问
ADcampus平台，哑终端认证问题
1天前提问
- 0关注
- 0收藏，51浏览
这个报错通常不是误报，它意味着认证服务器（EIA）在处理你这条MAC认证请求时，确实遇到了问题。
虽然你在“接入用户”里能看到MAC信息，但认证流程中任何一个环节出错，都可能导致这个报错。
🔍 为什么会报“用户名密码错误”？
MAC认证的本质，是将终端的MAC地址作为“用户名”和“密码”发送给RADIUS服务器（EIA）进行校验。报“用户名密码错误”，说明EIA收到了请求，但未能成功验证这个MAC地址。常见原因有以下几点：
MAC地址格式不匹配：这是最常见的原因。设备发送的MAC地址格式（例如
0cda-411d-2ea3）必须与EIA中录入的格式完全一致，包括分隔符（-或:）和大小写。哪怕一个字符不同，都会被认作“用户名错误”。接入用户配置问题：在
[自动化 > 用户业务 > 接入用户]中，MAC地址可能录入有误、账号状态可能不是“启用”，或者未绑定正确的接入策略。AAA认证配置缺失：控制器（SNA）上，为Leaf设备（认证点）设置的设备组策略中，可能没有正确配置或启用 AAA认证。这会导致Leaf发出的认证请求被EIA直接忽略或拒绝。
网络连通性问题：Leaf设备作为认证点，必须能与控制器（SNA）和认证服务器（EIA）正常通信。如果Leaf无法访问EIA，认证请求自然无法到达。
🛠️ 该如何排查和处理？
建议按照以下顺序排查：
核对MAC地址格式（首要任务）
在Leaf设备上，通过
display mac-authentication connection命令，查看设备实际发送的MAC地址格式。将此格式与EIA“接入用户”中录入的格式逐字比对，确保完全一致。
检查EIA中的接入用户状态
确认该MAC地址对应的接入用户状态为“启用”。
检查其绑定的接入策略是否正确，没有被误绑定到其他策略或服务。
检查AAA认证配置
检查网络连通性
检查动态黑名单
开启调试信息（如以上无效）
一、先结论：不是平台误报，是交换机侧 MAC 认证报文格式与 EIA 接入用户账号格式不匹配
ADCampus 底层依托 iMC EIA 做哑终端 MAC 认证，报错 “用户名密码错误” 本质：交换机发给控制器的用户名 / 密码字符串，和【自动化 - 用户业务 - 接入用户】里录入的 MAC 账号格式对不上，服务器校验直接拒绝。
你能在接入用户看到 MAC，仅代表账号存在，格式不匹配依然认证失败。
二、核心原理（MAC 认证账号密码规则）
交换机 MAC 认证有 2 种上报模式，EIA 接入用户必须完全对应：
- 模式 1：MAC 地址作为用户名 + 密码（ADCampus 哑终端标准） 交换机把终端 MAC 同时当账号、密码，格式分 4 种：
- 带横杠小写：
xx-xx-xx-xx-xx-xx（如00-11-22-33-44-55） - 带横杠大写：
XX-XX-XX-XX-XX-XX - 无横杠小写：
xxxxxxxxxxxx - 无横杠大写：
XXXXXXXXXXXXEIA 接入用户里用户名、密码必须和交换机上报格式完全一致，错一个字符 / 横杠 / 大小写都会报账号密码错误H3C。
- 模式 2：固定用户名密码（极少用于哑终端） 全网所有哑终端共用一套账号密码，你当前场景不适用。
三、6 个高频故障根因（按排查优先级排序）
根因 1：交换机 MAC 上报格式 和 EIA 录入 MAC 格式不一致（最高概率）
典型错配场景：
- 交换机配置
mac-authentication user-name-format mac-address without-hyphen lowercase（无横杠小写） - 但 EIA 接入用户录入带横杠
00-11-22-33-44-55控制器收到账号001122334455，库里是00-11-22-33-44-55，匹配失败，报账号密码错误。
交换机查看命令
bash
运行
display current-configuration | include mac-authentication user-name-format
标准 ADCampus 哑终端推荐配置（带横杠小写）：
bash
运行
mac-authentication user-name-format mac-address with-hyphen lowercase
根因 2：EIA 接入用户密码未填 MAC，或密码填错
ADCampus 手动添加哑终端接入用户时：
- 用户名 = 终端 MAC（匹配交换机上报格式）
- 密码必须和用户名完全一样（同 MAC 字符串） 很多人只填用户名，密码留空 / 随便填，直接校验失败。
根因 3：认证域（ISP 域）不匹配
- 交换机 MAC 认证绑定了专属域：
