Введение

В данном разделе приведены рекомендации по диагностике распространённых ошибок при ручной отправке CoA-запросов на активные сессии в NAICE.

Рассмотрены основные причины возникновения ошибок и приведён порядок проверок для их устранения.

Отсутствует пересечение в настройках доступных типов CoA

Невозможность отправить CoA-запрос определённого типа на несколько сессий означает, что у всех типов устройств, к которым относятся эти сессии не найдено ни одного общего (доступного для всех выбранных сессий) типа CoA.



Доступные типы CoA формируются как пересечение типов CoA, поддерживаемых настройками всех типов устройств, к которым относятся выбранные сессии. Если пересечения нет - отправка невозможна.

Необходимо проверить, какие типы CoA доступны для каждого из типов устройств, к которым относятся выбранные сессии, в настройках профиля устройства в разделе Пользователи и устройства → Сетевые ресурсы → Профили устройств (вкладка Настройки RADIUS CoA):

Перейти в настройки профиля устройства также можно, нажав на соответствующее название профиля в таблице Мониторинг → RADIUS → Активные сессии.

Часть моделей устройств поддерживает только ограниченное множество типов CoA, поэтому важно изучить поддерживаемые типы и атрибуты в технической документации.

«Timeout: No Response for CoA from network device.»

Ошибка означает, что NAICE не получил ответ на CoA-запрос от сетевого устройства: устройство недоступно, на нём не настроен приём CoA-запросов, либо трафик блокируется.
Для устранения ошибки необходимо выполнить проверки по шагам в указанном порядке:

1. Проверить сетевую доступность устройства с сервера NAICE:

ping <IP-адрес устройства, на которое выполняется отправка CoA>

2. Проверить, что на устройстве настроен приём CoA-запросов. CoA-запросы отправляются по UDP-порту 3799 (либо ином порту, настроенному в NAICE).

Для коммутаторов Eltex MES приём CoA настраивается через `aaa authorization dynamic radius`:

aaa authorization dynamic radius port <номер порта, на котором ожидается CoA>

Более подробную информацию о настройке CoA на Eltex MES можно получить на странице v1.3_4.13 Настройка CoA (динамической авторизации) на примере Eltex MES.

3. Проверить совпадение секретного ключа. Ключ, указанный для устройства в разделе Пользователи и устройства → Сетевые ресурсы → Устройства, должен полностью совпадать с ключом, настроенным на сетевом устройстве для приёма CoA-запросов:


4. Проверить отсутствие блокировок UDP-трафика на порт, настроенный на устройства для приёма CoA. Убедитесь, что трафик не блокируется:

  • межсетевым экраном (firewall) на пути между сервером NAICE и устройством;
  • списками контроля доступа (ACL);
  • средствами фильтрации на самом устройстве: CoA-запрос принимается только с IP-адреса, указанного в настройках приёма CoA.

«503 Session-Context-Not-Found»

Ошибка означает, что NAICE не может найти контекст сессии на сетевом устройстве - сессия уже отсутствует на устройстве, при этом в NAICE она числится активной.

Типовая причина: после создания активной сессии порт на устройстве был перезагружен (shutdown / no shutdown) или устройство было перезагружено при отключённой отправке аккаунтинга в NAICE. Система не получила пакет Accounting-Stop и не знает о завершении сессии, поэтому сессия остаётся в списке активных сессий, хотя на устройстве её уже нет.

При получении ошибки «503 Session-Context-Not-Found» активная сессия автоматически удаляется из списка активных сессий NAICE - удалять её вручную не требуется.

Для исключения ситуации в дальнейшем необходимо проверить, что на устройстве включена отправка RADIUS-аккаунтинга в NAICE.

После перезагрузки порта клиенту необходимо заново пройти аутентификацию - для него будет создана новая активная сессия, на которую можно отправлять CoA-запросы.


  • Нет меток