INode客户端，安全状态：未检查，自动下线

现象总结
iNode 802.1X 认证成功，安全状态 = 未检查 → 约 45s 强制下线；手动设置安全状态 = 不需要检查，持续在线正常。
IMC 平台管理员视角：未主动配置任何 EAD 安全检查策略。
核心原理（EAD 准入机制）
两个状态区分
不需要检查：客户端主动跳过全部安全检查流程，不发起策略交互，不会触发超时计时器；
未检查：客户端收到服务器指令需要执行安全检查，开始尝试和 IMC 策略服务器（UDP 9019）通信获取安全策略；
通信失败 / 策略获取超时，EAD 机制触发终端强制下线（典型超时窗口 40~50 秒，和现场 45-47 秒吻合）。
误区纠正：不是只有你手动配置安全规则才会触发 EAD 检查。只要接入服务关联了【安全策略对象】（哪怕策略是空策略、监控模式），IMC 就会通知 iNode 执行安全检查。
根因排序（现场最高概率）
1、IMC 接入服务绑定了空安全策略（最高发）
操作路径：用户接入管理 → 接入服务管理 → 对应 802.1X 服务
接入服务中【安全策略】下拉框选择了某一条安全策略（哪怕策略内部没有任何检查规则）
认证成功后 RADIUS 下发属性通知 iNode：需要执行安全检查
iNode 尝试访问 IMC 策略服务器 UDP9019 获取策略
✅场景 A：终端到 IMC 9019 端口不通（防火墙 / ACL 拦截）→ 策略拉取超时 → 45s 踢下线；
✅场景 B：EAD 组件异常、策略服务响应缓慢，同样超时下线。
当客户端手动修改安全检查选项为【不检查】，直接跳过交互，问题消失，完全匹配你的故障现象。
2、客户端安全检查模式为【自动检测】
iNode 连接属性 → 选项 → 安全检查
默认：自动检测，听从服务器下发指令；服务器要求检查，则启动检查流程；
手动选择：不检查，无视服务器指令，跳过安全校验，状态显示 “不需要检查”。
3、网络阻断 UDP 9019 端口（策略服务器通信端口）
EAD 安全策略下发依赖 UDP 9019。
终端能正常 802.1X 认证（RADIUS 1812/1813 通），但无法访问 IMC 服务器 9019 端口，安全检查会话超时，服务器下发下线指令。
4、IMC EAD 组件运行异常
EAD（端点准入）进程异常，无法响应 iNode 的策略请求，造成客户端长时间等待超时。
5、IMC+iNode 版本兼容 BUG
部分老版本 iNode 客户端 / IMC 基线，接入服务关联空安全策略时，异常触发超时下线。
标准化排查步骤（按顺序执行）
步骤 1：核查 IMC 接入服务安全策略配置（重中之重）
进入【用户接入管理】→【接入服务管理】，打开当前使用的 802.1X 接入服务；
找到安全策略下拉选项：
如果选择了【任何策略】（包括空策略）→ 问题根源；
纯身份认证、不需要 EAD 准入：安全策略修改为【无】；保存后测试认证。
✅根治方案：不使用 EAD 安全检查时，接入服务安全策略务必选择「无」，不要绑定任何安全策略。
步骤 2：验证终端到 IMC 策略服务器 UDP9019 连通性
终端执行测试（可使用 Packet Sender、nc 工具）
plaintext
测试IMCIP UDP 9019是否可达
若不通：排查交换机 ACL、防火墙、终端系统防火墙，放行 UDP9019 双向流量。
步骤 3：客户端配置验证
打开 iNode 连接 →【选项】→【安全检查】
自动检测：跟随服务器策略；
临时规避测试：手动选择不检查，观察是否不再掉线（和你现场现象一致）。
注意：客户端手动 “不检查” 是临时方案，大批量终端不适合，优先服务端修正配置。
步骤 4：检查 IMC 后台 EAD 服务状态
IMC 监控代理，确认 imcead 进程正常运行；重启 EAD 组件测试。
步骤 5：查看日志定位
iNode 客户端【工具 - 日志】，筛选安全检查、策略服务器、下线相关日志；
IMC EIA 日志，查看用户下线原因：Security check timeout（安全检查超时）。
两种解决方案
方案 A（推荐，服务端根治，适合大规模终端）
IMC 接入服务 → 安全策略设置为【无】，不再下发安全检查指令，iNode 不会尝试 EAD 交互，永久解决。
方案 B（临时应急，终端侧）
逐个 iNode 连接配置，安全检查模式改为【不检查】；
缺点：终端重装客户端会恢复默认自动检测，运维量大。

你遇到的这个问题，根源在于iNode客户端发起了安全检查流程，但未能成功完成，导致超时被强制下线。

“未检查”和“不需要检查”虽然看起来都是没做检查，但背后的逻辑完全不同：

• “不需要检查”：这是正常状态。iNode客户端与iMC策略服务器成功通信后，服务器明确告知“无需检查”，客户端据此正常保持在线。

• “未检查”：这是异常状态。客户端试图发起安全检查（发送EAD-1号报文），但由于网络通信问题，服务器没有收到请求，或客户端的请求没有得到回应。在等待约45-47秒超时后，客户端便主动下线。

🔍 排查与解决步骤

请按照以下步骤操作，最简单有效的方案通常排在前面。

1. 重置客户端网络协议栈（最有效的首选方案）

此问题常由客户端系统的Winsock（网络协议栈）异常导致。这是H3C官方知识库中针对此类问题的推荐解决方案。

• 操作步骤：

  1. 以管理员身份打开命令提示符（CMD）。

  2. 输入以下命令并回车：netsh winsock reset

  3. 重启电脑。

• 注意：此命令会重置网络设置，可能影响VPN等软件，重启后通常可恢复正常。

2. 检查iNode客户端配置

确认iNode客户端的安全检查设置是否与服务器端策略匹配。

• 操作步骤：打开iNode客户端，进入 “选项” > “安全检查”，确认“安全检查模式”的设置。

• 临时规避：如果IMC侧确实没有配置任何安全检查策略，可以将此处改为 “不检查” 作为临时规避方案。如果问题解决，说明是客户端触发了不必要的检查流程。

3. 检查终端与策略服务器的网络连通性

安全检查需要iNode客户端与iMC的策略服务器（Policy Server）进行UDP 9019端口通信。

• 检查本地防火墙：确认终端上的Windows防火墙或第三方安全软件没有阻止iNode相关进程或UDP 9019端口。

• 检查网络设备：确认路径上的交换机、防火墙没有ACL规则阻断终端与iMC策略服务器之间的UDP 9019端口流量。

4. 检查iMC策略服务器状态

如果以上步骤无效，需在服务器端检查。

• 检查服务与端口：登录iMC服务器，确认policy server、ispserver等相关进程运行正常，且UDP 9019端口处于监听状态。

• 检查配置文件：检查iMC/common/conf/server_addr.xml文件，确保其中配置的策略服务器IP地址正确。

• 查看服务器日志：检查policyserver的日志，看是否收到来自问题终端的EAD-1号报文。若没有收到，则问题出在网络通信上。

5. 检查交换机侧Radius配置

有案例表明，交换机Radius认证模式配置不当也可能导致类似问题。可以检查交换机上是否配置为扩展模式，或802.1x认证是否选择了正确的EAP模式。

6. 检查iNode与iMC版本兼容性

确保使用的iNode客户端版本与iMC平台版本是兼容的，不兼容的版本可能导致策略交互异常。可以查阅H3C官方发布的版本配套表进行确认。