802.1x认证频繁掉线

> 组网：交换机做 EAP‑relay（EAP 转发），终端反复下线、重新发起认证。优先看日志、会话、统计，定位掉线原因H3C。

## 一、开启用户日志（优先，不用 debug，生产网安全）

```
system‑view
dot1x access‑user log enable abnormal‑logoff failed‑login successful‑login normal‑logoff
```

开启后，**系统日志会记录每一次上下线、异常下线原因**。
查看日志：

```
display logbuffer | include DOT1X
```

>
> 日志会打印下线原因：握手失败、重认证失败、计费失败、服务器下发 session‑timeout、离线检测超时、服务器主动踢用户等H3C。

## 二、查看会话与统计命令

```
#查看当前在线802.1X会话，看用户MAC、接口、上线时长
display dot1x sessions

#查看dot1x统计，看握手失败、重认证失败、EAP报文丢弃计数
display dot1x statistics interface GigabitEthernet 1/0/x

#查看RADIUS统计，看计费、认证报文丢包/超时
display radius‑statistics
```

## 三、常见掉线原因（EAP 中继模式）

1. **在线握手失败（高频）**
端口开启`dot1x handshake`，交换机定期发 EAP‑Request 握手报文，终端无应答直接踢下线。

>
> 临时测试：接口下`undo dot1x handshake`，观察是否不再频繁掉线。

2. **重认证失败**
开启了`dot1x re‑authentication`，周期重认证；RADIUS 服务器响应慢、报文丢包，重认证失败直接下线。

>
> 关键配置：`dot1x re‑auth server‑unreachable keep‑online`，服务器不可达时保持用户在线，避免批量踢人。

3. **RADIUS 下发 Session‑Timeout 会话超时**
RADIUS 服务器属性下发会话超时时间，到期强制下线，终端客户端自动重新发起登录，现象就是反复登录。需要在认证服务器调整会话超时时长。
4. **实时计费失败下线**
开启 RADIUS 实时计费，1813 计费报文超时 / 丢包，交换机踢掉在线用户。

>
> 排查：display radius‑statistics 看计费报文超时计数。

5. **离线检测误判下线**`dot1x offline‑detect enable`开启离线检测，端口收不到终端流量就判定终端离线，踢会话。空闲终端会被误踢。
6. **EAP 模式不匹配、秘钥错误、UDP1812/1813 报文被防火墙拦截**
交换机 EAP 中继，RADIUS 秘钥不一致，或者中间设备丢弃 UDP 1812/1813 报文，EAP 交互中断会话销毁。
7. 终端客户端 (iNode / 系统自带 802.1X) 自身问题，客户端超时主动断开重新发起认证，看终端本地日志。

## 四、故障复现调试（业务窗口使用，调试完务必关闭 debug）

```
terminal debugging
debugging dot1x event
debugging radius packet
```

>
> 看打印信息：
>
>
> - `User session timed out`：会话超时
> - `Handshake failed`：握手失败
> - `Offline detect timer expired`：离线检测超时
> - RADIUS 报文超时：服务器 / 网络问题H3C。

>
> 调试结束关闭：

```
undo debugging all
```

## 五、快速定位流程总结

1. 开启 dot1x 用户日志，`display logbuffer | include DOT1X`，拿到真实下线原因（优先，生产首选）。
2. 看`display dot1x statistics`，确认是握手、重认证还是计费导致掉线。
3. 如果是握手问题，临时关闭握手测试；重认证问题配置`re‑auth server‑unreachable keep‑online`。
4. 检查 RADIUS：共享秘钥、UDP1812/1813 放行、服务器下发 Session‑timeout 属性。
5. 区分：交换机踢的会话，还是 RADIUS 服务器主动下发 Disconnect 报文踢用户。