portal+MAC-trigger 认证 单日终端上网时长

看下portal domian下是否配置了idle-cut参数，建议配置为终端DHCP租期的1/3

该问题原因为设备使用真实MAC地址认证时，该MAC未在MAC白名单中，导致认证失败。而使用随机MAC时能正常认证，说明Portal账号本身无问题。

`display portal auth-error-record all` 中显示大量“Failed to get”错误，通常是由于设备真实MAC未通过MAC认证或不在授权列表中，导致无法获取认证参数。

建议排查：
1. 检查MAC认证配置，确认设备真实MAC是否在MAC白名单或已正确绑定；
2. 若确认无需记录此类失败日志，可在“接入策略-业务参数-系统配置”中关闭“MAC用户接入认证失败日志记录”；
3. 确保Portal配置中 `portal nas-ip`（V7/V9为 `bas-ip`）与Portal服务器上添加的设备IP一致，避免地址不匹配导致认证异常。

综上，请核对MAC白名单及NAS-IP配置。

一、分析错误日志 “Failed to get physical info by IP” 的根源

排查步骤：

1. 检查 AC 与核心 DHCP 的 IP-MAC 同步
   • 核心交换机作为 DHCP 服务器，需确保其DHCP Snooping或IP-MAC绑定功能已正确配置，并将 IP-MAC 信息同步给 AC。可在核心上执行display dhcp snooping binding，确认终端 MAC 与 IP 的绑定关系是否正确；在 AC 上执行display arp，检查对应 IP 的 ARP 条目是否存在且正确。
   • 若 AC 无对应 ARP 条目，需检查 AC 与核心之间的三层互通（路由、VLAN 透传）是否正常，确保 AC 能收到终端的 ARP 请求 / 响应。
2. 验证 AC 的物理信息采集配置
   • 由于 AC 旁挂、AP 本地转发，AC 需通过LLDP或SNMP从接入设备（核心、汇聚）获取终端的物理端口信息。检查 AC 的LLDP配置是否开启，且接入设备的 LLDP 功能也已启用；若使用 SNMP，需确认 AC 与接入设备的 SNMP 社区名、版本匹配。

二、解决 “时长已满” 的误判问题

排查步骤：

1. 确认云简 Portal 的时长配置无遗漏
   • 登录云简 Portal 后台，检查 “认证策略 - 时长限制” 配置，确保全局策略和该终端所属的用户组策略均设置为 “单日 1440 分钟（无限制）”，避免局部策略覆盖全局。
   • 查看该故障 MAC 的认证记录详情，确认其 “已用时长” 是否被错误统计（如系统误将历史认证时长累计，或未正确重置每日时长）。
2. 检查 MAC 触发认证的流程完整性
   • 当 AC 因 “无法获取物理信息” 忽略 MAC 事件时，Portal 可能未收到完整的认证请求，导致时长统计状态异常（如认为该 MAC 仍处于 “在线未注销” 状态，时长持续累计）。
   • 在 AC 上开启 Portal 调试日志（如debug portal all），抓取故障 MAC 的认证交互流程，确认 AC 是否将认证请求正确转发给云简 Portal，以及 Portal 的响应是否正常。

三、针对性解决措施

1. 修复 IP-MAC 物理信息获取问题
   • 若核心与 AC 的 IP-MAC 同步依赖DHCP Snooping，需确保核心的dhcp snooping enable在终端接入的 VLAN 下全局启用，且dhcp snooping trust接口配置正确（通常是连接 DHCP 服务器的端口）。
   • 若 AC 通过 SNMP 获取物理信息，检查 SNMP 配置：snmp-agent community read {社区名}、snmp-agent sys-info version all，并测试 AC 与核心的 SNMP 连通性（如snmpwalk -v2c -c {社区名} {核心IP} .1.3.6.1.2.1.1）。
2. 重置异常 MAC 的时长统计
   • 在云简 Portal 后台，手动 “强制注销” 该故障 MAC 的在线记录，或重置其每日时长统计，观察终端重新认证时是否恢复正常。
   • 若问题频繁出现，可临时调整 Portal 的 “时长统计粒度” 为 “按 IP” 而非 “按 MAC”，规避 MAC 绑定的统计异常（需确认云简 Portal 支持该配置）。
3. 优化 AC 与 Portal 的对接配置
   • 确认 AC 的 Portal 服务器配置中，portal server {云简地址} key {共享密钥}与云简后台的 “AC 对接密钥” 完全一致。
   • 检查 AC 的portal mac-trigger配置，确保触发规则（如 VLAN、接口）覆盖故障终端的接入场景。