深信服_无线常见问题排查专题_持续更新
深信服WAC无线FAQ与故障分析
目录第1章无线FAQ与故障分析_对外版本 (2)1.1. 控制台与后台调试 (2)1.1.1. WEBui方式登录WAC控制台 (2)1.1.2. Telnet方式登录WAC和AP (2)1.1.3. 利用AP诊断工具（troubleshoot.exe）登录设备 (3)1.1.4. 串口登录AP (4)1.2. AP不能自动发现WAC (4)1.3. AP发现WAC后，激活AP不在线 (7)1.4. AP掉线排查 (8)1.4.1. 集体掉线排查 (8)1.4.2. 个别掉线 (10)1.5. 终端获取不到IP地址 (11)1.6. 无法连接上网络 (12)1.7. 连上网络无法上网 (14)1.8. 终端容易掉线 (15)1.9. 认证页面弹出与跳转 (15)1.10. 认证后页面跳转不出 (17)1.11. 关于注销和再认证 (17)1.11.1. 主动注销 (17)1.11.2. 被动注销 (18)1.11.3. 二（再）次认证： (19)1.11.4. 各种认证方式详解： (20)1.12. WEBui相关 (23)第2章无线优化 (25)第1章无线FAQ与故障分析_对外版本————20140812 1.1.控制台与后台调试1.1.1.WEBui方式登录WAC控制台可以使用ping、udpconnect、tcpconnect等命令测试IP和UDP以及TCP端口联通性。
1.1.2.Telnet方式登录WAC和AP开启ssh与telnet方式登录设备，其中telnet的密码为WAC控制台管理员的联动密码。
注意：ssh方式登录后台仅提供给厂家工程师维护使用，渠道与客户后台调试设备仅开放telnet权限，当控制台上关闭ssh功能时，厂家工程师也无法登录后台。
1.1.3.利用AP诊断工具（troubleshoot.exe）登录设备在笔记本上采用该工具时，需要确保AP与笔记本处于同网段的一个广播域环境中，登录密码是WAC 的控制器密码，默认admin。
无线网络故障排查方法
无线网络故障排查方法1.检查硬件设备：首先，我们需要检查无线路由器和其他网络设备是否正常工作。
确保无线路由器电源开启，指示灯正常运行，各个线缆连接牢固。
同时检查电脑或其他终端设备的无线网卡是否开启，并连接到正确的网络。
2.检查网络设置：确认无线网络的设置是否正确。
通过在电脑的网络设置中查看无线网络连接是否启用，以及连接的SSID和密码是否正确。
如果需要，重新输入正确的网络信息，并重新连接网络。
3.检查无线信号强度：确定是否存在信号干扰或信号弱的问题。
可以通过在各个房间或区域测试无线信号强度来判断。
如果信号较弱，可以调整路由器的位置、增加信号增强器或换用更高效的天线来改善信号质量。
4.检查无线频道：无线路由器默认使用自动频道选择，但有时可能会遇到频道干扰的问题。
通过查看其他无线网络的频道使用情况，并将自己的频道切换到非拥挤的频道上，可以减少干扰和提高无线信号质量。
可以通过无线路由器的管理页面来更改频道设置。
5.检查设备驱动程序：如果电脑或其他设备无法正常连接到无线网络，有可能是网络适配器驱动程序有问题。
可以尝试更新或重新安装设备的驱动程序，以解决无线网络连接故障。
6.重启网络设备：有时，无线网络可能由于临时故障而中断，此时可以尝试重启路由器、电脑或其他设备。
通常，通过重启设备可以恢复无线网络的正常运行。
7.检查安全设置：如果无法连接到一些特定的无线网络，可能是由于网络安全设置的问题。
检查无线网络的安全设置，确保密码输入正确，并且有权限连接到该网络。
如果需要，可以将网络设置为开放网络，暂时取消安全限制，以排除安全设置导致的连接问题。
8.检查其他设备：如果其他设备可以正常连接到无线网络，那么问题很可能出在一些特定的设备上。
尝试使用其他电脑或移动设备连接无线网络，以确定是设备本身的问题还是网络故障。
在排查无线网络故障时，我们需要有系统性地逐个进行排查，从硬件设备、网络设置、无线信号强度到安全设置等方面进行检查，以确定问题的根本原因。
