由于您已经连续%d次认证失败，这次认证被服务器丢弃，请过%d分钟后重试。（英文提示：The request is dropped by UAM because of %d consecutive authentication failures. Please try again %d minutes later.）

2.21.2 故障处理步骤

1. 可能原因：

在系统参数中启用了认证防攻击功能，用户由于连续认证失败，导致认证失败次数达到系统参数中设置的认证失败阈值。

2. 解决方案：

(1) 关闭认证防攻击功能。

(2) 修改系统参数中的认证失败阈值或者等待一段时间（失败提示信息中提示的时间）后再认证。

2.22 访客密码过期，请找回密码

2.22.1 故障描述

访客密码过期，请找回密码。（英文提示：The password of the guest is expired. Click Forget Password to obtain a new password.）

2.22.2 故障处理步骤

1. 可能原因：

访客认证时输入的密码已过了有效期，密码有效时长是在访客策略中配置的。

2. 解决方案：

可以由管理员在访客策略页面重置访客密码有效时长或者用户登录自助进行重置。

2.23 用户未生效

2.23.1 故障描述

用户未生效。（英文提示：The user is not validated.）

2.23.2 故障处理步骤

1. 可能原因：

在如下图所示[用户业务>接入用户>增加接入用户]页面设置了生效日期，在用户认证时，接入信息还未到达生效日期。

图2-3 生效日期参数配置

2. 解决方案：

修改接入用户中该用户的生效日期。

2.24 BYOD匿名用户禁止认证

2.24.1 故障描述

BYOD匿名用户禁止认证。（英文提示：An anonymous BYOD user cannot perform MAC portal authentication.）

2.24.2 故障处理步骤

1. 可能原因：

终端已经做过802.1x或者Portal认证，后续无法进行MAC Portal认证。

2. 解决方案：

在终端设备管理页面删除对应终端记录。

3 在线用户故障处理

3.1 LDAP用户申请的服务自动切换为其它服务

3.1.1 故障描述

LDAP用户申请的服务自动切换为其它服务。

3.1.2 故障处理步骤

1. 可能原因：

找到LDAP用户对应LDAP策略所关联的LDAP服务器。如果LDAP服务器的“服务同步方式”配置为“基于AD组”，则当操作员修改了LDAP用户的服务，或将AD中的用户移动到其他用户分组后，EIA执行定时任务或操作员手工执行同步操作时，EIA会自动按照LDAP用户所属的AD组为其重新申请服务。

2. 解决方案：

(1) 如果为LDAP用户申请或注销服务，在LDAP同步策略配置中修改对应AD组指定的服务；下次执行同步操作时，EIA会按照用户所属的AD组自动申请或注销服务。

图3-1 修改服务

(2) 将LDAP服务器的“服务同步方式”配置为“手工指定”，这样每次同步LDAP用户时不会修改用户所申请的服务。

图3-2 服务同步方式

3.2 用户下线原因为NAS Error

3.2.1 故障描述

用户正常在线一段时间后下线，查看上网明细，发现下线原因为NAS Error。

3.2.2 故障处理步骤

1. 可能原因：

接入设备故障，导致用户异常下线。

2. 解决方案：

请参见15 日志收集进行日志收集，联系H3C技术支持人员定位设备问题。

4 用户上线故障处理

4.1 预开户用户不允许上线

4.1.1 故障描述

预开户用户不允许上线。（英文提示：A trial account is not allowed to log in.）

4.1.2 故障处理步骤

1. 可能原因：

该用户还没有转正，不是正式用户。

2. 解决方案：

需要对该用户进行转正，管理员可以在接入用户中对预开户用户进行转正操作。

4.2 预注销用户不允许上线

4.2.1 故障描述

预注销用户不允许上线。（英文提示：A temporarily canceled account is not allowed to log in.）

4.2.2 故障处理步骤

1. 可能原因：

该用户已经被预注销。

2. 解决方案：

该用户已被预注销，管理员可以在接入用户中进行恢复预注销操作。

4.3 设备已丢失，禁止上线

4.3.1 故障描述

设备已丢失，禁止上线。（英文提示：The device cannot access the network because it has been marked as "lost".）

4.3.2 故障处理步骤

1. 可能原因：

用户在自助页面设备标记为丢失。

2. 解决方案：

在自助页面的终端设备管理处将终端状态从丢失改为正常。

4.4 接入用户无法使用当前终端上线

4.4.1 故障描述

接入用户无法使用当前终端上线。（英文提示：The user cannot access the network from the current endpoint.）

4.4.2 故障处理步骤

1. 可能原因：

服务器安装了EIP组件，在终端设备管理中对某个终端绑定了接入用户，若上线的用户不在绑定用户中，则提示该信息。

2. 解决方案：

在绑定的接入用户中增加该用户。

5 策略、服务类故障处理

5.1 端口绑定检查失败

5.1.1 故障描述

端口绑定检查失败。（英文提示：Failed to check device port binding.）

5.1.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定接入设备端口”项，并且用户认证时使用的设备端口和接入用户中已经绑定的端口不一致。

2. 解决方案：

· 方案一：用户认证时使用的设备端口和接入策略中设置的绑定接入设备端口保持一致。

· 方案二：在接入策略中去勾选“绑定接入设备端口”项。

5.2 MAC地址绑定检查失败

5.2.1 故障描述

MAC地址绑定检查失败。（英文提示：Failed to check MAC address binding.）

5.2.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定用户MAC地址”项，并且用户认证时使用的MAC地址和接入用户中绑定的MAC地址不一致。

2. 解决方案：

· 方案一：用户认证时使用的MAC地址和接入用户中绑定的MAC地址保持一致，

· 方案二：在接入策略中去勾选“绑定用户MAC地址”项。

5.3 IP地址绑定检查失败

5.3.1 故障描述

IP地址绑定检查失败。（英文提示：Failed to check IP address binding.）

5.3.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定用户IP地址”项，并且用户认证时未获取到IP地址或者和接入用户中已经绑定的用户IP地址不一致。

