问题现象
某客户使用AC对接锐捷无线控制器,做802.1x认证,使用域账号认证,确保员工可以用域用户连接WiFi。但配置完成后部分用户提示连接失败,部分用户连接成功。
排查步骤 1,登录AC,观察7天内入网失败用户,过滤802.1x认证,可以看到用户认证失败的原因是用户名密码错误;
2,和客户确认域账号和密码正确,在LDAP对接界面测试账号有效性,或使用portal认证测试,确认账号正确;
3,AC抓包,分别抓取登录正常和登录失败的数据包,确认两次数据包没有丢失; 异常数据包,可以看到request包用户名没有问题: 正常数据包:
4,升级大哥协助,在AC后台测试使用ntlm_auth --username=XXXXXX --password=XXXXXXX测试账号有效性;
5,经分析,是客户对部分域用户开启了限制登录计算机,所以导致用户认证失败;
6,客户允许测试账号登录主机为AC的计算机名(我这里是sangforac-4679)后,等待10分钟测试正常;
结论 802.1x对接域用户认证逻辑上是终端提交用户名和密码到AC,AC转发用户名和密码到AD域控,所以在AD域控看到的用户登录主机为AC的计算机名。故如果客户需要限制域用户登录主机,需要提前放通AC的计算机名。 |