某局点ACG1000不参与认证同步iMC用户失败经验案例分析

无

客户现场有ACG1000的设备作为旁挂审计部署。现场采用的ACG1000不参与portal认证，现场的portal认证是在交换机S10510上面实现的。ACG1000从iMC进行用户同步，方便审计设备里面能够看到真实用户名信息。但是现场反馈流量镜像到ACG1000之后，看到的用户信息都是匿名用户，并且用户名都是以IP地址命名的，说明ACG1000从iMC同步用户失败。

首先我们对现场反馈的ACG1000、iMC的配置进行分析。

1. 分析ACG1000配置

ACG1000不参与认证同步的话配置非常简单，需要注意三个点：

（1）  ACG1000需要配置用户组。通过现场截图发现用户组信息已经配置。

（2）  ACG1000需要配置静态路由能够到iMC网络畅通，并且要求用户上下线同步端口UDP 9999不能被拦截。通过和现场确认ACG1000和iMC之间是能够互相ping通的，并且没有其他安全设备拦截端口。

（3）  需要配置IMC服务器同步上下线用户密钥命令配置，在全局模式下：

ACG（config）# imc-server NAME X.X.X.X SECRET

经过和现场确认，配置确实没有问题。

2. 分析iMC配置

iMC配置需要注意两点：

（1）  用户通知里面需要将通知方式配置为私有报文，并且服务器IP地址为ACG1000的接口地址，端口号默认的9999。共享密钥需要和ACG1000配置的保持一致。

（2）  需要在用户接入管理策略里面将ACG1000上面配置的用户组下发。

经检查配置发现现场没有配置用户组信息下发，让现场将iMC下发用户组之后发现可以在ACG1000上面看到同步过来的用户上下线信息。但是出现S10510上面认证的portal用户隔间几分钟就会出现频繁上线、下线的情况。

3. 分析故障原因

经过分析，现场ACG1000不能同步到iMC的用户组信息是因为iMC没有配置下发用户组信息导致的。但是现场出现了新的portal认证掉线问题，现场表示iMC下发用户组就会出现交换机portal认证用户掉线。这个现象明显是和我们的ACG1000同步用户组是冲突的。

于是需要解决的问题就是iMC肯定需要下发用户组信息，这样ACG1000才可以同步到用户，并且还需要解决S10510交换机的portal认证用户不掉线。

经过分析确认，通常使用IMC与ACG联动同步用户组，此时要求交换机设备直接忽略radius 2号报文（即带有user-group属性的radius报文）。对于此属性报文，在B70平台版本分支(R75XX版本)上，交换机默认响应该属性，但是交换机目前没有用户组的概念，所以会响应失败，此时需要在交换机的radius scheme视图下添加如下配置让其不响应该属性报文：

radius scheme imc

   attribute translate

   attribute reject H3c-User-Group received

现场在交换机配置了上面的命令之后portal用户正常使用，ACG1000同步用户功能也不受到影响。

通过以上的分析，可以确认故障原因为两点：

1．iMC需要下发用户组信息，ACG1000才可以正常同步用户组信息。

2．如果交换机做portal认证，某些平台的交换机会默认响应radius 2号报文（即带有user-group属性的radius报文）。但是交换机目前没有用户组的概念，所以会响应失败，导致portal认证用户异常掉线。此时需要在radius scheme视图下添加如下配置让其不响应该属性报文。