2. 解决方案：

· 方案一：用户认证时上传的IP地址和接入策略中设置的绑定用户IP地址保持一致。

· 方案二：在接入策略中去勾选“绑定用户IP地址”项。

5.4 接入时段限制

5.4.1 故障描述

接入时段限制。（英文提示：Access time limit.）

5.4.2 故障处理步骤

1. 可能原因：

在接入策略中或者接入场景中配置了接入时段限制，而用户在限制时间内发起认证或者认证一段时间后达到了时间限制。

2. 解决方案：

修改接入时段中禁止接入时间段或者取消使用接入时段策略。

5.5 接入主机权限限制

5.5.1 故障描述

接入主机权限限制。（英文提示：User has no right to access the host.）

5.5.2 故障处理步骤

1. 可能原因：

设备管理用户中绑定了用户IP地址或者设备IP地址，并且认证时用户IP或者设备IP不在绑定范围之内。

2. 解决方案：

· 方案一：用户认证时上传的用户IP地址或设备IP地址和设备管理用户中的配置保持一致，使认证使用的IP在绑定范围内。

· 方案二：在设备管理用户中取消绑定用户IP地址或设备IP地址功能。

5.6 认证客户端版本太低

5.6.1 故障描述

认证客户端版本太低。（英文提示：The authentication client version is too old.）

5.6.2 故障处理步骤

1. 可能原因：

· 接入策略中勾选了“仅限iNode客户端”项并设置了最低版本号，用户认证时使用的iNode客户端版本号低于设置的版本号或者未在客户端上勾选上传客户端版本号。

· 用户未使用iNode客户端认证。

2. 解决方案：

· 接入策略中去勾选“仅限iNode客户端”项、使用不低于设置版本号的客户端认证并在iNode客户端属性设置中勾选“上传客户端版本号”项。

· 使用iNode客户端。

5.7 设备IP绑定检查失败

5.7.1 故障描述

设备IP绑定检查失败。（英文提示：Failed to check device IP address binding.）

5.7.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定接入设备IP”项，并且用户认证时使用的接入设备和接入用户中已经绑定的接入设备不一致。

2. 解决方案：

· 方案一：在接入策略中勾选的绑定接入设备IP地址与用户认证时实际接入设备IP地址保持一致。

· 方案二：在接入策略中去勾选“绑定接入设备IP”项。

5.8 设备VLAN绑定检查失败

5.8.1 故障描述

设备VLAN绑定检查失败。（英文提示：Failed to check device VLAN binding.）

5.8.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定VLAN”或者“绑定QinQ双VLAN”项，并且用户认证时未获取到VLAN信息或者获取到的VLAN和接入用户中已经绑定的VLAN不一致。

2. 解决方案：

· 方案一：用户认证时携带的VLAN参数和接入策略中绑定的VLAN保持一致。

· 方案二：在接入策略中去勾选“绑定VLAN”或“绑定QinQ双VLAN”项。

5.9 无线用户SSID绑定检查失败

5.9.1 故障描述

无线用户SSID绑定检查失败。（英文提示：Failed to check user SSID binding.）

5.9.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定无线SSID”项，并且用户认证时未获取到SSID或者获取到的和接入用户中已经绑定的SSID不一致。

2. 解决方案：

· 方案一：用户认证时获取到的SSID和接入用户中设置的SSID保持一致。

· 方案二：在接入策略中去勾选“绑定无线SSID”项。

5.10 用户MAC地址不允许接入

5.10.1 故障描述

用户MAC地址不允许接入。（英文提示：Access from the MAC address is denied.）

5.10.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“启用终端IP/MAC地址控制”项，并且用户认证时使用的终端MAC地址没有在允许的终端MAC地址池之内或者在禁止的终端MAC地址池之内。

2. 解决方案：

在终端IP/MAC地址中增加该MAC地址且控制类型为允许。

5.11 用户IP地址不允许接入

5.11.1 故障描述

用户IP地址不允许接入。（英文提示：Access from the IP address is denied.）

5.11.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“启用终端IP/MAC地址控制”项，并且用户认证时使用的终端IP地址没有在允许的终端IP地址池之内或者在禁止的终端IP地址池之内。

2. 解决方案：

在终端IP地址池中增加该IP地址且控制类型为允许。

5.12 用户IP和MAC地址不允许接入

5.12.1 故障描述

用户IP和MAC地址不允许接入。（英文提示：Access from the IP/MAC address is denied.）

5.12.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“启用终端IP/MAC地址控制”项，并且用户认证时使用的终端IP和MAC地址没有在允许的终端IP/MAC地址池之内或者在禁止的终端IP/MAC地址池之内。

2. 解决方案：

在终端IP/MAC地址池中增加该IP和MAC地址且控制类型为允许。

5.13 IMSI绑定检查失败

5.13.1 故障描述

IMSI绑定检查失败。（英文提示：Failed to check IMSI code binding.）

5.13.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定IMSI号码”项，并且用户认证时未获取到IMSI号码或者获取到的IMSI号码和接入用户中已经绑定的IMSI号码不一致。

2. 解决方案：

· 方案一：用户认证时上传的IMSI号码和接入用户设置的IMSI号码保持一致。

· 方案二：在接入策略中去勾选“绑定IMSI功能”项。

5.14 设备序列号绑定检查失败

5.14.1 故障描述

设备序列号绑定检查失败。（英文提示：Failed to check Access Device SN binding.）

5.14.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定接入设备序列号”项，并且用户认证时未获取到设备序列号或者获取到的和接入用户中已经绑定的设备序列号不一致。

2. 解决方案：

· 方案一：用户认证时上传的设备序列号和接入用户中设置的接入设备序列号保持一致。

· 方案二：在接入策略中去勾选“绑定接入设备序列号”项。

5.15 IMEI号码绑定检查失败

5.15.1 故障描述

IMEI号码绑定检查失败。（英文提示：IMEI number binding check failure.）

5.15.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“绑定IMEI号码”项，并且用户认证时未获取到IMEI号码或者获取到的IMEI号码和接入用户中已经绑定的IMEI号码不一致。

