无线接入终端离线告警1025

有的终端就是会自动断开，发现上不了网就断开，这种终端行为不用理会他，让终端用户重新链接吧。

看下离线原因

根据你提供的信息——“AP空口状态没问题、干扰查了没问题”，但终端“连接后自动触发离线且无法上外网”——问题根源很可能不在无线信号本身，而在网络层或终端交互层面。

出现这种情况，通常是因为终端虽然连接上了Wi-Fi，但在获取IP地址、通过认证或维持网络会话时遇到了问题。

🎯 核心排查思路：“1025”错误码是关键线索

你提到的“离线告警1025”是定位问题的关键。在H3C无线网络中，错误码1025通常表示“客户端关联失败”或“终端主动离线”。这通常指向以下几种可能：

• 终端提供的认证凭据无效。

• 认证服务器（如RADIUS服务器）不可用或无响应。

• 终端尝试连接到错误的SSID或BSSID。

🔍 分步排查指南

请按照以下步骤，从逻辑上逐层排查：

第一步：查看终端历史记录，确认下线原因

首先，在AC（无线控制器）上确认终端的具体下线原因，这是最直接的诊断手段。

1. 查看指定MAC地址的终端历史记录：

   bash

   [AC-probe]dis system internal wlan client history-record mac-address XXXX-XXXX-XXXX

   请将 XXXX-XXXX-XXXX 替换为出问题终端的MAC地址。这条命令会显示该终端详细的上线、下线记录及原因码。

2. 查看AP上所有终端的关联情况：

   bash

   [AC]display wlan client ap A9-2FAP01

   此命令用于查看名为 A9-2FAP01 的AP下所有关联终端的状态。

第二步：检查DHCP与IP地址分配

终端能连接Wi-Fi但无法上网，最常见的原因就是没有拿到正确的IP地址。

1. 在终端上检查：确认终端获取到的IP地址、子网掩码、网关和DNS是否正确。

2. 在AC或核心交换机上检查：

   • 如果AC作为DHCP服务器，使用命令 display dhcp server ip-in-use 查看地址分配情况。

   • 检查DHCP地址池是否还有剩余地址。

   • 测试AC到DHCP服务器、AC到网关的连通性。

第三步：检查认证与安全配置

如果DHCP没有问题，那么问题很可能出在认证环节。

1. 确认认证方式：检查该服务模板配置的是PSK（预共享密钥）、802.1X还是MAC地址认证。

2. 检查认证服务器：如果使用802.1X或Portal认证，请确保RADIUS服务器或Portal服务器运行正常，网络可达，并且终端提供的账号密码无误。

3. 检查是否有ACL或QoS策略限制：查看是否配置了针对无线用户的ACL（访问控制列表）或QoS策略，可能误将终端流量拦截或限速。

第四步：关注终端侧的特殊行为与兼容性

某些终端的特殊行为也可能导致“1025”错误。

• ARP报文限速：这是一个典型的案例。有用户遇到小米手机频繁掉线，原因就是终端上线后会发送大量ARP报文，而上行交换机的ARP限速策略丢弃了部分关键报文（如网关的ARP应答），导致终端认为网络不通而主动下线。

  • 解决方法：检查上行交换机是否配置了ARP限速，如有则暂时取消或调整策略进行测试。

• 终端省电策略：部分手机在息屏后可能进入省电模式，中断Wi-Fi连接。

• 终端网卡兼容性：极少数情况下，特定型号的终端网卡与AP可能存在兼容性问题。

第五步：其他辅助排查

• 检查DNS：确认终端获取的DNS服务器地址是否正确，并能正常解析域名。

• 检查软件版本：确认AC和AP的软件版本是否为最新，有时厂商会在新版本中修复已知的兼容性问题。

• 检查CAPWAP隧道：确认AC与AP之间的CAPWAP隧道状态正常。

• 查看系统日志：使用 display logbuffer | include "client" 等命令，过滤查看与客户端相关的系统日志，寻找错误提示

一、告警 1025 核心定义
reason-code 1025 = 无线终端主动向 AP 发送 Deauth 解除认证报文，主动断开 WiFi 连接，不是 AC/AP 主动踢用户下线。
你现场现象：AP 空口状态正常、干扰排查无异常，但终端自动离线、断外网，核心分 4 大类根因，按排查优先级排序。
二、第一大类：终端侧自身触发主动下线（最高发）
1. 终端 WiFi 省电休眠机制
手机 / 笔记本锁屏后，系统为省电自动断开 WiFi，复现特征：锁屏几分钟必掉线、亮屏重连。
Windows：网卡电源管理自动关闭无线适配器；
安卓 / 苹果：休眠断 WiFi、后台扫描漫游。
验证 & 解决：
更换 2 台不同型号终端测试，仅单台掉线 = 终端问题；
终端关闭「休眠断 WiFi」「省电模式」；Windows 网卡属性取消「允许计算机关闭此设备节约电源」。
2. 终端无线网卡驱动 / 固件不兼容
老旧笔记本、工控无线网卡，与 802.11r 快速漫游、频谱导航、11ax 兼容异常，频繁发 Deauth 主动离线。
解决：更新终端无线网卡驱动；射频下临时关闭快速漫游测试：
plaintext
system-view
wlan ap A9-2FAP01 model WAXXXX
radio 1
undo wlan roam enable

