无线本地mac认证 修改描述后断网

WX 系列 AC 本地 MAC 地址认证（local-user 以 MAC 作为账号）
修改用户描述（备注） → 终端立刻断网；
删除该 MAC 本地账号、重新添加，前几次认证失败，反复添加 6 次左右才能正常联网；
仅修改description，账号名 (MAC)、密码、服务类型、授权 VLAN/ACL 均未改动。
核心推测：
① AC 固件版本存在本地用户数据库 BUG：修改 description 触发本地用户条目内部索引异常，AAA 认证读取条目失效；
② 旧在线认证会话与新用户条目冲突，残留会话锁导致反复认证失败；
③ 删除重建操作偶然触发数据库刷新，所以多次尝试后恢复。
完整定位排查步骤（按顺序执行，可直接现场操作）
阶段 1：复现故障，采集基础信息（先做！）
记录 AC 固件版本
plaintext
display version
V7/V9 老版本 WX 系列存在多例本地 user 修改备注后 AAA 异常的已知案例。
确认本地 MAC 账号标准配置（必须严格匹配）
plaintext
display local-user mac地址 verbose
校验要点：
username：MAC 格式 xxxx-xxxx-xxxx（不能是冒号格式）
service-type lan-access
用户状态 active，无 undo active
⚠️重点：Web 界面修改描述，部分版本后台会短暂重建本地用户条目，触发已在线用户强制下线；旧会话依然引用旧条目 ID，新条目未正常注册到 AAA 索引。
查看认证域配置
plaintext
display domain 【你的MAC认证域名称】
确认 authentication lan-access local
阶段 2：复现操作，开启日志 / 调试定位失败根因
操作时机：准备修改描述前开启
plaintext
terminal monitor
terminal debugging
info-center source AAA channel logbuffer debug
debugging aaa all
debugging mac-authentication event
然后在 Web 界面修改用户描述，观察日志：
是否打印 User deleted / User added：
→ 如果修改 description 日志显示先删用户、再新建用户，就是版本 BUG！
Web 后台实现缺陷：修改备注≠原地更新，而是删除重建账号。
终端重认证时日志：
Local user not exist：AAA 读取数据库找不到条目（索引异常）
Authentication reject：账号匹配成功但授权下发失败
出现 silent-mac：MAC 进入静默定时器，短时间拒绝认证（对应你 “多次添加才能通”）
阶段 3：排查会话残留（高概率诱因）
修改备注触发账号重建，AC 中仍然保留旧的 mac-authentication 在线会话
新旧条目冲突，终端重认证持续失败。
验证命令：
plaintext
display mac-authentication connection
display wlan client mac-address XXXX verbose
✅临时规避手段：修改账号描述之后，手动清除该终端认证会话
plaintext
reset mac-authentication access-user mac XXXX-XXXX-XXXX
让终端重新发起完整认证，避免旧会话干扰。
阶段 4：静默 MAC 机制验证（对应 “删了重加多次才能上线”）
账号重建第一次认证失败，AC 把 MAC 加入静默列表，quiet 周期内直接丢弃认证报文。
plaintext
display mac-authentication silent
如果看到故障 MAC，就是静默机制导致连续几次接入失败，等待静默周期结束后才能认证。
阶段 5 区分是 Web 界面问题还是命令行问题【关键测试】
不要用 Web 页面修改描述，改用命令行修改：
plaintext
system-view
local-user xxxx-xxxx-xxxx
description 新备注
测试是否还会断网：
命令行修改不断网，仅 Web 修改断网
→ 确认【Web 前端代码缺陷】：Web 编辑 description 采取先删后建模式，强制销毁在线用户；命令行原地更新无重建。
命令行修改同样断网
→ AC 底层 AAA 数据库 BUG，需要升级固件。
根因总结（两种场景）
场景 A（最常见）Web 管理界面实现缺陷
新华三部分 WX V7/V9 Web 页面：
编辑本地用户描述 = 删除原有 local-user + 创建同名新 local-user
后果：
原有在线 MAC 认证会话绑定旧用户条目，条目被删除 → 用户直接下线；
新建同名用户后，AAA 数据库索引同步存在延迟；终端立刻重认证查找条目失败；
认证失败触发 mac-authentication 静默计时器，连续多次接入被拒绝；多次重试等待索引刷新 / 静默老化，偶然恢复。
场景 B：AC 当前固件版本存在本地用户数据库 BUG
无论 Web / 命令行修改 description，都会造成 AAA 本地用户索引异常，认证查找失败。
现场解决方案（优先级从高到低）
方案 1：临时运维规范（立刻落地，规避故障）
禁止 Web 界面修改本地 MAC 用户备注！
需要修改描述，统一登录命令行执行 local-user xxx description xxx；
若必须使用 Web 修改：
修改完成后，手动执行：
plaintext
reset mac-authentication access-user mac XXXX-XXXX-XXXX
主动清理残留会话，终端重新连接 WiFi。
方案 2：优化静默定时器，减少多次重试现象
plaintext
system-view
mac-authentication timer quiet 30
缩短静默时间（默认 180s），避免长时间拉黑终端。
方案 3：根治手段
收集 display version，对照 H3C release notes，升级 AC 到修复该问题的推荐基线版本。
升级前备份配置！
方案 4：中长期架构优化（可选）
终端数量较多时，把本地 MAC 认证迁移至 iMC EIA/RADIUS 服务器，避开 AC 本地 user 数据库的缺陷。