间歇掉线先找规律
随机掉线难以复现，第一步不是抓包，而是找规律：是固定时刻、固定区域、固定终端，还是固定间隔。固定时刻多与雷达规避事件、定时任务或定时攻击相关；固定区域指向覆盖边缘、干扰源附近或跨 AP 的切换边界；固定终端问题在网卡驱动、省电策略或随机地址轮换；固定间隔则常与供电不稳引起的 AP 重启有关。规律一旦成立，排查范围就能从「全网」缩小到「某台设备或某个位置」。
按规律缩小范围
| 固定时刻 | DFS 雷达事件、定时任务、定时攻击、控制器同步任务 |
|---|---|
| 固定区域 | 覆盖盲区边缘、干扰源附近、跨 AP 边界 |
| 固定终端 | 网卡驱动、省电策略、随机 MAC 地址轮换 |
| 固定间隔 | PoE 供电不足引起的重启、心跳超时踢线 |
| 无任何规律 | 先做长时间记录，再按上述四类归类 |
原因码指向什么
| 原因码 | 含义 | 排查方向 |
|---|---|---|
| 1 | 未指定原因 | 结合方向判断，信息量有限 |
| 2 | 先前认证失效 | 密钥更新或 AP 重启后的正常重新协商 |
| 4 | 因不活动被去关联 | 终端休眠、省电策略或链路质量差 |
| 5 | AP 无法处理更多终端 | 容量过载，需要分流或加 AP |
| 15 | 四次握手超时 | 口令、证书或链路质量问题 |
| 23 | 802.1X 认证失败 | 后端拒绝或凭据失效 |
断开证据收集
断开证据收集
# Windows：事件查看器查看 WLAN-AutoConfig 日志
# 抓包：过滤 deauthenticate 与 disassociate 帧
# wlan.fc.type_subtype == 12
# 控制器：导出关联与断开历史，关注原因码与时间戳
# 三类记录按时间对齐，即可判断是终端主动断开还是被踢典型使用场景
- 用户频繁掉线：先按时间与位置归类
- 语音通话断续：重点看切换与省电策略
- IoT 设备离线：检查心跳与休眠相关的原因码
- DFS 频段的周期性断连：核对 AP 雷达事件日志
- AP 周期性重启：核对端口供电与日志
复现与取证的方法
间歇性问题最怕随手重启，重启会清掉现场状态。正确的做法是先做一轮完整记录，至少覆盖一次或多次故障发生：在终端上打开日志与抓包，同时在控制器侧导出同时间段的关联与断开记录，必要时在交换机侧记录端口供电与链路事件。三类记录对齐后，通常能看出谁先动作——终端先发 Deauth 多为终端侧行为，AP 先发则要看原因码，链路先掉则要查供电与网线。只有在证据齐全之后，才进入参数调整阶段。
断开原因码是关键证据：不同代码指向终端主动断开、握手超时或 AP 侧踢除等不同方向。
省电策略会让终端在空闲时主动断开或降频，表现为规律性掉线，排查时先关闭省电模式做对照。