欢迎关注:1，欢迎关注本博客，你可点击右手边的【QQ邮件订阅】订阅本博客！2，本博客推出江湖救急计划，主要为工作中遇到疑难杂症的兄弟提供远程技术支持和分析，如有需要，请在江湖救急计划页面给我留言！

【转】上网认证页面无法打开案例

作者：易隐者 发布于：2012-11-25 10:40 Sunday 分类：案例讨论

【说在之前】：

1，该案例的确属于疑难故障范畴，若不是通过抓包方式，站在数据包交互的角度进行分析是无法定位、解决该故障的，因此，该案例具有学习参考价值；

2，案例的分析用到了关联分析法和对比分析法，思路非常清晰，但整个文档在图文编辑和措词这块还可以做进一步的加强，考虑到原文的完整性，我不对该文档做任何修改；

3，难能可贵的是作者在找到故障原因并解决故障之后，没有像大部分人那样将这个故障束之高阁， 而是将自己的分析思路、过程整理成文档，分享给大家，另外，发现其中难以解释的、存在疑问的地方，供大家一起讨论，这正是我一直倡导的“自我总结、无私分享、共同探讨、共同进步”的学习方式；

4，针对该案例后面的疑问，我就我的理解作出相关解答，供大家参考。

     针对第一个疑问：AC在此处工作在透明模式下，正常情况下其对报文的干预和处理根本不需要经过路由，也就是说，AC在做HTTP重定向的时候，根本不需要根据路由表，将这个HTTP重定向报文转发给PIX防火墙，而应该直接构造相应HTTP重定向报文发往核心交换机，因此，此处出现这样的问题，我个人认为如果AC是按照路由方式处理的话，其应该有相应的转发表，转发表中会有下一跳、转发接口等相关信息，而出现此案例中的问题，说明AC的转发表出现了异常，可能是其上联口和下联口是属于同一网段，而AC转发表未对其进行区分导致的；

     针对第二个疑问：这里需要明确，AC的管理口和业务口是否是完全独立的，如果是，那么所谓的两条默认路由是完全分开的，没有任何问题，如果不是，那么根据不同的系统处理方式，负载均衡（根据报文或其他）或者选择其中一条都是有可能的，多年前我曾写过一篇《供电局调度所前置机故障解决说明》的文档，就是两条默认路由导致异常的案例，过段时间我把这个案例共享到我的博客供大家参考。

5，该案例作者肖鉴为我以前推出《合肥网络分析技术团队招募学徒》的第一个学员。他不远千里从福建专程请假几十天跟随我学习相关知识，当我第一眼看到他时，我就被他的这种对技术执着追求的行为所感动，他基础不错，学习踏实认真，我个人认为我真正给他的帮助不在于具体技术的成长和进步，而在于影响他对技术的自信、清晰的职业发展方向规划以及行事的风格，在他身上我能看到我以前的影子，他现在深信服的总代，刚获得深信服深信服华南区技术大比武冠军，看到他的成长，我的内心是无比的欣慰。

【原文全文】

1. 网络环境

        故障网络环境如下图所示： 

点击查看原图

说明：
1． 出口防火墙工作在路由模式做NAT代理内网上网，E1口IP地址192.168.247.1/24。
2． 上网行为管理工作的网桥模式下，为其网桥IP地址配置192.168.247.3/24、网关IP地址为192.168.247.1用于设备管理，下联三层交换机IP地址为192.168.247.2/24。由于，前置PIX防火墙为阻止192.168.247.0/24网段上网，所以为了上网行为管理能够更新内置规则库，上网行为管理口下联三层核心交换机为其配置IP地址192.168.20.250网关IP地址192.168.20.1。
3．上网行为管理对内网部分网段实行认证上网。

2. 故障现象

       内网无须进行认证PC机访问互联网正常，需进行认证网段PC机上网在正常情况必须得先进行认证输入用户名和密码后方可访问互联网，故障表现为认证网段PC机无法正常跳转至认证界面输入用户名和密码。如下图所示： 

点击查看原图

3. 故障分析

3.1 常规分析

       在PC上访问网络时无法跳出登陆界页时，我们手动输入http://192.168.247.3认证登陆页面是正常，如下图所示，并且，输入完认证用户名和密码后可以正常访问互联网。说明网络中并不存在路由问题。那么是否可能是设备本身处理机制出现问题呢？还是，PC机与上网行为管理设备通信出现了其它的异常导致PC机无法正常弹出认证页面？。 

点击查看原图

阅读全文>>

标签: 交换机 团队 疑难故障 TCP 网络分析 负载均衡 抓包 深信服 上网行为管理 HTTP重定向 AC 路由表 转发表

评论(0) 引用(0) 浏览(13962)

Powered by 易隐者 基于emlog 皖ICP备12002343号-1