【SU/SA客户端】SU认证失败，认证历程卡在“寻找认证服务器”阶段

宣布时间：2013-11-23

点击量：7302

1、故障征象
启动SU认证后失败，认证的时间卡在“寻找认证服务器”阶段。

2、故障可能缘故原由
客户端到认证交流机之间的线路中止
认证交流机设置不准确
3）认证交流机无法响应802.1X报文

3、故障处置惩罚流程
97国际·(中国区)集团官方网站

4、故障处置惩罚办法

办法1 检查客户端到认证交流机的线路是否中止
1. 该问题有可能泛起在客户端未直接毗连认证交流机，而是通过中心装备毗连的网络情形中，网络拓扑一样平常如下图所示：

97国际·(中国区)集团官方网站

2. 如上图所示，故障点有两个位置，首先需要凭证视察故障用户操作系统的网卡状态，看是否在认证客户端到傻瓜交流机之间的链路是否稳固，若是经常泛起网卡毗连不上的情形，则为线路不稳固，可以实验替换网线视察是否正常。
3. 若是认证客户端到傻瓜交流机之间的链路稳固，则需要检查傻瓜交流机到接入交流机之间的链路是否稳固，由于该线路一样平常都是客户网络建设时提供，因此有可能无法通过直接替换网线的方法举行判断，可通过视察傻瓜交流机上联认证交流机的端口灯状态举行判断，或通过视察接在该认证交流机下的其他用户认证状态举行判断。
4. 若是通过以上要领确认链路正常，或者认证客户端是直接与认证交流机互连的网络情形，则进入下一排查办法。

办法2 检查认证装备设置是否准确
1. 登录认证装备，审查装备设置，确认装备设置准确，该故障对应的装备设置主要视察802.1X设置，如下所示，仅列出802.1X部分设置，需要确认认证装备是否翻开802.1X认证功效，且故障用户对应端口是否设置为认证端口：
S21系列交流机
aaa authentication dot1x//确认是否设置该下令，该下令为翻开802.1X功效
dot1x client-probe enable
dot1x timeout quiet-period 10
dot1x timeout tx-period 3
dot1x timeout server-timeout 5
dot1x reauth-max 3
dot1x max-req 3
interface range FastEthernet 0/1-8//确认是否将故障用户对应的端口设置为认证端口
dot1x port-control auto
10.X系列交流机
aaa new-model //开启aaa认证
aaa authentication login default group radius local //设置装备login认证要领
aaa authentication dot1x default group radius local none //设置dot1x认证要领
dot1x accounting compatible //开启dot1x记账功效
dot1x authentication compatible //开启dot1x认证功效
dot1x probe-timer alive 250 //设置hello生涯时间
dot1x client-probe enable //设置hello功效
interface GigabitEthernet 0/1
dot1x port-control auto //端口使能dot1x认证
2. 如确认认证装备设置正常但故障征象依旧，则进入下一排查办法。

办法3 检查认证装备是否可以正常响应802.1X报文
    1. 认证装备在极端情形下有可能泛起无法响应认证报文的情形，主要有以下几种，需要凭证差别的的征象制订响应的解决计划：
              1）由于认证交流机CPU高导致无法处置惩罚认证客户端的802.1X认证请求：可以通过在认证交流机上show cpu审查使用率，cpu使用率高有可能是由于攻击、扫描、大数据量传输等造成，不在此讨论。
              2）认证交流机硬件问题，需要举行替换。
    2. 排查该类问题也可以通过抓包的方法判断802.1X报文是否交互正常，准确的802.1X认证报文如下所示：

97国际·(中国区)集团官方网站

   1）若是在客户端操作系统上直接抓包，没有看到第一个eapol start的报文（如上图第1个报文），可能是由于网卡软硬件问题造成，请参考“SU认证失败（SU有详细提醒信息）”故障处置惩罚办法1-3举行排查。
              2）若是客户端有准确发出eapol start报文，可是在认证交流机镜像端口无法抓取到该报文，则可以判断为报文可能由于中心链路问题导致丧失。
              3）如1、2点正常，可是在认证交流机上未抓取到认证交流机对客户端发上来的eapol start的回应报文（如上图中第2个报文），则可以判断为认证交流机问题。
              4）如第3点交流机准确回应，可是未在客户端操作系统上抓取到该报文，则可以判断为该报文由于未知缘故原由丧失，思量到第一个报文可以准确投递，此时可以通过重新认证检查是否可以解决问题。
              5）如上图所示，第3个报文为客户端发送用户名举行认证，若是该报文确实，可以实验重新认证检查是否解决。

办法4 网络信息后，请联系4008111000协助处置惩罚
通过以上办法，还未能扫除故障，请拨打4008111000追求手艺支持，网络如下故障信息，举行故障进一步处置惩罚。
1 故障用户的SU软件版本号
           翻开SU软件后可显示SU版本号
2 故障用户对应的认证交流机设置（show run下令）
3         故障用户认证时的操作系统抓包报文（Wireshark等抓包工具获�。�
4         故障用户认证时的认证交流机镜像抓包报文（Wireshark等抓包工具获�。