WX3520X-G Portal认证问题
- 0关注
- 0收藏，76浏览
1. 用户空闲超时（user idle-timeout）：控制用户无流量时被强制下线的时长。
2. Portal会话超时：由Portal服务器或认证域配置控制。
排查步骤：
1. 查看当前认证域配置：
bash
display domain
display domain name <域名>
2. 查看Portal相关配置：
bash
display portal
display portal interface <接口>
3. 调整用户空闲超时（在认证域视图下）：
bash
domain name <域名>
authorization-attribute idle-cut 0 0
或设置较长空闲时间（单位分钟）：
bash
authorization-attribute idle-cut 1440 1024
第一个参数是空闲时间（分钟），第二个是流量阈值（KB）。设为0表示不限制。
4. 如果使用本地Portal，还需检查：
bash
portal max-user idle-time <分钟>
5. 保存配置：
bash
save force
建议将空闲超时设置为0（不限制），由深信服AC侧控制会话时长。同时确认深信服AC上的会话保持时间，避免两侧超时不一致导致频繁踢下线。
暂无评论
ISP 域下
authorization‑attribute idle‑cut（Portal 用户闲置切断）。终端休眠几乎无流量，达到 idle‑cut 阈值，H3C AC 主动向 Portal 服务器发送 RADIUS/Portal 下线报文，通知深信服注销该在线用户，不是深信服主动踢人。 休眠后再打开手机，用户表项已经被 AC 主动注销，就会重新弹出 Portal 认证页。
一、idle‑cut 两条处理方案（二选一）
该命令在ISP 域视图，就是 wlan service‑template 里面 portal domain 绑定的那个域名。
方案 A：调大闲置切断时间（不关闭，保留回收表项能力，推荐）
authorization‑attribute idle‑cut 分钟数 最小流量字节H3C
示例设置为 480 分钟（8 小时），最小流量 10240 字节：
system‑view
domain 你的portal域名
authorization‑attribute idle‑cut 480 10240
- 分钟范围：1‑600 分钟；流量：1‑10240000 字节。
注意：idle‑cut 时间建议小于 DHCP 地址租期的 1/2，防止 IP 已经释放，但 Portal 表项还在线，出现 IP‑MAC 错乱问题H3C。
方案 B：直接关闭闲置切断（休眠再也不会被 AC 主动发 logout 下线报文）
适合终端经常长时间休眠场景；风险：会残留大量僵尸 Portal 在线表项，大并发高密度环境谨慎使用。
system‑view
domain 你的portal域名
undo authorization‑attribute idle‑cut
二、确认当前 idle‑cut 配置
display domain name 你的portal域名
看输出里面 authorization‑attribute idle‑cut 字段。
三、容易混淆的另外 2 个定时器（不要搞错）
- AP 侧客户端无线链路空闲超时 client idle‑timeout（AP/AP‑group 视图） 这个是无线空口层面，长时间无报文直接踢 wifi 连接，不是 Portal 认证会话下线。
wlan ap‑group default‑group
client idle‑timeout 3600
现象：wifi 直接断开，不是仅重新弹出 Portal 页面。
- MAC‑trigger 服务器下的 aging‑time（mac‑trigger 快速认证临时表项，仅认证前），已经认证成功在线用户不受这个参数控制H3C。
四、深信服 AC 侧配套建议
- 深信服 AC 里面，关闭 “无流量自动注销用户”；下线逻辑统一交给 H3C AC 控制，避免两边双重闲置超时互相干扰深信服。
- 建议两边超时时间错开，不要同时触发。
五、排错验证命令
#查看在线portal用户，观察下线原因 Idle‑timeout
display portal user
#查看domain配置
display domain name xxx
#查看下线日志
display logbuffer | include "portal user"
如果日志下线原因为
Idle timeout，就是 idle‑cut 触发的主动下线。
故障现象对照
- 现象：终端休眠放一段时间，唤醒后浏览器强制弹出 Portal 登录页；wifi 本身没有断开。
- 日志：AC 侧 portal 用户下线原因
Idle‑timeout，AC 主动发送 logout 报文给深信服 Portal 服务器，服务器注销会话，终端再次访问就重定向认证。
总结：优先去对应 ISP 域，调大或者 undo 掉
authorization‑attribute idle‑cut，就是该故障的关键点。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论