2. 解决方案：

· 方案一：用户认证时上传的IMEI号码和接入用户设置的IMEI号码保持一致。

· 方案二：在接入策略中取消“绑定IMEI功能”项。

5.16 用户在对应的场景下不允许接入

5.16.1 故障描述

用户在对应的场景下不允许接入。（英文提示：Access is denied in the access scenario.）

5.16.2 故障处理步骤

1. 可能原因：

接入服务中选择了禁止的接入策略或者选择的接入服务中绑定了已被禁止的接入策略。

2. 解决方案：

修改该用户所申请服务中使用的接入策略。

5.17 哑终端用户申请服务超过一条

5.17.1 故障描述

哑终端用户申请服务超过一条。（英文提示：The mute terminal user has been assigned multiple services.）

5.17.2 故障处理步骤

1. 可能原因：

在配置哑终端用户时申请了多条服务。

2. 解决方案：

在哑终端配置中删除多余的服务，只申请一条。

5.18 认证客户端版本太低，计算机名称绑定检查失败

5.18.1 故障描述

认证客户端版本太低，计算机名称绑定检查失败。（英文提示：The authentication client version is too old. Failed to check computer name binding.）

5.18.2 故障处理步骤

1. 可能原因：

在[自动化>用户业务>接入服务>接入策略>接入策略>增加接入策略]页面设置了“绑定计算机名称”，在认证时计算机名称检查失败。

图5-1 绑定计算机名称

2. 解决方案：

修改接入策略中绑定计算机名称。

5.19 计算机名称绑定检查失败

5.19.1 故障描述

计算机名称绑定检查失败。（英文提示：Failed to check computer name binding.）

5.19.2 故障处理步骤

原因和解决方案与5.18 认证客户端版本太低，计算机名称绑定检查失败相同。

5.20 计算机绑定域检查失败

5.20.1 故障描述

计算机绑定域检查失败。（英文提示：Failed to check domain binding.）

5.20.2 故障处理步骤

1. 可能原因：

在[自动化>用户业务>接入服务>接入策略>接入策略>增加接入策略]页面设置了“计算机绑定域”，在用户认证时计算机绑定域检查失败。

图5-2 计算机绑定域配置

2. 解决方案：

修改接入策略中计算机绑定域。

5.21 用户必须登录到域检查失败

5.21.1 故障描述

用户必须登录到域检查失败。（英文提示：Failed to check logon domain.）

5.21.2 故障处理步骤

1. 可能原因：

在[自动化>用户业务>接入服务>接入策略>接入策略>增加接入策略]页面设置了“用户必须登录到域”，在用户认证时用户必须登录到域检查失败。

图5-3 用户必须登录到域配置

2. 解决方案：

修改接入策略中用户必须登录到域。

5.22 硬盘序列号绑定检查失败

5.22.1 故障描述

硬盘序列号绑定检查失败。（英文提示：Hard disk serial number binding check failed.）

5.22.2 故障处理步骤

1. 可能原因：

在[自动化>用户业务>接入服务>接入策略>接入策略>增加接入策略]页面设置了“绑定硬盘序列号”，在认证时硬盘序列号绑定检查失败。

图5-4 绑定硬盘序列号配置

2. 解决方案：

修改接入策略中绑定硬盘序列号。

5.23 操作系统授权码绑定检查失败

5.23.1 故障描述

操作系统授权码绑定检查失败。（英文提示：Os auth code serial number binding check failed.）

5.23.2 故障处理步骤

1. 可能原因：

在[自动化>用户业务>接入服务>接入策略>接入策略>增加接入策略]页面设置了“绑定操作系统授权码”，在认证时操作系统授权码绑定检查失败。

图5-5 绑定操作系统授权码

2. 解决方案：

修改接入策略中绑定操作系统授权码。

5.24 用户主板序列号不允许接入

5.24.1 故障描述

用户主板序列号不允许接入。（英文提示：BaseBoardSN is not allowed.）

5.24.2 故障处理步骤

1. 可能原因：

接入策略中勾选了“启用终端主板序列号控制”项，并且用户认证时未获取到终端主板序列号或者获取到的终端主板序列号不允许接入。

2. 解决方案：

· 方案一：将用户认证时上传的终端主板序列号加入到可允许接入的终端主板序列号列表中。

· 方案二：在接入策略中去勾选“终端主板序列号控制功能”项。

6 LDAP故障处理

6.1 LDAP用户密码错误，您已经被加入黑名单

6.1.1 故障描述

LDAP用户密码错误，您已经被加入黑名单。（英文提示：Incorrect LDAP password. You have been added into blacklist.）

6.1.2 故障处理步骤

1. 可能原因：

LDAP用户连续用错误密码认证的次数达到设置值。

2. 解决方案：

具体解决方案可参考2.12.2 故障处理步骤。

6.2 LDAP用户不存在或者密码错误，您还可以重试#Count次

6.2.1 故障描述

LDAP用户不存在或者密码错误，您还可以重试#Count次。（英文提示：Incorrect LDAP password. You can retry #Count times.）

6.2.2 故障处理步骤

1. 可能原因：

LDAP用户密码错误，提示还剩余几次会加入黑名单。

2. 解决方案：

使用正确的密码进行认证。

6.3 LDAP用户输入正确密码却提示密码错误

6.3.1 故障描述

LDAP用户认证时，输入了正确的用户名和密码，但是认证失败，提示密码错误。

6.3.2 故障处理步骤

1. 可能原因：

(1) 如果EIA服务器和LDAP服务器两者的密码处理方式不一致，则可能出现该问题。例如EIA侧要求从LDAP服务器上返回明文密码，但LDAP服务器返回的是加密后的密码。

(2) 使用非iNode客户端进行PEAP-MD5、EAP-MD5认证。

(3) 域控信息填写错误。

LDAP服务器类型、认证方式和认证结果的关系如下表所述。

表6-1 认证结果

LDAP服务器类型	LDAP用户认证方式	认证结果
通用LDAP服务器	EAP-PEAP/EAP-MSCHAPv2	从LDAP服务器获取的是加密后的密码或者不能取回密码，提示密码错误
	CHAP	从LDAP服务器获取的是加密后的密码，提示密码错误
	PEAP-MD5/EAP-MD5（使用非iNode客户端认证）	EIA不能从报文中获取明文密码，导致密码校验失败，提示密码错误
	其他认证方式	EIA不支持LDAP服务器上使用的加密方式，导致密码校验失败，提示密码错误

