日志定位的思路
RADIUS 认证失败是典型的多环节问题：终端、AP、AC、网络、RADIUS 服务器、后端目录，任何一环都能让登录失败。有效的方法是把两侧日志按时间对齐——终端事件日志给出失败阶段与错误码，服务器日志给出请求是否到达、命中哪条策略、拒绝了什么原因。第一步永远先确认「请求有没有到达 RADIUS」：没到达就是网络或 NAS 问题，到了却失败才是策略、口令或证书问题。
基本信息
| 左侧日志 | 终端事件日志 / AP 与 AC 的认证日志 |
|---|---|
| 右侧日志 | RADIUS 服务器日志与调试输出 |
| 对齐前提 | 两端 NTP 时间同步，误差控制在秒级 |
| 关键线索 | 用户名、NAS IP、Calling-Station-Id、EAP 方法、拒绝原因 |
| 排障工具 | radtest、radiusd -X 前台调试、抓包看 UDP 1812/1813 |
定位顺序
定位顺序
# 1) 终端侧：失败发生在哪一步（关联、EAP、密钥、DHCP）
# 2) NAS 侧：请求是否发往正确服务器、共享密钥是否匹配
# 3) 服务器侧：请求是否到达、命中哪条策略、拒绝原因是什么
# 4) 后端：目录/证书/令牌是否可达且账号状态正常
# 5) 抓包：UDP 1812 双向是否有 Access-Request 与回包FreeRADIUS 调试示例
FreeRADIUS 调试示例
# 前台调试模式，逐个模块打印认证过程与拒绝原因
radiusd -X
# 从另一窗口发起测试请求，观察完整交互
radtest test01 'Passw0rd!' 127.0.0.1 0 testing123
# 调试结束后务必停止前台进程，避免长期高频日志影响性能现象与可能环节
| 现象 | 优先排查 |
|---|---|
| 服务器无任何记录 | NAS 配置、路由、防火墙 1812 放行、共享密钥 |
| 有请求无应答 | 服务器策略崩溃、后端超时、端口被安全策略拦截 |
| Access-Reject | 口令错误、账号锁定、EAP 方法不匹配、证书不受信 |
| 认证通过但拿不到地址 | 授权属性未下发或 VLAN/ACL 与交换机侧不一致 |
| 时好时坏 | 时间偏差、负载均衡下多节点配置不一致、后端抖动 |
多台 RADIUS 时的常见陷阱：策略只改了其中一台，终端按轮询连到未修改的节点，表现为间歇性失败。改配置后要逐台核对，并确认客户端指向的是同一个地址池。
最高级别调试会打印敏感信息（用户名、部分凭据字段），只应在排障窗口开启，事后立即关闭并确认日志文件的留存与权限。