【正文】 web認(rèn)證服務(wù)器是否允許用戶認(rèn)證前訪問 web認(rèn)證服務(wù)器配置 上行路由是否正確可達(dá) ACL是否正確配置 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 51 強(qiáng)制 WEB失敗分析 常見原因 ? 沒有指定強(qiáng)制 Web認(rèn)證服務(wù)器 ? 沒有配置相應(yīng)的 ACL ? Web認(rèn)證服務(wù)器不可達(dá) ? DNS服務(wù)器不可用 ? Web服務(wù)器配置錯誤 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 52 處理建議一 ? 用戶獲取地址后直接在瀏覽器中輸入 Web認(rèn)證服務(wù)器的地址，檢查是否能打開 Web認(rèn)證的頁面，如果不能則有可能錯誤原因： 錯誤原因 處理建議 Web認(rèn)證服務(wù)器不可達(dá) 檢查 ME60的路由表是否正確，默認(rèn)路由下一跳是否可達(dá)。 Web認(rèn)證服務(wù)器不可用 在其他設(shè)備訪問 Web認(rèn)證服務(wù)器，檢查是否正常。 ACL沒有配置允許用戶在認(rèn)證前可以訪問 Web認(rèn)證服務(wù)器 請檢查對應(yīng) ACL的配置。 沒有配置相應(yīng)的 ACL 配置 ACL，使用戶所在的 usergroup組只能訪問 Web服務(wù)器、 DNS等，而其它地址都應(yīng)當(dāng)是禁止訪問的。 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 54 處理建議三 ? 如果在（處理建議二）中可以重定向到 Web認(rèn)證服務(wù)器，則在IE中輸入一個域名（如 ），檢查是否可以重定向到 Web認(rèn)證頁面，如果不能則可能是 DNS服務(wù)器不可達(dá)或不可用，可更換 DNS服務(wù)器測試。 ? ME60中， PPPoE和 PPP（ PointtoPoint Protocol）屬于不同的功能項。 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 60 PPPOX業(yè)務(wù)介紹 ? PPPoE服務(wù)器用于建立用戶和 ME60之間的會話（ Session），終結(jié)用戶的 PPPoE報文，從中取出相應(yīng)的 PPP報文發(fā)送給 PPP服務(wù)器，或者將 PPP服務(wù)器的 PPP報文進(jìn)行 PPPoE封裝后發(fā)送給用戶。此時 ME60的作用是 BAS（ Broadband Access Server），在認(rèn)證后終結(jié)用戶的 PPP報文，取出相應(yīng)的IP報文進(jìn)行轉(zhuǎn)發(fā)，或者將發(fā)送給用戶的 IP報文進(jìn)行 PPP封裝后交給 PPPoE服務(wù)器處理。 注意： PPPoE上線包括 Discovery階段、 LCP（ Link Control Protocol）協(xié)商 階段、驗證階段及IP地址分配階段，任何一步失敗都可能導(dǎo)致用戶上線失敗。 使用調(diào)試命令或業(yè)務(wù)跟蹤信息前，首先應(yīng)確認(rèn) ME60數(shù)據(jù)配置是否正確。可能的原因如下。 ?用戶進(jìn)行 PPPoE撥號時， ME60收不到任何報文。 ?此時請檢查二層網(wǎng)絡(luò)物理聯(lián)接是否正常、 VLAN劃分是否正確，必要時可以在二層網(wǎng)絡(luò)的設(shè)備上截取報文進(jìn)行分析。對應(yīng)以上每種原因，通過業(yè)務(wù)跟蹤功能都可以看到對應(yīng)的提示，常見的 AAA業(yè)務(wù)跟蹤信息格式如下。 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 75 收集故障現(xiàn)象 ? 故障申告所有 VLAN綁定用戶無法正常上網(wǎng)， PPP撥號用戶正常。 ? PPP撥號用戶正常，說明從 DLASM到 ME60物理連接正常。 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 77 接口 UP說明物理連接沒有問題 鏈接協(xié)議也是 UP 查看數(shù)據(jù) ? 查看 ME60接入端口狀態(tài) Quidwaydisplay interface GigabitEther 2/0/ GigabitEther2/0/ current state: up Line protocol current state: up HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 78 查看數(shù)據(jù) ? 查看 ME60接入端口配置 [Quidway]interface GigabitEther2/0/ [QuidwayGigabitEther2/0/]display this interface GigabitEther2/0/ uservlan 10 bas accesstype layer2subscriber defaultdomain authentication isp authenticationmethod bind 用戶所屬 VLAN10檢查于 DSLAM是否匹配 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 79 查看數(shù)據(jù) ? 