深信服_无线常见问题排查专题_持续更新
深信服WAC无线FAQ与故障分析
目录第1章无线FAQ与故障分析_对外版本 (2)1.1. 控制台与后台调试 (2)1.1.1. WEBui方式登录WAC控制台 (2)1.1.2. Telnet方式登录WAC和AP (2)1.1.3. 利用AP诊断工具（troubleshoot.exe）登录设备 (3)1.1.4. 串口登录AP (4)1.2. AP不能自动发现WAC (4)1.3. AP发现WAC后，激活AP不在线 (7)1.4. AP掉线排查 (8)1.4.1. 集体掉线排查 (8)1.4.2. 个别掉线 (10)1.5. 终端获取不到IP地址 (11)1.6. 无法连接上网络 (12)1.7. 连上网络无法上网 (14)1.8. 终端容易掉线 (15)1.9. 认证页面弹出与跳转 (15)1.10. 认证后页面跳转不出 (17)1.11. 关于注销和再认证 (17)1.11.1. 主动注销 (17)1.11.2. 被动注销 (18)1.11.3. 二（再）次认证： (19)1.11.4. 各种认证方式详解： (20)1.12. WEBui相关 (23)第2章无线优化 (25)第1章无线FAQ与故障分析_对外版本————20140812 1.1.控制台与后台调试1.1.1.WEBui方式登录WAC控制台可以使用ping、udpconnect、tcpconnect等命令测试IP和UDP以及TCP端口联通性。
1.1.2.Telnet方式登录WAC和AP开启ssh与telnet方式登录设备，其中telnet的密码为WAC控制台管理员的联动密码。
注意：ssh方式登录后台仅提供给厂家工程师维护使用，渠道与客户后台调试设备仅开放telnet权限，当控制台上关闭ssh功能时，厂家工程师也无法登录后台。
1.1.3.利用AP诊断工具（troubleshoot.exe）登录设备在笔记本上采用该工具时，需要确保AP与笔记本处于同网段的一个广播域环境中，登录密码是WAC 的控制器密码，默认admin。
无线网络故障排查方法
无线网络故障排查方法1.检查硬件设备：首先，我们需要检查无线路由器和其他网络设备是否正常工作。
确保无线路由器电源开启，指示灯正常运行，各个线缆连接牢固。
同时检查电脑或其他终端设备的无线网卡是否开启，并连接到正确的网络。
2.检查网络设置：确认无线网络的设置是否正确。
通过在电脑的网络设置中查看无线网络连接是否启用，以及连接的SSID和密码是否正确。
如果需要，重新输入正确的网络信息，并重新连接网络。
3.检查无线信号强度：确定是否存在信号干扰或信号弱的问题。
可以通过在各个房间或区域测试无线信号强度来判断。
如果信号较弱，可以调整路由器的位置、增加信号增强器或换用更高效的天线来改善信号质量。
4.检查无线频道：无线路由器默认使用自动频道选择，但有时可能会遇到频道干扰的问题。
通过查看其他无线网络的频道使用情况，并将自己的频道切换到非拥挤的频道上，可以减少干扰和提高无线信号质量。
可以通过无线路由器的管理页面来更改频道设置。
5.检查设备驱动程序：如果电脑或其他设备无法正常连接到无线网络，有可能是网络适配器驱动程序有问题。
可以尝试更新或重新安装设备的驱动程序，以解决无线网络连接故障。
6.重启网络设备：有时，无线网络可能由于临时故障而中断，此时可以尝试重启路由器、电脑或其他设备。
通常，通过重启设备可以恢复无线网络的正常运行。
7.检查安全设置：如果无法连接到一些特定的无线网络，可能是由于网络安全设置的问题。
检查无线网络的安全设置，确保密码输入正确，并且有权限连接到该网络。
如果需要，可以将网络设置为开放网络，暂时取消安全限制，以排除安全设置导致的连接问题。
8.检查其他设备：如果其他设备可以正常连接到无线网络，那么问题很可能出在一些特定的设备上。
尝试使用其他电脑或移动设备连接无线网络，以确定是设备本身的问题还是网络故障。
在排查无线网络故障时，我们需要有系统性地逐个进行排查，从硬件设备、网络设置、无线信号强度到安全设置等方面进行检查，以确定问题的根本原因。
深信服教你玩转无线网络_无线安全篇
下一代企业级无线领导品牌
信锐吴建勇
无线网络安全整体思路
攻防 审计 管控 授权 认证
接入认证解决方案
对接三方认证服务器
RADIUS、AD域、LDAP Portal2.0客户端/服务器
自助修改密码
员工认证 802.1X Portal CA证书 WAPI 接入安全加固
WAPI认证
WAPI个人认证：适合于支持WAPI终端的密码认证 WAPI企业认证：适合于支持WAPI终端的账号密码认证
比如：国产手机支持WAPI认证，苹果和windows不支持WAPI认证
安全网卡使用方法
内置证书颁发中心
1、运行安全网卡管理工具，填上控制器ip、 端口号、管理员帐号和密码连接到控制器
1、用这些移动办公平台管理用户的上网账号信息； 2、用公司的办公平台中存储的用户信息实现认证上网； 3、用这些移动办公平台来验证认证用户的身份，确保公司网络环境的安全。
MDQ是不是只有信锐有，具有唯一性？
是的，目前主流厂家只有信锐有这种MDQ认证。
MDQ认证有哪些应用场景？有什么优势？
企业办公类型，办公场所的租赁类型。能够帮助用户减少认证服务器的维护。 并且用户能够自助修改账号密码等
MDQ认证
无需通过管理员即可修改密码，提高效率及减轻管理员工作压力 通过口袋助理、钉钉、企业号等手机MOA类APP软件进行无线密码修改
