）或 netstat -apn | grep 1812（Linux），确认UDP 1812端口没有被其他进程占用。如果有异常占用，需要杀掉占用进程。

• iMC服务状态：登录iMC部署监控代理，确认Portal服务和EIA相关进程状态均为“正在运行”。

第五步：抓包定位超时环节

如果以上配置都确认无误，就需要抓包来确定报文到底停在了哪一步。

• 在iMC服务器侧抓包：过滤条件为 host [AC的Portal源IP] and udp port 50100，确认iMC是否收到了AC的回应。

• 在华为AC侧抓包：确认AC是否收到了iMC发来的Portal报文，以及AC是否向iMC发起了RADIUS认证请求（UDP 1812）。

• 判断逻辑：

  • 如果AC侧抓包看到收到了iMC的Portal报文，但没有向iMC发起RADIUS请求，说明问题在AC的Portal处理环节（可能是免认证规则、ACL或Portal源地址配置问题）。

  • 如果AC发起了RADIUS请求，但iMC没有回应，说明问题在iMC侧（接入设备未添加、密钥不匹配、1812端口被占用）。

大概率是漏配置了radius或者key不对或者portal\radius上未添加设备

1. NAS‑IP（Portal 报文源 IP）问题（最高概率） EIA 接入设备配置里填写的 AC 的 IP，必须是AC 接收 Portal 报文的真实 IP；如果 AC 存在 NAT，EIA 看到的公网 IP 和 AC 真实内网 IP 不一致就会超时。EIA 是用这个 IP 主动回推 Portal 控制报文给 AC。
2. 防火墙 / ACL 拦截 Portal 协议 UDP 50100 端口 EIA 主动向 AC 的 UDP 50100 发送 Portal 控制报文；中间防火墙、AC 自身 ACL 如果拦截该端口，AC 收不到 EIA 下发的上线指令，直接报 “向设备发送请求超时”。注意：RADIUS 是 1812/1813，Portal 推送报文是 UDP 50100，两个端口都要放通。
3. EIA 接入设备配置里，设备共享密钥要和华为 AC 上 portal 密钥完全一致，密钥错误也会该报错。
4. 路由可达校验：从 EIA 服务器要能三层可达 AC 的管理 /portal IP，不能单向通。
5. 版本兼容性：华为 AC6508 为第三方接入设备，EIA 只兼容标准 Portal1.0；不要启用 Portal2.0/3.0 扩展特性。

排查顺序： ①确认 EIA 接入设备填写的 AC IP=AC 接收 Portal 报文真实 IP，排除 NAT； ②中间网络放通 EIA→AC UDP/50100； ③核对两边 portal 共享密钥； ④EIA 服务器 ping AC 的 portal IP，确认双向路由； ⑤EIA 查看 Portal 日志，看是否发出 req‑info 报文。