某局点结合第三方服务器做微信连WIFI认证,认证原理采用的分两次Portal认证,第一次是临时账户认证通过,认证通过后网络放通,终端拉起微信,在拉起微信后,服务器先将第一次临时账户强制下线,然后再发起第二次以微信信息为用户名的Portal认证,这时也可以认证成功,但随后AC就发起Portal的强制下线报文(Type 8)将用户再次踢下线,问题必现。
第二次Portal认证成功后,AC发了Type 8的下线报文将客户端又强制踢下线。
*Nov 10 15:47:31:891 2017 H3C_wireless_AC PORTAL/7/PORTAL_DEBUG:
Portal send to 10.11.119.138 packet length:16
Portal packet head:
Type:8 SN:360 ReqId:0 AttrNum:0 ErrCode:0 UserIP:10.43.2.0
Portal packet attribute list:
NULL
Portal raw packet:
01 08 00 00 01 68 00 00 0a 2b 02 00 00 00 00 00
在服务器上抓包进行分析: 首先可以看到两次完整的Portal认证,第一次认证成功后,服务器发送了Radius强制下线报文(Disconnect-Request(40)),AC正常响应,且发送Portal强制下线报文(NTF_LOGOUT)下线成功,随后服务器发起第二次Portal认证,并且认证成功,但隔了5秒左右AC又发了Portal的强制下线报文(NTF_LOGOUT)并且还发了两次,导致用户被强制踢下线。
一般上线成功后AC发起强制下线的情况是因为服务器下发了一些不识别的属性,比如下发了ACL,但在AC又没有创建相应的ACL,或者是做了Portal的双机热备,但Portal同步失败也会导致AC强制下线。但排查配置后发现AC没有做双机热备,且服务器也没有下发Radius属性。
观察抓包发现,三个NTF_LOGOUT都是间隔了5秒发送一次,并且发出去的NTF_LOGOUT都没有得到服务器的回应,所以怀疑是同一个NTF_LOGOUT重传了两次,导致正巧赶上第二次认证成功的时间了,所以碰巧下线的,再回顾Portal的认证报文。
#define PT_NORMAL_REQ_CHALLENGE 0x01 /* Portal Server向BAS发送的Challenge请求报文 */
#define PT_NORMAL_ACK_CHALLENGE 0x02 /* BAS对Portal Server请求Challenge报文的回应报文 */
#define PT_NORMAL_REQ_AUTH 0x03 /* Portal Server向BAS发送的请求报文 */
#define PT_NORMAL_ACK_AUTH 0x04 /* BAS对Portal Server请求认证报文的回应报文*/
#define PT_NORMAL_REQ_LOGOUT 0x05 /* Portal Server向BAS发送的下线请求报文 */
#define PT_NORMAL_ACK_LOGOUT 0x06 /* BAS对Portal Server下线请求的回应报文 或者Portal Server回应BAS的下线请求报文*/
#define PT_NORMAL_AFF_ACK_AUTH 0x07 /* Portal Server收到认证成功响应报文后向BAS发送的确认报文 */
#define PT_NORMAL_NTF_LOGOUT 0x08 /* BAS发送给Portal Server的,用户被强制下线的通知报文 */
#define PT_NORMAL_REQ_INFO 0x09 /* 信息询问报文 */
#define PT_NORMAL_ACK_INFO 0x0a(10) /* 信息询问的应答报文 */
#define PT_NORMAL_NTF_USERDISCOVER 0x0b(11) /* Portal Server向BAS发送的发现新用户要求上线的通知报文 */
#define PT_NORMAL_NTF_USERIPCHANGE 0x0c(12) /* BAS向Portal Server发送的通知更改某个用户IP地址的通知报文 */
#define PT_NORMAL_AFF_NTF_USERIPCHANGE 0x0d(13) /* Portal Server通知BAS对用户表项的IP切换成功 */
#define PT_NORMAL_ACK_NTF_LOGOUT 0x0e(14) /* Portal Server通知BAS用户强制下线成功 */
跟客户分析清楚原理后,建议客户考虑对以后对其他厂家AC的兼容,建议回应ACK_LOGOUT 0x06即可,客户针对服务器进行调整后问题解决。
由于微信连WIFI认证方式的特殊性,涉及到两次Portal认证,且需要将第一次Portal认证踢下线,所以才诱发此问题,需要服务器对第一次强制下线的报文流程进行回应。建议排查此问题时参考认证流程,每个报文都按照规范来做处理即可解决。
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作