zhiliao_Gixe
九段
对于H3C无线控制器5540H没有Test-AAA功能的情况，可以通过以下方式测试与亿格云Radius服务器的连通性和认证功能：
1. 测试网络连通性
bash
ping radius服务器IP
确保控制器能ping通Radius服务器。
2. 检查Radius配置
bash
display radius scheme
display radius scheme 名称
确认Radius服务器IP、端口（默认1812/1813）、共享密钥配置正确。
3. 使用debug观察认证过程
bash
debugging radius packet
terminal debugging
terminal monitor
然后让终端尝试连接无线网络，观察Radius报文交互情况。
4. 查看Radius统计信息
bash
display radius statistics
查看请求/响应/超时计数，判断是否有报文发出和收到响应。
5. 检查认证失败原因
bash
display aaa online-fail-record
查看在线失败记录，分析认证失败的具体原因。
6. 模拟认证测试
如果没有Test-AAA，可以创建一个测试SSID，配置相同的认证方式，用测试终端连接，通过debug和日志观察认证过程。
7. 检查服务器侧日志
在亿格云Radius服务器上查看是否有来自控制器的认证请求日志，确认报文是否到达服务器。
关键排查点：
确认共享密钥一致
确认认证端口（默认1812）和计费端口（默认1813）配置正确
确认Radius服务器已添加控制器为NAS客户端
检查防火墙是否放行Radius端口
1. 测试网络连通性
bash
ping radius服务器IP
确保控制器能ping通Radius服务器。
2. 检查Radius配置
bash
display radius scheme
display radius scheme 名称
确认Radius服务器IP、端口（默认1812/1813）、共享密钥配置正确。
3. 使用debug观察认证过程
bash
debugging radius packet
terminal debugging
terminal monitor
然后让终端尝试连接无线网络，观察Radius报文交互情况。
4. 查看Radius统计信息
bash
display radius statistics
查看请求/响应/超时计数，判断是否有报文发出和收到响应。
5. 检查认证失败原因
bash
display aaa online-fail-record
查看在线失败记录，分析认证失败的具体原因。
6. 模拟认证测试
如果没有Test-AAA，可以创建一个测试SSID，配置相同的认证方式，用测试终端连接，通过debug和日志观察认证过程。
7. 检查服务器侧日志
在亿格云Radius服务器上查看是否有来自控制器的认证请求日志，确认报文是否到达服务器。
关键排查点：
确认共享密钥一致
确认认证端口（默认1812）和计费端口（默认1813）配置正确
确认Radius服务器已添加控制器为NAS客户端
检查防火墙是否放行Radius端口
前置：亿格云 RADIUS 基础配置（参考）
system‑view
#1、创建radius方案，填写亿格云服务器IP、端口、密钥
radius scheme yige‑cloud
primary authentication x.x.x.x 1812
primary accounting x.x.x.x 1813
key authentication simple "共享密钥"
key accounting simple "共享密钥"
nas‑ip A.B.C.D #❗重要：AC访问RADIUS源IP，亿格云需要把该IP加入RADIUS客户端白名单
user‑name‑format without‑domain
quit
#2、ISP域绑定radius方案（802.1X）
domain yige‑isp
authentication lan‑access radius‑scheme yige‑cloud
authorization lan‑access radius‑scheme yige‑cloud
accounting lan‑access radius‑scheme yige‑cloud
quit
#3、全局开启EAP中继（无线802.1X PEAP‑MSCHAPv2必备）
dot1x authentication‑method eap
#4、无线服务模板调用该域
wlan service‑template dot1x‑ssid
ssid YIGE‑WIFI
client‑security authentication‑mode dot1x
dot1x domain yige‑isp
service‑template enable
亿格云侧必须添加 AC 的
nas‑ip作为 RADIUS 客户端，共享密钥完全一致，放行 UDP 1812/1813端口。
方案一：NQA RADIUS 探测（推荐，模拟 RADIUS 认证报文）
NQA 可以模拟发送 Access‑Request 报文，完成业务层面连通性探测，代替 test‑aaaH3C。