终端上网自助审批 更安全、更贴心
MDQ认证话术
MDQ认证支持哪些认证方式？
1）WPA/WPA2 企业认证； 2）WEB认证 - 账号认证
MDQ认证有哪些功能？
安全网卡话术
安全网卡丢了怎么办，会不会其他人捡到，然后攻击网络？ 答：不会，安全网卡认证时候，需要输入PIN码 插了安全网卡的电脑能够连接其他的SSID吗？ 答：除开XP外，插上安全网卡的电脑，只显示信锐控制器的SSID。 也可以有效的防止钓鱼AP 使用安全网卡简单吗？ 答：插上网卡，输入pin码即可连接。不需要专业的网络知识
深信服问题排错文档
SANGFOR_IPSEC_ALL pdlan常见问题解决办法深信服科技有限公司2011年07月16pdlan常见问题解决办法PDLAN连接不上总时，首先请查看日志，根据日志提示排错，常见的日志有以下几种：1)日志显示wait_connectsuccess在移动端telnet总部的VPN监听口（默认是4009）是否是通的，若不通，a：请检查总部设备是否配置了全端口映射。
b:检查总部设备是否单臂部署，且在前置设备没有把设备的TCP/UDP4009端口成功映射出来。
c:是否运营商做了限制，尝试修改VPN监听端口.d:检查两端的WEBAGENT配置是否正确。
e、pdlan电脑是代理上网的，那pdlan也需要设置代理的，支持sock4和sock5代理的，否则会telnet端口4009是不通的f、检查pdlan所在网络的前置设备做了限制，拦截了VPN通迅。
2)日志显示wait_version_syn_ack1、检查总部和pdlan的版本是否一致，2.5x和2.5x可以连接，4.X和4.X连接，2.5X和4.X 的是不可以连接ipsecvpn的2、可以尝试把vpn端口改成低端端口3、可以尝试修改MTU3)日志提示load file error和configure init failed之类的日志1、这个是pdlan的注册表项被损坏的原因的，重装pdlan即可4）“[TcpNode] OnRead error:10053,errDsc = 您的主机中的软件中止了一个已建立的连接。
”1、是被本机的其他软件把连接给拒绝断开了5）移动用户PDLAN接入一直提示连接端口超时,但是测试总部端口是通的1、检查虚拟IP池和内网是否有冲突6）“绑定socket时发生错误，错误描述:以一种权限不允许的方式做了一个访问套接字的尝试”1、可能是pdlan的系统用户权限不够，或与其他软件有冲突，导致pdlan无法正确的绑定ip/mac地址的，保证电脑是超级管理员登陆的，或把电脑上其他的软件先退出再去连接除了查看日志外，也可根据一些现象排错，常见的有以下几种：1）ipsecvpn频繁掉线1、总部和pdlan电脑是否有ip网段冲突2、尝试切换传输模式3、尝试修改总部设备的MTU值4、尝试修改VPN监听端口5、检查上网线路本身是否正常2）pdlan连接不了总部1、测试telnet总部的4009端口是否通的，检查总部和pdlan的配置是否正确的2、查看pdlan控制台的日志信息，根据日志信息来排查3）pdlan连接上总部了，但访问不了1、被访问的服务和总部的VPN设备不在同一个网段，检查是否有配置系统路由和本地子网列表，如果是DLAN2.52，还需要配置dlan路由2、检查是否有对移动用户作VPN内网权限设置3、如果设备是单臂部署的，虚拟ip池配置的不是和vpn设备lan口同网段的，检查总部的前置设备上是否有回包路由的4、确认是否为总部内网电脑开启防火墙，可以尝试Ping其他电脑或使用telnet来测试。
深信服代理商的常见问题
资料范本本资料为word版本，可以直接编辑和打印，感谢您的下载深信服代理商的常见问题地点：__________________时间：__________________说明：本资料适用于约定双方经过谈判，协商而共同承认，共同遵守的责任与义务，仅供参考，文档可直接下载或修改，不需要的部分可直接删除，使用时请详细阅读内容TOC \o "1-3" \h \u一．AC/SG/NAC/BM问题1.SG上网加速告警：系统压力过大通知驱动bypass日志提示：上网加速告警 21:19:38 w1:work_server.cpp:745 系统压力下降，通知驱动继续转发上网加速告警 21:19:22 w1:work_server.cpp:724 系统压力过大，通知驱动bypass可能原因：设备的cpu（或者内存）使用率持续偏高，如cpu持续达到95%并且持续达到10S就会进入加速bypass。
相关问题：加速bypass不影响其它策略流控等，只是没有加速效果而已。
经常出现这种提示，比较大可能是设备性能不足，导致bypass，停用上网加速模块，就不会提醒bypass了2.占用带宽排行榜为空？【问题】网关运行状态里的流量图是空的，什么数据都是没有可能原因：1：不同版本之间因为控制台控件问题导致无法显示流量。
可以通过在控制台手动下载控件重新安装解决2：检查是否在高级配置--排除IP地址与域名中添加了内网网段3：是否设备接线接反3.设备做网桥，丢包很多，跳过设备正常可能原因：内网到设备线路有问题或者兼容性问题。
2.设备到前置设备线路有问题或者兼容性问题。
排查方法：（1）.ping设备是否丢包，如果丢包说明内网到设备有问题。
（2）.使用升级客户端登录设备，ping设备前置的防火墙，如果丢包说明设备到前置设备有问题（3）.查看一下升级工具中的查看网络配置，看各个网口是否有错误包之类的。