深信服教你玩转无线网络_无线安全篇
下一代企业级无线领导品牌
信锐吴建勇
无线网络安全整体思路
攻防 审计 管控 授权 认证
接入认证解决方案
对接三方认证服务器
RADIUS、AD域、LDAP Portal2.0客户端/服务器
自助修改密码
员工认证 802.1X Portal CA证书 WAPI 接入安全加固
WAPI认证
WAPI个人认证：适合于支持WAPI终端的密码认证 WAPI企业认证：适合于支持WAPI终端的账号密码认证
比如：国产手机支持WAPI认证，苹果和windows不支持WAPI认证
安全网卡使用方法
内置证书颁发中心
1、运行安全网卡管理工具，填上控制器ip、 端口号、管理员帐号和密码连接到控制器
1、用这些移动办公平台管理用户的上网账号信息； 2、用公司的办公平台中存储的用户信息实现认证上网； 3、用这些移动办公平台来验证认证用户的身份，确保公司网络环境的安全。
MDQ是不是只有信锐有，具有唯一性？
是的，目前主流厂家只有信锐有这种MDQ认证。
MDQ认证有哪些应用场景？有什么优势？
企业办公类型，办公场所的租赁类型。能够帮助用户减少认证服务器的维护。 并且用户能够自助修改账号密码等
MDQ认证
无需通过管理员即可修改密码，提高效率及减轻管理员工作压力 通过口袋助理、钉钉、企业号等手机MOA类APP软件进行无线密码修改
终端上网自助审批 更安全、更贴心
MDQ认证话术
MDQ认证支持哪些认证方式？
1）WPA/WPA2 企业认证； 2）WEB认证 - 账号认证
MDQ认证有哪些功能？
安全网卡话术
安全网卡丢了怎么办，会不会其他人捡到，然后攻击网络？ 答：不会，安全网卡认证时候，需要输入PIN码 插了安全网卡的电脑能够连接其他的SSID吗？ 答：除开XP外，插上安全网卡的电脑，只显示信锐控制器的SSID。 也可以有效的防止钓鱼AP 使用安全网卡简单吗？ 答：插上网卡，输入pin码即可连接。不需要专业的网络知识
深信服问题排错文档
SANGFOR_IPSEC_ALL pdlan常见问题解决办法深信服科技有限公司2011年07月16pdlan常见问题解决办法PDLAN连接不上总时，首先请查看日志，根据日志提示排错，常见的日志有以下几种：1)日志显示wait_connectsuccess在移动端telnet总部的VPN监听口（默认是4009）是否是通的，若不通，a：请检查总部设备是否配置了全端口映射。
b:检查总部设备是否单臂部署，且在前置设备没有把设备的TCP/UDP4009端口成功映射出来。
c:是否运营商做了限制，尝试修改VPN监听端口.d:检查两端的WEBAGENT配置是否正确。
e、pdlan电脑是代理上网的，那pdlan也需要设置代理的，支持sock4和sock5代理的，否则会telnet端口4009是不通的f、检查pdlan所在网络的前置设备做了限制，拦截了VPN通迅。
2)日志显示wait_version_syn_ack1、检查总部和pdlan的版本是否一致，2.5x和2.5x可以连接，4.X和4.X连接，2.5X和4.X 的是不可以连接ipsecvpn的2、可以尝试把vpn端口改成低端端口3、可以尝试修改MTU3)日志提示load file error和configure init failed之类的日志1、这个是pdlan的注册表项被损坏的原因的，重装pdlan即可4）“[TcpNode] OnRead error:10053,errDsc = 您的主机中的软件中止了一个已建立的连接。