#1、创建NQA模板，填写亿格云服务器IP、测试账号（亿格云提前建好该测试用户）
nqa entry admin testradius
type radius
radius‑server ip x.x.x.x 1812
username testuser
password simple testpass123
frequency 10000
reaction 1 checked‑element probe‑failure threshold 2 action‑type none
quit
#2、启动探测
nqa schedule admin testradius start‑time now lifetime forever
#查看探测结果
display nqa result admin testradius
display nqa history admin testradius
- 返回
Success：网络可达、密钥协商正常；账号对错不代表业务全部通，代表 UDP1812 报文双向交互正常。 - 返回
Timeout：防火墙拦截 UDP1812/1813、路由不通、服务器未将 AC 加入客户端白名单。
测试完成记得
undo nqa entry admin testradius关闭探测。
方案二：RADIUS 服务器自动状态探测（无需额外用户，仅探测可达）
V7 RADIUS 方案自带服务器存活探测，周期性发送探测报文刷新服务器 Active/Blocked 状态H3C。
radius scheme yige‑cloud
server‑probe username probeuser #用户名随便填，服务器不需要该账号，仅做探测报文
server‑probe interval 10
server‑probe retry 3
quit
#查看服务器状态：State为Active代表服务器收到报文；Blocked代表无响应
display radius‑server configuration template yige‑cloud
⚠️该探测报文只是空探测，不能校验共享密钥是否正确，仅判断 UDP 报文能否到达服务器。密钥错误情况下服务器也会返回 Blocked。
方案三：Debug 抓报文，看 AC 和亿格云交互报文（故障定位最强）
生产环境尽量业务低峰开启 debug，测试完成务必关闭 debug！
terminal debugging
terminal monitor
debugging radius packet
#拿一台无线终端连接SSID做802.1X认证，观察控制台打印radius报文交互
#测试结束关闭debug
undo debugging all
观察关键点：
- AC 发出 Access‑Request，收到 Access‑Reject：网络通，密钥、账号、服务器客户端配置其中一项错误；
- AC 发出 Access‑Request，完全无回复：UDP 报文被防火墙丢弃，路由 / 安全策略问题；
- 完全没有发出 RADIUS 报文：ISP 域、service‑template 配置错误，没有调用 RADIUS 方案。
方案四：基础网络连通性排查（前置检查）
ping x.x.x.x #检查三层IP连通，ping通≠RADIUS业务通，ping用ICMP，RADIUS是UDP1812/1813
display radius‑server statistics template yige‑cloud
很多场景 ICMP 通，但防火墙拦截 UDP1812/1813，RADIUS 业务不通，ping 只能做初步参考，不能作为 RADIUS 业务可用依据H3C。
方案五：真实无线终端测试（最终验证）
配置完成后，拿手机 / 笔记本连接 802.1X SSID，填入亿格云账号密码。
- 认证弹出拒绝：报文可达，账号 / 密钥 / NAS‑IP 白名单问题；
- 一直转圈超时：UDP 报文丢包，防火墙 / 安全策略拦截。
常见对接踩坑点（亿格云 RADIUS）
- NAS‑IP 问题：亿格云 RADIUS 客户端白名单，必须填写 AC 发送 RADIUS 报文的源 IP（radius 下
nas‑ip），填错服务器直接丢弃报文，无任何返回； - 中间防火墙 / 安全组放行 UDP 1812（认证）、1813（计费），不要只放 ICMP；
- 密钥严格一致，区分大小写，不要有多余空格；
- 无线 802.1X 必须开启
dot1x authentication‑method eap，否则 PEAP 类型账号直接认证失败； user‑name‑format without‑domain，亿格云一般不需要携带域名后缀。
收集信息，定位故障
排查时收集以下输出：
display radius‑server configuration template yige‑cloud
display radius‑server statistics template yige‑cloud
display nqa result admin testradius
display current‑configuration | include radius\|dot1x\|domain
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明