认证失败的三段定位法
用户登录或 802.1X 认证失败时，问题可能出在链路上、出在密钥上，也可能出在配置引用上。三段定位法是：先确认设备到认证服务器是否可达（路由、端口、服务器侧白名单），再核对两端的共享密钥是否一致，最后检查域、方案与模板是否正确挂接、用户名格式是否符合服务器要求。不要一上来就开调试，先做这三段可以挡掉大部分问题。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware 的 AAA 与 RADIUS 功能 |
|---|---|
| 标准端口 | RADIUS 认证使用 1812，计费使用 1813 |
| 关键对象 | 服务器模板或方案、共享密钥、域与认证方法列表 |
| 权限要求 | 查看类命令用户视图即可 |
| 辅助手段 | 设备侧失败记录、服务器侧日志、主动测试账号校验 |
典型使用场景
- 远程登录被拒或超时：先判断是可达性问题还是认证参数问题
- 802.1X 接入失败：核对域、方案与服务器侧策略是否匹配
- 服务器迁移后集体失败：确认设备侧地址与密钥是否同步更新
- 部分用户失败：检查用户名格式（是否带域名）与服务器侧策略
- 审计要求：保留失败记录排查凭证与整改证据
华为 VRP
华为 VRP
<Huawei> display radius-server configuration # 服务器地址、端口与密钥形态
<Huawei> display aaa online-fail-record all # 认证失败记录与原因
<Huawei> display ip routing-table <服务器地址> # 确认有去服务器方向的路由
<Huawei> display aaa online-user # 查看在线会话，对比成功与失败样本思科 IOS
思科 IOS
SW-CORE-01# test aaa group radius testuser Test123 legacy # 主动验证账密
SW-CORE-01# show aaa servers # 服务器状态与统计
SW-CORE-01# show running-config | include radius server
SW-CORE-01# show logging | include AAAH3C Comware
H3C Comware
<H3C> display radius scheme
<H3C> display domain # 确认域下引用的方案
<H3C> display aaa session # 在线会话与失败记录三段定位法
| 段 | 核对内容 | 常见原因 |
|---|---|---|
| 第一段 可达性 | 服务器地址、路由、端口与服务器侧白名单 | 路由缺失、ACL 拦截、服务器未登记设备源地址 |
| 第二段 密钥 | 两端共享密钥是否完全一致 | 迁移或改密时只改一侧 |
| 第三段 引用关系 | 域、认证方案与服务器模板是否正确挂接 | H3C 未挂域、方案与模板名写错 |
| 补充 用户名格式 | 是否需要带域名或域前缀 | 服务器策略与设备发送格式不一致 |
| 补充 时间与版本 | 服务器侧日志时间与设备是否一致 | 时间偏差导致日志对不上，排查走偏 |
先用连通性验证再去改配置：设备到服务器的可达性与端口是否被放行，比反复重配参数有效得多。密钥错误与服务器不匹配这两类问题在设备日志里的文本不同，读日志通常比猜测更快。