S5130S-HI 不支持命令：dot1x re‑authenticate

S5130S‑52S‑HI R6328P03 dot1x re‑authenticate 命令问题
你写的命令：dot1x re‑authenticate authentication‑fail keep‑online
正确完整命令是：dot1x re‑authenticate server‑unreachable keep‑online
含义：重认证时 RADIUS 服务器不可达，已在线用户保持在线，不踢下线。
⚠️该命令不是 authentication‑fail（认证报文收到拒绝），而是 server‑unreachable（服务器无响应）。
当前版本现状
版本：Release 6328P03（2021 老版本）
该版本接口下没有 dot1x re‑authenticate server‑unreachable keep‑online 这条子命令；只有基础的dot1x re‑authenticate开启重认证，一旦服务器失联，重认证失败直接踢用户下线，没有保活选项。
需要升级到哪个版本
S5130S‑HI 系列，该特性正式引入：
最低基线：Release 6513P05 及以后正式版本，接口视图下完整支持：
plaintext
interface GigabitEthernet 1/0/1
dot1x re‑authenticate
dot1x re‑authenticate server‑unreachable keep‑online
升级建议目标版本：S5130S‑HI‑CMW710‑R6513P08（推荐稳定版本），不要用中间 B 测试版本。
升级前：备份配置；注意该设备 Bootrom 版本141，新版本固件不需要单独升级 Bootrom。
升级前临时替代方案（无法升级固件时）
老版本没有server‑unreachable keep‑online，可以用 Critical‑VLAN（关键 VLAN） 做兜底：
配置 critical‑vlan，RADIUS 服务器整体不可达时，端口落入 critical‑vlan 保证业务存活；
缺点：整个端口全部划入 critical‑vlan，不是针对已经在线用户 “保持原有授权”，是端口级降级 VLAN，和server‑unreachable keep‑online行为不完全等价。
shell
system‑view
dot1x critical‑vlan 100
interface GigabitEthernet 1/0/1
dot1x
dot1x port‑method eap
dot1x re‑authenticate
dot1x critical‑vlan enable
注意：critical‑vlan 生效条件：端口无任何在线用户、服务器全局不可达；端口已经有用户在线的场景，critical‑vlan 不触发，这就是和server‑unreachable keep‑online最大区别。
容易踩坑点
命令关键字不要写错：是server‑unreachable，没有 authentication‑fail 这个参数，很多人文档抄错导致敲不出命令。
该命令必须在二层接口视图，不是系统视图。
需要先开启dot1x re‑authenticate（打开周期性重认证），server‑unreachable keep‑online才会生效。
iMC RADIUS 下发Session‑Timeout属性，会覆盖交换机本地reauth‑period定时器，部署时留意display dot1x connection查看会话超时。
总结
R6328P03 版本缺少dot1x re‑authenticate server‑unreachable keep‑online子命令；
升级至 R6513P05 及以上版本，即可完整支持该特性；
暂不能升级：使用 dot1x critical‑vlan 做降级兜底，但行为不完全等同；
正确命令：
plaintext
interface GigabitEthernet 1/0/X
dot1x re‑authenticate
dot1x re‑authenticate server‑unreachable keep‑online
补充：如果是 IRF 堆叠环境，升级需要主备机都升级到同一版本。