【案例】 用户认证不成功,提示“用户已在线,不需要再次认证”
【背景】 1.用户连ssl vpn 后访问内网服务器。配置了l3vpn资源,用户会分到一个虚拟 IP地址 2.访问内部服务器时,会弹出认证页面,提示用户需要认证 3.认证时提示“用户已在线,不需要再次认证”。在AC的在线用户里根据IP地址搜索,看到此IP的确已在线
4.再访问内部服务器,还是弹出认证页面,提示用户需要认证 5.将虚拟IP地址全局排除/直通,还是不行
【环境】 沟通拓朴,了解到SSL VPN为某公司的SSL设备,部署在AC的LAN口方向。 需要访问的服务器是在AC的WAN口方向 因设备分属不同的人维护,SSL VPN里的配置没有看到
【排查】 在AC设备上抓包,抓虚拟IP地址和服务器IP地址交互的数据包。终端再访问的时候 ,在AC设备上并没有抓到。怀疑访问服务器时,并不是虚拟IP地址去访问的。 推测:访问服务器是使用的TCP资源 。此时源IP 地址是SSL VPN设备的IP地址 访问AC控制台是使用的L3 VPN资源。此时源IP地址是虚拟IP 因看不到SSL VPN里的配置,无法最终确认。
【解决方案】 在AC里将SSL VPN的地址全局排除后,问题解决。 |