”1、是被本机的其他软件把连接给拒绝断开了5）移动用户PDLAN接入一直提示连接端口超时,但是测试总部端口是通的1、检查虚拟IP池和内网是否有冲突6）“绑定socket时发生错误，错误描述:以一种权限不允许的方式做了一个访问套接字的尝试”1、可能是pdlan的系统用户权限不够，或与其他软件有冲突，导致pdlan无法正确的绑定ip/mac地址的，保证电脑是超级管理员登陆的，或把电脑上其他的软件先退出再去连接除了查看日志外，也可根据一些现象排错，常见的有以下几种：1）ipsecvpn频繁掉线1、总部和pdlan电脑是否有ip网段冲突2、尝试切换传输模式3、尝试修改总部设备的MTU值4、尝试修改VPN监听端口5、检查上网线路本身是否正常2）pdlan连接不了总部1、测试telnet总部的4009端口是否通的，检查总部和pdlan的配置是否正确的2、查看pdlan控制台的日志信息，根据日志信息来排查3）pdlan连接上总部了，但访问不了1、被访问的服务和总部的VPN设备不在同一个网段，检查是否有配置系统路由和本地子网列表，如果是DLAN2.52，还需要配置dlan路由2、检查是否有对移动用户作VPN内网权限设置3、如果设备是单臂部署的，虚拟ip池配置的不是和vpn设备lan口同网段的，检查总部的前置设备上是否有回包路由的4、确认是否为总部内网电脑开启防火墙，可以尝试Ping其他电脑或使用telnet来测试。
深信服代理商的常见问题
资料范本本资料为word版本，可以直接编辑和打印，感谢您的下载深信服代理商的常见问题地点：__________________时间：__________________说明：本资料适用于约定双方经过谈判，协商而共同承认，共同遵守的责任与义务，仅供参考，文档可直接下载或修改，不需要的部分可直接删除，使用时请详细阅读内容TOC \o "1-3" \h \u一．AC/SG/NAC/BM问题1.SG上网加速告警：系统压力过大通知驱动bypass日志提示：上网加速告警 21:19:38 w1:work_server.cpp:745 系统压力下降，通知驱动继续转发上网加速告警 21:19:22 w1:work_server.cpp:724 系统压力过大，通知驱动bypass可能原因：设备的cpu（或者内存）使用率持续偏高，如cpu持续达到95%并且持续达到10S就会进入加速bypass。
相关问题：加速bypass不影响其它策略流控等，只是没有加速效果而已。
经常出现这种提示，比较大可能是设备性能不足，导致bypass，停用上网加速模块，就不会提醒bypass了2.占用带宽排行榜为空？【问题】网关运行状态里的流量图是空的，什么数据都是没有可能原因：1：不同版本之间因为控制台控件问题导致无法显示流量。
可以通过在控制台手动下载控件重新安装解决2：检查是否在高级配置--排除IP地址与域名中添加了内网网段3：是否设备接线接反3.设备做网桥，丢包很多，跳过设备正常可能原因：内网到设备线路有问题或者兼容性问题。
2.设备到前置设备线路有问题或者兼容性问题。
排查方法：（1）.ping设备是否丢包，如果丢包说明内网到设备有问题。
（2）.使用升级客户端登录设备，ping设备前置的防火墙，如果丢包说明设备到前置设备有问题（3）.查看一下升级工具中的查看网络配置，看各个网口是否有错误包之类的。
如果有，说明设置存在兼容性问题。
深信服代理商常见问题
深信服代理商常见问题深信服（Sangfor）是一家提供网络安全和网络优化解决方案的知名企业，其产品和服务广泛应用于各行各业。
作为深信服的代理商，代理商经常会面临一些常见问题。
本文将介绍一些深信服代理商常见问题，并提供相应解答。
1. 如何成为深信服的代理商？要成为深信服的代理商，首先需要联系深信服的销售团队或渠道合作伙伴部门，提出代理申请。
申请审核通过后，代理商需要签订代理合作协议，并根据深信服的要求完成相应的培训和认证。
2. 代理商可以销售哪些深信服的产品？深信服代理商可以销售包括网络安全产品、网络优化产品和网络管理产品在内的多种产品。
具体可销售的产品包括但不限于以下几个方面：•安全网关产品：包括NGAF、WAN优化、VPN等；•无线局域网产品：包括AC、AP等；•云安全产品：包括云WAF、DDoS防护等；•云服务产品：包括云堡垒机、云监控等。
代理商可以根据自身的业务需求和市场需求，选择适合的产品进行销售。
