portal+dhcp

完整故障现象复盘

1. SSID 为本地转发，Portal 处理在 AP，对接 EIA 做 MAC 无感知认证。
2. 个别终端 MAC 无感知认证触发成功，AP 生成的 portal free‑rule dy 动态放行规则绑定的是 192.x.x.x（私接 DHCP 分配的非法 IP），EIA 服务器记录的用户 IP 同样是这个错误 IP。
3. 实际终端应该拿到业务网段正确 IP，但 AP 识别到的却是私接 DHCP 分配的 192 地址。
4. 将该用户踢下线，终端重新关联 WiFi 重新获取 DHCP，AP 重新学习 IP，动态 free‑rule 绑定正确业务网段 IP，业务恢复正常。

根本原因

1. 本地转发模式，AP 直接解析终端二层报文提取 IP 生成 portal 动态免认证规则，不是 AC 通过 DHCP‑snooping 获取 IP。 终端刚关联 WiFi，在拿到正式业务 DHCP 服务器地址之前，先收到了网络内私接非法 DHCP 服务器的 Offer 报文，终端短暂拿到 192 私网 IP。

此时终端还没有重新 DHCP 从正式 DHCP 拿正确地址，但 AP 已经从终端报文（ARP/IP 报文）抓取到这个临时错误 IP；同时 MAC 无感知基于 MAC 直接放行，EIA 和 AP 就把这个临时错误 IP 绑定到该 MAC 的 portal free‑rule 动态放行表项。

2. 后续终端重新 DHCP 向合法 DHCP 服务器请求，获取正确业务网段 IP。

AP 本地 Portal 动态 free‑rule 不会自动感知终端 IP 已经发生变化！动态放行规则依旧绑定之前抓包得到的旧错误 192.x.x.x IP，放行表项源 IP 是错的，终端真实业务 IP 流量匹配不到放行规则，被 AP 的 Portal 阻断，导致终端不能上网。 EIA 的 RADIUS 授权报文里面携带的也是最开始抓取到的错误 IP。

3. 踢用户下线后：AP 清除该 MAC 对应的 portal free‑rule 动态表项；终端重连 WiFi，AP 重新抓取终端报文 IP，拿到正确业务网段 IP 生成放行规则，业务恢复。

⚠️注意：集中转发模式不会出现这个现象；集中转发所有流量上送 AC，AC 依靠 DHCP‑snooping 精准获取终端 DHCP 分配的 IP，不会抓取临时私接 DHCP 的临时 IP；只有本地转发，AP 本地做 Portal 才会出现该缺陷。

验证定位命令（登录故障 AP 执行）

现象：MAC 是终端真实无线 MAC，但是 source‑ip 为私接 DHCP 的 192 地址。

解决措施（按优先级）

措施 1：全网排查，彻底清除私接 DHCP 服务器（根治，最高优先级）

1. 在业务 VLAN 开启DHCP‑snooping，配置信任接口，拦截非法 DHCP Offer 报文，从源头杜绝终端拿到私接 DHCP 分配的 IP。

接入交换机全局开启 dhcp‑snooping，上联 DHCP 服务器的接口配置 dhcp‑snooping trust；AP 接入口为非信任口，丢弃非法 DHCP 服务器的应答报文。

开启 DHCP‑snooping 后，终端不会收到私接 DHCP 的 Offer，不会拿到临时错误 IP，AP 就不会抓取错误 IP 生成动态 free‑rule。

措施 2：优化 WLAN 服务模板缓存老化，规避 IP 变化后表项不更新问题

本地转发 AP‑Portal，终端 IP 发生变化，AP 不会自动刷新 portal free‑rule 动态表项。调小客户端缓存老化时间，当终端重新关联时强制重新获取 IP。 在 AC 的 wlan‑service‑template 视图配置：

含义：无线客户端缓存 30 秒老化；终端重关联后清除旧缓存，AP 重新抓取终端 IP 生成新的动态 portal 放行规则。 副作用：频繁漫游终端会增加 EIA 服务器认证压力。

措施 3：规避方案，尽量改用集中转发模式

集中转发流量上送 AC，AC 依靠 DHCP‑snooping 获取终端真实 DHCP 分配的 IP，不会出现 AP 抓取到临时错误 IP 问题。缺点会增加 AC 带宽压力。

措施 4：EIA 侧参数微调

1. EIA 接入服务开启：终端 IP‑MAC 绑定校验；
2. 开启会话检测，识别终端 IP 发生变化，主动下发 DM 报文踢下线，让终端重新触发无感知认证，刷新 AP 上 portal free‑rule 动态放行规则。

补充常见踩坑点

1. 不要误以为 MAC 无感知认证只是看 MAC；本地转发 AP‑Portal 的动态 free‑rule 是 MAC+IP 二元组放行，IP 错误，就算 MAC 是正确，流量匹配不到规则依旧断网。
2. 私接 DHCP 不一定持续在线，可能只是偶尔插上去，故障现象表现为 “个别终端偶发故障，复现困难”。
3. 故障只发生终端 WiFi 重关联场景，终端从 WiFi 断开再重连；终端长时间在线不会触发该问题。

排查确认清单

1. 接入交换机是否已经部署 dhcp‑snooping，是否有非信任端口收到 DHCP Offer 报文。

2. AP 上 display portal free‑rule dy 确认故障 MAC 绑定 IP 是否为错误私网网段。
3. EIA 日志查看该用户上线时 RADIUS 报文上报的 wlan‑user‑ip 字段。

检查下获取的地址 和认证都是否正常