关于EAD认证成功几分钟后异常下线，iNode侧提示“安全代理服务器要求用户下线”解决方法

某局点EAD认证成功几分钟后异常下线，iNode侧提示“安全代理服务器要求用户下线”，具体如下图示所示：

通过现场收集的EIA和EAD的Debug级别日志分析如下：

1、从策略服务器日志中看到，策略服务器向设备发送acl控制报文未收到回应，从而策略服务器使用户下线。

 [策略服务器] [调试 (0)] [41] [ProxyResponseHeartBeatHandler::run] 发送心跳请求回应消息给客户端管理代理成功 101.102.1.41

 [策略服务器] [错误 (141347)] [64] [AclDatagramManager::sendACLToGeneralDevice] 发送 ACL 更新控制报文到 147.1.254.100:1812 错误 [接收响应报文超时]

 [策略服务器] [错误 (141561)] [64] [AsyncUserEventProcessor::openAccess] 用户"OnlineUser"ACL安全权限开通失[策略服务器] [警告 (141559)] [64] [AsyncUserEventProcessor::processUserEvent] 事件"UserEvent"重试次数超过最大值"3"，被丢弃

 [策略服务器] [调试 (0)] [64] [AsyncUserEventProcessor::makeKickoffMessage] 为用户 xxjsb 成功地合成了强制下线指令消息： {attr:id=[1492], attr:type=[162], attr:ipType=[0], attr:ip=[147.1.135.109], attr:proxyip=[101.102.1.41], attr:port=[10102], attr:encrypt=[true], eventSeqID=[jiDvYywT], notifyType=[offline]}

2、通过设备侧Debug信息看，设备正常收到了服务器下发的ACL更新控制报文，并正常回应。

*0.3794163676 ZZ-NeiWang-4FX-1 RDS/8/DEBUG:- 1 -Recv MSG,[MsgType=Session ctrl pkt Index = 79, ulParam3=2187180836]

*0.3794163678 ZZ-NeiWang-4FX-1 RDS/8/DEBUG:- 1 -Received raw session-control packet(from: 101.102.1.41 ) is:

*0.3794163680 ZZ-NeiWang-4FX-1 RDS/8/DEBUG:- 1 -

*0.3794163754 ZZ-NeiWang-4FX-1 RDS/8/DEBUG:- 1 -Success sending the set policy result packet to Radius server.

3、iMC服务器发了报文，设备也收到并回应了报文，但是iMC后台未收到，故只能在服务器网卡侧抓包确认报文走向。在服务器网卡抓包证实设备的回应报文确实没有到达服务器，具体信息及抓包如下：

EAD发给设备的ACL控制报文，即Session-Control报文，源端口：UDP随机端口，目的端口：UDP 1812：

 现场EAD通过下发隔离ACL、安全ACL对用户进行授权，异常用户安全认证通过后，EAD服务器给设备下发了安全ACL，设备也正常收到了该指令，并基于用户生效，但设备回应的ACL控制报文，EAD未收到，故EAD服务器会将用踢下线。

1、  排查设备回应的Session-Control报文丢在哪儿了?如果网络中有防火墙，则需放通UDP报文。

2、  如果设备不支持动态ACL下发功能，也会导致相同问题，故在定位类似问题过程中，请先确认设备是否支持动态ACL下发功能，当前仅我司设备才支持，第三方设备都不支持。