3. 代理商如何获取深信服产品的技术支持和售后服务？深信服为代理商提供全面的技术支持和售后服务。
代理商可以通过以下途径获取支持和服务：•技术支持热线：代理商可以通过拨打深信服的技术支持热线获取技术支持和解决问题；•在线技术支持：深信服为代理商提供了在线技术支持平台，代理商可以通过该平台提交技术问题，并获得专业的技术支持；•售后服务合作伙伴：深信服有一支专业的售后服务团队，代理商可以与售后服务合作伙伴联系，获得售后服务支持。
4. 代理商如何开展市场推广和销售活动？代理商可以通过多种方式进行市场推广和销售活动，包括但不限于以下几个方面：•参加行业展会和会议：代理商可以参加行业展会和会议，在展会上展示深信服产品，并与潜在客户进行交流和洽谈；•举办研讨会和培训班：代理商可以举办针对深信服产品的研讨会和培训班，吸引潜在客户参与，并提升产品知名度；•开展网络推广：代理商可以通过互联网渠道，如建设官方网站、社交媒体宣传等方式，扩大产品的曝光度；•与合作伙伴联合销售：代理商可以与其他相关企业合作，进行联合销售和推广，共同开拓市场。
深信服上网行为管理-常见问题排错指导
用户断网排查
用户断网排查
1. 首先从内网PC上ping下网关，测试下PC和网关的网络连通性。 如果从PC上 ping不通网关，则需要先检查下物理链路是否正常，有没有二层的ARP欺骗。
2. 如果PC能ping通网关，且网关是AC/SG设备，则需要检查AC/SG设备上的代 理上网配置或者路由是否正确，LAN-WAN防火墙是否放通。
培训目标
1.掌握端口映射不成功的分析和排查方法 1. 掌握控制台内置规则库更新不了的排查方法 1.掌握用户断网问题排查思路 1.掌握由于某些应用使用异常的排查方法 1. 掌握查不到上网行为日志的排查方法
端口映射不生效排查
端口映射不生效排查
Internet
PC
服务器
WAN-LAN端口映射整个过程分为 三个部分：
外网测试访问http:// 113.16.X.230，测试后下载刚才抓取的数据包并分析：
分析数据包，发现设备LAN口也抓到了访问服务器80端口的包，说明端口映射 规则设置成功了，已经把访问外网80端口的数据映射给WEB服务器的80端口。 现在可以定位问题出在服务器了，服务器没有回应我们测试发送的SYN请求包。 如需进一步分析，则需要到服务器以及内网路由设备上抓包，这里不讲解。
数据中心同步失败
➢步骤1 在设备上测试连接外置数据中心服务器是否正常 AC通过同步程序向外置数据中心datacenter.exe程序发同请求，通过tcp 810端口
建立连接。如果在AC上测试连接外置数据中心失败，可以到服务器上确认本机是 否正常监听TCP810端口。可以telnet 127.0.0.1 810看是否成功，也可以通过查看设 备的监听状态netstat –na，如下图：某Fra bibliotek应用使用异常排查
深信服_无线常见问题排查专题_持续更新
深信服_⽆线常见问题排查专题_持续更新⽆线常见问题排查1、AP不能⾃动发现WAC，分析原因答案：（1）先分析AP采⽤4种⽅法的哪⼀种⾃动发现⽅式1、采⽤⼴播⽅式时，AP和WAC是否同时处于⼀个⼴播域中，是否被3层⼝隔离；2、采⽤DNS⽅式时（HOSTS），DNS服务器是否可以正常做DNS解析或DNS代理,PC⽤nslookup – dnsip测试⼀下；3、采⽤DHCPoption43的时候，是否配置正确，AP是否可以获取到该选项字段，抓包分析（2）WAC上AP的授权数为0（3）AP⾃动获取到的IP或提前激活配置的IP地址在⽹络中不通，与WAC的IP 不能互相通信，⽐如AP⾃动获取IP时，获取到了⽹络中私接的路由器设备或AP提前激活时配置了错误的⽹关和IP（4）AP到WAC的udp-7777端⼝号不通，端⼝测试⼯具可以参考：http://200.200.0.20:5/dedecms/plus/view.php?aid=3692（5）在AP和WAC上抓包分析，串⼝或pshell登录AP的eth0⼝上直接抓包，确保AP有发出udp,7777的⼴播包；在WAC物理⼝上抓包时，都需要镜像到pcapif1或pcapif2⼝上抓包；在虚拟3层⼝时可以直接抓包，确保WAC有收到7777的⼴播报⽂。
