ad eia认证过滤问题

大量MAC认证失败日志，主要源于终端触发MAC认证但EIA中没有对应的账号。本质上，这是MAC认证的前置流程导致的。

🔍 为什么会有这么多失败日志？

在MAC+Portal的混合认证中，流程是这样的：

1. 终端接入：终端连上Wi-Fi。

2. MAC认证（无感知）：设备（如AC）先用终端的MAC地址作为用户名和密码，向EIA发起认证。

3. 认证结果：

   • 成功：如果EIA里有这个MAC地址的账号，认证通过，终端直接上网。

   • 失败：如果EIA里没有这个MAC账号，认证就会失败。这时，EIA会记录一条“用户不存在”的失败日志。

4. Portal认证触发：MAC认证失败后，终端才会被重定向到Portal认证页面，要求用户输入用户名和密码。

所以，日志里大量的失败记录，正是因为大量终端在尚未完成Portal认证时，触发了第一步的MAC认证。

🛠️ 如何解决或规避？

根据你的管理诉求，可以从以下几个方向入手：

方案一：事前预防（主动管理）

• 提前导入MAC账号：对于已知的、固定的终端（如打印机、员工电脑），提前在EIA里创建好以MAC地址为用户名的账号。这样终端上线时MAC认证就能直接通过，不会产生失败日志。

• 限制MAC认证范围：如果某些SSID明确只做Portal认证，可以在接入设备（AC/交换机） 上配置，让这些SSID的终端不触发MAC认证，直接进入Portal流程。

方案二：事后优化（日志管理）

• 自定义认证失败原因：EIA 7.2E0408及以上版本支持自定义认证失败原因的显示。可以自定义“MAC用户不存在”这类日志的显示名称，让日志看起来不那么像“错误”。

• 调整日志保留策略：在EIA的 用户 > 接入策略管理 > 业务参数配置 > 系统配置 > 系统参数配置 中，可以缩短认证失败日志的保留时长，让这些日志自动老化清除。

• 关闭Syslog上报（如已开启）：如果EIA配置了向外部Syslog服务器发送认证失败日志，并且你不需要这个功能，可以关闭它，避免日志外发。

方案三：认证机制调整（谨慎评估）

• 调整MAC认证的“用户不存在”处理策略：在一些EIA版本中，可以对“用户不存在”的认证请求配置特殊处理，例如“记录差异日志后允许认证”。这样可以避免Portal用户因MAC认证失败而被记录为错误。但这可能改变认证逻辑，需在测试环境验证

组网：AD-Campus + iMC EIA，MAC 优先 + Portal 二次认证
现象：大量无线终端接入 Wi-Fi，终端不打开 Portal 页面、不完成认证；AC 持续发起 MAC 地址认证，EIA 返回 E63018 用户不存在，产生海量无用失败日志，淹没有效故障信息。
登录名直接是终端 MAC，IP 显示 0.0.0.0。
方案分级（从推荐到备选）
方案 1：AC 侧配置 MAC 认证静默机制（最优，从源头减少无效认证请求）
无线 AC（WX 系列）开启 MAC 认证静默周期，同一 MAC 认证失败后，一段时间内不再重复发起 MAC 认证，大幅削减日志风暴。
plaintext
system-view
# 全局开启MAC认证失败静默
mac-authentication silent-period enable
# 静默时长 单位秒，推荐300~600s
mac-authentication silent-period 300
效果：同一个 MAC 认证失败后，5 分钟内 AC 不再重复向 EIA 发送 MAC 认证报文，日志量直接下降。
补充：部分版本命令别名
plaintext
mac-authentication quiet-period enable
方案 2：AC 侧配置拒绝 MAC 黑名单 / 预过滤（如果能识别终端类型）
不推荐大规模使用，适合已知异常终端；
不适合大量随机陌生终端场景。
方案 3：EIA 平台侧过滤日志（日志展示层面，无法阻止 AC 持续发认证报文）
⚠️ 重要提醒：该方式只是界面不展示日志，认证报文依旧正常交互，不能减轻 EIA 服务器压力，仅优化运维视图。
方式 A：U-Center/iMC 告警策略过滤
iMC【系统管理】→【告警设置】→【告警过滤策略】
匹配条件：故障码 E63018 用户不存在、认证类型 MAC 认证
动作：抑制告警、不入库 / 不在报表展示。
方式 B：EIA 接入策略增加准入控制（根治思路）
如果你不想陌生 MAC 反复触发 MAC 认证：
在 EIA 接入策略里配置：MAC 认证仅允许预导入的终端 MAC 列表
陌生 MAC 直接在 EIA 策略层面拒绝，同时可以搭配日志过滤。
方案 4：认证逻辑优化（AD-Campus 标准优化方案，推荐结合方案 1 一起实施）
当前认证模式隐患
MAC优先 + Portal
流程：终端关联 Wi-Fi → AC 发起 MAC 认证（先查 EIA）→ MAC 认证失败 → 推送 Portal 页面
问题：终端拿到隔离 VLAN 地址，但不访问网页触发 Portal，AC 会循环重试 MAC 认证。
优化配置思路（AC 上调整认证切换逻辑）
MAC 认证失败后，不再持续重试 MAC 认证，仅等待 Portal 触发认证
plaintext
# V7 AC无线服务模板内
wlan service-template XXX
mac-authentication failover portal
# 设置MAC认证失败后重试间隔，或者限制重试次数
开启 Portal 页面保活，引导终端触发 Portal；
隔离 VLAN 仅放行 DNS/HTTP，强制弹窗。
方案 5：终极架构优化（可选）
将认证顺序调整为 Portal 优先，不再默认先跑 MAC 认证；
缺点：合规场景不适用，看客户准入策略要求。
高频误区澄清
❌ 不要单纯只在 iMC 页面屏蔽日志：AC 仍然高频发送 RADIUS 报文，持续消耗 EIA 性能；优先在 AC 侧抑制报文发起。
E63018 含义：RADIUS 请求携带的用户名（MAC 地址）在 EIA 本地 / AD 域不存在。
这些终端是未注册的陌生终端，没有在 EIA 录入 MAC 信息。