ENSP Pro账号授权UniPortal失败，提示“服务不可用”？

Question

常见问题：ENSP Pro账号授权UniPortal时提示“服务不可用”，多因网络连通性或服务端配置异常所致。典型原因包括：① 客户端与UniPortal服务器（默认端口8443）TCP连接不通，常见于防火墙拦截、代理未绕过或HTTPS中间设备干扰；② ENSP Pro客户端版本过低（<1.5.0），不兼容新版UniPortal的OAuth2.0鉴权协议；③ UniPortal服务未正常启动（如Nginx未运行、证书过期或数据库连接失败）；④ 账号未在UniPortal中启用“ENSP Pro授权”权限，或租户状态为禁用/试用过期。建议按序排查：ping + telnet验证连通性 → 检查ENSP Pro日志（%APPDATA%\Huawei\ENSPPro\logs）中的AUTH_ERROR详情 → 登录UniPortal后台确认服务健康状态及账号授权策略。非内网部署场景下，还需确认DNS解析是否指向正确VIP。

Answer 1

```html

一、现象层：客户端交互异常的直观表现

ENSP Pro启动后点击“登录UniPortal”或“授权账号”时，弹窗提示“服务不可用”（Service Unavailable），无HTTP状态码、无重试按钮、无详细错误堆栈——这是典型的OAuth2.0授权链路在Authorization Request阶段即被阻断的前端表征。该提示非客户端本地报错，而是由ENSP Pro解析UniPortal返回的HTTP 503/502/404响应后统一渲染的兜底文案，意味着请求甚至未抵达OAuth2授权端点（/oauth/authorize）。

二、连通层：网络路径的四维验证法

需同步验证以下四个维度，缺一不可：

1. DNS解析：执行 nslookup uniportal.example.com（替换为实际域名），确认返回VIP地址且TTL合理；公网场景下需排除CDN缓存导致的A记录漂移；
2. ICMP可达性：使用 ping -n 4 uniportal.example.com 验证基础IP层连通，注意部分生产环境禁ping但TCP仍通；
3. TCP端口穿透：运行 telnet uniportal.example.com 8443（Windows）或 nc -zv uniportal.example.com 8443（Linux/macOS），超时即表明防火墙、安全组、WAF或中间HTTPS解密设备（如深信服ADX）拦截；
4. HTTPS握手深度检测：执行 openssl s_client -connect uniportal.example.com:8443 -servername uniportal.example.com -tls1_2，观察是否返回Verify return code: 0 (ok)，否则证书链断裂、SNI不匹配或TLS版本协商失败。

三、客户端层：ENSP Pro版本与协议兼容性矩阵

ENSP Pro版本	支持OAuth2.0 Flow	支持PKCE	默认Redirect URI	关键修复补丁
<1.3.0	❌ 不支持	❌	http://localhost:8080/callback	无
1.3.0–1.4.9	⚠️ 基础Authorization Code	❌	https://127.0.0.1:8080/callback	补丁SP03修复证书校验绕过
≥1.5.0	✅ 标准RFC6749 + PKCE	✅	https://127.0.0.1:8443/callback	强制TLS1.2+，支持OCSP Stapling

注：UniPortal v3.2.0+已废弃Implicit Flow，强制要求PKCE增强移动端/桌面端安全性。若客户端版本低于1.5.0，即使网络通畅，亦会因response_type=code&code_challenge_method=S256参数被服务端拒绝而返回503。

四、服务端层：UniPortal健康状态诊断树

graph TD
  A[UniPortal服务不可用] --> B{Nginx进程存活？}
  B -->|否| C[systemctl status nginx → 启动失败日志]
  B -->|是| D{SSL证书有效？}
  D -->|否| E[openssl x509 -in /etc/nginx/ssl/uniportal.crt -checkend 86400]
  D -->|是| F{数据库连接正常？}
  F -->|否| G[psql -h db-host -U uniportal -d uniportal -c 'SELECT now();']
  F -->|是| H{OAuth2服务模块就绪？}
  H -->|否| I[查看 /opt/uniportal/logs/oauth2-service.log 中'AuthServerStartup'关键词]
  H -->|是| J[检查租户白名单与ENSP Pro Feature Flag]

五、权限层：租户-账号-策略三级授权模型

UniPortal采用RBAC+ABAC混合模型：

• 租户级：后台路径 系统管理 > 租户管理，确认租户状态为“启用”，且trial_expired_at字段晚于当前时间；
• 用户级：进入用户管理 > 用户详情 > 授权策略，勾选“允许ENSP Pro接入”并保存；
• 策略级：通过SQL检查：SELECT * FROM tenant_features WHERE tenant_id='T123' AND feature_code='ENSP_PRO_AUTH' AND enabled=true;

特别注意：若租户启用了“IP白名单”，而ENSP Pro发起请求的出口IP未加入，则Nginx会在auth_request子请求中直接返回403，前端误判为“服务不可用”。

六、日志纵深分析：从客户端到服务端的调用链追踪

按优先级顺序检查以下日志片段：

1. %APPDATA%\Huawei\ENSPPro\logs\auth-client.log：搜索AUTH_ERROR.*503，定位具体HTTP请求URL及响应头X-Request-ID；
2. /var/log/nginx/uniportal_access.log：用X-Request-ID过滤，确认是否命中499 Client Closed Request（客户端主动断连）或502 Bad Gateway（上游OAuth2服务宕机）；
3. /opt/uniportal/logs/oauth2-service.log：查找同一X-Request-ID的完整OAuth2流程日志，重点关注ClientRegistrationNotFoundException（客户端ID未注册）或InvalidGrantException（PKCE校验失败）。

```