確保 DLSAM數(shù)據(jù)匹配的后檢查接口引用的域配置 [Quidway]display domain name isp Domainname : isp Domainstate : Active Domaintype : Normal domain Authenticationschemename : auth1 Accountingschemename : acct1 Authorizationschemename : RADIUSservergroup : rd1 …. IPaddresspoolname : pool1 TimeRangeQos : Disabled 重點關(guān)注紅色 部分內(nèi)容 上述部分發(fā)現(xiàn)該域使用的是 RADIUS認(rèn)證 ,并且引用POOL1的地址池 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 80 查看數(shù)據(jù) ? 查看認(rèn)證策略及計費策略是否正確 [Quidway]display authenticationscheme auth1 Authenticationschemename : auth1 Authenticationmethod : RADIUS Authenticationsuper method : Super authenticationsuper Authenticationfailpolicy : Offline Authenticationfaildomain : [Quidway]display accountingscheme acct1 Accountingschemename : acct1 Accountingmethod : RADIUS Realtimeaccountingswitch : Disabled Realtimeaccountinginterval(min) : Startaccountingfailpolicy : Offline Realtimeaccountingfailpolicy : Online Realtimeaccountingfailureretries : 3 說明認(rèn)證和計費策略正確 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 81 查看數(shù)據(jù) ? 查看 Radius服務(wù)器是否 UP [Quidway]display radiusserver configuration [WYR1YYradiustest]display radiusserver configuration RADIUS no response packet count : 10 RADIUS auto recover time(Min) : 3 Servergroupname : rd1 Authenticationserver: IP: Port:1812 Weight[0] [UP] Vpn: …… Authenticationserver: Accountingserver : IP: Port:1813 Weight[0] [UP] Vpn: Radius服務(wù)器 UP HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 82 查看數(shù)據(jù) ? 查看是否是地址池設(shè)置問題 [Quidway]display ip pool pool1 PoolName : pool1 PoolNo : 0 Lease : 3 Days 0 Hours 0 Minutes …… Position : Local Status : Unlocked Gateway : Mask : Vpn instance : public vpninstance ID start end total used idle conflicted disable 0 99 0 99 0 0 地地池 OK HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 83 查看數(shù)據(jù) ? 綜上查詢發(fā)現(xiàn) ME60的數(shù)據(jù)配置基本沒有問題，由于 VLAN bind認(rèn)證是在 Radius上完成的，懷疑 Radius上的設(shè)置有問題。subslot=0。vlanid=10。 ? bind認(rèn)證的過程是 ME60自動記錄用戶的相關(guān)信息 ,并生成用戶名送往Radius認(rèn)證 , ? 帳號格式： 設(shè)備名 槽位號（ 2位） +子槽號（ 1位） +端口號（ 2位） +外層 VLAN（ 4位）+0+內(nèi)層 VLAN（ 4位） 域名 密碼默認(rèn)為： VLAN 在本例中用戶以 2/0/ VLAN10接入，所以帳號位： Quidway02021000000010isp 適用于 2117以上版本 HUAWEI TECHNOLOGIES CO., LTD. All rights reserved Page 87 ? 本課程通過實例案例講述了故障處理的思路和方法。 小結(jié) 謝謝