MAC认证用户下线

接入设备控制用户下线

接入设备控制用户下线有两种方式：

• 在接入设备上执行命令cut access-user强制指定用户下线。

• 在接入设备上配置用户探测功能，用于探测用户是否在线。当用户在指定的时间内无响应，则认为用户下线，删除用户表项。

当管理员发现非法用户在线，或在测试中想让某一用户下线后重新上线，可以通过在设备上执行命令强制该用户下线。对于正常接入用户，会通过ARP探测对用户在线状态进行确认，如果探测到用户下线，则进行下线处理，删除用户表项。

图3-4 用户下线探测流程（以握手次数3次为例）

1. 用户发送任意报文触发MAC认证，同时启动探测定时器。

2. 如果在若干个T时间内，接入设备均能收到客户端流量，则用户在线。

3. 用户最后一次发送报文。在这个T时间结束时，由于有客户端流量，接入设备判断用户在线。重启握手定时器。假设用户的握手周期为T，握手次数为3（通过命令authentication timer handshake-period handshake-period handshake-times handshake-times-value配置。handshake-period=T，handshake-times-value=3）。以下情况下，接入设备会删除用户表项，对用户进行下线处理。

   1. 在第一个T时间内，接入设备未收到客户端流量，则发送第一次ARP请求，并且此时客户端无响应。

   2. 在第二个T时间内，接入设备仍未收到客户端流量，则发送第二次ARP请求，并且客户端无响应。

   3. 在第三个T时间后，接入设备仍未收到客户端流量，则ARP探测失败，接入设备删除用户表项。

服务器控制用户下线

服务器控制用户下线有以下方式：

• RADIUS服务器可通过DM报文（Disconnect Message）强制用户下线。DM（Disconnect Message）是指用户离线报文，即由RADIUS服务器端主动发起的用户下线的报文。

• RADIUS服务器通过授权RADIUS标准属性Session-Timeout和Termination-Action。其中，Session-Timeout为用户在线时长定时器，Termination-Action属性值为0表示将用户下线。当用户在线的时长达到定时器指定的数值时，设备会将用户下线。