交换机S5130 MAC地址认证每间隔半小时触发一次

在哪做的认证

哑终端每隔半小时就触发重认证导致断网，通常是由于交换机上的“周期性重认证”功能被开启了。交换机默认的重认证间隔（Reauth period）正好是3600秒（1小时）。你那边是半小时触发一次，很可能是Radius服务器下发了Session-Timeout属性覆盖了默认值。

要让这些固定终端“一次认证、永久在线”，可以通过下面的方案来解决。

解决方案

 方案一：关闭周期性重认证（推荐）

此方案简单直接，可彻底关闭重认证机制，不影响其他配置。

• 操作步骤：

  1. 登录交换机，进入系统视图。

  2. 在系统视图下执行以下命令：

     [H3C] undo mac-authentication timer reauth-period

  3. 执行 save force 保存配置。

• 验证：之后在通过执行命令 display mac-authentication 查看端口信息，确认 Periodic reauth 已变为 Disabled。

 方案二：调长重认证间隔（缓解）

如果安全策略要求必须保留周期性认证机制，可以通过此方式将间隔拉长来缓解问题。

• 操作步骤：
  在系统视图下执行：

  [H3C] mac-authentication timer reauth-period 86400说明：此命令将重认证间隔设置为 86400秒（即24小时），可根据需要调整数值。

 方案三：静态绑定MAC地址（终极）

对于位置和MAC地址都完全固定的哑终端，可将其MAC地址在交换机上静态绑定，使其不再参与任何认证过程。

• 操作步骤：

  1. 先关闭端口认证：[H3C-GigabitEthernet1/0/1] undo mac-authentication

  2. 配置静态MAC绑定：[H3C] mac-address static 终端的MAC地址 interface GigabitEthernet 1/0/1 vlan 30

注意：该方案会绕过认证，实施前需确认符合企业的安全策略。

 排查思路与建议

在实施上述解决方案前，建议先确认重认证的触发源。

• 查看服务器策略：由于你的重认证间隔是0.5小时，与交换机默认的1小时不符，这很可能是 Radius 服务器下发的 Session-Timeout 属性所致。可以执行命令 display mac-authentication connection 查看服务器具体下发的参数。

• 排查是否由“无流量下线”触发：MAC认证还有一种“无流量下线并重连”的机制，受 离线检测定时器 (Offline detect period) 控制。若非上述原因，需排查网络内是否存在环路、ARP攻击等导致交换机频繁刷新MAC地址表，进而触发重认证。

一、为什么会半小时断一次（根因）

1. 周期性重认证（reauth-period）：默认1800 秒 = 30 分钟，到点强制重认→断网几秒。
2. 离线检测（offline-detect）：默认300 秒，设备认为用户离线就踢下线，触发重认。
3. MAC 地址表老化：默认 300 秒，和离线检测时间一致，导致终端 MAC 被删，再次触发认证。

二、根治配置（直接复制粘贴）

1. 全局关闭周期性重认证（必配）

2. 端口下关闭重认证 + 保活（必配）

3. 核心交换机调整 MAC 老化（可选但推荐）

三、配置后效果

• 只认证一次：哑终端上电认证成功后，永久在线，不会再重认。
• 不断网：无 30 分钟强制重认，无离线踢下线，业务稳定。
• 适配哑终端：无保活报文也不会被踢，适合打印机、摄像头等设备。

四、验证配置

五、常见坑

1. 只关全局，没关端口重认证：还是会 30 分钟重认。
2. 离线检测时间太短：默认 300 秒，哑终端无保活会被误踢。
3. MAC 老化时间和离线检测不一致：导致 MAC 表被删，触发重认。