在radius服務器上把用戶做下線操作,用戶還是在線,抓包發現服務器發給無線控製器的報文,控製器沒有回應,這是怎麼回事?radius是172.18.230.10,ac是172.18.20.253
(0)
最佳答案
問題原因及解決方案如下:
在RADIUS服務器上執行用戶強製下線操作時,AC未響應服務器的DAE(Disconnect/Change of Authorization)請求,導致用戶仍在線。抓包顯示RADIUS服務器(172.18.230.10)向AC(172.18.20.253)發送了DAE報文,但AC未回應。
根據排查,可能原因如下:
1. **AC未正確配置DAE服務**:需確認AC是否已啟用RADIUS DAE服務,並正確配置了DAE客戶端(即RADIUS服務器)的IP地址和共享密鑰。當前配置中雖已配置DAE,但需核對密鑰、IP是否與RADIUS服務器一致,確保安全通信。
2. **DAE報文中包含AC不支持的屬性**:抓包和debug日誌顯示,RADIUS服務器下發了User-Profile Name等AC未配置的屬性,導致AC處理DAE請求失敗。AC因無法識別或處理該屬性,丟棄或忽略該請求。
3. **解決方案**:
- 在RADIUS服務器側修改DAE響應配置,**去除User-Profile Name等非必要或AC不支持的屬性**;
- 確保DAE報文僅包含標準屬性(如User-Name、Acct-Session-Id、NAS-IP-Address等);
- 在AC上確認DAE服務正常運行,並可通過debug radius dynamic-author進一步驗證處理過程。
綜上,**建議在RADIUS服務器上清除下發的User-Profile等非標準屬性後重試強製下線操作**,即可解決AC無響應問題。
(0)
需要在設備上使能RADIUS DAE服務,設備將作為RADIUS DAE服務器在指定的UDP端口監聽指定的RADIUS DAE客戶端發送的DAE請求消息,然後根據請求消息進行用戶授權信息的修改或斷開用戶連接,並向RADIUS DAE客戶端發送DAE應答消息。
使能RADIUS DAE服務,並進入RADIUS DAE服務器視圖。設置RADIUS DAE客戶端的IP地址為10.110.1.2,與RADIUS DAE客戶端交互DAE報文時使用的共享密鑰為明文123456。使能RADIUS DAE服務後,指定DAE服務端口為3790。
<Sysname> system-view
[Sysname] radius dynamic-author server
[Sysname-radius-da-server]client ip 10.110.1.2 key simple 123456
[Sysname-radius-da-server] port 3790
(0)
暫無評論
親~登錄後才可以操作哦!
確定你的郵箱還未認證,請認證郵箱或綁定手機後進行當前操作
舉報
×
侵犯我的權益
×
侵犯了我企業的權益
×
抄襲了我的內容
×
原文鏈接或出處
誹謗我
×
對根叔社區有害的內容
×
不規範轉載
×
舉報說明
暫無評論