如果有，说明设置存在兼容性问题。
深信服代理商常见问题
深信服代理商常见问题深信服（Sangfor）是一家提供网络安全和网络优化解决方案的知名企业，其产品和服务广泛应用于各行各业。
作为深信服的代理商，代理商经常会面临一些常见问题。
本文将介绍一些深信服代理商常见问题，并提供相应解答。
1. 如何成为深信服的代理商？要成为深信服的代理商，首先需要联系深信服的销售团队或渠道合作伙伴部门，提出代理申请。
申请审核通过后，代理商需要签订代理合作协议，并根据深信服的要求完成相应的培训和认证。
2. 代理商可以销售哪些深信服的产品？深信服代理商可以销售包括网络安全产品、网络优化产品和网络管理产品在内的多种产品。
具体可销售的产品包括但不限于以下几个方面：•安全网关产品：包括NGAF、WAN优化、VPN等；•无线局域网产品：包括AC、AP等；•云安全产品：包括云WAF、DDoS防护等；•云服务产品：包括云堡垒机、云监控等。
代理商可以根据自身的业务需求和市场需求，选择适合的产品进行销售。
3. 代理商如何获取深信服产品的技术支持和售后服务？深信服为代理商提供全面的技术支持和售后服务。
代理商可以通过以下途径获取支持和服务：•技术支持热线：代理商可以通过拨打深信服的技术支持热线获取技术支持和解决问题；•在线技术支持：深信服为代理商提供了在线技术支持平台，代理商可以通过该平台提交技术问题，并获得专业的技术支持；•售后服务合作伙伴：深信服有一支专业的售后服务团队，代理商可以与售后服务合作伙伴联系，获得售后服务支持。
4. 代理商如何开展市场推广和销售活动？代理商可以通过多种方式进行市场推广和销售活动，包括但不限于以下几个方面：•参加行业展会和会议：代理商可以参加行业展会和会议，在展会上展示深信服产品，并与潜在客户进行交流和洽谈；•举办研讨会和培训班：代理商可以举办针对深信服产品的研讨会和培训班，吸引潜在客户参与，并提升产品知名度；•开展网络推广：代理商可以通过互联网渠道，如建设官方网站、社交媒体宣传等方式，扩大产品的曝光度；•与合作伙伴联合销售：代理商可以与其他相关企业合作，进行联合销售和推广，共同开拓市场。
深信服上网行为管理-常见问题排错指导
用户断网排查
用户断网排查
1. 首先从内网PC上ping下网关，测试下PC和网关的网络连通性。 如果从PC上 ping不通网关，则需要先检查下物理链路是否正常，有没有二层的ARP欺骗。
2. 如果PC能ping通网关，且网关是AC/SG设备，则需要检查AC/SG设备上的代 理上网配置或者路由是否正确，LAN-WAN防火墙是否放通。
培训目标
1.掌握端口映射不成功的分析和排查方法 1. 掌握控制台内置规则库更新不了的排查方法 1.掌握用户断网问题排查思路 1.掌握由于某些应用使用异常的排查方法 1. 掌握查不到上网行为日志的排查方法
端口映射不生效排查
端口映射不生效排查
Internet
PC
服务器
WAN-LAN端口映射整个过程分为 三个部分：
外网测试访问http:// 113.16.X.230，测试后下载刚才抓取的数据包并分析：
分析数据包，发现设备LAN口也抓到了访问服务器80端口的包，说明端口映射 规则设置成功了，已经把访问外网80端口的数据映射给WEB服务器的80端口。 现在可以定位问题出在服务器了，服务器没有回应我们测试发送的SYN请求包。 如需进一步分析，则需要到服务器以及内网路由设备上抓包，这里不讲解。
数据中心同步失败
➢步骤1 在设备上测试连接外置数据中心服务器是否正常 AC通过同步程序向外置数据中心datacenter.exe程序发同请求，通过tcp 810端口
建立连接。如果在AC上测试连接外置数据中心失败，可以到服务器上确认本机是 否正常监听TCP810端口。可以telnet 127.0.0.1 810看是否成功，也可以通过查看设 备的监听状态netstat –na，如下图：某Fra bibliotek应用使用异常排查
深信服_无线常见问题排查专题_持续更新
深信服_⽆线常见问题排查专题_持续更新⽆线常见问题排查1、AP不能⾃动发现WAC，分析原因答案：（1）先分析AP采⽤4种⽅法的哪⼀种⾃动发现⽅式1、采⽤⼴播⽅式时，AP和WAC是否同时处于⼀个⼴播域中，是否被3层⼝隔离；2、采⽤DNS⽅式时（HOSTS），DNS服务器是否可以正常做DNS解析或DNS代理,PC⽤nslookup – dnsip测试⼀下；3、采⽤DHCPoption43的时候，是否配置正确，AP是否可以获取到该选项字段，抓包分析（2）WAC上AP的授权数为0（3）AP⾃动获取到的IP或提前激活配置的IP地址在⽹络中不通，与WAC的IP 不能互相通信，⽐如AP⾃动获取IP时，获取到了⽹络中私接的路由器设备或AP提前激活时配置了错误的⽹关和IP（4）AP到WAC的udp-7777端⼝号不通，端⼝测试⼯具可以参考：http://200.200.0.20:5/dedecms/plus/view.php?aid=3692（5）在AP和WAC上抓包分析，串⼝或pshell登录AP的eth0⼝上直接抓包，确保AP有发出udp,7777的⼴播包；在WAC物理⼝上抓包时，都需要镜像到pcapif1或pcapif2⼝上抓包；在虚拟3层⼝时可以直接抓包，确保WAC有收到7777的⼴播报⽂。
2、AP⾃动发现WAC后，在WAC上激活后，AP⼀直不在线。