由上表可知，LDAP用户认证失败并收到密码错误的提示是由于密码加密方式或者使用的场景存在问题。

2. 解决方案：

表6-2 解决方法

LDAP服务器类型	LDAP用户认证方式	认证结果
通用LDAP服务器	EAP-PEAP/EAP-MSCHAPv2	必须要求从LDAP服务器上获取到明文密码
	CHAP	必须要求从LDAP服务器上获取到明文密码
	PEAP-MD5/EAP-MD5（使用非iNode客户端认证）	使用iNode客户端进行认证
	其他认证方式	LDAP服务器上加密方式必须是EIA支持的，或者后续EIA侧进行适配处理

6.4 LDAP服务器上不支持CHAP认证

6.4.1 故障描述

LDAP服务器上不支持CHAP认证。（英文提示：LDAP server does not support CHAP authentication.）

6.4.2 故障处理步骤

1. 可能原因：

该LDAP用户认证时使用的认证类型为CHAP，而微软AD服务器不支持该种认证方式。

2. 解决方案：

如果为802.1X认证则需要修改设备上认证类型，如果为Portal认证则需要修改EIA上Portal配置中的认证类型。

6.5 LDAP服务器连接超时、IP地址错误或端口错误，请稍后重试或联系管理员

6.5.1 故障描述

LDAP服务器连接超时、IP地址错误或端口错误，请稍后重试或联系管理员。（英文提示：LDAP server connection timed out due to invalid server IP or port. Please retry later or contact the administrator.）

6.5.2 故障处理步骤

1. 可能原因：

· LDAP服务器配置错误或网络错误导致不通；

· 和LDAP服务器连通，但使用LDAP进行认证或从LDAP服务器同步信息时，LDAP服务器回应超时。

2. 解决方案：

· 可以在配置台界面检测连通性。

· 请检测LDAP服务器是否存在异常。

6.6 LDAP服务器协议版本错误

6.6.1 故障描述

LDAP服务器协议版本错误。（英文提示：LDAP server protocol error.）

6.6.2 故障处理步骤

1. 可能原因：

LDAP服务器版本配置错误。

2. 解决方案：

请确保EIA中配置的服务器版本号与LDAP服务器版本号一致。

6.7 LDAP服务器配置信息错误，请联系网络管理员

6.7.1 故障描述

LDAP服务器配置信息错误，请联系网络管理员。（英文提示：LDAP server configuration error. Please contact the administrator.）

6.7.2 故障处理步骤

1. 可能原因：

EIA服务器需要查询的对象在LDAP服务器的目录下并不存在。

2. 解决方案：

检查LDAP服务器上的配置或者联系网络管理员。

6.8 管理员配置错误

6.8.1 故障描述

管理员配置错误。（英文提示：LDAP server administrator error.）

6.8.2 故障处理步骤

1. 可能原因：

在LDAP服务器上管理员DN（用于管理LDAP服务器中用户数据）配置存在问题。

2. 解决方案：

检查LDAP服务器上管理员相关配置或者联系网络管理员。

6.9 与LDAP服务器连接异常，请稍后重试或联系管理员

6.9.1 故障描述

与LDAP服务器连接异常，请稍后重试或联系管理员。（英文提示：LDAP server unknown error.）

6.9.2 故障处理步骤

1. 可能原因：

LDAP服务器上返回的错误信息未被识别，提示该信息。

2. 解决方案：

可以抓包确认LDAP服务器返回的具体错误码，再查询该错误码含义。

6.10 LDAP服务器处于未连通状态，请稍后重试或者通知管理员

6.10.1 故障描述

LDAP服务器处于未连通状态，请稍后重试或者通知管理员。（英文提示：LDAP server is disconnected. Please retry later or contact the administrator.）

6.10.2 故障处理步骤

1. 可能原因：

用户在认证时若无法连接LDAP服务器，则会把LADP服务器配置中的“连通服务器”改为未连通，该状态保持时间根据“连接静默时长”来确定。在未连通状态下再次进行认证时会提示错误信息。

2. 解决方案：

请检查LDAP服务器是否启用，网络是否连接。请确保EIA服务器与LDAP服务器能够正常通信。

6.11 系统未知错误，请联系管理员

6.11.1 系统描述

系统未知错误，请联系管理员。（英文提示：Unknown system error. Please contact the administrator.）

6.11.2 故障处理步骤

1. 可能原因：

LDAP服务器返回的未知异常。

2. 解决方案：

需要查看LDAP服务器是否存在异常。如果有具体的错误信息，会有其他错误码，这种情况一般是其它未知情况。如果排查LDAP服务器无异常，那么需要收集抓包信息，LDAP服务器的系统信息，以及EIA的Debug日志信息，包括uam、java server。EIA日志收集步骤请参见15 日志收集。

6.12 该帐号已被LDAP服务器锁定，请联系管理员解锁

6.12.1 故障描述

该帐号已被LDAP服务器锁定，请联系管理员解锁。（英文提示：The account is locked by the LDAP server. Please contact the administrator to unlock the account.）

