Radius配置异常：部分设备收Access-Reject，解密密码含附加字符

DevOps 小满

2026-7-20

可能的成因分析

共享密钥不匹配：虽然你确认现有配置无问题，但部分设备的Radius共享密钥可能与服务器端不一致。Radius的User-Password字段是通过共享密钥和请求报文的Authenticator做MD5加密的，一旦密钥不匹配，解密后的密码会呈现乱码，看起来像是末尾附加了随机字符，这是导致Access-Reject的常见原因之一。
设备端密码编码/输入异常：
- 部分设备可能采用非UTF-8编码（如UTF-16）存储或发送密码，而服务器端用UTF-8解析，导致出现冗余字节（比如双字节编码的空格或不可见字符）；
- 配置设备密码时不小心输入了末尾空格、换行符等不可见字符，或者设备输入框存在自动补全/追加字符的bug，导致实际发送的密码比预期多了字符。
设备Radius客户端固件bug：特定品牌或型号的设备在构造Access-Request报文时，对User-Password属性的处理不符合RFC 2865规范，比如加密时错误地追加了随机字节，导致解密后密码异常。这种情况通常和设备的固件版本有关，建议检查该型号设备的官方bug列表。
中间网络设备的报文篡改：如果设备和Radius服务器之间存在交换机、防火墙等中间设备，可能因MTU分片错误、报文校验异常等问题，导致User-Password字段被附加了额外字节。可以在问题设备本地抓包，和服务器端抓取的包对比，确认报文是否在传输中被篡改。
特殊字符转义错误：若设备密码包含特殊字符（如\、"），设备在发送Access-Request时错误地对这些字符进行了转义，导致实际发送的密码是转义后的字符串（例如把"变成\"），而服务器端存储的是原密码，最终匹配失败。