人在线却被踢下线？华为把ARP探测报文源地址指对

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

802.1X网络里有个经典的误踢场景：用户明明在办公，认证设备却把他判成下线，过了一会儿又重新认证，反反复复。根子在设备判断在线的方式——周期性向在线用户发ARP下线探测报文，探测周期内没有回应就认定人走了。麻烦在于不少终端对这类探测报文不回应：客户端实际在线，ARP探测却石沉大海，设备只好“误杀”。

华为设备给了两层解法。第一层是把探测报文的源地址换成终端愿意理会的地址——建议直接配成用户网关的IP地址和MAC地址，终端对网关侧的请求响应更积极。按VLAN精细控制用access-user arp-detect vlan加VLAN编号、IP地址、MAC地址；全网统一默认源用access-user arp-detect default加IP地址，注意缺省值是0.0.0.0，等于没指；网络结构复杂时还能用access-user arp-detect fallback加地址和掩码，让设备按网段计算探测源。源地址的选用有一套优先级：与用户同网段的VLANIF接口地址优先，其次是指定的VLAN级源地址，再到fallback算出的地址，之后才轮到default。

第二层是给不爱回ARP的终端留识别余地：设备支持识别客户端主动发的免费ARP报文，但免费ARP的发送周期不固定，可以把探测周期调大，或者用access-user arp-detect delay把探测报文延迟发送（缺省10秒），给终端留出“主动报到”的时间窗。

system-view

判断调优是否到位有个简单指标：盯着在线用户表看一个完整工作日，上下线记录应该与员工的实际到岗离开对得上；如果还有零星的“五分钟掉一次”，多半是个别型号终端的老毛病，单独调它的探测周期就好，不必全网动参数。调优记录按终端型号归档，下次同类终端入网直接套参数，省一遍试错。

两类手段叠加后，“人在线被踢”的投诉基本绝迹。认证在线判断的参数不在显眼处，出了问题却直接影响办公体验，与其等投诉堆积，不如在准入上线阶段就把探测源指对，欢迎搜索关注贵州诚鑫致达科技，获取更多802.1X准入认证调优的实操经验。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。