踢一下终端再试试 

iMC‑EIA 删除 MAC 认证账号，终端依旧可以上网

核心原理：iMC 删除 MAC 用户，不会主动下发指令踢掉交换机 / AC 上已经存在的在线认证会话。接入设备本地会话表还存在，终端继续放行，要等会话老化 / 重认证才会拒绝H3C。

主要 4 个原因（按现场出现概率）

1、接入设备存在未老化的在线认证会话（最高概率）

MAC 认证 / MAB 旁路认证成功之后，交换机、AC 本地生成在线会话表，放通流量。

• iMC 后台只是把数据库里面 MAC 账号删掉，RADIUS 没有主动下发强制下线报文；
• 设备本地会话没到期，终端保持正常上网，不会重新校验 iMC 数据库。

查看会话：

强制清除该终端会话（立即断网，重新触发认证）

删除 iMC 账号之后，必须在接入设备侧清除在线会话，终端下次重认证才会被拒绝。

2、没有开启周期性重认证

端口没有配置dot1x re‑authenticate / mac‑authentication re‑authenticate周期性重认证。 会话只会等到 session‑timeout 会话超时时间到了，才会重新向 iMC 校验账号有效性。不开启重认证，账号删除后终端可以一直用到会话超时。

端口配置示例：

3、哑终端相关配置：keep‑online 服务器不可达保持在线

交换机配置了：服务器不可达时用户保持在线。 就算后续重认证报文发到 iMC，iMC 返回拒绝，如果设备配置keep‑online，部分版本行为异常依旧放行终端H3C。

4、Portal MAC‑trigger 无感知场景特殊情况

如果是无线 Portal+MAC 无感知认证： iMC 的终端绑定记录和 MAC 接入账号是两套表。

只删除 EIA 的 MAC 接入账号，但没有删除 BYOD 无感知终端绑定记录，MAC‑trigger 还可以代替终端完成认证，终端依旧上网。 处理：EIA→终端管理，把该 MAC 对应的无感知绑定记录一并删除。

排查处理完整步骤

1. 在 iMC EIA 确认：该 MAC 接入账号已经彻底删除。
2. 登录接入交换机 / AC，查看该 MAC 的在线认证会话。
3. 命令行强制 reset 清除该 MAC 在线会话，终端立刻下线；重新接入，此时认证会被 iMC 拒绝。
4. 端口开启周期性重认证，缩短 session‑timeout 超时时间，防止以后再出现同类现象。
5. 如果是 Portal 无感知组网，检查并删除 BYOD 终端绑定记录。

极简总结

1. iMC 删除 MAC 账号，不会主动踢已经在线的终端，接入设备本地会话没过期就继续放行。
2. 需要在交换机 / AC 上 reset 清除对应 mac 的在线会话，终端重上线才会拦截。
3. 建议开启端口周期性重认证，会话到期自动重新校验 iMC 账号状态。
4. Portal 无感知环境，除删除 MAC 账号，还要删除终端无感知绑定记录。

iMC删除MAC认证记录后，网络设备（如交换机、无线控制器）上该终端已建立的在线会话并不会自动失效。只要会话还在，终端就能继续上网。只有当会话因老化或被手动清除而结束时，设备才会重新发起认证，此时iMC因已无记录而拒绝接入。

解决方法：登录网络设备，强制清除该终端的在线会话。

1. 查看在线MAC认证用户：

   text

   display mac-authentication connection

   或根据MAC地址精确查找：

   text

   display mac-authentication connection user-mac <终端MAC>

2. 强制踢除指定用户：

   text

   reset mac-authentication access-user mac-address <终端MAC>

   或使用cut connection命令。

   注意：请将命令中的<终端MAC>替换为实际MAC地址。