6.12.2 故障处理步骤

1. 可能原因：

LDAP服务器中配置了帐号锁定阈值，并且用户认证失败的次数超过了该阈值，用户帐号被锁定。

2. 解决方案：

在LDAP服务器上用户属性窗口中勾选“解锁帐户”选项。

6.13 无法从LDAP服务器获取到密码

6.13.1 故障描述

无法从LDAP服务器获取到密码。（英文提示：Failed to obtain the password from the LDAP server.）

6.13.2 故障处理步骤

1. 可能原因：

对于LDAP服务器，选择把密码同步到本地进行校验，但在认证过程中却同步失败，提示该信息。

2. 解决方案：

检查EIA服务器配置中的密码属性是否正确，查看LDAP服务器是否支持把密码同步到本地。

6.14 LDAP用户密码已过期

6.14.1 故障描述

LDAP用户密码已过期。（英文提示：The password of the LDAP user has expired.）

6.14.2 故障处理步骤

1. 可能原因：

LDAP服务器中配置了用户密码过期时间，超过该时间后，帐户就会失效。

2. 解决方案：

在LDAP服务器的用户属性窗口中，将帐户选项勾选为“密码永不过期”，或推迟用户密码过期时间。

6.15 LDAP用户登录计算机限制，请联系管理员

6.15.1 故障描述

LDAP用户登录计算机限制，请联系管理员。（英文提示：The LDAP user does not have the privilege to log on to the computer.）

6.15.2 故障处理步骤

1. 可能原因：

对LDAP用户可登录的计算机进行了限制。

2. 解决方案：

在LDAP服务器上用户属性窗口中选择“账户 - 登录到(T)”配置可登录的计算机帐号，允许用户可以登录到“所有计算机”或选择“下列计算机”添加允许登录LDAP服务器配置的虚拟计算机帐号。

6.16 LDAP服务器连接超时或IP地址错误或端口错误

6.16.1 故障描述

LDAP服务器连接超时或IP地址错误或端口错误。

6.16.2 故障处理步骤

1. 可能原因：

LDAP服务器配置错误或网络错误导致不通。

2. 解决方案：

可以在配置台界面检测连通性。

图6-1 配置检测

和LDAP服务器连通，但bind或search时设备回应超时，如下抓包截图所示：

图6-2 抓包

6.17 LDAP服务器协议版本号错误

6.17.1 故障描述

LDAP服务器协议版本号错误。

6.17.2 故障处理步骤

1. 可能原因：

服务器版本配置错误。

2. 解决方案：

可确认EIA界面上配置与LDAP服务器是否一致。

图6-3 服务器配置

6.18 LDAP用户已失效

6.18.1 故障描述

LDAP用户已失效。

6.18.2 故障处理步骤

1. 可能原因：

在LDAP服务器中配置了帐户过期时间，在超过了设置日志后，帐户就会失效。

图6-4 帐户过期时间

2. 解决方案：

不配置帐户过期时间。

6.19 LDAP用户已禁用

6.19.1 故障描述

LDAP用户已禁用。

6.19.2 故障处理步骤

1. 可能原因：

LDAP服务器中勾选了“帐户已禁用”选项。

图6-5 帐户已禁用

2. 解决方案：

LDAP服务器中去勾选“帐户已禁用”选项。

6.20 该帐户已被LDAP服务器锁定

6.20.1 故障描述

该帐户已被LDAP服务器锁定。

6.20.2 故障处理步骤

1. 可能原因：

LDAP服务器上配置了帐户锁定阈值，当用户认证失败次数超过该锁定阈值时，会提示该信息。

2. 解决方案：

在服务器上解除锁定即可。

图6-6 解锁帐户

6.21 首次登录修改密码

6.21.1 故障描述

登录失败，首次登录请修改密码。如果无法修改密码，请联系管理员检查接入策略中的证书认证类型是否为EAP-PEAP/MSCHAPv2。在该证书认证类型下EIA不支持LDAP用户修改密码。

6.21.2 故障处理步骤

1. 可能原因：

在LDAP服务器上勾选了用户下次登录需修改密码，并且用户进行的是peap-mschapv2认证。

2. 解决方案：

在LDAP服务器中用户属性窗口中去勾选“用户下次登录需要修改密码”选项。

6.22 LDAP服务器上没有该用户名

6.22.1 故障描述

用户认证时，提示“LDAP服务器上没有该用户名”。

6.22.2 故障处理步骤

该故障分两种情况，一是非按需同步策略同步用户，二是按需同步策略同步用户。不同类型的同步策略导致该故障的原因不同，解决方法也不同，下面分别说明。

1. 非按需同步策略——可能原因

对非按需同步策略同步的用户，可能原因如下：

(1) LDAP服务器中确实不存在该用户。

(2) 用户为LDAP服务器上新增用户，EIA上没有执行手工同步。

(3) 没有配置LDAP同步/备份任务。

(4) DN设置问题、或者过滤条件设置不正确，导致没有同步到该用户。

(5) 用户发生了OU转移，EIA上没有执行手工同步，或者没有经过定时任务执行周期。

2. 非按需同步策略——解决方案

解决方法如下：

(1) 请在LDAP服务器中添加该用户或使用已存在的用户名认证。

(2) 请在同步策略列表中执行同步操作，如图6-7所示。

图6-7 手工同步

(3) 请在LDAP功能参数中，配置LDAP同步/备份任务，如图6-8所示。

图6-8 LDAP自动同步

(4) 请在LDAP用户列表中查看用户及用户的状态，并确保同步策略中配置的DN、过滤条件正确。

图6-9 查看用户状态

(5) 请在同步策略配置界面手工执行同步操作，或者等待定时任务执行。

3. 按需同步策略——可能原因

对于按需同步策略，可能的原因如下：

(1) LDAP服务器中确实不存在该用户。

(2) 用户为LDAP服务器上新增用户，EIA上没有执行按需同步生效操作，或者没有经过定时任务执行周期，且LDAP按需认证模式没有选择“实时认证”。

图6-10 按需同步生效

图6-11 选择LDAP按需认证模式

(3) 由于DN设置问题、或者过滤条件设置不正确导致用户资源表数据没有相关用户信息，且LDAP按需认证模式没有选择“实时认证”。

4. 按需同步策略——解决方案

解决方法如下：

(1) 请在LDAP服务器中添加该用户或使用已存在的用户名认证。

(2) 请执行按需同步生效操作，并将LDAP按需认证模式配置为“实时认证”。

(3) 请检查DN、过滤条件配置是否正确，并在系统参数配置中将LDAP按需认证模式配置为“实时认证”。

7 证书故障处理

7.1 证书标识与用户名不匹配

7.1.1 故障描述

证书标识与用户名不匹配。（英文提示：The account name does not match the attribute in the client certificate.）

