一、故障景象
使用原生1X进行认证，终端上网络衔接失败
二、组网拓扑
（1）拓扑描述：
三、可能原因
1、配置问题：设备类型增长谬误。
2、配置问题：SAM+配置与NAS配置矛盾导致。
3、软件问题：SAM+上的无线1X证书到期
4、终端问题：终端的系统功夫与正常功夫相差太大（超过证书功夫）
5、终端问题：终端不支持PEAP-MSCHPV2 PEAP-GTC PEAP-MD5 和谈步骤
6、规划限度：对接了第三方LDAP，初次认证场景
四、处置步骤
（每一个步骤都是一个解决规划，以下案例仅供参考）
步骤 1：查抄SAM+增长设备的配置
1、无线设备增长无线设备
2、有线设备类型友商增长神码设备，iSlot官方网站增长设备类型为iSlot官方网站互换机，型号为N18K
3、所增长的nas设备信息中，radius key尤为沉要，在出现认证失败时要首选去查抄这个字段是否存在SAMS与NAS设备配置不一致的情况。（出格注意查抄是否有存在空格）
步骤 2：查抄SAM+配置与NAS配置是否矛盾
1、无线设备没有做vlan跳转、但是SAM+上配置了（造成SAM+上认证成功了，但是AC上无法上线）
能够在AC上show 日志分析（show dot1x user diag mac h.h.h），发现accpet报文均是author fail，注明认证成功的报文中存在于配置矛盾的内容
或许率是vlan下发，查抄对利用户的具体信息与套餐使用的接入节造
如存在有关报错，但长短vlan下发导致的，请助忙网络日志，发给二线进行分析
步骤 3：核查产品的无线1x证书是否到期、认证终端的系统功夫是否正确
1、无线原生1x认证因PEAP的和谈中使用了TLS的传输层加密隧路，所以认证过程会使用到CA证书，而CA证书受造于信息安全的要求，其有效期根基为1年，当证书超过有效期后将导致认证失败。
2、解决的方式：通常在证书过期的前2周，我司会提供新的ca证书用于导入系统，具体信息能够拜见闪电兔或者技服的预警公告。
3、查抄认证终端的系统功夫，终端校验证书的时辰会将系统功夫和证书里的生效功夫进行比力，当终端的功夫非证书有效期的领域内则会认证失败。
步骤 4：确认终端是否支持PEAP-MSCHPV2GTC和谈
1、上诉两种和谈市场上95%以上的常用终端根基支持。
2、其中windows默认启用MSCHAP-V2，关关GTC，IOS为默认GTC，而安卓类系统属于可手动设置。
3、若是windows系列较老的终端，好比winXP、及较早的win7系统，较为容易 出现由于网卡设置的问题导致的认证失败，且SAM上无任何认证失败日志纪录
建议装置GTC认证步骤，将网卡的1X认证配置中的协商和谈改成GTC、或者反馈二线用户使用的SSID，让二线协助天生wifi幼副手（极度规）
点击链接
步骤 5：查抄所对接的第三方身份中心当前的配置和环境前提是否支持无线原生1x认证
1、LDAP的对接规划中，在LDAP服务器上用户密码为加密存储的情况下，初次认证只能支持PEAP-GTC和谈认证的终端
由于使用PEAP-MSCHAPV2和谈时，SAM+不知路用户的密码，LDAP侧密码也是加密的，SAM+无法将两者的密码进行对比，也无法解析用户输入的密码对LDAP进行登录校验。
躲避规划：此场景下，必要使用web认证或者用户登录自主一次来使得SAM+进建到用户的密码。
2、只有当LDAP上用户密码为明文存储时，能力够支持初次PEAP-MSCHAPV2和谈的认证终端接入。
若是您通过以上步骤依然无法解决问题，请网络上述步骤排查信息，联系400协助您排查。
五、信息网络
您通过以上步骤依然无法解决问题，请网络上述步骤排查信息，联系400协助您排查或点击进入：售后闪电兔 处置
六、总结与建议
1x认证失败多见于证书问题或者终端支持的和谈问题
颁布功夫：2024-06-18
点击量：367
文档评价
