IPOE用户异常离线
- 0关注
- 0收藏，37浏览
您好，参考
原理：IPOE 上线后 BRAS/AC 通过ARP 探测保活用户，设备收不到终端 ARP 应答 → ARP 探测失败 → 强制下线。
优先 4 个最快排查点
1. IPOE 保活 ARP 探测参数不合理（最常见）
# 进入IPOE域视图
domain xxx
ipoe arp-detect interval 30 # 默认常10s，改成30~60s，降低探测频率
ipoe arp-detect retry-times 3 # 探测失败重试次数，默认1改3
ipoe arp-detect disable quick-logoff # 关闭快速下线，探测失败不立刻踢用户
说明：学生手机 / 笔记本息屏省电、网卡休眠，会短暂不回复 ARP，探测太密直接报ARP with detect fail下线。
2. 下联接入交换机开启 ARP 防护 / DAI/ARP 限速拦截终端 ARP 报文
- DAI 动态 ARP 检测绑定 ACL 误拦截用户上行 ARP
- arp anti-attack check source-mac、arp rate-limit 限速过低
# 排查接入配置
display current-configuration | include arp rate-limit|dai
# 临时关闭端口ARP限速测试：
int Gig 1/0/xx
undo arp rate-limit source-ip
现象：网关发探测 ARP→交换机拦截终端回复 ARP→BRAS 收不到应答，探测失败下线，三层 ping 正常是因为 ICMP 不走 ARP 保活检测逻辑。
3. 终端侧问题：Windows / 手机防火墙拦截出站 ARP、网卡节能
- Windows：网卡属性→电源管理→取消「允许计算机关闭此设备以节约电源」
- 安卓 / 苹果：息屏断后台网络、休眠断 ARP 响应，只能通过拉长 ARP 探测间隔规避。
4. VLAN 透传异常、中间设备 ACL 拦截 ARP
# BRAS查看用户离线原因
display ipoe user log offreason arp-fail
IPOE 下线原因：ARP with detect fail（H3C BRAS，校园 MAC 无感知 IPOE）
故障根因
BRAS 定时发ARP 探测报文保活在线用户，终端没回复 ARP 应答→探测失败→强制踢下线；终端 ping 网关正常 = IP 通，但二层 ARP 应答丢包 / 不回包，学生笔记本 / 手机息屏休眠、网卡省电策略普遍不回应广播源 ARP。
一、BRAS 域内优化（首选，直接改 IPOE 探测参数，立即见效）
plaintext
system-view
domain 校园域名
# 1、拉长探测间隔（默认10s，改成40~60s，减少探测频次）
ipoe arp-detect interval 45
# 2、失败重试从1次改成3次，短暂丢包不立即下线
ipoe arp-detect retry-times 3
# 3、关闭探测失败快速下线（关键配置，息屏瞬间无应答不踢用户）
ipoe arp-detect disable quick-logoff
# 可选：改用网关IP做探测源，不用255.255.255.255广播源（win10/手机拒收全广播源ARP）
ipoe arp-detect source-ip 网段网关IP
绝大多数校园掉线改完这四条，ARP detect fail 掉线直接大幅减少。
二、下联接入交换机排查（二层拦截 ARP，第二高发点）
接入 S5130/S5560/S6520 常见坑：DAI、ARP 限速、ARP 防攻击、端口安全拦截终端上行 ARP 报文
plaintext
# 查看ARP报文丢弃统计
display arp detection statistics drop
display arp rate-limit statistics
优化配置（接入交换机全局）
plaintext
system-view
# 放开用户VLAN ARP限速，校园终端多容易触发限速丢ARP
arp rate-limit source-mac disable
# DAI场景：信任上联BRAS口，用户口非信任，避免误拦终端ARP
arp detection trust GigabitEthernet 0/1 //上联口
# 关闭不必要ARP攻击检测
undo arp anti-attack check source-mac
三、终端侧诱因（学生设备）
Windows / 手机开启省电，息屏后网卡休眠、暂停应答 ARP；
终端防火墙拦截陌生源 ARP、拒收源 IP=255.255.255.255探测包（系统默认策略）；
根治：BRAS 改用网关 IP 作为 ARP 探测源（上面 source-ip 配置）。
四、辅助排查命令
plaintext
# 查看下线明细，确认下线原因
display aaa offline-record reason arp-detect-fail
# 查看在线用户
display ip subscriber online
# 调试抓ARP报文（定位BRAS发了探测、终端没回包）
debugging arp packet inbound/outbound
五、备选兜底方案
开启 DHCP 保活辅助：ipoe dhcp-keepalive enable，依靠 DHCP 续约辅助保活，降低 ARP 探测依赖；
无感知 MAC 绑定检查：display mac-authentication mac-bind all，MAC 随机化会反复重认证。
精简总结
改域下 ARP 探测：拉长间隔 + 增加重试 + 关快速下线 + 指定网关源 IP（最有效）；
接入交换机取消 ARP 限速、DAI 误拦截；
探测不用全广播源 IP，规避 win / 手机拒回 ARP。
这个是bras是sr8804x，没有上述的命令
这个是bras是sr8804x，没有上述的命令
ARP with detect fail 异常离线，通常是因为认证网关设备（如 BRAS/ME60 等）在探测用户是否在线时，发出的 ARP 探测报文没有收到终端的回应，从而判定用户已掉线并强制踢除。1. 优化网关设备的 ARP 探测配置（最常见的原因）
- 检查并修改探测源 IP：登录你的认证网关设备，检查 ARP 探测的源 IP 配置。
- 在部分旧版本的设备中，默认的探测源 IP 可能是
255.255.255.255，这会导致绝大多数终端无法响应。 - 解决建议：建议将 ARP 探测的源 IP 地址显式配置为
0.0.0.0。通常建议将探测源 IP 设置为网关自身的 IP 和 MAC，或者直接配置为0.0.0.0，这样终端的兼容性最好。
- 在部分旧版本的设备中，默认的探测源 IP 可能是
- 检查 VLANIF 接口配置：确保用户所在 VLAN 对应的 VLANIF 接口下已正确配置了与用户同网段的 IP 地址。
2. 检查终端侧与接入层设备状态
- 终端网卡驱动与节能模式：部分 Windows 电脑或手机的无线/有线网卡驱动存在 Bug，或者开启了激进的“节能模式”。当终端网卡进入休眠状态时，可能会无法及时响应 ARP 探测报文。建议尝试更新终端的网卡驱动，或关闭网卡的节能选项。
- 接入设备 MAC 地址表限制：在高校或高密场景下，如果下联的接入交换机（如 ONU 或接入层交换机）存在默认的 MAC 地址学习数量上限（例如限制 1000 条），当人数较多时，新的终端 MAC 地址可能无法被正常学习，导致报文无法上送到网关，从而引发探测失败。建议检查接入设备的 MAC 学习限制配置。
3. 调整 ARP 探测的敏感度
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明