802.1x总是不正常登出问题

# S5560X DOT1X_LOGOFF_ABNORMAL ErrCode=9 802.1X 异常登出

>
> 日志：`DOT1X/6/DOT1X_LOGOFF_ABNORMAL: -IfName=GigabitEthernet2/0/3-MACAddr=00e2‑6955‑b7fa‑VLANID=1‑Username=6553SANGFORCLIENT_Newyayi‑ErrCode=9; 802.1X user was logged off abnormally.`
> 说明：**ErrCode=9 = 在线握手失败（Handshake failure）**H3C。交换机周期性下发 EAPOL‑Request 握手报文探测终端在线状态，连续多次没有收到 iNode 客户端回复，交换机判定终端已离线，强制踢用户下线。用户名里`SANGFORCLIENT`，说明终端上同时运行深信服 VPN 客户端，和 iNode 存在兼容性冲突，是高频诱因。

## 根因分类

1. **在线握手无回应（ErrCode9 核心）**：交换机发 EAPOL 握手报文，PC 终端 iNode 客户端没有回复 EAPOL‑Response 报文，超时后交换机主动下线该 802.1X 用户H3C。
- PC 安装深信服 VPN、安全管家、防火墙软件，拦截丢弃 EAPOL 二层报文；
- iNode 客户端版本 bug，不响应握手报文；
- 网卡休眠、网卡省电，短暂丢弃二层 EAPOL 帧；
2. 次要：网线 / 端口偶发丢包，EAPOL 握手报文丢包；
3. 不代表 RADIUS 服务器主动踢下线，服务器侧不会报 ErrCode=9。

## 排查步骤（按优先级）

### 1、查看当前 802.1X 握手配置

```
display dot1x interface GigabitEthernet 2/0/3
```

重点看：`Handshake`是否开启，默认开启，握手周期 30s，重试 2 次失败即踢下线。

### 2、临时验证测试（定位是否握手导致）

方案 A（测试用，不建议长期生产）：接口关闭 802.1X 在线握手，观察是否还会报 ErrCode=9 掉线。

```
interface GigabitEthernet 2/0/3
undo dot1x handshake
```

>
> 如果关闭握手之后不再异常掉线，100% 确认故障点就是**EAPOL 握手交互失败**。

>
> ⚠️风险：关闭握手后，终端异常断电、拔网线，交换机不会自动释放在线用户会话，会话要等到 session‑timeout 超时才释放。适合定位问题，不建议全量长期关闭。

### 3、终端侧重点排查（该日志用户名带 SANGFORCLIENT，高概率 VPN 冲突）

1）PC 同时运行**深信服 VPN 客户端 + iNode 客户端**，深信服安全组件会拦截 EAPOL 二层报文，iNode 收不到交换机握手请求，也无法回复，直接触发 ErrCode=9 掉线。

- 测试：退出深信服 VPN / 安全组件，观察是否复现掉线；
2）iNode 版本，升级到官方最新稳定 iNode 版本，旧版本存在握手应答 bug；
3）网卡属性关闭网卡 “允许计算机关闭此设备以节约电源”（网卡休眠会丢 EAPOL 报文）；
4）PC 系统防火墙、第三方安全软件，不要拦截 EAPOL（以太网类型 0x888E）报文。

### 4、交换机侧优化方案（不关闭握手，推荐）

如果业务不能直接关闭握手功能，可以调大握手超时时间，降低误踢概率：

```
interface GigabitEthernet 2/0/3
dot1x handshake
dot1x handshake period 60 #握手探测周期改为60秒
dot1x handshake retry 4 #最大重试次数修改为4次
```

>
> 原来默认 period30s，retry2 次；调大之后容忍短暂报文丢包，减少误下线。

### 5、抓包确认（故障复现时）

交换机镜像该接口，抓包看：

- 交换机发出 EAPOL‑Request/Identity（0x888E）；
- PC 端是否回复 EAPOL‑Response；
- 如果 PC 网卡收到报文，但 iNode 没有回复，就是 PC 端安全软件拦截 /iNode 客户端问题。

### 6、配套查看异常下线记录

```
display aaa abnormal-offline-record mac-address 00e2-6955-b7fa
```

可以看到历史全部异常下线记录。