7.1.2 故障处理步骤

1. 可能原因：

在系统参数中勾选了“检查证书中的用户名”，用户在进行TLS认证功时会检查客户端证书中主题名和登录的用户名是否匹配，若是两者不一致则会提示该信息。

2. 解决方案：

系统参数中去勾选“检查证书中的用户名”，或者更换客户端证书。

7.2 无法获取证书颁发者

7.2.1 故障描述

无法获取证书颁发者。（英文提示：Unable to get issuer certificate.）

7.2.2 故障处理步骤

1. 可能原因：

用户进行证书认证时会要获取证书中的颁发者信息，若证书中无该信息，则认证失败。

2. 解决方案：

需要检查证书中是否有颁发者信息，若没有则需要更换证书。

7.3 证书无效

7.3.1 故障描述

证书无效。（英文提示：Invalid certificate.）

7.3.2 故障处理步骤

1. 可能原因：

用户进行证书认证时检查到该证书无效。

2. 解决方案：

需要更换证书。

7.4 证书已经过期

7.4.1 故障描述

证书已经过期。（英文提示：Certificate has expired.）

7.4.2 故障处理步骤

1. 可能原因：

用户认证时使用的证书已过了有效期。

2. 解决方案：

需要查看一下证书有效期，并更换证书。

7.5 证书认证错误

7.5.1 故障描述

证书认证错误。（英文提示：Certificate authentication error.）

7.5.2 故障处理步骤

1. 可能原因：

触发该提示信息的原因比较广泛，证书出现问题一般都会提示该信息。

2. 解决方案：

需要根据具体场景进行分析。收集证书信息包括根证书服务器证书和客户端证书，客户端的认证方式，客户端和服务器的抓包信息，服务器的Debug日志信息。EIA日志收集步骤请参见15 日志收集。

7.6 证书未导入

7.6.1 故障描述

证书未导入。（英文提示：Certificate not imported.）

7.6.2 故障处理步骤

1. 可能原因：

用户进行证书认证，但在服务器上未导入证书。

2. 解决方案：

在业务参数的证书配置中导入证书。

8 MSCHAPv2认证故障处理

8.1 域控连接错误，请联系管理员

8.1.1 故障描述

域控连接错误，请联系管理员。（英文提示：Connection error with the domain controller. Please contact the administrator.）

8.1.2 故障处理步骤

1. 可能原因：

AD用户进行MS-CHAPv2认证，与域控服务器连接时出现问题。

2. 解决方案：

需要检查EIA服务器、域控服务器的配置及网络连接情况。可以在EIA服务器上telnet域控服务器的445端口能否连接成功。

8.2 域控信息错误，请联系管理员

8.2.1 故障描述

域控信息错误，请联系管理员。（英文提示：Incorrect domain controller infomation. Please contact the administrator.）

8.2.2 故障处理步骤

1. 可能原因：

MS-CHAPv2认证配置中的“域控服务器全名”配置错误。

2. 解决方案：

检查PEAP认证域控页面配置的“域控服务器全名”与域控服务器的全名是否一致。查看域控服务器全名的方法如下：

(1) 在域控服务器中，右键点击“我的电脑”打开右键菜单。

(2) 选择“属性”菜单项，打开系统属性页面。“计算机名”区域的完整的计算机名称值即是域控服务器全名。

8.3 没有接收到MSCHAPv2SERVER的认证信息报文

8.3.1 故障描述

用户认证时，提示“LDAP用户密码错误”。

8.3.2 故障处理步骤

1. 可能原因：

· 出现这个错误的原因可能是因为PEAP认证域配置中的“域控服务器地址”没有填写正确。

· 出现这个错误的原因可能是因为PEAP认证域配置中的“本地服务器端口”没有填写正确。“本地服务器端口”缺省值为9812，如果需要修改为其它值，修改后需要重启EIA服务器的mschapv2server进程才能生效。

2. 解决方案：

· “域控服务器地址”填写正确。

· “本地服务器端口”填写正确。

8.4 域控信息错误

8.4.1 故障描述

域控信息错误。

8.4.2 故障处理步骤

1. 可能原因：

出现这个错误的原因是因为在PEAP认证域配置中的“域控服务器全名”没有配置正确。

2. 解决方案：

查看域控服务器全名的办法：在域控服务器上右键点击“我的电脑”打开右键菜单，选择“属性”打开系统属性页面，查看完整的计算机名称。

图8-1 计算机全名

8.5 域控连接错误

8.5.1 故障描述

虚拟计算机名称或密码错误。

8.5.2 故障处理步骤

1. 可能原因：

· 出现这个错误的原因是可能是因为LDAP服务器上的445端口没有开放。

· 出现这个错误也可能是LDAP服务器上的SMB协议没有启用。

2. 解决方案：

· 可以用telnet命令检查。

· 在EIA (E0604H06)版本之前，只支持SMB1，之后的版本支持SMB1和SMB2，可检查LDAP服务器SMB协议的开启状态：

Get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol

设置SMB协议的开启与关闭：

Set-SmbServerConfiguration -EnableSMB1Protocol $false

Set-SmbServerConfiguration -EnableSMB2Protocol $false

Set-SmbServerConfiguration -EnableSMB1Protocol $true

Set-SmbServerConfiguration –EnableSMB2Protocol $true

8.6 Access is denied

8.6.1 故障描述

Access is denied.

