MAC地址认证支持逃生么？

支持，参考：

16  配置MAC地址认证在线用户逃生功能

1. 功能简介

缺省情况下，当ISP域下所有RADIUS认证服务器均不可达时，如果此时设备上同时开启了MAC认证下线检测功能，若设备在一个下线检测定时器间隔内未收到接口下某MAC地址认证在线用户的报文，则将切断与该用户的连接，导致该MAC地址认证在线用户下线。

当RADIUS认证服务器可达时，用户需要使用MAC地址认证下线检测功能，同时又希望RADIUS认证服务器均不可达时，能够保持MAC地址认证用户的在线状态，可在设备上开启本功能。

配置本功能后，当RADIUS认证服务器不可达时，设备会自动关闭接口上的MAC地址认证下线检测功能，使得MAC地址认证用户保持在线状态。

2. 配置限制和指导

本功能只适用于将RADIUS作为认证方法且不配置local/none作为备选认证方法的应用场景，否则可能导致用户通过备选认证方法上线后下线检测功能被自动关闭。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     开启RADIUS认证服务器不可达时，MAC地址认证在线用户逃生功能。

mac-authentication auth-server-unavailable escape

缺省情况下，RADIUS认证服务器不可达时，MAC地址认证在线用户逃生功能处于关闭状态

结论：V7 交换机 MAC 地址认证支持逃生，但分两种场景：已在线老终端、新接入终端，二者行为不一样H3C。IMC（RADIUS 平台）整机故障后：

1. 已经认证在线的终端：可以配置逃生保持在线；
2. 新插上、新上线的终端：不能自动完成 MAC 地址认证，交换机本地没有 IMC 的 MAC 账号数据库，无法做本地校验，新终端会拒绝入网。

1、已在线用户逃生（老用户保持网络，服务器挂了不断网）

接口下开启该功能，当所有 RADIUS 服务器（iMC）全部不可达时，已在线 MAC 认证用户保持在线、不被踢下线；服务器恢复后自动重认证向 iMC 校验H3C。

注意：此功能只管已经在线的用户，不能处理新接入设备。

2、新接入终端（iMC 挂了，新插设备）

• MAC 认证用 RADIUS 指向 iMC 时，交换机本地没有 MAC 白名单库，新终端上来发起 MAC 认证请求，iMC 无响应，新终端直接无法上线。
• 可选两种逃生方案给新终端：

方案 A：Critical‑VLAN（关键 VLAN 逃生，推荐）

RADIUS 服务器全部不可达，新接入终端划入 Critical‑VLAN，获得有限访问权限（只访问运维 / 逃生资源，不做完整 MAC 认证）H3C。

说明：critical vlan 只在 RADIUS 服务器 DOWN 生效；账号密码错误不会进 critical vlan（账号错走 guest‑vlan）。

方案 B：本地 MAC 账号（不推荐大规模）

ISP 域配置认证方法为 radius‑scheme imc local，RADIUS 不通回退交换机本地 local 认证，需要交换机上逐条手工导入全部 MAC 账号，维护量大，适合小场景，大规模不建议。

3、关键区分（容易踩坑）

表格

重点：escape 逃生只是保存量在线用户，不能实现 iMC 挂掉之后新终端完整做 MAC 地址认证；想要新终端也能入网，必须配置 critical‑vlan 或者本地 local 账号库。

4、完整最佳实践（对接 iMC V7）

1. 所有接入端口配置 mac‑authentication auth‑server‑unavailable escape，保证故障时老设备不掉线；
2. 配置 mac‑authentication critical vlan X，iMC 挂掉新终端进入逃生 VLAN；
3. iMC 侧建议部署 RADIUS 主备两台，优先靠服务器高可用，逃生作为最后兜底手段。

验证查看命令

查看字段 Re‑auth server‑unreachable，显示 Online 代表已开启存量用户逃生。

小结

iMC 平台挂掉：已在线终端可以逃生保活；新终端无法完成完整 MAC 认证，只能进 critical‑vlan 受限逃生，交换机没有 iMC 的 MAC 白名单，不能像正常状态那样做完整 MAC 地址认证。