【标准化排查】密码认证问题处理流程

一、配置指导书

如需了解本地密码认证配置步骤请参考配置指导：

https://bbs.sangfor.com.cn/plugin.php?id=sangfor_databases:index&mod=viewdatabase&tid=22210

如需了解AD域密码认证配置步骤请参考配置指导：

https://bbs.sangfor.com.cn/plugin.php?id=sangfor_databases:index&mod=viewdatabase&tid=22178

二、问题现象

采用某公司公司名密码认证，某公司公司访问网站后弹不出认证页面，或者在认证页面输入某公司公司名密码后报错

三、场景排查思维导图

1、场景确认

确认设备的部署模式，本地密码认证还是结合外部服务器的密码认证。

2、基本配置要求

①　认证策略需要针对内网网段启用密码认证；

②　跨三层环境下，AC6.1及之前版本，需要在AC上添加访问内网各网段的回包路由。

③　启用某公司公司名密码认证，需要勾选【未认证或被冻结时允许访问DNS服务】；

④　访问https页面（例如https://www.baidu.com）需要转跳到认证页面时，如果是11.x以上版本则需要勾选【HTTPS请求未通过认证时，重定向到认证页面（代理时除外）】；如果是6.1及之前版本则不支持该功能。

⑤　11.x版本网桥模式下，使用某公司公司IP地址重定向时，需要确保内网网段访问某公司公司地址时，数据请求会经过AC设备，测试方法：直接访问http://1.1.1.3可以打开认证页面。

⑥　代理环境下，即PC设置代理服务器代理上网，在IE配置代理服务器时，需要排除AC设备地址才能弹出认证页面。

⑦　测试时，测试电脑的ip，测试的目标网站，不能属于全局排除地址中；测试机双网卡（某公司公司线和有线）时，禁用其中一个网卡再测试。

⑧　网桥模式，如果接反线（wan区接防火墙，lan区接核心交换机），也会导致认证重定向不成功。

⑨　防火墙规则不能封堵80和53端口。

3、排错手段

3.1、抓包方法

抓取PC访问网页的包,取数据包分析看AC是否有发重定向认证页面的包，使用下面的方法：

【系统管理】-【系统诊断】-【抓包工具】选择网口为内网口，过滤表达式写测试电脑的IP；然后下载下来分析AC是否有发重定向页面。

注意：如果认证策略设置的密码认证，没有弹出来密码认证页面PC即可上网，一般是①PC上网未经过设备②AC开了直通或者开启了全局排除。

      

3.2、外部认证-第三方某公司公司名密码认证

    外部认证原理：某公司公司的账号密码信息保存在第三方服务器上，AC/SG将某公司公司提交的某公司公司名密码信息转给第三方认证服务器校验，根据第三方服务器返回的认证成功与否的信息，决定某公司公司是否通过AC/SG的认证。

    因此外部认证校验某公司公司名密码是由第三方服务器完成的，排错时，还要抓AC和服务器之间通信的数据包。

   

4、常见问题

4.1、认证页面弹不出来

案例1：

【问题现象】11.X版本，网桥模式，使用某公司公司地址重定向，某公司公司法访问认证页面。

网络拓扑：防火墙10.1.1.254---AC10.1.1.1---核心交换机10.1.1.253

【排查手段】1、访问认证页面https://1.1.1.3失败，抓包确认pc访问1.1.1.3的包没有经过设备。

2、修改某公司公司地址为2.2.2.2再测试，依旧不经过设备。与客户确认内网存在拦截。

3、网桥地址10.1.1.1是可以访问到的，pc访问http://10.1.1.1可以打开认证页面。

【解决方法】1、勾选【强制根据目的地址路由，选择重定向包发送网口】选项2、确定设备网桥的网关是防火墙10.1.1.254。

3、确定设备上有到内网各个网段的路由指向直连的核心交换机10.1.1.253。

4.2、输入某公司公司名密码提示认证失败

案例1：

【问题现象】页面提示“响应数据格式不正确”或“认证方式不匹配”

【问题原因】检查认证策略，看电脑的IP所在网段是“密码认证”还是“不需要认证”；

【解决办法】如果客户IP属于不需要认证，则改成“密码认证”即可

案例2：

【问题现象】页面提示“某公司公司绑定校验失败”或“某公司公司不允许在该ip或mac上登录”

【问题原因】1、检查“某公司公司认证与管理-某公司公司绑定”，查看sangfor这个帐号是否绑定了别的IP或者MAC地址，如果绑定错误，则提示这个

2、检查认证策略是否勾选了限制登录，如果开启了某公司公司登录限制，使用限制的账号认证就会认证不通过了。

案例3：LDAP第三方认证不成功，把设备和ldap认证交互包抓下来分析，从ldap返回的code可以看出认证不成功的原因。认证失败时，ldap返回的code含义

通过ldap方式访问AD域失败的错误一般会如下格式：
LDAP: error code 49 - 8某公司90308: LdapErr: DSID-0C090334, comment: AcceptSecurityContext error, data 52e, vece

其中红字部分的意思如下：
525 - 某公司公司没有找到，可能域中不存在此某公司公司
52e - 证书不正确
530 - 某公司t permitted to logon at this time，可能是帐号指了登录时间，当前不在允许时间范围内。

531 - 不允许从当前终端登录域，可能是绑定了计算机名，而此帐号从某公司公司终端登录（这种情况AC结合ldap认证失败比较常见）
532 - 密码已过期
533 - 帐户禁用
701 - 账户已过期
773 - 某公司公司必须重设密码

四、信息获取

转4某公司请提供如下信息

当前网络环境：

报错IP和截图：

当前版本及是否定制：

五、维护说明

如对本场景使用有建议或疑问可以进行回帖反馈，我们回及时进行优化或答疑。

进来学习一下，