2、AP⾃动发现WAC后，在WAC上激活后，AP⼀直不在线。
答案：（1）AP到WAC的TCP：7070控制端⼝与UDP：7077数据端⼝不通，还有AP到WAC的TCP：800端⼝不通（2）AP版本⽐WAC版本低时，AP仍然可以在WAC上激活，激活后，AP会⾃动从WAC上wget⽅式下载IMG镜像升级包升级，采⽤TCP800端⼝下载，升级包约8-10M 左右，当⽹速慢，或端⼝不通时，AP会升级慢或升级不成功，导致AP⼀直不在线状态。
⼀般AP版本和WAC版本不⼀致时，建议放在2层环境下，提前激活并保证AP在线后，再把AP放到各个不同的地理位置。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
无线常见问题排查
1、AP不能自动发现WAC，分析原因
答案：
（1）先分析AP采用4种方法的哪一种自动发现方式
1、采用广播方式时，AP和WAC是否同时处于一个广播域中，是否被3层口
隔离；
2、采用DNS方式时（HOSTS），DNS服务器是否可以正常做DNS解析或DNS
代理,PC用nslookup – dnsip测试一下；
3、采用DHCPoption43的时候，是否配置正确，AP是否可以获取到该选项字
段，抓包分析
（2）WAC上AP的授权数为0
（3）AP自动获取到的IP或提前激活配置的IP地址在网络中不通，与WAC的IP 不能互相通信，比如AP自动获取IP时，获取到了网络中私接的路由器设备或AP提前激活时配置了错误的网关和IP
（4）AP到WAC的udp-7777端口号不通，端口测试工具可以参考：http://200.200.0.20:5/dedecms/plus/view.php?aid=3692
（5）在AP和WAC上抓包分析，串口或pshell登录AP的eth0口上直接抓包，确保AP有发出udp,7777的广播包；在WAC物理口上抓包时，都需要镜像到pcapif1或pcapif2口上抓包；在虚拟3层口时可以直接抓包，确保WAC有收到7777的广播报文。
2、AP自动发现WAC后，在WAC上激活后，AP一直不在线。
答案：
（1）AP到WAC的TCP：7070控制端口与UDP：7077数据端口不通，还有AP到WAC的TCP：800端口不通
（2）AP版本比WAC版本低时，AP仍然可以在WAC上激活，激活后，AP会自动从WAC上wget方式下载IMG镜像升级包升级，采用TCP800端口下载，升级包约8-10M 左右，当网速慢，或端口不通时，AP会升级慢或升级不成功，导致AP一直不在线状态。
一般AP版本和WAC版本不一致时，建议放在2层环境下，提前激活并保证AP在线后，再把AP放到各个不同的地理位置。
（3）当激活AP后，不要轻易随便去拔掉AP的电源，尤其是在AP升级刷版本的时候，拔掉电源会导致AP异常，不能正常进入系统。
当AP确实不能正常进入系统时（串口登录AP发现无法看到正常的系统文件），让WAC和AP处于纯2层环境或直连，WAC 开启HDCP服务，AP放置一段时间，AP会从自动检测到WAC，并自动升级，否则返厂。
（4）首次激活时，在激活的时候，尽量不修改过多的配置，先激活，在线后，再修改配置，包括AP获取到的IP地址和网关
3、无线STA获取不到IP地址，分析原因
答案：（1）部署不当
1、应该配置2层交换口的网络环境，配置成为3层口，导致WAC收到DHCP
广播包后，不能保持数据包2层属性发送不出去。
2、部署环境不适合配置dhcp-relay的环境下配置了dhcp-relay。
3、认证前和认证后的vlan划分不当，导致vlan隔离，无线STA获取不到
4、网络环境配置集中转发或本地转发配置不当
详细具体部署请参考专题http://192.200.200.162/dedecms/plus/view.php?aid=3676 （2）采用1.0或1.0R1的版本，会有环路等bug导致无线STA获取不到地址
