#干货满满##原创分享#AC旁路部署IP&MAC绑定失效

问题背景：
接到客户反馈，AC版本13.0.62旁路部署，IP&MAC地址绑定失效

问题现象：

AC通过IP&MAC地址绑定了测试机IP与MAC地址，测试机修改IP后，还是可以正常上网，在AC上面入网失败用户，可以看到已经识别为校验失败了。

排查思路：
1、确认镜像流量是否全，是否有双向流量
2、确认用户IP&MAC校验是否失败
3、AC是否有发送TCP_reset包

1、在AC设备上针对测试机的IP，进行筛选抓取，发现只有单向流量，只有回包，没有请求包。
由于只是镜像了上联口，同时客户内网存在双核心，所以怀疑镜像不全，反馈客户进行排查。

2、经过客户检查后，确认流量镜像完全，同时发现不筛选IP的话，可以抓到双向流量。进一步分析后
确认原因是客户的请求包发送的时候是带有Vlan_id的，因此AC直接筛选IP，是无法抓取vlan报文的。
如果需要抓取vlan报文，带vlan的包抓包时要写vlan and host +IP。这里踩了一个坑，浪费了很多时间，导致一直以为是镜像不全导致的

3、AC抓包发现AC并没有主动发出TCP_reset包，初步判断为AC本身问题，问题上升专家。经过专家确认，该问题为版本机制问题，AC在13.0.47R1版本开始，旁路模式，对于不需要认证的用户不会进行拦截，也不会发送TCP_reset包，需要通过打优化包解决该问题。

4、打包后测试正常，可以准确拦截。

总结：
1、13.0.47R1版本以后，旁路模式不需要认证默认全部放通了，需要打实施优化包解决。
2、抓包的时候，如果有vlan流量，需要通过vlan and host+IP进行抓取，如果直接筛选IP抓取无法抓到。

我在社区摸爬滚打这么多年，所谓阅人无数，就算没有见过猪走路，也总明白猪肉是啥味道的。一看到楼主的气势，我就觉得楼主同在社区里灌水的那帮小混子有着本质的差别，你一定就是传说中的最强技术牛。楼主，是你让我深深地理解了‘人外有人，天外有天’这句话。谢谢你!在看完这帖子以后，我没有立即回复，因为我生怕我庸俗不堪的回复会玷污了这社区少有的帖子。但是我还是回复了，因为觉得如果不能在如此精彩的帖子后面留下自己的网名，那我会遗憾终生的!

感谢分享，学习一下！

多谢分享

感谢分享，学习一下！

g感谢分享                                             

我在社区摸爬滚打这么多年，所谓阅人无数，就算没有见过猪走路，也总明白猪肉是啥味道的。一看到楼主的气势，我就觉得楼主同在社区里灌水的那帮小混子有着本质的差别，你一定就是传说中的最强技术牛。楼主，是你让我深深地理解了‘人外有人，天外有天’这句话。谢谢你!在看完这帖子以后，我没有立即回复，因为我生怕我庸俗不堪的回复会玷污了这社区少有的帖子。但是我还是回复了，因为觉得如果不能在如此精彩的帖子后面留下自己的网名，那我会遗憾终生的!

感谢分享，学习一下！

每天学习一点点，每天进步一点点。

每天学习一点点，每天进步一点点。