答案：（1）AP到WAC的TCP：7070控制端⼝与UDP：7077数据端⼝不通，还有AP到WAC的TCP：800端⼝不通（2）AP版本⽐WAC版本低时，AP仍然可以在WAC上激活，激活后，AP会⾃动从WAC上wget⽅式下载IMG镜像升级包升级，采⽤TCP800端⼝下载，升级包约8-10M 左右，当⽹速慢，或端⼝不通时，AP会升级慢或升级不成功，导致AP⼀直不在线状态。
⼀般AP版本和WAC版本不⼀致时，建议放在2层环境下，提前激活并保证AP在线后，再把AP放到各个不同的地理位置。
深信服AC--设备简单的--故障排查--方法
首先网络中遇见问题，我们需要向办法先确认下问题大概是出在哪台设备上。
首先查看设备的接口灯是否正常（电口左边的灯会闪，右边的灯长亮）右上角的红色的警告灯是否长亮-------长亮则不正常，闪是正常的。
AC网桥部署网关部署排查方法都一样
在设备控制台----系统诊断-----上网故障排除------点击开启
拦截日志过滤条件中添加0.0.0.0-255.255.255.255
勾选上同时开启数据直通填写有问题的那台电脑的IP 地址
开启好，再测试下，不能访问的网站应用等的网络问题有没有解决
1.可以访问了，则说明该网络中的问题就是我们设备的策略等因素导致的问题，可以选择
给我们打电话联系我们帮你们处理。
具体方法后续跟进说明。
2.如果还是不能访问则说明和我们设备没关系，可以选择找其他设备的问题。
对于情况一问题排查方法
案例：我自己做了一个策略禁止百度所有相关的网站。
现在我不能访问百度等相关的网站。
这个时候查看下我自己PC 的地址为
然后进入设备的控制台开启上网故障排查，测试！
测试结果为我可以访问百度类的网站了
这个时候确认问题出在我们设备上。
这个时候进入设备的数据中心，同时让该用户多访问几次不能访问的应用这样就更便于查找到具体被什么策略挡住了。
填写好我们需要查找的用户只需要查找被拒绝的就好了。
这样我们会查到很多的内容
就可以看到用户被什么策略挡住了，然后进行相应的修改就好了。
无线网络故障排查
无线网络故障排查无线网络的出现，使得我们在生活和工作中享受到了更多便利。
然而，有时候我们可能会面临网络故障的问题，导致无法正常使用无线网络。
本文将针对如何排查无线网络故障，提供一些解决方案供大家参考。
一、检查无线网络连接首先，我们需要确保无线网络连接是否正常。
我们可以按照以下步骤进行排查：1. 检查设备是否连接到正确的无线网络。
在电脑或手机的设置中查看连接的无线网络名称，确保选择的是您想要连接的网络。
2. 检查设备是否成功连接到无线网络。
在电脑或手机的无线网络设置中，确认已成功连接到网络并获取到正确的IP地址。
3. 检查无线路由器或接入点的工作状态。
确保路由器或接入点已正常启动，指示灯是否显示工作状态正常。
二、检查设备及路由器设置如果无线网络连接正常，但仍然无法正常上网，我们可以进一步检查设备及路由器的设置。
1. 检查设备的无线网络设置。
确保设备的无线网络功能已开启，无线网络连接方式是否设置为自动获取IP地址。
2. 检查路由器或接入点的设置。
登录路由器或接入点的管理界面，检查无线网络的设置是否正确。
重启路由器或接入点，以便清除临时的配置问题。
三、检查信号强度和遮挡物信号强度和遮挡物也可能是导致无线网络故障的原因。
我们可以采取以下措施：1. 检查设备与路由器之间的距离。
过远的距离会导致信号弱，影响无线网络的连接稳定性。
将设备尽量靠近路由器，提高信号强度。
2. 检查设备和路由器之间是否存在遮挡物。
墙壁、家具以及其他物体都可能阻碍无线信号的传播。
尽量调整设备和路由器的位置，避免遮挡物对信号的影响。
四、重置网络设置如果以上排查方法依然没有解决问题，我们可以尝试重置网络设置。
1. 重置路由器或接入点。
通过长按路由器或接入点背面的重置按钮，将其恢复到出厂设置。
请注意，这会清除所有的配置信息，包括Wi-Fi名称和密码。
2. 重置设备的网络设置。
在电脑或手机的设置中，找到网络设置或Wi-Fi设置，重置网络设置，以恢复默认配置。
深信服AD智能路由常见问题排错指导
1. 如果PC的DNS填写AD设备接口地址，注意查看DNS监听地址有没有填，需要将 AD设备接口地址填写到DNS监听地址处。
2. 查看DNS服务器列表有没有填。
3. 客户端电脑的DNS是否填写正确。需要填写DNS服务器列表的地址或者AD的LAN 口地址。
DNS代理不生效问题排查思路
智能路由不生效问题排查思路
问题现象：AD做出站负载，设置了智能路由，发现不生效。
1. 先检查智能路由的配置是否正确。智能路由由上往下匹配。
2. 再查【系统概况】-【链路状态】中的外网线路是否离线或者繁忙。
3. 在【智能路由】-【路由测试】中进行测试，看测试结果。
4. 【智能路由】- 【出站高级配置】中，出站会话保持的子网掩码是否合适。如果掩码 过大，会导致很多这个网段的IP走会话保持，智能路由不生效。
排查方法
DNS有时解析不到问题排查
第一步：若启用了DNS代理，调度策略选轮询或加权轮询，有可能会出现我访问 一个电信的站点，恰好调度到联通的DNS，但是这个域名联通解析不了。用DNS 前置调度策略解决。(该情况很少见)
第二步：若启用了DNS代理，查看【DNS状态】，看DNS服务器是否不停离线。 可能是DNS服务器的问题或者监视域名有问题。
4. 【系统概况】-【DNS状态】中DNS服务器是否在线.。离线的DNS服务器是不会参 与调度的。
问题思考
1.智能路由的配置是按什么规则匹配的？
第二步：目标IP选择的是ISP网段，则可能访问的目标IP不在ISP地址段里面。将目 标IP填写到对应的ISP地址段即可。
第三步：可能链路监视器设置有问题，导致外网链路不停的出现离线的情况。修改 监视地址查看是否可以。
深信服产品故障判断指引
Adesk产品故障判断指引
序号
故障现象
11 使用adesk按电源键无法开机
12 adesk VGA显示偏色严重等 13 adesk 断电后再来电无法启动 14 升级后出现sdcard只读
处理办法
1.确认客户处供电情况是否稳定； 2.确认产品标配电源线是否正常，可尝试更换标配电源线测 试； 3.如排除以上情况后，请联系深信服客服中心处理。
联系深信服 客服中心
是否登
是
录设备
否
联系深信服 客服中心
开机等待1小时， 是 再重复步骤1，是 否正常登录设备
否
问题解决
故障返修
告警灯(alarm)常亮，或无法登录设备—AD产品线排查
无法登录设备(Ad)
1、开机等待10分钟，如问题依旧，
则重启一次设备，再通过网及manage口，配置与网 口同网段IP进行ping测试；
覆盖故障现象包括：无法通电、告警灯常亮无法登录系统、 网口故障、网口兼容性等问题。
产品无法通电
设备无法通电
拔掉电源4-5秒，更换 电源插排，做以下操作
故障返修
是否两个
是
电源开关
否
先按下硬开关，再按下 软开关(弹性开关)，再 开机
否
设备加电， 是
确认是否
正常启动
问题解决
告警灯(alarm)常亮，或无法登录设备情况基础排查
联系深信服 客服中心
是 能否接 显示器
否
故障返修
告警灯常亮，或 无法登录设备
通过交叉线短接设备 任意两个网口(AC设备 接千兆交换机或PC,防 止恢复默认配置)
【注意】如因导入配置后导致的故障， 请直接联系深信服客服中心并说明情况
深信服教你玩转无线网络_无线工勘以及售后服务政策相关
2.4G（人） 40-50 40-50 40-50 40-50 15-20 50-60 50-60 50-60 80-100 80-110 80-110 40-50 40-50
80-100
80-100 80-100
5.8G（人） 40-50 40-50 40-50 40-50 不支持 50-60 不支持 50-60 80-100 80-110 80-110 40-50 50-60
作为一个合格的勘测人员，在实施无线网络勘测前，需要准备的工具包（硬件）： 无线网卡 客户实际业务会使用的无线终端 AP视项目推荐型号而定 数码照相机 长距离测距尺 后备电源 胶带、捆扎带 FLUKE Aircheck
工勘前准备-出门装
作为一个合格的销售和售前，在无线网络勘测前，需要准备的基本工具包（硬件）： 智能手机 长距离测距尺 笔记本或者笔记本
单AP推荐值（人） 60-80 60-80 60-80 60-80 10-15 40-60 10-15 30-60 80-100 80-100 80-100 80-100
单AP手持终端接入参考
场景
办公高密场景 （办公室，会议室）
普通上网场景 （企业访客，商超，车站、机
场）
室外保障场景 （演唱会，商超活动）
80-100
80-100 80-100
单AP推荐值（人） 80-100 80-100 80-100 80-100 15-20 100-120 80-100 100-120 160-200 160-220 160-220 80-100 90-110
160-200
160-200 160-200
信号穿透损耗估测
优势： 1、主要覆盖区域信号强度稳定，且 处于良好范围，在-40dBm到65dBm之间。 2、面板AP解决了部分弱信号终端 隔墙回传困难的情况，保证了良好 的接入效果。 3、信号引入房间，同一个房间内同 频干扰信号少，一般在1个或2个。
WLAN常见故障排查
网络传输速度慢
可能是由于交换机性能问 题、网络拥堵或配置不当 ，需要升级交换机或调整 网络配置。
断线频繁
可能是由于交换机端口接 触不良、受到干扰或配置 错误，需要检查交换机的 端口状态和配置情况。
04
软件故障排查
操作系统故障排查
总结词
操作系统故障通常会导致wlan无法正常连接或使用。
详细描述
这类故障可能是由于操作系统设置错误、驱动程序不兼容或系统更新失败等原因 引起的。常见的症状包括无法搜索到无线网络、连接失败或网络不稳定等。排查 方法包括检查网络设置、更新驱动程序或重新安装操作系统等。
电、微波炉等。
设备位置
设备位置也会影响信号接收质 量，需要调整设备位置，以获
得更好的信号接收效果。
增强信号强度
通过增加路由器数量、调整路 由器位置等方式增强信号强度
，提高网络覆盖范围。
03
设备故障排查
无线路由器故障排查
无法登录设置页面
可能是由于IP地址输入错误、用户名和密码输入错误等问题，需 要检查设备的网络设置。
故障排查流程
了解故障情况、分析故障现象、确定故障范围、逐一排查并确认故障点、实 施故障排除、测试网络并验证故障是否排除。
故障排查的基本步骤
步骤一：了解故障情况
• 与用户沟通，了解故障发生的地点、时间、 症状等信息。
• 确认网络设备（如AP、无线路由器等）是否 正常工作。
故障排查的基本步骤
01
步骤二：分析故障现象
wlan常见故障排查
2023-11-04
目 录
• 故障排查概述 • 网络连接故障排查 • 设备故障排查 • 软件故障排查 • 天线故障排查 • 常见故障总结与解决方案
深信服解决方案
深信服,解决方案篇一：深信服移动安全业务解决方案深信服移动业务解决方案应用背景移动互联网的的繁荣推动了办公的移动化发展，3A办公模式已成为一种新的趋势。
移动办公意味着办公人员可以在任何时间（Anytime）、任何地点（Anywhere）处理与业务相关的任何事情（Anything）。
这种全新的办公模式，可以摆脱时间和空间对办公人员的束缚，从而提高工作效率及远程协作能力，尤其是可轻松处理常规办公模式下难以解决的紧急事务。
OA系统在IOS/Android终端上的出色表现，吊足了大家的胃口，人们已经无法满足于简单的移动办公，更多重要业务系统延伸至智能终端的诉求愈演愈烈。
以企业的销售自动化系统为例，成功部署于智能终端后，可以为销售人员提供客户管理功能，包括信用额度、应收帐款等信息，并能够方便的查询库存信息、客户的定单状态、发货情况、退货记录等信息；可以将销售人员从烦琐、重复的查询劳作中解脱出来，不仅提高了工作效率，同时销售人员还可以有更多的时间和精力用于市场开拓。
移动业务面临的挑战移动业务已成为未来网络发展的重要趋势，众多IT厂商纷纷推出移动业务解决方案。
用户的需求已经迫在眉睫，但IT厂商推动时面临的问题和困难也不容忽视：1、无法快速迁移：当前传统信息化应用由于各种技术限制，无法直接迁移到智能终端上，无论是B/S还是C/S 模式的应用，由于平台化的不同，在传统PC和智能终端上的使用都会存在较大差异。
2、部署代价高：一旦部署移动业务，要针对原有应用系统进行重新开发，需要较长的开发周期；同时，后台的数据结构还需要进行重新调整。
这些都将会极大地增加项目的复杂度和风险，需要部署的应用系统越多，部署成本便越高。
3、安全风险：一旦敞开了大门，通过移动终端接入企业内网后，核心业务系统的数据存在各种泄密风险，也给企业带了更大的经济损失的风险。
面对移动业务未来的广阔市场以及实现移动办公存在的种种问题、挑战，我们该如何选择?是否存在更加安全、高效、低成本、贴合用户需求的方案，帮助用户快速实现跨平台的业务访问?深信服解决方案总述：针对不同的业务场景，企事业单位未开发业务系统的APP客户端及已有APP客户端的不同情况，深信服提供相应的移动业务解决方案：(一) EasyConnect远程应用发布解决方案对于企事业单位未开发业务系统APP客户端的场景，深信服EasyConnect远程应用发布解决方案通过SSL VPN和企业内网部署的终端服务器，将企业应用程序界面用图形的方式呈现于智能终端之上。
深信服网络设备AC硬件故障排查文档（PDF）
硬件故障排查文档一：前期准备二：根据现象判断一、前期准备知识万能IP，M5x00(-S)系列、S5100、P5100的万能IP均为10.111.222.33/252即电脑本机只能配置IP地址10.111.222.34/255.255.255.252，才可以正常连接设备，M5x00-AC系列的万能IP地址是128.127.125.252/255.255.255.248，即电脑本机配置，128.127.125.253/255.255.255.248即可。
（万能IP只适用于设备LAN口）二、设备故障判断标准（1）设备接上电源没有反应（任何指示灯都不亮），更换电源线后现象依旧。
（2）报警灯（Alarm灯）长亮，ping不通设备IP，取不到设备的MAC地址。
1 .使用万能IP测试，根据设备型号，配置好本机电脑IP（根据前期知识配置）如设备为M5x00(-S)系列、S5100、P5100配置为以下IP地址并确定如设备为AC设备，则配置为以下IP地址并确定配置好万能IP以后，进行测试（以AC设备为例如下，其他设备ping 10.111.222.33）这时看是否能ping通设备（开始---运行-----输入cmd----回车----出现DOS命令对话框----输入ping 128.127.125.252 如下图）看是否能取到设备MAC地址（在DOS命令行下输入arp -a 查看）如仍不能ping通或取到MAC地址，请进行第二步，如能ping通或可以取到设备MAC地址，则设备硬件故障可能性很低。
2.关机30分钟，开启设备后用笔记本电脑直接连接设备LAN口（使用交叉线连接）重新进行第一步。
如能ping通或能取到设备MAC地址，则设备硬件故障可能性很低。
如仍不能ping通或取不到MAC地址。
请直接联系深信服工程师进行设备返修确认。
注：如按照上述步骤排查仍然不能定位问题，请直接联系深信服工程师解决。
深信服无线解决方案
第1篇
深信服无线解决方案
一、前言
随着移动互联网的快速发展和物联网时代的到来，无线网络已成为企业、校园、医院等场景中不可或缺的基础设施。为了提供稳定、高效、安全的无线网络环境，本方案以深信服无线产品为核心，结合现场实际需求，制定以下合法合规的无线解决方案。
二、项目背景
1.业务需求
（1）满足高密度接入需求，保证无线网络稳定运行；
（2）采用WPA3加密协议，提高无线网络安全；
（3）对接入设备进行实名认证，防止非法设备接入；
（4）定期更新无线网络的安全策略，防范新型网络攻击。
3.网络管理优化
（1）采用深信服无线控制器统一管理无线接入设备，简化运维工作；
（2）利用深信服云管理平台，实现远程监控和管理；
（3）提供丰富的网络性能数据，便于分析网络状况，优化网络配置；
3.可靠性需求：无线网络需具备良好的冗余和负载均衡能力，保证网络稳定运行。
4.管理与维护需求：简化网络管理流程，降低运维成本，提高管理效率。
三、解决方案
1.无线网络架构设计
（1）采用深信服高性能无线接入点（AP），实现高密度无线覆盖；
（2）部署深信服无线控制器（AC），实现对无线接入点的集中管理和控制；
（3）采用802.11ac Wave2技术，提供高速无线接入，满足用户性能需求；
（4）利用智能天线技术，优化无线信号覆盖，提高网络可靠性。
2.安全防护策略
（1）启用深信服无线控制器内置的安全防护功能，如防钓鱼、防DNS劫持等；
（2）采用WPA3加密协议，保障无线网络安全；
（3）部署深信服安全准入系统，实现对接入设备的实名认证和权限控制；
（4）定期更新安全策略，应对新型网络攻击和威胁。
深信服AC排错讲解
命令控制台
日常排错必备方法二：命令控制台
SANGFOR AC&SG命令控制台提供一个简单的控制台命令行界面， 可用于对设备的一些简单信息进行查看，支持的命令包括： cls（清屏） arp（查看设备的arp表）
mii-tool（查看设备网口的连接情况）
ifconfig（查看设备网口信息） ping（测试主机地址的连通性） telnet（测试端口连通性） ethtool（查看设备网卡信息）
不了，请问如何排查？
1. 设置拦截日志开启条件。 如果选择内网某一台电脑做测试，可以只指定这一台电脑的IP地址。 2. 开启实时拦截日志和数据直通。 3. 在测试电脑上访问之前通信有故障的应用，看故障是否恢复，如果恢
复，说明是AC设备上的策略拦截了数据包。
4. 再查看实时拦截日志（一般可通过查看第一个包的日志，第一个包的 拦截日志详细说明了是AC上哪条上网策略或哪个模块丢弃了数据 包）。 5. 根据拦截日志的提示修改策略，再关闭直通功能，测试故障是否恢复。
其他排错工具
其他排错工具：
1、全局排除地址
2、系统日志 3、控制台操作日志 温馨提示：如果出现设备异常宕机需要分析设备黑匣子的，可以拔打 客户服务电话4006306430需求技术支撑
思考题
1、AC设备新上架，现在出现部分网站无法访问，请简述如何排查？ 2、某客户使用我们的AC产品网桥模式部署，发现AC的应用识别库升级
SANGFOR AC 日常排错文档
设备状态检查
1、检查设备的加电是否正常，电源灯是否正常。 2、alarm告警灯是否常亮。 3、网口指示灯是否正常（包括检查协商速率、丢包等状态） 4、设备性能是否不足等（主要通过系统运 行状态查看cpu、内存
常用问题排错指导-深信服上网行为管理AC
5. 如果系统日志有其他告警或者错误日志，请联系400处理。
外置数据中心数据库连接 失败
外置数据连接数据库失败
连接数据库失败大多都是由于SangforMySql服务起不来（对应mysqld-nt.exe进
程），可以尝试手动启动该服务。需要注意的是，引起SangforMySql服务无法启 动的原因较多，下面总结常见的会引起SangforMySql服务无法启动的情况： 1. mysql安装时没有和操作系统安装在同一块硬盘上 目前要求mysql和操作系统安装在一块物理硬盘上，他们可以不在一个磁盘分区 。（但是支持RAID磁盘阵列）。 2. 服务器上已安装了其他数据库（比如SQL SEREVER） 建议服务器上不要安装其他数据库，以免冲突。 3. 服务器磁盘满了
SANGFOR AC&SG常见 问题排错指导
培训内容
所有用户上网断网 上网策略导致访问异常 内网收发邮件异常 查不到上网行为日志 外置数据中心同步失败 外置数据中心数据库连接失败 外置数据中心无法建立索引
培训目标 1.掌握所有用户断网情况下的问题排查思路 1.掌握由于上网策略不正确导致访问异常的排查方法 1. 掌握内网用户收发邮件异常情况下的排查方法 1. 掌握查不到上网行为日志的排查方法 1. 掌握外置数据中心同步失败的排查方法 1. 掌握外置数据中心数据库连接失败的排查方法 1.掌握数据中心无法建立 索引时的排查步骤
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
无线常见问题排查
1、AP不能自动发现WAC，分析原因
答案：
（1）先分析AP采用4种方法的哪一种自动发现方式
1、采用广播方式时，AP和WAC是否同时处于一个广播域中，是否被3层口
隔离；
2、采用DNS方式时（HOSTS），DNS服务器是否可以正常做DNS解析或DNS
代理,PC用nslookup – dnsip测试一下；
3、采用DHCPoption43的时候，是否配置正确，AP是否可以获取到该选项字
段，抓包分析
（2）WAC上AP的授权数为0
（3）AP自动获取到的IP或提前激活配置的IP地址在网络中不通，与WAC的IP 不能互相通信，比如AP自动获取IP时，获取到了网络中私接的路由器设备或AP提前激活时配置了错误的网关和IP
（4）AP到WAC的udp-7777端口号不通，端口测试工具可以参考：http://200.200.0.20:5/dedecms/plus/view.php?aid=3692
（5）在AP和WAC上抓包分析，串口或pshell登录AP的eth0口上直接抓包，确保AP有发出udp,7777的广播包；在WAC物理口上抓包时，都需要镜像到pcapif1或pcapif2口上抓包；在虚拟3层口时可以直接抓包，确保WAC有收到7777的广播报文。
2、AP自动发现WAC后，在WAC上激活后，AP一直不在线。
答案：
（1）AP到WAC的TCP：7070控制端口与UDP：7077数据端口不通，还有AP到WAC的TCP：800端口不通
（2）AP版本比WAC版本低时，AP仍然可以在WAC上激活，激活后，AP会自动从WAC上wget方式下载IMG镜像升级包升级，采用TCP800端口下载，升级包约8-10M 左右，当网速慢，或端口不通时，AP会升级慢或升级不成功，导致AP一直不在线状态。
一般AP版本和WAC版本不一致时，建议放在2层环境下，提前激活并保证AP在线后，再把AP放到各个不同的地理位置。
（3）当激活AP后，不要轻易随便去拔掉AP的电源，尤其是在AP升级刷版本的时候，拔掉电源会导致AP异常，不能正常进入系统。
当AP确实不能正常进入系统时（串口登录AP发现无法看到正常的系统文件），让WAC和AP处于纯2层环境或直连，WAC 开启HDCP服务，AP放置一段时间，AP会从自动检测到WAC，并自动升级，否则返厂。
（4）首次激活时，在激活的时候，尽量不修改过多的配置，先激活，在线后，再修改配置，包括AP获取到的IP地址和网关
3、无线STA获取不到IP地址，分析原因
答案：（1）部署不当
1、应该配置2层交换口的网络环境，配置成为3层口，导致WAC收到DHCP
广播包后，不能保持数据包2层属性发送不出去。
2、部署环境不适合配置dhcp-relay的环境下配置了dhcp-relay。
3、认证前和认证后的vlan划分不当，导致vlan隔离，无线STA获取不到
4、网络环境配置集中转发或本地转发配置不当
详细具体部署请参考专题http://192.200.200.162/dedecms/plus/view.php?aid=3676 （2）采用1.0或1.0R1的版本，会有环路等bug导致无线STA获取不到地址
（3）采用的是外部设备作为DHCP-server，DHCP-server本身等环境问题
（4）在WAC和AP上抓包分析
4、从一个AP漫游到另外一个AP时，漫游不成功
答案：
（1）环境勘测，AP部署位置不当，AP数量需要调整，需要重新进行工勘工勘方法请参考：http://192.200.200.162/dedecms/plus/view.php?aid=3656 （2）AP的临近工作信道不能重叠，如自动调整有重叠情况发生，请手动固定信道。
（3）先分析是2层漫游还是3层漫游，是集中转发还是本地转发，3层漫游是指
SSID不变，从一个AP到另外一个AP时，STA的IP地址和网关地址也发生变化的
环境场景；对漫游效果要求比较高，且AP数量多的环境下，测试漫游都建议采用
集中转发模式，确保属于2层漫游。
（4）AP和WAC的版本非最新版本,含有旧版本的BUG问题。
（5）采用多终端测试漫游，避免单一无线终端网卡兼容性问题
（6）在PC的设备管理器，调整无线终端网卡的漫游灵敏度为高
5、无线STA和有线终端不能使用本地网上邻居共享和飞（鸽）秋，请分析原因？
答案：
（1）一般是由于无线和有线网络独立划分网段，没有与有线网络环境做vlan对接，不在同一个广播域引起，如果客户对应本地网上邻居与飞鸽传输要求不高，可以不做该需求的引导。
（2）有一些无线终端需要与有线终端的服务器有广播和组播协议时，才做vlan对接的需求引导，否则一般建议对无线终端用户独立划分网段，便利维护和管理，且漫游效果好，详细部署请参考部署专题
6、无线用户上网慢，请分析原因？
答案：
（1）使用有线PC与无线终端进行上网对比测试，并进行量化比较分析，并排除有线网络环境因素导致，如网络中有流控设备进行流控。
（2）使用Ixchariot工具进行测试吞吐率测试，对比有线与无线终端，无线与无线终端之间的吞吐传输速度。
（3）对于同一个AP，各个无线STA和AP之间无线传输都属于半双工通讯，所以理想情况下，接入的用户数越少速度越快，而且无线终端离AP非常远的情况下，协商出的传输速度也比较小，所以AP的部署密度需要提前工堪好，确保AP的接入用户数适当。
（4）无线信道干扰很大，附件wifi信号非常多，导致信道拥挤。
还有微波炉，无绳电话引起的噪声干扰。
如果可以采用5G频段的，可以推荐采用5G频段。
（5）AP的理论值是300Mb/s的吞吐率，除去无线数据帧的开销，我们的AP实际传输
值在80-140Mb/s吞吐范围。
如果AP放置的接入有线局域网是100Mb/s，是会影响无线的传输速度的，有条件可以建议AP接入1000Mb/s的交换机
（6）有线网络和设备的吞吐率限制了无线终端之间的传输速度，比如一个大掩码的交换网络，导致网络本身拥塞，丢包率高，还有WAC集中转发自身设备的吞吐率达到了上限。
某客户测试时有线PC与无线STA实际测试的吞吐率数据：约30Mb/s-45Mb/s范围
某客户无线项目测试时无线STA与无线STA实际测试的吞吐率数据：约9Mb/s-13Mb/s范围。
7、对应无线用户要进行应用审计，行为管理？
答案：
（1）现有版本WAC对应无线终端用户不能像AC一样进行各种应用的审计，如有需求，可以采用AC来进行审计，AC需要看到无线终端的具体源IP地址，所以AC一般可以网桥模式部署在WAC与AP之间，并在AC上做自定义协议剥离，并且拓扑部署时，确保无线STA 到自身网关的数据（或Internet）仅一次经过AC，避免多次经过。
（2）如果AC部署在WAC前端，那么WAC就不能做SNAT源地址转换，并且确保拓扑部署时，无线STA到互联网数据仅一次经过AC，避免多次经过AC。
8、无线STA无法上网？
（1）无线终端无法正常解析域名，WAC配置DHCP时，可以先配置内网可用的DNS作为DNS服务器。
（2）vlan3层口没有开启vlan间路由
（3）WAC上没有给无线终端配置SNAT代理上网
（4）WAC上配置默认8个0的默认路由。