mac-authentication domain macauth - EIA 接入服务里未绑定该域，或接入用户未关联对应 MAC 认证服务 RADIUS 校验时域不匹配，判定账号不存在，提示密码错误。
根因 4：端口 802.1X 优先级高于 MAC 认证，终端先触发 802.1X 认证
交换机默认认证顺序：802.1X > MAC 地址认证
哑终端无 802.1X 客户端，端口先发 802.1X 认证请求，EIA 无对应 802.1X 账号，报错用户名密码错误；几秒后才会走 MAC 认证。
表现：日志频繁弹出密码错误，偶尔能认证上线。
根因 5：MAC 地址大小写、空格、特殊字符录入错误
交换机统一小写上报，EIA 录入大写 MAC；或复制 MAC 时多带空格、换行，账号字符串不一致。
根因 6：ADCampus 哑终端免认证配置缺失（Portal 场景叠加）
如果网络同时开启 Portal 认证，仅录入接入用户不够，需要配置MAC 免认证规则，否则终端先触发 Portal，认证流程冲突报错。
四、分步标准化排查修复（现场直接执行）
步骤 1：核对交换机 MAC 上报格式，统一标准
- 查看交换机上报格式
bash
运行
system-view
display this | include mac-authentication user-name-format
- 统一改为带横杠小写（ADCampus 标准）
bash
运行
mac-authentication user-name-format mac-address with-hyphen lowercase
- 确认 MAC 认证全局开启、绑定认证域
bash
运行
mac-authentication
mac-authentication domain macauth # 记录域名，后续EIA要对应
步骤 2：修正 EIA 接入用户账号密码（核心修复）
进入【自动化 > 用户业务 > 接入用户】，找到故障哑终端 MAC：
- 用户名：严格填写带横杠小写 MAC，和交换机上报格式完全一致
- 密码：复制用户名，和用户名完全相同（MAC 字符串）
- 接入服务：选择对应 MAC 认证接入服务，绑定交换机配置的
macauth域 - 保存，删除旧在线失败记录，重新插拔哑终端测试。
步骤 3：关闭端口 802.1X，仅保留 MAC 认证（消除冲突报错）
哑终端端口只开启 MAC 认证，屏蔽 802.1X 避免误触发：
bash
运行
interface GigabitEthernet 1/0/X
undo dot1x
mac-authentication
若业务需要同时支持 PC 802.1X + 哑终端 MAC，调整认证顺序：
bash
运行
dot1x authentication method eap
dot1x authentication priority mac-authentication
步骤 4：Portal 场景补充配置 MAC 免认证
若全网开启 Portal，仅录入接入用户会冲突，添加免认证规则：
ADCampus 控制器→【自动化 > 接入策略 > Portal 免认证规则】，新增规则，填入哑终端 MAC，匹配所有 VLAN，放行 MAC 认证终端不弹 Portal。
步骤 5：交换机侧复现故障，查看认证失败日志定位
bash
运行
# 查看上线失败记录，确认交换机上报的用户名
display aaa online-fail-record all
重点看
User Name字段，对比 EIA 接入用户的用户名，一眼看出格式差异。步骤 6：清除 MAC 静默表，避免重复拦截
多次认证失败后交换机把 MAC 加入静默表，持续拒绝认证：
bash
运行
undo mac-authentication quiet-mac all
五、快速验证标准
- 插拔哑终端后，
display aaa online-fail-record无新增失败记录； - EIA 平台无 “用户名密码错误” 告警；
display mac-authentication connection能看到哑终端在线；- 终端正常获取 IP、业务通。
六、极简避坑总结
- 报错不是误报，账号 / 密码字符串格式不匹配是根本；
- 交换机 MAC 上报格式 ↔ EIA 接入用户用户名、密码 必须 100% 一致（横杠、大小写、有无分隔符完全相同）；
- 密码不能空，必须和用户名 MAC 完全相同；
- 哑终端端口关闭 802.1X，防止先触发 802.1X 报错；
- Portal 环境必须配套 MAC 免认证规则。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
有做了MAC地址认证的