华为wifi认证服务器失败，本质上是终端已经连上了无线，但后端的认证链路没走通，和路由器本身“坏没坏”基本没有关系。最常见的触发点集中在AC上的portal服务器模板、Radius对接参数，以及用户IP地址分配三件事上,下面按排查权重拆开讲。
华为wifi认证服务器失败的直接原因
认证页面根本弹不出来
这个现象在酒店、商场、医院这类公共无线环境里最常见，手机连上wifi之后，状态栏显示已连接，但打开浏览器始终停留在空白页或者显示“无法连接到服务器”，多数情况下是AC上虽然配置了portal服务器，但没有把这个模板绑定到SSID对应的认证方案里，模板配好了不等于生效，两者是独立的环节，漏绑定不会报错,只是页面弹不出来。
另外一个高频原因是手机浏览器手动访问任何网址时会向AC发起HTTP重定向请求，而AC在转发这类请求时被中间防火墙拦截了，先确认一下portal服务器的IP能否从AC侧ping通,这一步能过滤掉一大半的链路层问题。
认证页面弹出来但一直转圈
页面能弹出来，说明portal服务器本身活着，但始终在加载验证界面或者点了登录没反应，这通常卡在AC到Radius服务器的通信上，认证请求发出去了但没人应答,或者回包被防火墙丢弃。
检查一下Radius默认端口，认证端口是1812，计费端口是1813，相当一部分网络管理员在出口防火墙上只放行了HTTP和HTTPS，忘了放行UDP 1812，认证包直接在半路被丢掉，这种问题不会在AC侧产生任何告警,因为AC发出的包已经出接口了。
提示认证失败但账户密码明明正确
账户密码确认无误还提示失败，优先去Radius服务器上看有没有到达的认证请求日志，如果服务器日志里一片空白，说明AC到Radius服务器的路径本身不通，如果日志显示请求到达但返回了失败,那就是两端共享密钥不匹配。
华为AC上Radius共享密钥是明文保存在配置文件里的，换设备或者设备重启后如果同步过配置，密钥被改动是常有的事，两端密钥不一致时，Radius服务器能收到请求但解密不了，反馈的结果就是认证失败，另一个冷门但真实存在的原因是AC系统时间和Radius服务器时间差太多，导致报文时间戳校验失序,这种情况也会被识别成认证失败。
华为无线认证失败的常见场景与定位方法
全办公室只有你的设备连不上
先别急着怀疑服务器，先从终端侧动手，遇到这种情况，最直接的验证方式是用同事的手机登录同一个账户，如果能正常通过，说明账户本身没问题,大概率是当前设备的MAC被拉黑或者缓存了旧的认证记录。
操作序列：
- 打开手机wifi设置，找到该网络名称，选择“忽略此网络”
- 重新搜索并连接，手动输入密码而不是使用自动填充
- 如果使用了静态IP，换成DHCP自动获取再测试
整个区域的所有终端都连不上
这种情况的波及范围说明问题不在终端侧，而是AC设备、交换机上联口或者出口防火墙，登录AC用display wlan ap all检查该区域的AP是否在线，AP都已经离线了，认证自然不可能成功，此时要查AP的供电或者上行链路,和认证服务器一点关系都没有。
AP全部在线，但用户连接后仍然认证失败，重点检查AC与核心交换机的放通VLAN，业务子网的VLAN没有在互联Trunk口放行时，终端拿不到IP地址,表现就是认证没反应。
能打开认证页面但提交后立刻掉线
事后掉线这个场景很容易被误判成服务器不稳定，这种多半是MAC认证和portal认证之间出现了“打架”，如果同一个SSID下同时启用了MAC优先认证和portal兜底认证，终端第一次连上时MAC没有被识别，就会被打发去portal页面，当用户提交完表单后，AC重新发起MAC认证,终端又被踢下线重来。
行业共识认为，这种认证方式叠加产生的冲突在混合网络环境里占比不小，解决办法是把SSID下的认证方式收敛为单一模式，要么纯portal,要么纯MAC。
华为portal认证服务器对接的详细排查步骤
第一步：核对portal服务器模板配置
操作路径是登录华为AC的web管理界面，进入“认证配置”下的“Portal服务器组”，查看模板里的IP地址、端口和URL是否与实际情况一致。
命令行查看方式是执行display portal server，重点检查输出结果里URL字段有没有缺少http://前缀，很多配置人员直接填了域名而没有写协议头，AC在构造重定向地址时会生成一个无效链接,终端拿不到真正的认证页面。
第二步：核对Radius服务器配置
执行
