Print

远程mac+本地portal无感知问题处理经验案例

2020-02-28 发表

组网及说明

远程mac+本地portal无感知认证,radius服务器为windows server 服务器,在服务器上添加用户和mac绑定。



问题描述

第一次连无线时 正常进行portal认证,但是第二次连接无线,仍然弹portal  ,无感知未生效。

过程分析

1、检查配置。portal可以正常认证,说明portal认证配置没有问题;终端第二次上线是一次mac认证,既然又弹出了portal,说明mac认证失败后逃生了,所以需要检查mac认证的相关配置

wlan service-template 2 

 ssid CTG vlan 150 

 client forwarding-location ap 

 client-security authentication-mode mac 

 client-security ignore-Authentication 

 mac-authentication domain test2

#

domain test2

 authentication lan-access radius-scheme test 

 authorization lan-access radius-scheme test 

 accounting lan-access radius-scheme test

 服务模板和domain配置没有问题,mac认证的radius和portal共用,没有问题。

2、从问题现象上看,肯定是mac认证失败导致无感知不生效,因此需要收集debug和抓包,分析mac认证过程。

debugging mac-authentication all

从debug上看,设备正常的发送radius 接入请求报文,服务器也回复了access-accept(2)报文,但是认证被终止

%Jan 9 15:13:43:522 2020 xxxAC-1 STAMGR/6/STAMGR_MACA_LOGOFF: -Username=cc2db7d6xxxx-UserMAC=cc2d-b7d6-xxxx-BSSID=0868-8d8e-xxxx-SSID=xxx-VLANID=150-UsernameFormat=MAC address; Session for a MAC authentication user was terminated.

ac为啥会终止mac认证呢,难道是access-accept 报文中携带的参数有问题?

接下来分析抓包



如上图红色箭头部分,服务器回复的2号报文中携带了一个fiter-id参数,这个参数我们设备上是没有的,也是不认的。所以设备终止了mac认证过程。

所以现在有两个解决办法,1、服务器删除filter-id参数;2、在设备上增加一个用户策略



解决方法

1、服务器侧删除filter-id参数,与客户沟通,该参数是服务器用户组的名称,不能删除

2、那就在设备上添加一个用户策略,问题解决

在系统视图下 user-profile user-aruba