锐捷S29G-E V3 802.1X域认证异常

一、故障现象

二、设备型号和版本

三、故障排查步骤

1. 了解域认证的作用以及机制原理。
2. 结合原理分析客户方架构使用上是否存在问题。
3. 分析配置与架构是否与预期一致。

四、故障排查过程

1. 替换友商设备后出现部分终端无法正常认证使用的情况，查看交换机上对应的认证日志，发现异常的认证终端有提示AAA reject日志；

2. 根据日志判断是radius服务器拒绝导致，抓取对应上行口报文，发现对应用户的radius报文并未发起；

3. 通过抓包明确为我司设备未正常向SAM发起认证导致，检查交换机相关配置，发现交换机有配置域认证。同时通过日志可以发现对应异常的用户均为未携带域名的认证用户，携带域名的认证用户均可正常认证；

4. 内部核对相关域认证的处理逻辑，针对开启域认证的802.1X，未携带域名的会走default域，但是由于我司配置中并未配置default域，未配置default域认证失败。（友商设备默认有配置default域，所以可以正常使用）

五、解决方案

六、故障总结

1. 在开启domain之后（配置aaa domain enable），支持domain认证的业务（如dot1x/web-auth认证）就必须domain认证。认证处理流程如下： 1.1 解析用户名中的域名，如果命中携带了域名，则将域名解析出来，如果没有携带域名，则使用default域 1.2 查找域，如果未配置，则认证失败。 1.3 找到域之后，在域中查找对应的方法名，如果没有配置方法名，则使用全局default方法。 1.4 如果配置域中引用的方法或全局default方法均未配置，则认证失败。配置则使用对应方法进行认证。