3. 终端漫游过于敏感、频繁切换 AP
终端持续扫描周边 AP，轻微信号波动就主动断开当前 AP 去重连，表现为在线时长很短、反复上下线。
解决：
降低 AP 发射功率，减少重叠覆盖；
射频开启漫游粘性，调低终端漫游主动性阈值。
三、第二大类：AP 射频 & 无线配置缺陷（空口正常但隐性踢终端）
1. 弱信号终端自动剔除阈值设置过严
即使你整体干扰正常，部分点位终端 RSSI 低于阈值，AP 下发断连指令，终端回复 Deauth 形成 1025 告警。
核查命令：
plaintext
display wlan rrm
display wlan ap A9-2FAP01 radio 1

关键参数：rssi-threshold -75，低于该值强制剔除；建议调整为-85dBm宽松阈值。
plaintext
system-view
wlan rrm
rssi-threshold -85

2. DTIM 间隔、节电参数不合理
DTIM 默认 3，智能终端休眠后收不到广播报文，判定网络异常主动下线；优化为 1：
plaintext
wlan service-template wifi
beacon dtim 1

3. 频宽、高级特性兼容冲突
5G 开 80MHz 频宽抗干扰差、开启 WiMM/11k/v 频谱导航，老终端适配异常主动断连。
临时测试：5G 射频改为 40MHz 频宽，关闭频谱导航。
plaintext
wlan ap A9-2FAP01 radio 1
channel width 40
undo dot11k enable
undo dot11v enable

4. 空闲老化时间 idle-timeout 过短
无流量几分钟就老化终端会话，终端感知网络中断主动重连下线。
plaintext
# 查看当前老化时间
display wlan client idle-timeout
# 调大至30分钟（默认常为5分钟）
wlan client idle-timeout 1800

三、第三大类：认证、地址、转发业务故障（掉线后无法上外网核心原因）
终端掉线重连后拿不到 IP / 无法转发外网，终端判定网络失效主动断开，触发 1025 告警。
1. DHCP 地址池枯竭、租期异常
地址池用尽，终端续租失败，无 IP 无法上网，主动断开 WiFi。
核查：
plaintext
display dhcp server ip-pool WLAN-POOL used

解决：扩容地址池，缩短租期或开启地址回收。
2. 本地 / 集中转发 VLAN、链路放行缺失
集中转发：
AP CAPWAP 隧道到 AC，AC 上行接口未放通业务 VLAN，终端拿到 IP 但无法转发外网，反复掉线。
本地转发（高发）：
AP 上行交换机 Trunk 未允许业务 VLAN，MAP 文件漏配置 VLAN，终端只有二层连接、三层不通，主动断网。
核查命令：
plaintext
# 本地转发场景查看AP业务VLAN映射
display wlan map-file
# 查看交换机上行端口允许VLAN
display current-configuration interface GigabitEthernet 1/0/X

3. Portal/802.1X 认证保活超时
开启网页 / 账号认证时，Portal 在线检测周期过短，终端无报文被注销会话，触发终端离线告警。
plaintext
# 查看Portal保活时间
display portal timer
# 延长保活检测间隔
portal timer idle 1800

4. 二层用户隔离阻断网关通信
开启user-isolation用户隔离，但未放行网关 ARP / 单播报文，终端无法和网关通信，断外网后主动下线。
修复（服务模板视图）：
plaintext
wlan service-template wifi
user-isolation permit gateway

四、第四大类：CAPWAP 隧道、AP 上行有线链路隐性丢包
你只看无线空口，但 AP 到 AC / 交换机有线链路轻微丢包，无线心跳报文丢失，终端判定网络失效主动发 Deauth（1025 告警）。
排查步骤：
AC 长 ping AP 管理 IP，持续 1000 包看是否丢包：
plaintext
ping -c 1000 A9-2FAP01管理IP

查看上行交换机是否存在大量 TC 拓扑变更、环路风暴：
plaintext
display stp tc-bpdu statistics
display loopback-detection

大量 TC 报文刷新 ARP 表，导致无线终端网关 ARP 失效，断外网掉线。
修复交换机：
plaintext
system-view
stp tc-protection enable
mac-address update arp

POE 交换机功率不足、网线衰减：AP 射频工作不稳定，无线心跳间断，终端离线。更换网线、检查 POE 输出功率。
五、精准定位 1025 下线根源的查询命令
1. 查看终端完整下线历史，确认 1025 详细记录
plaintext
display system internal wlan client history-record help reason-code 1025
display system internal wlan client history-record mac-address XX-XX-XX

2. 查看单终端完整在线状态（RSSI、速率、漫游记录）
plaintext
display wlan client mac-address XX-XX-XX verbose
display wlan client roam-track mac-address XX-XX-XX

3. 射频 RRM 无线参数核查
plaintext
display wlan rrm
display wlan ap A9-2FAP01 radio 1

4. 转发 & VLAN 配置核查
plaintext
display wlan map-file
display wlan service-template brief
display port trunk

5. 有线链路丢包、风暴排查
plaintext
ping -c 2000 AP管理IP
display stp tc-bpdu statistics
display cpu-defend statistics

六、快速分步修复操作（现场优先执行）
隔离终端问题：拿全新手机连接 SSID，观察是否掉线；仅部分终端故障→更新终端驱动 / 关闭省电。
关闭快速漫游、11k/v，DTIM 改为 1，RSSI 剔除阈值调至 - 85，idle-timeout 改为 1800。
核查 DHCP 地址池是否耗尽，确认业务 VLAN 在交换机 Trunk、AP MAP 文件完整放行。
本地转发务必配置 user-isolation permit gateway，解决终端无法访问网关断外网。
长 ping AP 管理 IP 排查有线丢包，清理交换机环路、TC 报文风暴。
以上操作无效，升级 AC、AP 固件至配套稳定版本，解决底层无线兼容 BUG。