ACG1000 本地web认证，客户端有的正常无感知认证，有的不行。

1. 强制重登录间隔被意外启用

• 现象：无论无感知列表是否存在，每隔固定时间强制用户重新认证。

• 检查方法：登录ACG Web界面，进入 用户认证 → 认证策略 → 编辑当前使用的策略，查看 “强制重登录间隔” 是否勾选并填写了数值。如果有，请取消勾选 或将其设置为大于无感知时间（如10080分钟）。

• 影响：若设置为240分钟，则每4小时用户必须重新输入密码，与您描述的“部分客户端频繁登录”高度吻合。

2. 客户端超时（流量超时）过短

• 现象：用户设备（如手机）在无流量时（例如息屏待机）很快被下线，下线后再次产生流量时本应无感知上线，但若无感知机制未能触发，则需重新认证。

• 建议：适当延长流量超时时间（如从10分钟改为120分钟），减少因短暂空闲导致的频繁下线。

• 注意：即使下线，只要MAC仍在无感知列表中，重新上线应自动通过。若仍需密码，说明无感知失效（见下一点）。

3. 跨三层MAC学习不完整或延迟

• 虽然您确认SNMP功能正常，但部分客户端可能位于不同交换机或VLAN，导致ACG未能及时学习到其MAC地址。

• 验证方法：

  • 在ACG上执行 display wlan mac-authentication connection 或 display user-waa local-waa，查看频繁登录的客户端MAC是否在无感知列表中。

  • 如果不在，说明MAC未被学习或已老化。需检查对应交换机端口的MAC地址表是否正常上报，以及ACG的SNMP超时/重试设置是否合理。

• 优化：增加SNMP读取频率，或调整交换机MAC地址老化时间（建议300秒以上）。

4. IP地址变化导致无感知失效

• 某些情况下，ACG的无感知认证可能同时依赖IP和MAC（尽管文档通常说基于MAC）。如果客户端每次连接都获取新IP（例如DHCP租期短），可能导致ACG认为这是一个新用户，从而要求认证。

• 验证：查看频繁登录的客户端IP是否经常变化。如果租期过短，可延长DHCP租期或在ACG上确认无感知是否绑定IP。

• 解决方案：在ACG上确认无感知策略为 “仅基于MAC”（通常默认如此），或通过命令行强制忽略IP变化。

5. 认证策略匹配顺序问题

• 可能存在多条认证策略，部分客户端的流量匹配到了另一条不开启无感知的策略（例如基于源IP的强制认证策略）。

• 检查：进入 用户认证 → 认证策略，查看策略列表的顺序（从上到下匹配）。确认所有客户端应匹配的策略都开启了 “无感知认证” 且无感知时间配置正确。

• 测试：临时将频繁登录客户端的IP段加入一条单独策略，明确开启无感知，观察是否改善。

看看上下线时候的mac情况吧，是不是又随机mac