display radius-server configuration查看主备服务器地址、认证端口、计费端口和共享密钥，接着在系统视图下执行debugging radius all打开调试开关，观察认证请求是否正常发出，Radius服务器端同步查看有没有收到对应的access-request报文。
如果AC发出了请求但服务器没有收到，直接到中间防火墙检查UDP 1812和1813端口放行状态，这个原因在前面提过，是现场最常见的对接失败根源,没有之一。
第三步：检查用户IP地址池状态
执行display ip pool查看用户地址池的已分配数、剩余数和冲突数，剩余可用地址少于一定数量时，终端连上wifi也拿不到IP,整个认证流程在portal验证之前就卡死了。
如果发现地址池不足，先手动释放一批租约过期的地址，再考虑扩充地址池范围，地址池的规划要和实际终端并发量匹配，尤其办公司场景里每人手里多个设备,一个C段地址很容易被吃光。
第四步：查看AC心跳与告警日志
华为AC支持对portal服务器做主动探测，服务器宕机时AC上会输出“server down”事件，执行display trapbuffer查看最近的告警记录,这比一条条翻配置省事得多。
如果AC没有任何告警输出，检查一下AC的系统时间是否正确，时间偏移过大会导致Radius报文里的时间戳验证失败，服务器丢弃报文,用户侧表现就是认证请求石沉大海。
华为wifi连接上不能上网的另类“假性认证失败”
有些场景比较尴尬：认证页面正常弹出了，用户名密码也填对了，系统明明提示认证成功，但浏览器就是打不开任何网页，用户回头一看wifi状态，还是会归结为“认证服务器失败”，这种情况要换思路，认证已经通过了,问题出在认证之后的业务下发环节。
DNS解析被卡住
认证通过后，DHCP给终端下发了DNS地址，但如果这个DNS地址本身没有响应，浏览器打开任何网址都会一直转圈，在手机端手动把DNS改写成5.5.5再测试，如果网页秒开，说明是原DNS的问题,到AC或核心交换机上检查DHCP地址池中下发的DNS参数即可。
出口网关路由缺失
检查核心交换机上有无到外网的默认路由，缺了这条路由时，终端能拿IP、能通过认证，但所有数据报文都找不到出口，用display ip routing-table
看一眼，确认存在默认路由，没有就补一条指向出口防火墙的静态路由，这个问题在华为企业技术支持公开信息中多次被列为“已认证但无法上网”的首要排查项。
认证后下发的VLAN和业务VLAN对不上
用户组在Radius服务器上被授权到了一个VLAN，但AC上这个VLAN对应的网段和实际业务网段不同，终端拿到地址后和网关不在同一网段，用display access-user查看用户当前所属VLAN和预期VLAN，如果不一致，先查Radius服务器上用户组的属性下发,再看AC域下绑定的授权模板。
Q&A：华为wifi认证服务器失败的三个高频问题
手机提示“认证服务器无响应”但别的手机正常，怎么回事？
优先考虑终端网络缓存的问题，在手机上找到这个wifi名称，选择“忽略网络”后重新输入密码连接，如果仍然失败，登录AC执行display access-user查看该终端MAC的认证记录，重点看失败原因字段，最常见的结果是密码错误次数超限导致账户被临时锁定，或者终端MAC被误加入黑名单，黑名单在AC的“流量策略”模块中核查并移除。
华为AC换了IP地址之后wifi认证突然失败，需要改什么？
AC换IP对认证链路的影响面往往超出预期，先修改AC上portal服务器组里指向本机或外置portal服务器的IP为新地址，然后检查出口防火墙上所有指向认证服务器的放行策略，源地址和目的地址都要同步更新为新的IP段，如果认证服务器和AC之间跨了多个网段，还要确认新的AC IP已通过路由协议在网络中完成收敛，否则Radius报文可能被中途丢弃，据华为企业技术支持公开信息，换IP后普遍存在防火墙策略遗漏的情况,优先级高于其他排查项。
portal认证页面打开慢且偶尔提示服务器失败，是服务器性能不够吗？
页面加载慢和服务器硬件性能通常没有直接关系，portal页面本身的资源很小，慢的原因大概率是用户到portal服务器之间链路延迟较高，或者AC进行HTTP重定向时每次都让终端向外网发起DNS递归查询，常见做法是在内部网络部署一个DNS缓存服务器，把portal域名的解析留在内网完成，同时调大AC上portal并发会话的上限，如果服务器CPU长时间处于高位，再考虑增加portal节点做负载分担,这个判断需要结合现场的终端并发数和AC会话记录来验证。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/701866.html
