Print

按终端类型匹配接入策略匹配异常

2019-12-05 发表

组网及说明

现场需求:XP操作系统PC禁止接入网络当中,其余操作系统终端可正常接入网络中。

问题描述

在EIA接入服务接入场景中设置了接入条件去匹配终端操作系统,接入策略则设置为禁止接入,但现场使用xp操作系统PC进行认证后,匹配到了默认策略,正常接入网络中,策略匹配异常。

过程分析

1、终端识别并根据终端类型使用不同策略是需要使用到EIP授权,此时需先检查现场环境是否有注册EIP授权。


2、EIP授权正常后,检查接入条件中终端操作系统分组设置是否正确



3、接入策略配置正确后,检查上线成功后该终端管理里终端识别的操作系统类型是否为xp系统



终端管理中该终端为通过inode进行认证上线,且正常识别操作系统类型为xp,但实际未匹配到接入场景里的接入策略,而是使用接入服务里的缺省策略认证上线。


以上配置检查完成后,确认配置皆无异常,操作系统类型也正常识别后,可通过查看EIA的debug日志进行确认。

%% 2019-12-04 10:52:50.120 ; [LDBG] ; [16964] ; LAN ; bDILFRABZncuHhlrLVMrfjb1TEM=  111 ; 1 ; 65c19233979b4cbfb10275f3c3067d32 ; Received message from 21.44.60.153:

CODE = 1.

ID = 73.

ATTRIBUTES:

         User-Name(1) = "..bDILFRABZncuHhlrLVMrfjb1TEM=  111".

         Password(2) = "$$$".

         NAS-IP-Address(4) = 355220633.

         NAS-Identifier(32) = "B-HLHRA-PORTAL-DS01".

         NAS-Port(5) = 0.

         NAS-Port-Id(87) = "0000000000000000".

         NAS-Port-Type(61) = 15.

         Service-Type(6) = 2.

         Framed-Protocol(7) = 255.

         Calling-Station-Id(31) = "00-00-00-00-00-00".  (终端mac地址携带属性,可发现该属性携带的mac地址为空)

         Acct-Session-Id(44) = "1191104104677b95b000".

         Framed-IP-Address(8) = 355206049.

         hw_Connect_ID(26) = 22753280.

         hw_Product_ID(255) = "H3C SR6602-X".

         hw_IP_Host_Addr(60) = "21.44.3.161 00:00:00:00:00:00".

         hw_Nas_Startup_Timetamp(59) = 1519641569.

         hw_User_Notify(61) = "..O2JeExZUNiB5TkxtKwZ7KSklLQ4=".

通过查看EIA的radius code =1 认证请求报文可发现,该报文中携带的终端mac地址为空,导致EIA和终端类型中记录的终端信息无法进行匹配,从而无法确认该终端的操作系统是否为xp,终端类型无法确认,从而以缺省策略进行认证。

解决方法

因设备侧携带的终端mac地址为空,EIA查询终端表项时,无法使用mac地址进行匹配,导致终端类型匹配识别,无法识别操作系统类型,则以缺省策略进行上线。需联系设备侧确认mac地址为空的具体原因。