无线控制器mac trigger绑定表自动剔除问题

> ：WX2560X，7.1.064 Release6002P21；Portal 本地 mac‑trigger‑server，`local‑binding aging‑time 129600`（单位**分钟，90 天**）；Portal 认证对接 LDAP‑AD 域。
> 现象：终端周五完成 Portal 认证（成功生成 local‑binding 本地绑定），周一重新连 SSID，**本地绑定表里面该 MAC 条目消失，需要重新做 Portal 认证**，未达到 90 天老化时间。

>
> 关键区分两个表：

1. **`portal local‑binding`本地绑定表（期望保留 90 天，保存 MAC + 认证上下文，免认证）**
2. **mac‑trigger 临时探测表（aging‑time，最大仅支持 7200 秒 = 2 小时，不要和 local‑binding 混淆）**H3C

你的配置：

```
portal mac‑trigger‑server mts
local‑binding enable
local‑binding aging‑time 129600 #✅这个是【本地绑定表】，单位分钟，90天
#注意：本视图下还有一条aging‑time（不带local‑binding）是临时探测表，范围60‑7200秒！！！
```

## 根因 1（最高概率）：AAA 域下`authorization‑attribute session‑timeout 129600`单位是**秒**，会话超时会清除本地 mac‑trigger 绑定表

```
domain rdmldap
authorization‑attribute session‑timeout 129600
```

👉`session‑timeout`单位是**秒**，`129600秒 = 36小时`。
终端周五上线，Portal 用户会话生命周期只有 36 小时；周末两天设备休眠断开 WiFi，**Portal 用户会话超时被系统清理，连带把`portal local‑binding`本地绑定条目一起删除**，所以周一回来绑定表为空，需要重新认证。

>
> ⚠️两个时间完全不是同一个对象，很多工程师会混淆：

1. `local‑binding aging‑time 129600`：**本地绑定表老化时间，单位分钟，90 天，保存 MAC 免认证信息**
2. `session‑timeout 129600`：**Portal 在线用户会话超时时间，单位秒，这里配置等于 36 小时**。

>
> 只要 Portal 在线会话超时被清理，**本地 mac‑trigger 绑定条目同步删除，不会再等待 local‑binding 的 90 天**。

### 处理方案

- 如果希望实现 90 天免认证，**必须把域下 session‑timeout 调大或者取消下发会话超时**。

```
domain rdmldap
undo authorization‑attribute session‑timeout
#或者设置成更大秒数，例如90天： 7776000秒
#authorization‑attribute session‑timeout 7776000
```

>
> 注意：LDAP 方案，AD 域本身不返回 RADIUS 会话超时属性，这里是 AC 本地域配置强制下发 session‑timeout。

## 根因 2：Release6002P21 版本已知限制：无线终端完全下线（STA 删除）场景，部分条件下会清理 local‑binding 绑定条目

>
> 当 WiFi 终端完全下线，AC 把 STA 表项删除；R6002P21 旧版本存在缺陷：在 LDAP + 本地 mac‑trigger 组合场景，部分条件下错误清理`local‑binding`本地绑定，不等待`local‑binding aging‑time`计时器到期。

- 验证手段：周五终端在线时：

```
display portal local‑binding mac-address xxxx‑xxxx‑xxxx
display wlan client mac‑address xxxx‑xxxx‑xxxx
```

周五正常存在绑定。
周末终端关机 / 休眠，`display wlan client`看不到该 STA；周一重新上线，`portal local‑binding`条目消失。

规避：升级 WX2560X 固件到**R6005P20 及以上正式版本**，修复该类本地绑定异常清除缺陷。

## 根因 3：混淆`aging‑time`（不带 local‑binding）参数（容易踩坑）

```
portal mac‑trigger‑server mts
aging‑time 7200 #❗这条是mac‑trigger探测表，单位秒，上限7200秒=2小时；不是本地绑定！！！
local‑binding aging‑time 129600 #这个才是本地绑定（分钟）
```

>
> 不带`local‑binding`的`aging‑time`只控制临时探测表，**不控制 local‑binding 免认证绑定表**，很多人把两者搞混。

## 根因 4：终端重新上线，接入 VLAN 发生变化

`local‑binding`本地绑定表绑定 MAC+VLAN，终端重新关联 SSID，如果 VLAN 发生变化，旧绑定条目失效，不会复用，需要重新 Portal 认证。
排查：周五、周一终端获取的 VLAN 是否都是 VLAN10。

## 根因 5：无线客户端被强制下线（低概率）

- 802.11 保活探测超时，AC 主动踢掉 STA；
- AP 漫游、终端睡眠‑唤醒导致 STA 会话被删除，旧版本联动清除 local‑binding。

## 现场排查操作步骤（按顺序执行）

1. 核对域 session‑timeout，确认单位秒换算：

```
display domain rdmldap
```

重点看`authorization‑attribute session‑timeout`数值；129600 秒 = 36 小时，是本次最可疑点。

2. 周五终端正常 Portal 认证成功后，执行保存输出：

```
display portal local‑binding mac‑address xxxx‑xxxx‑xxxx
display portal mac‑trigger‑server name mts
display wlan client mac‑address xxxx‑xxxx‑xxxx
```

3. 周末让终端断开 WiFi 休眠；周一终端重新连上 SSID，**在重新做 Portal 认证之前立刻查询**：

```
display portal local‑binding mac‑address xxxx‑xxxx‑xxxx
display portal local‑binding all
```

>
> 观察绑定条目是否消失；同时看 wlan client 重新生成。

4. 查看日志 buffer，看周末有没有该 STA 的下线、用户会话删除记录：

```
display logbuffer | include 【终端MAC】
display logbuffer | include portal
display logbuffer | include session‑timeout
```

## 修复配置建议（可直接复制）

```
system‑view
domain rdmldap
#取消Portal用户会话超时，避免会话超时连带删除mac‑trigger本地绑定表
undo authorization‑attribute session‑timeout
quit

portal mac‑trigger‑server mts
local‑binding enable
local‑binding aging‑time 129600 #90天，单位：分钟
quit
```

>
> ⚠️做完配置后，**已经存在的旧绑定条目不会自动更新生效，需要终端重新完整 Portal 认证一次，生成新的 local‑binding 绑定表项**。

## 补充重要知识点

1. `local‑binding aging‑time`单位**是分钟**；而`session‑timeout`、`aging‑time（不带local‑binding）`单位**全部是秒**，这是该故障最高频踩坑点。
2. **Portal 用户会话超时，会连带清除本地 mac‑trigger local‑binding 绑定条目，不会等待 local‑binding 老化计时器**，这个是产品设计机制。
3. Release6002P21 版本存在该场景的缺陷，如果取消 session‑timeout 后故障依旧复现，需要升级 AC 版本。