华为交换机使用 RADIUS 认证排查方法总结

一、基础前提：确认 RADIUS 认证的核心交互逻辑

二、第一步：验证 “交换机与 RADIUS 服务器的网络连通性”（最易忽略）

1. IP 可达性测试（交换机侧执行）

# 测试RADIUS服务器IP（以192.168.1.100为例）
ping 192.168.1.100
# 若跨网段，需确认网关配置正确（以VLANif100为例）
display ip interface vlanif 100  # 查看网关是否为RADIUS服务器所在网段的网关
display ip route 192.168.1.100   # 确认路由表中存在到服务器的路由

• 正常结果：ping 包丢包率为 0，延迟稳定（<100ms）；
• 异常处理：若丢包 / 超时，检查交换机网关、服务器网关、中间路由设备（如路由器）的配置，排除网络层故障。

2. RADIUS 端口连通性测试（关键！）

# 交换机侧使用telnet（UDP端口需用第三方工具，或在服务器侧抓包）
# 方法1：在RADIUS服务器侧用工具测试端口（如Windows用PowerShell，Linux用nc）
# Windows服务器（以1812端口为例）：
Test-NetConnection 192.168.1.100 -Port 1812 -InformationLevel Detailed
# Linux服务器：
nc -zv -u 192.168.1.100 1812  # -u表示UDP，-z表示只检测端口，不发送数据

# 方法2：检查交换机与服务器之间的防火墙策略
# 确认防火墙（如华为USG、Windows防火墙）已放通UDP 1812/1813端口，且源IP为交换机IP

• 正常结果：端口显示 “Open” 或 “Success”；
• 异常处理：若端口被拦截，在防火墙中添加 “允许交换机 IP→服务器 IP 的 UDP 1812/1813” 策略。

三、第二步：验证 “RADIUS 服务器自身状态与配置”（服务器侧问题占比 30%）

1. 确认 RADIUS 服务已正常运行

• Windows NPS（网络策略服务器）：
  打开 “服务”→ 找到 “Network Policy Server”→ 确认 “状态” 为 “正在运行”，“启动类型” 为 “自动”。
• FreeRADIUS（Linux）：
  执行systemctl status freeradius，确认 “active (running)”；或查看日志tail -f /var/log/freeradius/radius.log。
• 异常处理：若服务未启动，重启服务并排查服务启动失败原因（如配置文件语法错误、端口被占用）。

2. 确认交换机已被添加为 RADIUS “合法客户端”

• 核心参数：客户端 IP（交换机的管理 IP，如 VLANif1 的 IP）、共享密钥（Secret）、端口（1812/1813）是否与交换机配置完全一致。
  • Windows NPS：打开 “网络策略服务器”→ “RADIUS 客户端和服务器”→ “RADIUS 客户端”→ 查看是否存在交换机 IP，双击确认 “共享密钥” 是否正确（注意：共享密钥区分大小写，且不可见，需重新输入核对）。
  • FreeRADIUS：查看配置文件/etc/freeradius/clients.conf，确认是否有如下配置（IP 和 secret 需匹配交换机）：
     

• • client S5731 {
        ipaddr = 192.168.1.200  # 交换机管理IP
        secret = Huawei@123     # 与交换机一致的共享密钥
        nastype = cisco         # 华为交换机可设为cisco或other
    }
    

     
• 异常处理：若交换机未在客户端列表中，添加客户端并填写正确的 IP 和共享密钥；若共享密钥不匹配，两边同步修改（必须完全一致，包括特殊字符）。

3. 确认 RADIUS 服务器上的 “用户信息与认证策略” 有效

• 用户信息验证：
  确认服务器上存在待认证的用户（如 SSH 登录用户、802.1X 用户），且密码正确、账号未过期 / 未锁定。
  • Windows NPS：检查 “本地用户和组” 或 “Active Directory” 中的用户状态；
  • FreeRADIUS：查看用户文件/etc/freeradius/users，确认用户配置（如test Cleartext-Password := "Test123"）。
• 认证策略验证：
  确认服务器的认证策略允许该用户接入（如 Windows NPS 的 “网络策略” 未拒绝该用户组，FreeRADIUS 的sites-available/default策略未拦截）。
• 测试方法：在 RADIUS 服务器上用本地工具测试用户认证（如 FreeRADIUS 用radtest命令）：
   

  # radtest 用户名 密码 服务器IP 端口 共享密钥
  radtest test Test123 192.168.1.100 0 Huawei@123
  

   
  • 正常结果：返回 “Access-Accept”；
  • 异常结果：返回 “Access-Reject”，需排查用户密码或策略。

四、第三步：验证 “交换机 RADIUS 配置细节”（模板调用无问题，但需核对参数）

1. 查看 RADIUS 服务器配置（核心：IP、端口、共享密钥）

# 查看所有RADIUS服务器配置
display radius server
# 查看指定服务器的详细配置（以服务器模板“radius1”为例）
display radius server template radius1

• 关键检查项：
  • Server IP address：是否为 RADIUS 服务器的正确 IP；
  • Authentication port：是否为 1812（或服务器实际使用的端口）；
  • Accounting port：是否为 1813（若启用计费）；
  • Shared key：是否显示 “******”（表示已配置，需确认与服务器一致，可重新配置覆盖：radius server template radius1 → shared-key simple Huawei@123）。

2. 查看 RADIUS 认证方案配置

# 查看所有认证方案
display aaa authentication-scheme
# 查看调用的认证方案（如“auth-radius”）
display aaa authentication-scheme auth-radius

• 正常配置：
   

  Authentication Scheme Name: auth-radius
  Authentication Mode: radius  # 认证模式为RADIUS
  Authentication Domain: default
  Fallback Authentication Mode: local  # 可选：RADIUS失败时 fallback 本地认证（便于排查）
  

   
• 异常处理：若认证模式为 “local”，需修改为 “radius”：aaa authentication-scheme auth-radius → authentication-mode radius。

3. 确认认证方案已 “正确调用” 到应用场景

# 场景1：VTY用户界面（SSH/Telnet登录）
display user-interface vty 0 15
# 查看“Authentication scheme”是否为调用的RADIUS方案（如“auth-radius”）

# 场景2：802.1X接入（端口认证）
display dot1x interface GigabitEthernet 0/0/1  # 查看指定端口
# 查看“Authentication method”是否为“radius”，且认证方案正确

# 场景3：Portal认证（Web认证）
display portal authentication-server  # 查看Portal绑定的RADIUS服务器

• 异常处理：若未绑定或绑定错误，重新绑定方案，例如 VTY 界面绑定：
   

  user-interface vty 0 15
  authentication-mode scheme
  authentication-scheme auth-radius  # 绑定RADIUS认证方案
  

   

五、第四步：通过 “日志与调试信息” 定位具体失败原因（最精准）

1. 开启 RADIUS 认证调试（交换机侧）

# 开启RADIUS认证调试（详细级别）
debug radius authentication all
# 开启AAA认证调试（辅助查看认证流程）
debug aaa authentication all
# 查看调试日志（实时输出）
terminal monitor
terminal debugging

2. 触发认证测试（如 SSH 登录）

3. 查看 RADIUS 统计信息（辅助判断）

display radius statistics

• 关注：Authentication Request Pkts（发送的认证请求数）、Authentication Reply Pkts（接收的回复数）、Authentication Timeout Pkts（超时数）、Authentication Reject Pkts（拒绝数）。
  • 若 “超时数> 0”：查网络；
  • 若 “拒绝数> 0”：查服务器用户 / 策略。

4. 服务器侧抓包分析（终极手段）

• 正常交互：Access-Request（交换机→服务器）→ Access-Accept（服务器→交换机）；
• 异常交互：
  • 无Access-Request：交换机未发送报文（查交换机配置、网络）；
  • 有Access-Request但无Access-Reply：服务器未处理（查服务器服务、客户端配置）；
  • 有Access-Reject：查看报文中的Reply-Message字段（服务器返回的具体拒绝原因，如 “Invalid password”）。

六、项目里之前遇到常见隐性问题

总结一下下：排查流程梳理

1. 先通网络：ping 服务器 IP→测 1812/1813 端口→查防火墙；
2. 再查服务器：确认服务运行→客户端配置（IP / 密钥）→用户与策略；
3. 后核交换机：RADIUS 服务器参数→认证方案→场景绑定；
4. 最后日志：开调试日志→抓包→分析报文交互细节。