（3）采用的是外部设备作为DHCP-server，DHCP-server本身等环境问题
（4）在WAC和AP上抓包分析
4、从一个AP漫游到另外一个AP时，漫游不成功
答案：
（1）环境勘测，AP部署位置不当，AP数量需要调整，需要重新进行工勘工勘方法请参考：http://192.200.200.162/dedecms/plus/view.php?aid=3656 （2）AP的临近工作信道不能重叠，如自动调整有重叠情况发生，请手动固定信道。
（3）先分析是2层漫游还是3层漫游，是集中转发还是本地转发，3层漫游是指
SSID不变，从一个AP到另外一个AP时，STA的IP地址和网关地址也发生变化的
环境场景；对漫游效果要求比较高，且AP数量多的环境下，测试漫游都建议采用
集中转发模式，确保属于2层漫游。
（4）AP和WAC的版本非最新版本,含有旧版本的BUG问题。
（5）采用多终端测试漫游，避免单一无线终端网卡兼容性问题
（6）在PC的设备管理器，调整无线终端网卡的漫游灵敏度为高
5、无线STA和有线终端不能使用本地网上邻居共享和飞（鸽）秋，请分析原因？
答案：
（1）一般是由于无线和有线网络独立划分网段，没有与有线网络环境做vlan对接，不在同一个广播域引起，如果客户对应本地网上邻居与飞鸽传输要求不高，可以不做该需求的引导。
（2）有一些无线终端需要与有线终端的服务器有广播和组播协议时，才做vlan对接的需求引导，否则一般建议对无线终端用户独立划分网段，便利维护和管理，且漫游效果好，详细部署请参考部署专题
6、无线用户上网慢，请分析原因？
答案：
（1）使用有线PC与无线终端进行上网对比测试，并进行量化比较分析，并排除有线网络环境因素导致，如网络中有流控设备进行流控。
（2）使用Ixchariot工具进行测试吞吐率测试，对比有线与无线终端，无线与无线终端之间的吞吐传输速度。
（3）对于同一个AP，各个无线STA和AP之间无线传输都属于半双工通讯，所以理想情况下，接入的用户数越少速度越快，而且无线终端离AP非常远的情况下，协商出的传输速度也比较小，所以AP的部署密度需要提前工堪好，确保AP的接入用户数适当。
（4）无线信道干扰很大，附件wifi信号非常多，导致信道拥挤。
还有微波炉，无绳电话引起的噪声干扰。
如果可以采用5G频段的，可以推荐采用5G频段。
（5）AP的理论值是300Mb/s的吞吐率，除去无线数据帧的开销，我们的AP实际传输
值在80-140Mb/s吞吐范围。
如果AP放置的接入有线局域网是100Mb/s，是会影响无线的传输速度的，有条件可以建议AP接入1000Mb/s的交换机
（6）有线网络和设备的吞吐率限制了无线终端之间的传输速度，比如一个大掩码的交换网络，导致网络本身拥塞，丢包率高，还有WAC集中转发自身设备的吞吐率达到了上限。
某客户测试时有线PC与无线STA实际测试的吞吐率数据：约30Mb/s-45Mb/s范围
某客户无线项目测试时无线STA与无线STA实际测试的吞吐率数据：约9Mb/s-13Mb/s范围。
7、对应无线用户要进行应用审计，行为管理？
答案：
（1）现有版本WAC对应无线终端用户不能像AC一样进行各种应用的审计，如有需求，可以采用AC来进行审计，AC需要看到无线终端的具体源IP地址，所以AC一般可以网桥模式部署在WAC与AP之间，并在AC上做自定义协议剥离，并且拓扑部署时，确保无线STA 到自身网关的数据（或Internet）仅一次经过AC，避免多次经过。
（2）如果AC部署在WAC前端，那么WAC就不能做SNAT源地址转换，并且确保拓扑部署时，无线STA到互联网数据仅一次经过AC，避免多次经过AC。
8、无线STA无法上网？
（1）无线终端无法正常解析域名，WAC配置DHCP时，可以先配置内网可用的DNS作为DNS服务器。
（2）vlan3层口没有开启vlan间路由
（3）WAC上没有给无线终端配置SNAT代理上网
（4）WAC上配置默认8个0的默认路由。