提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

步骤一、检查配置确认配置是否正确

|

问题描述

检查配置确认配置是否正确

解决方案

配置:
1、交换机是否支持802.1x:大致判断方法:全局模式或系统模式或接口模式下尝试输入dot1x ?严格判断方法:收集到客户交换机品牌型号,到交换机厂商官网查看用户手册确认支持802.1x功能。
2、确认接入交换机已进行了正确的配置,包括全局配置和端口配置都正确,共享秘钥。可参考对应的交换机厂家配置指南。参考交换机配置如下:交换机配置生成工具
3、哑终端认证(MAB)需确认存在用户绑定配置和交换机是否开启了MAB认证,且填写绑定的绑定目的是免认证;该绑定关系不能绑定IP不然否者会导致MAB认证不成功。
4.多机环境下802.1x认证配置当前版本暂不同步
5.认证成功后,将终端MAC地址缓存在设备内存中5分钟并查找对应的IP地址,若用户认证不上线情况需检查:
    1)、是否发送了计费报文或者流量经过设备(如果未发送计费报文但流量经过设备的情况,会存在用户注销不了了现象,需要依赖交换机发送注销报文)   
    2)、计费报文中是否携带客户端IP   
    3)、若第二点不携带确认是否配置跨三层且获取到ARP表(跨三层配置是必须的,纯二层环境也需要跨三层才能获取到ip并上线)


网络环境:
1、802.1x认证交互主要依靠UDP端口1812和1813的radius报文,所以在认证不成功的情况下,先要检查AC与三层交换机是否通信正常及抓包确认是否有UDP1812及1813端口的报文。如下:     

2、使用AD域账号进行认证时需确认:  
    1)、AC设备是否加入AD域   
    2)、AC成功加入AD域,但AC设备不能ping通AD域。   
    3)、AD域服务器上445端口是否能通讯   
    4)、查看设备能否正常解析AD域名,可以手动将设备DNS指向AD域DNS   
    5)、详细排查可以参考典型场景:iwa认证失败

我要分享
文档编号: 217683
作者: admin
更新时间: 2023-01-05 17:29
适用版本: