Cómo solucionar errores de autenticación Radius

Para solucionar problemas de mensajes de error de autenticación cuando se configura Radius Server.

• Palo Alto Firewall o Panorama
• Apoyado PAN-OS
• Autenticación Radius

1. Verifique los mensajes de registro del sistema para confirmar el error de autenticación ("CLImostrar sistema de registro" o GUI: Supervisar registros > > sistema)
2. En general, los mensajes indican "autenticación fallida"

User 'TESTCORP\xxxxxx' failed authentication. Reason: Invalid username/password From:x.y.m.n.

3. Abra el authd.log (menos mp-log authd.log) y verifique los registros al mismo tiempo.

debug: pan_authd_radius_create_req_payload(pan_authd_radius.c:230): username: xxxxxx
debug: pan_make_radius_request_buf(pan_authd_radius_prot.c:390): RADIUS request type: PAP
debug: pan_authd_radius_parse_resp_payload(pan_authd_radius.c:285): resp_code = RAD_ACCESS_REJECT
debug: pan_auth_service_recv_response(pan_auth_service_handle.c:1612): Got response for user: "t118009"
Error: pan_rad_process_response(pan_authd_radius_prot.c:255): Invalid RADIUS response received - Bad MD5, it might be caused by mismatched shared secret between server profile and remote RADIUS server

4. Si los mensajes indican "RAD_ACCESS_REJECT" seguido de "Bad MD5", generalmente es el secreto compartido incorrecto. Corrija el secreto compartido para resolver el problema.
5. Si los mensajes indican "RAD_ACCESS_REJECT" seguido de "PAN_AUTH_FAILURE respuesta de autenticación para el usuario", generalmente no se concede la contraseña ni el acceso telefónico remoto

debug: _authenticate_by_localdb_or_remote_server(pan_auth_state_engine.c:1829): Authenticating user "xxxxx" with <profile: "XYX_Radius", vsys: "vsys1">
debug: _retrieve_svr_ids(pan_auth_service.c:648): find auth server id vector for XYX_Radius-vsys1
debug: pan_authd_radius_create_req_payload(pan_authd_radius.c:230): username: xxxxx
debug: pan_make_radius_request_buf(pan_authd_radius_prot.c:390): RADIUS request type: PAP
debug: pan_authd_radius_parse_resp_payload(pan_authd_radius.c:285): resp_code = RAD_ACCESS_REJECT
debug: pan_auth_service_recv_response(pan_auth_service_handle.c:1583): Got response for user: "xxxxx"
debug: pan_auth_response_process(pan_auth_state_engine.c:4298): auth status: auth failed
debug: pan_auth_incr_failed_attempt(pan_authd_db.c:171): increase failed attempt for user: admin
debug: pan_auth_response_process(pan_auth_state_engine.c:4477): Authentication failed: <profile: "XYX_Radius", vsys: "vsys1", username "xxxxx">
failed authentication for user 'admin'. Reason: Invalid username/password. auth profile 'XYX_Radius', vsys 'vsys1', server profile 'XYX_RAD_Servers', server address '10.90.X.T', auth protocol 'PAP', From: 10.92.M.N.
debug: _log_auth_respone(pan_auth_server.c:268): Sent PAN_AUTH_FAILURE auth response for user 'xxxxx' (exp_in_days=-1 (-1 never; 0 within a day))(authd_id: 6795007509200667545) (return domain 'corp')

6. Si la contraseña es correcta, compruebe AD el permiso del servidor: en Usuarios y equipos de Active Directory, dentro de las propiedades del usuario y en la ficha Acceso telefónico> Permitir acceso: