RADIUS CoA 是什么
CoA（Change of Authorization，RFC 5176）让 RADIUS 服务器可以主动向接入设备发指令：断开某个终端的会话、切换它的授权（例如改 VLAN 或 ACL），而不必等终端重新连接。它把「策略变更」从被动等待变成了主动下发，常用于终端失陷后的快速处置与权限调整，使用 UDP 3799 端口。
基本信息
| 协议依据 | RFC 5176（动态授权扩展） |
|---|---|
| 端口 | UDP 3799 |
| 主要报文 | CoA-Request、Disconnect-Request 及对应 ACK/NAK |
| 作用 | 强制下线、授权变更、重认证 |
| 前提 | NAS 设备支持并正确配置对应能力 |
典型场景
典型场景
# 场景一：终端被判定失陷 → 服务器下发断连指令，立即中断会话
# 场景二：用户权限变更 → 下发 CoA 切换 VLAN 或 ACL，无需用户重连
# 场景三：策略调整后 → 对在线的存量会话发起重认证，使新策略生效
# 注意：需确认 NAS 支持对应报文类型并允许服务器源地址发起典型使用场景
- 安全处置：发现终端异常后快速切断其网络访问
- 权限变更即时生效：岗位调整后无需等下次登录
- 访客到期处理：会话到期后主动断开，而不只依赖时间策略
- 策略灰度：对新策略命中的终端发起重认证，观察影响
- 合规整改：批量断开不符合策略的会话以强制重新评估
异常与排查方向
| 现象 | 排查方向 |
|---|---|
| 服务器发出但无响应 | NAS 未启用动态授权或端口 3799 未放行 |
| 收到 NAK 拒绝 | 请求属性与 NAS 预期不符，查看 NAS 侧日志 |
| 断连不生效 | 终端立即自动重连，需配合策略或黑名单 |
| 部分设备不支持 | 不同厂商对 RFC 5176 的实现覆盖度不同 |
CoA 的源地址校验是常见障碍：NAS 通常只接受来自认证服务器地址的指令，联调阶段先确认源地址与配置是否一致。
封禁类处置不宜只依赖单条通道：CoA 与策略平台双通道配合，才能避免单点失效导致的处置落空。