技术文档
当前位置:技术文档

S5130S-HI交换机802.1X使用windows客户端认证异常经验案例

来源:未知 时间:2020-09-16 14:24
 

    现场使用S5130S-HI系列交换机,结合第三方RADIUS服务器,进行终端电脑的有线802.1X认证,电脑直连交换机进行认证,但是发现认证通过后电脑无法正常上网,电脑使用的是windows自带的客户端进行的认证

  过程分析首先我们查看设备侧802.1X相关配置,可以看到现场使用的是EAP中继方式,但是配置上没有什么明显问题,且交换机与RADIUS服务器互ping可以通信。因为现场处于开局状态,只使用一个口进行测试,于是让现场直接收集debugging dot1x all和debugging radius all的信息,查看一下debug信息,观察是否是服务器的问题导致认证失败。

  #

  dot1x

  dot1x authentication-method eap

  #

  radius scheme sensetimeradius

  primary authentication 10.151.1.248

  primary accounting 10.151.1.248

  key authentication cipher $c$3$VlUaBXvVhtV5Nna57g9popb7m+8SQ4MhU4Kxp8hnsQ==

  key accounting cipher $c$3$DhTobwxPpFz1WP1ZPkMr5nrNt0XxWRUD64W0P+edAQ==

  user-name-format without-domain

  #

  domain sensetimeradius

  authentication lan-access radius-scheme sensetimeradius

  authorization lan-access radius-scheme sensetimeradius

  accounting lan-access radius-scheme sensetimeradius

  #

  interface GigabitEthernet1/0/6

  stp edged-port

  dot1x

  dot1x mandatory-domain sensetimeradius

  dot1x port-method portbased

  #

  查看debug信息,截取其中片段可以发现,交换机有发送EAP报文,并且有收到终端的响应:

  *Aug 19 16:58:09:617 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF DOT1X/7/EVENT: Sending EAP packet: Identifier=2, type=1.

  *Aug 19 16:58:09:618 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF DOT1X/7/PACKET:

  Transmitted a packet on interface GigabitEthernet1/0/6.

  Destination Mac Address=c8f7-503f-f1be

  Source Mac Address=743a-208a-f02f

  VLAN ID=1

  Mac Frame Type=888e

  Protocol Version ID=1

  Packet Type=0

  Packet Length=5.

  -----Packet Body-----

  Code=1

  Identifier=2

  Length=5.

  *Aug 19 16:58:17:134 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF DOT1X/7/PACKET:

  Received a packet on interface GigabitEthernet1/0/6.

  Destination Mac Address=0180-c200-0003

  Source Mac Address=c8f7-503f-f1be

  Mac Frame Type=888e

  Protocol Version ID=1

  Packet Type=0

  Packet Length=15.

  -----Packet Body-----

  Code=2

  Identifier=2

  Length=15.

  查看RADIUS交互,发现交换机是有将认证请求报文成功发送至RADIUS服务器的:

  *Aug 19 16:58:17:173 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/PACKET:

  User-Name="zhangyibin"

  NAS-Identifier="ASCNHZTR-AS-S5130S-29FA-02-IRF"

  EAP-Message=0x0202000f017a68616e67796962696e

  Message-Authenticator=0x00000000000000000000000000000000

  Framed-MTU=1450

  Framed-Protocol=PPP

  Called-Station-

  NAS-Port-Type=Ethernet

  H3c-Ip-Host-Addr="0.0.0.0 c8:f7:50:3f:f1:be"

  Calling-Station-

  H3C-NAS-Port-Name="GigabitEthernet1/0/6"

  NAS-Port=16801793

  NAS-Port-

  H3c-AVPair="nas:ifindex=6"

  Acct-Session-

  Service-Type=Framed-User

  NAS-IP-Address=10.156.1.5

  H3c-Product-

  H3c-Nas-Startup-Timestamp=1597820936

  *Aug 19 16:58:17:175 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF DOT1X/7/EVENT: AAA processed authentication request: Result=Processing, UserMAC=c8f7-503f-f1be, VLANID=1, Interface=GigabitEthernet1/0/6.

  *Aug 19 16:58:17:175 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Sent request packet successfully.

  后续设备有成功接收到RADIUS服务器的回应报文:

  *Aug 19 16:58:17:177 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Sent request packet and create request context successfully.

  *Aug 19 16:58:17:177 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Added request context to global table successfully.

  *Aug 19 16:58:17:177 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Processing AAA request data.

  *Aug 19 16:58:17:211 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Reply SocketFd recieved EPOLLIN event.

  *Aug 19 16:58:17:212 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Received reply packet succuessfully.

  *Aug 19 16:58:17:212 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Found request context, dstIP: 10.151.1.248, dstPort: 1812, VPN instance: --(public), socketFd: 77, pktID: 127.

  *Aug 19 16:58:17:212 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: The reply packet is valid.

  *Aug 19 16:58:17:213 2020 ASCNHZTR-AS-S5130S-29FA-02-IRF RADIUS/7/EVENT: Decoded reply packet successfully.

  至此,发现debug信息中没有明显的报错信息,结合现场反馈的是认证显示的是通过,但是很快电脑就显示“身份验证失败”无法上网,怀疑跟认证客户端有关,于是让现场使用inode客户端进行802.1X认证来测试。现场测试后反馈,使用inode客户端可以正常进行认证,且终端能一直保持正常上网,因此可以断定非设备配置问题,而是windows自带客户端导致。

  解决方法设备在配置802.1X认证时,会缺省开启在线用户握手功能, 开启设备的在线用户握手功能后,设备会定期(时间间隔通过命令dot1x timer handshake-period设置)向通过802.1X认证的在线用户发送握手请求报文(EAP-Request/Identity),以定期检测用户的在线情况。如果设备连续多次(通过命令dot1x retry设置)没有收到客户端的应答报文(EAP-Response/Identity),则会将用户置为下线状态。

  让现场undo dot1x handshake后,现场反馈使用windows客户端可以正常通过认证且用户不会很快出现下线情况。这是因为部分802.1X客户端不支持与设备进行握手报文的交互,因此建议在这种情况下,关闭设备的在线用户握手功能,避免该类型的在线用户因没有回应握手报文而被强制下线


上一篇:什么是fat,fit和云AP?
下一篇:华为S5720交换机视频业务卡顿故障解决
电子标识编号:20181009000069

售前客服

售前客服

电话:028-83252151

传真:028-85259033

咨询热线:15378180513
在线客服