dot1x认证上来的终端，一旦更换网口inode就无法认证，必须从后台手动踢下线才可以，如何解决

只是拔掉接口，用户表项还在

可以试一下配置握手探测终端

配置在线用户握手功能

1. 功能简介

开启设备的在线用户握手功能后，设备会定期（时间间隔通过命令dot1x timer handshake-period设置）向通过802.1X认证的在线用户发送握手请求报文（EAP-Request/Identity），以定期检测用户的在线情况。如果设备连续多次（通过命令dot1x retry设置）没有收到客户端的应答报文（EAP-Response/Identity），则会将用户置为下线状态。

有些802.1X客户端如果没有收到设备回应的在线握手成功报文（EAP-Success），就会自动下线。为了避免这种情况发生，需要在端口上开启发送在线握手成功报文功能。

在线用户握手功能处于开启状态的前提下，还可以通过开启在线用户握手安全功能，来防止在线的802.1X认证用户使用非法的客户端与设备进行握手报文的交互，而逃过代理检测、双网卡检测等iNode客户端的安全检查功能。开启了在线用户握手安全功能的设备通过检验客户端上传的握手报文中携带的验证信息，来确认用户是否使用iNode客户端进行握手报文的交互。如果握手检验不通过，则会将用户置为下线状态。

2. 配置限制和指导

·     部分802.1X客户端不支持与设备进行握手报文的交互，因此建议在这种情况下，关闭设备的在线用户握手功能，避免该类型的在线用户因没有回应握手报文而被强制下线。

·     在线用户握手功能处于开启状态时，安全握手功能才会生效。

·     在线用户握手安全功能仅能在iNode客户端和iMC服务器配合使用的组网环境中生效。

·     只有当802.1X客户端需要收到在线握手成功报文时，才需要开启端口发送在线握手成功报文功能。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     （可选）配置握手定时器。

dot1x timer handshake-period handshake-period-value

缺省情况下，握手定时器的值为15秒。

(3)     进入接口视图。

interface interface-type interface-number

(4)     开启在线用户握手功能。

dot1x handshake

缺省情况下，在线用户握手功能处于开启状态。

(5)     （可选）开启在线用户握手安全功能。

dot1x handshake secure

缺省情况下，在线用户握手安全功能处于关闭状态。

(6)     （可选）开启端口发送在线握手成功报文功能。

dot1x handshake reply enable

缺省情况下，端口不发送在线握手成功报文

dot1x 终端更换网口 iNode 无法认证，必须后台手动踢下线
组网：传统网络 + iNode 客户端 + 802.1X (dot1x) + IMC/Radius 服务器
故障根因
交换机默认port‑security mac‑move permit（MAC 迁移）关闭。
终端在端口 A 完成 dot1x 认证在线；拔网线插到端口 B，交换机上该用户的会话还残留在旧端口，不允许同一个 MAC / 账号在其他端口发起认证，新端口 iNode 认证直接失败，必须手动reset dot1x access‑user清除旧会话才能再次认证。
现象：IMC 服务器上用户账号显示在线；交换机上display dot1x access‑user还能看到该用户在旧端口；换到新端口 iNode 反复认证失败。
方案一：开启 MAC 迁移（推荐，解决换端口自动清理旧会话）
port‑security mac‑move permit：用户在新端口发起认证成功，交换机自动把旧端口上同 MAC 用户踢下线，不需要后台手动踢用户。
shell
system‑view
# 必须全局开启端口安全
port‑security enable
# 开启802.1X/MAC认证用户MAC迁移，允许终端跨端口迁移
port‑security mac‑move permit
# 如果存在跨VLAN迁移场景，增加下面这条（按需）
# port‑security mac‑move bypass‑vlan‑check
说明：该命令是全局配置，对整机所有 dot1x、mac‑auth 用户生效，开启后终端更换交换机端口，新端口认证时旧会话自动释放。
⚠️注意：
该功能依赖port‑security 全局开启，很多现场只配 dot1x 没开 port‑security，mac‑move 不生效；
部分老版本固件有 bug，开启 mac‑move 不生效，需要升级交换机版本。
方案二：增强下线检测，加速会话老化（补充，防止网线直接拔，无下线报文）
终端直接拔网线，iNode 不发送 EAP‑Logoff 报文，交换机会话不会主动删除。调整 dot1x 握手、空闲下线检测，快速识别终端离线释放会话。
shell
system‑view
# dot1x握手周期：交换机发送EAP握手探测iNode客户端
dot1x timer handshake‑period 30
# 连续2次握手无回应判定用户下线（默认2次，部分平台可修改重试次数）
dot1x retry 2
# 空闲下线检测：无流量5分钟(300s)，自动删除dot1x会话，通知radius停止计费
dot1x timer offline‑detect 300
iNode 支持 EAP 握手；第三方系统自带 802.1X 客户端不支持握手，不能开握手检测。
方案三：IMC 服务器侧配置账号抢占（服务器层面，备用兜底）
IMC 接入策略中开启账号抢占登录：同一账号再次认证时，服务器主动踢掉旧的在线会话。
路径：IMC 平台 →接入策略管理→接入服务配置→高级选项→勾选允许抢占登录。
注意：仅服务器抢占，如果交换机本地会话没有清除，仍然会认证失败，优先交换机侧开启 mac‑move。
临时手动处理命令（故障应急）
shell
# 按MAC地址踢掉残留dot1x用户
reset dot1x access‑user mac xxxx‑xxxx‑xxxx
# 查看当前在线dot1x用户，确认残留会话
display dot1x access‑user
排查步骤（定位验证）
终端在旧端口正常上线，执行display dot1x access‑user记录 MAC、端口；
拔掉网线插到新端口，iNode 认证失败；再次执行display dot1x access‑user，用户依然存在旧端口；
查看 IMC 认证日志，看是交换机拒绝，还是 radius 服务器拒绝；
确认交换机全局display port‑security，确认port‑security enable，mac‑move permit是否已开启。
常见踩坑点
只配置 dot1x，没有全局 port‑security enable → mac‑move permit 不生效，这个是现场最高发问题。
交换机版本过低，mac‑move 存在已知缺陷，需要升级版本。
使用 port‑based（基于端口）的 dot1x 模式，建议改为默认macbased（基于 mac 多用户）。
shell
interface GigabitEthernet 1/0/1
dot1x port‑method macbased