无线mac+portal认证下发授权vlan典型案例分析

现网AC旁挂，终端采用mac+portal认证方式接入网络，并且需要对终端下发授权VLAN,portal认证不支持下发授权vlan，所以在设备上增加portal authenticated-kick enable delay 3 命令，客户端通过portal认证3秒后强制下线，然后客户端再次通过mac认证上线，通过mac认证给客户端下发授权vlan。这是客户对于无线这一块的认证需求。

按照客户需求，配置完成后测试业务发现有如下问题

1，正常认证完成下发授权vlan之后，aaa服务器的计费报文参数不对，里面设备的ip地址为终端的老地址，并不是对应授权vlan的地址。

2，强制portal用户下线后，终端使用mac认证上线的时候概率性的出现设备在AC上有mac认证表项，但是在aaa服务器看不到用户在线。

首先我们确定下AC学习终端IP地址的规律

1、通过dhcp过程的报文学习
2、通过终端主动发的arp报文学习
3、通过漫游表项学习

优先级：dhcp>arp>漫游表项

首先通过probe视图display system  internal wlan client  ip mac-address  xxxx-xxxx-xxxx命令可以看到AC是通过什么方式学习到终端的ip地址。

vlan是否改变，终端是不感知的，终端没有vlan的概念，终端每次接入，传统理论都会重新走dhcp流程获取ip，但是最近几年的比较新的操作系统，如果系统自动判定为快速漫游，是不会进程dhcp过程的，终端不管是否有dhcp过程，都有可能用旧的ip地址发arp报文，而且时序不能保证。当终端没有dhcp过程的时候，AC只能通过ARP来学习终端的IP地址，但是终端是有可能利用老的IP地址发arp报文，导致AC学习到的就是终端老的ip地址，并且使用该地址发送计费报文，导致aaa服务器上收到用户的信息不对，使终端业务不正常。

对于问题1，我们分析到这后通过在服务模板配置 undo client ipv4-snooping arp-learning enable命令，来关闭AC通过arp学习终端的ip，经过测试，问题1得到了解决。但此时又引入了问题2.

因为关闭了通过arp学习终端地址，并且三层漫游也关闭了，导致终端只能从dhcp的方式学到终端的地址，当终端使用老地址发计费报文后，设备默认计费报文周期为12分钟，需要等待12分钟设备才能更新计费报文，导致这一段时间的现象就是AC上能看到用户在线，但是AAA服务器看不到。

问题1通过undo client ipv4-snooping arp-learning enablei命令解决。

问题2通过命令client-security accounting-update trigger命令解决。