8.6.2 故障处理步骤

1. 可能原因：

日志中出现Access is denied的错误，具体错误信息如下：

图8-2 错误信息1

图8-3 错误信息2

图8-4 错误信息3

2. 解决方案：

这种错误是由于修改了域控服务器的服务器SPN目标名称验证级别导致。域控的服务器SPN验证级别有三个级别，分别如下：

· 关闭。SMB服务器不需要验证来自SMB客户端的SPN。

· 由客户端提供时接受。SMB服务器将接受并验证SMB客户端提供的SPN，如果会话与SMB 服务器的SPN列表匹配，则允许建立会话；如果SPN不匹配，该SMB客户端的会话请求将被拒绝。

· 客户端要求。SMB客户端必须在会话设置中发送SPN名称，并且提供的SPN名称必须与请求建立连接的SMB服务器匹配。如果客户端设备未提供SPN，或者提供的SPN不匹配，则会话将被拒绝。

默认情况下为关闭状态。如果设置为客户端要求，则MS-CHAPV2认证时就会出现以上的认证错误。具体修改方法为打开[本地安全策略>安全选项>Microsoft网络服务器：服务器SPN目标名称验证级别>本地安全设置]界面，选择“关闭”或者“由客户端提供时接受”，截图如下：

图8-5 由客户端提供时接受

9 第三方故障处理

9.1 第三方Radius认证失败，请确认输入了正确的用户名和密码，或者联系管理员

9.1.1 故障描述

第三方Radius认证失败，请确认输入了正确的用户名和密码，或者联系管理员。（英文提示：Third-party Radius authentication failed. Please check your username and password or contact the administrator.）

9.1.2 故障处理步骤

1. 可能原因：

用户在进行第三方Radius认证时输入了错误的动态密码或者该用户在第三方服务器上不存在。

2. 解决方案：

确认进行第三方Radius认证时输入的动态密码是否正确或者在第三方服务器上查看是否已存在该用户。

9.2 Boss系统认证失败，请确认输入了正确的手机号码和密码，或者联系管理员

9.2.1 故障描述

Boss系统认证失败，请确认输入了正确的手机号码和密码，或者联系管理员。（英文提示：Boss authentication failed. Please check your cell-phone number and password or contact the administrator.）

9.2.2 故障处理步骤

1. 可能原因：

在EIA服务器上进行认证，而到第三方服务器进行计费，需要给服务器中的用户设置电话号码，在进行认证后会把手机号码和密码发给第三方服务器，若发送密码或者手机号码不正确则提示该信息。

2. 解决方案：

确认EIA服务器和第三方服务器上的手机号和密码是否一致。

9.3 Boss系统无响应

9.3.1 故障描述

Boss系统无响应。（英文提示：Timeout for waiting the response message of Boss system.）

9.3.2 故障处理步骤

1. 可能原因：

在EIA服务器上进行认证，而到第三方服务器进行计费，需要给服务器中的用户设置电话号码，在进行认证后会把手机号码和密码发给第三方服务器，发送之后第三方服务器没有回应。

2. 解决方案：

检查EIA服务器上关于第三方服务器的配置是否正确，查看第三方服务器是否存在异常。

9.4 第三方服务器不通

9.4.1 故障描述

第三方服务器不通。（英文提示：The third-party server cannot be connected.）

9.4.2 故障处理步骤

1. 可能原因：

配置了第三方认证，使用第三方用户进行认证，由于第三方服务器无法连通导致用户认证失败。

2. 解决方案：

检查第三方服务器及网络连通情况。

10 License故障处理

10.1 License数量限制

10.1.1 故障描述

License数量限制。（英文提示：The number of users reached the upper limit permitted by the license.）

10.1.2 故障处理步骤

1. 可能原因：

用户在线数量超过了允许的最大License数；或者当前用户在线数量还未更新。

2. 解决方案：

购买支持更多在线用户数的License。

10.2 EIA License数量限制

10.2.1 故障描述

EIA License数量限制。（英文提示：The number of users reached the upper limit permitted by the EIA license.）

10.2.2 故障处理步骤

1. 可能原因：

服务器中安装了EIA组件，在线的用户数超过了EIA组件允许的最大数，或者在线用户统计数还未更新。

2. 解决方案：

若在线数确实超过了允许的最大值则使部分用户下线，若是没有则稍等一段时间，等数据定时更新后再上线，或是选择购买支持更多在线用户数的EIA License。

10.3 EIP License数量限制

10.3.1 故障描述

EIP License数量限制。（英文提示：The number of users reached the upper limit permitted by the EIP license.）

10.3.2 故障处理步骤

1. 可能原因：

服务器中安装了EIP组件，在线的用户数超过了EIP组件允许的最大数，或者在线用户统计数还未更新。

2. 解决方案：

若在线数确实超过了允许的最大值则使部分用户下线，若是没有则稍等一段时间，等数据定时更新后再上线，或是选择购买支持更多在线用户数的EIP License。

11 页面提示性故障处理

11.1 页签消失

11.1.1 故障描述

在页面中菜单或者菜单中的页签消失。

11.1.2 故障处理步骤

1. 可能原因：

权限问题导致页面不显示。

2. 解决方案：

重启eia-uam-rs pod。

11.2 通知Radius服务器失败

11.2.1 故障描述

在配置EIA时，提示“通知Radius服务器失败”。

11.2.2 故障处理步骤

1. 可能原因：

可能有两种原因：

(1) 后台dm pod出现异常。

(2) Kafka Pod出现异常。

2. 解决方案：

(1) 重启eia-uam-dm pod。

(2) 重启平台Kafka Pod。

11.3 通知策略服务器失败

11.3.1 故障描述

在配置EIA时，提示“通知策略服务器失败”。

11.3.2 故障处理步骤

1. 可能原因：

策略服务器pod出现异常。

2. 解决方案：

重启eia-uam-policy pod。

12 MAC Portal认证常见错误分析

12.1 无法弹出MAC Portal认证页面

12.1.1 故障描述

打开浏览器后，输入任意IP地址或者域名，无法重定向到MAC Portal认证页面。

12.1.2 故障处理步骤

1. 可能原因：

· 没有配置DNS。

· 服务器下发的URL或者ACL不正确。

2. 解决方案：

(1) 手动输入URL地址试下能否访问。

(2) 检查服务器下发的URL和ACL是否正确。

图12-1 设备上查看指定MAC地址下发的ACL和重定向URL

如果以上两项均正确，请联系相关技术人员定位。

12.2 MAC Portal无感知失效，每次都要输入帐号名和密码

12.2.1 故障描述

已做过无感知认证，后续认证时有时还会弹出认证页面，要求输入帐号名和密码。

12.2.2 故障处理步骤

1. 可能原因：

· 终端管理参数或者接入服务中没有启用无感知认证。

· 在线数量达到限制。

· 对在线用户进行了强制下线操作。

· 终端出现认证失败。

· 终端记录满足老化策略进行老化处理。

2. 解决方案：

(1) 先检查是否正确启用无感知，接入服务和终端管理参数配置中都要启用无感知认证。

图12-2 接入服务中启用无感知认证

图12-3 终端管理参数中启用无感知认证

(2) 检查终端设备的MAC绑定记录，MAC Portal状态是否为“已注册无感知失效”，如果是，则检查如下情况：

a. 接入用户设置了“在线数量限制”为1，并且选择同名帐号强制下线。

b. 在EIA上对在线记录执行了强制下次操作。

c. 查询认证失败日志，该终端是否存在认证失败记录。

d. 查看终端老化策略，确认是否满足了老化策略要求。

12.3 无法使用MAC Portal认证，总是推送认证结果页面

12.3.1 故障描述

打开浏览器后，输入任意IP地址或者域名，总是重定向到MAC Portal认证结果页面。

12.3.2 故障处理步骤

1. 可能原因：

做过802.1x认证的终端，终端的无感知状态是禁用，MAC Portal状态是“/”，这种状态会导致推送登录结果页面。

2. 解决方案：

可以启用802.1x和MAC Portal共存的参数，执行以下SQL语句即可。

UPDATE EAD.TBL_PARAMETER SET VALUE='0' WHERE PARAMETER_NAME ='IF_DENY_MAC_AUTH'

13 其它故障处理

13.1 系统繁忙，请稍后重试

13.1.1 故障描述

系统繁忙，请稍后重试。（英文提示：System is busy. Please try again later.）

13.1.2 故障处理步骤

1. 可能原因：

增加或修改配置（第三方认证配置、LDAP配置、哑终端等）后，终端马上发起认证。

2. 解决方案：

稍等一会，再次发起认证。若仍无法解决，请参见15 日志收集，并联系技术支持。

13.2 未找到RSA服务配置信息，请联系管理员

13.2.1 故障描述

未找到RSA服务配置信息，请联系管理员。（英文提示：RSA configuration is not found. Please contact the administrator.）

13.2.2 故障处理步骤

1. 可能原因：

接入策略中启用了RSA，但未在[自动化>用户业务>业务参数>接入参数>系统配置>漫游配置]页面中完成RSA认证相关配置。

2. 解决方案：

在EIA中配置RSA认证相关信息。

13.3 用户未激活，请联系管理员激活用户

13.3.1 故障描述

用户未激活，请联系管理员激活用户。（英文提示：The user is not activated. Please contact the administrator to activate it first.）

13.3.2 故障处理步骤

1. 可能原因：

用户未激活。

2. 解决方案：

联系管理员激活用户，单击[自动化>用户业务>接入用户>接入用户]菜单项，选择用户进行激活。

13.4 IP绑定异常

13.4.1 故障描述

IP绑定异常。（英文提示：An exception occurred during IP binding.）

13.4.2 故障处理步骤

1. 可能原因：

与DHCP服务通信超时。

2. 解决方案：

请检查DHCP服务器的连通性，并确认DHCP服务是否已经启动。

13.5 未接收到回应报文

13.5.1 故障描述

未接收到回应报文。（英文提示：No response packet is received.）

13.5.2 故障处理步骤

1. 可能原因：

用户进行RSA认证，认证方式为EAP-MD5、PEAP-MD5、PEAP-GTC，在进行动态密码校验时未收到RSA服务器的回应。

2. 解决方案：

需要检查EIA服务器上关于RSA服务器的配置是否正确及RSA服务器上配置是否正确。

13.6 校验认证字错误

13.6.1 故障描述

校验认证字错误。（英文提示：Authenticator error.）

13.6.2 故障处理步骤

1. 可能原因：

用户进行RSA认证，认证方式为EAP-MD5、PEAP-MD5、PEAP-GTC，在进行动态密码校验时，收到RSA服务器的回应报文后会检验由共享密码等生成的校验字，若是EIA服务器生成的和RSA服务器回应报文中的校验字不一致，则提示该信息。

2. 解决方案：

需要检查EIA服务器及RSA服务器上配置的共享密码是否一致。

13.7 接入用户数超出服务器最大支持能力

13.7.1 故障描述

接入用户数超出服务器最大支持能力。（英文提示：The number of managed access users has reached or exceeded the maximum capacity of the server.）

13.7.2 故障处理步骤

1. 可能原因：

在服务器上增加的接入用户数量超过了服务器设置的最大用户数。

2. 解决方案：

删除部分接入用户。

13.8 绑定终端数量达到限制，系统设置绑定终端最多#MaxCount个

13.8.1 故障描述

绑定终端数量达到限制，系统设置绑定终端最多#MaxCount个。（英文提示：The number of bound endpoints reached the upper limit, the number of limit is #MaxCount.）

13.8.2 故障处理步骤

1. 可能原因：

在系统参数中设置了单帐号最多绑定终端数，用户上线使用的终端数量达到了设置值。

2. 解决方案：

在终端设备管理中删除该帐号使用的终端记录，或者修改参数中单帐号最大绑定终端数。

13.9 未同时输入静态密码和RSA动态密码，请重新输入

13.9.1 故障描述

未同时输入静态密码和RSA动态密码，请重新输入。（英文提示：The static or RSA dynamic password is empty. Please provide both passwords.）

13.9.2 故障处理步骤

1. 可能原因：

用户在接入策略中启用了RSA认证，并且选择了动态+静态密码校验，但在认证时只输入了静态密码。

2. 解决方案：

在用户进行RSA认证时需要同时输入静态密码和动态密码。

13.10 当前场景下绑定终端数量达到限制,当前场景限制绑定终端最多#MaxCount个

13.10.1 故障描述

当前场景下绑定终端数量达到限制,当前场景限制绑定终端最多#MaxCount个。（英文提示：The number of bound endpoints reached the maximum in the current scenario, the number of limit is #MaxCount.）