提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

AD域及radius密码认证不成功的可能原因和排错思路概述

|

问题描述

现象1:结合LDAP外部服务器做用户密码认证失败
现象2:结合radius外部服务器做用户密码认证失败

告警信息

可能原因
第三方产品&环境问题
1、AC和ad域或者radius服务器通信异常
2、ad域或者radius服务器返回的认证失败信息,常见的AD帐号不可用的可能原因未:终端用户输入的Microsoft AD域帐号错误、帐号或密码已过期、帐号被锁定



功能配置错误
1、用户绑定关系错误
2、用户数超过设备限制
3、认证进程异常
4、认证策略配置了用户限制登陆

有效排查步骤

排查思路
1、在【认证服务器】检查配置是否正确,测试有效性是否成功(测试和ad域或者radius服务器的连通性)
2、在【认证策略】检查认证策略是否选择了正确的ldap服务器
3、在检查故障监控中心中的用户认证故障排查确认具体原因(一般为绑定错误导致,需在【用户绑定】和【IP/MAC绑定】处检查ldap用户是否启用了绑定功能,如果启用了,需要核对该用户与ip或Mac的绑定关系是否正确)
4、查看认证策略的认证后处理高级选项是否开启了不合理的登录限制
5、域用户有无在域里面绑定计算机名
6、内网上网的数据是否双向经过设备
7、查看右下角小喇叭是否有用户数超出平台限制的报错
8、查看在线用户数是否一直维持在一个数量保持不变
9、抓取外部服务器和ac的交互包看认证包是否发出以及对端回包情况(AC与域服务器通信端口为389端口)

根因

非windows ad域认证处理逻辑
1、对非windows AD域的ldap认证,我们先用xxx@[color=rgb(0, 104, 189)!important]dc.xx.xx.com这种格式发认证请求,如果校验失败。
2、则再用上一个用户的dn拼接当前用户的username,即uid=xxx,cn=xxx,dc=xxx这种格式发认证请求。
3、如果这种再校验失败,则去ldap服务器发一次Search请求,去查询username的dn路径即entry,Search不到则认证失败,Search到了就用search到的dn去发起bind请求。如果bind失败则表示此次ldap认证失败。

解决方案

联系技术支持建议提供以下信息
1、故障现象描述:
2、故障发生时间:
3、故障影响范围:
4、故障前做过的操作:
5、设备部署模式及网络拓扑:
6、设备详细版本信息:
7、排查过程的配置截图:
8、如果抓取了数据包提供对应抓包条件和相关数据包文件:

操作影响范围


我要分享
文档编号: 221785
作者: admin
更新时间: 2023-05-10 17:57
适用版本: