ACG 用户同步问题

ACG在线用户 认证方式那里看下，能看出来是否通过认证，但是你的认证又在IMC上。

感觉你描述得有点问题，IMC做的portal认证，认证用户在ACG上吗 

ACG透明桥模式下出现用户名显示网关地址但IP为终端IP的现象，可能由以下原因导致：

一、SNMP同步机制异常

1. ‌ARP表同步不完整‌
   ACG通过SNMP获取网关ARP表时，若未正确解析终端真实MAC地址，可能将网关接口MAC误认为用户身份标识。需检查SNMP服务器配置中的IP OID和MAC OID是否与交换机厂商标准值匹配‌。

2. ‌跨三层识别失效‌

   • 确认ACG上跨三层取MAC功能已启用，且配置的三层交换机IP为终端所在网段的网关地址
   • 验证交换机SNMP团体名(read权限)、超时时间(建议>5秒)、获取间隔(建议300秒)等参数与ACG配置一致‌

二、Portal认证流程中断

1. ‌未触发认证重定向‌
   终端首次访问HTTP业务时，若未收到302重定向到IMC Portal页面，ACG可能临时记录网关MAC作为用户名。需检查：

   • ACG策略路由是否允许80/443端口流量触发认证
   • IMC Portal服务地址是否加入白名单避免死循环‌3

2. ‌认证状态同步延迟‌
   ACG与IMC间存在会话状态同步异常时，会导致已认证用户仍显示为预连接状态。建议：

   • 在IMC查看用户>认证日志，过滤Authentication Success事件确认实际成功数
   • 通过debugging radius packet命令捕获RADIUS交互报文，验证计费报文(Accounting-Request)是否正常发送‌13

三、数据采集层异常

1. ‌MAC-IP映射错误‌
   当终端通过NAT设备接入时，ACG可能捕获到转换后的IP地址。需在透明桥接口启用MAC-over-IP解析功能，或在交换机配置端口镜像将终端ARP报文发送至ACG管理口‌。

2. ‌ARP老化机制干扰‌
   网关ARP表刷新周期(默认4小时)长于终端IP租期时，会导致过期IP-MAC映射残留。建议：

   • 将ACG的SNMP获取时间间隔缩短至60-180秒
   • 在交换机配置arp aging-time 600(单位：秒)加速过期条目清理‌

‌快速验证方法‌：

1. 在ACG执行display portal user，观察AuthState字段是否为Authenticated
2. 终端访问***.***，若跳转至IMC认证页面且认证后该IP消失，则属正常流程中断问题‌34