这个问题非常典型且棘手，是9800控制器环境中一个令人头疼的“幽灵”问题。您已经做了很多正确的排查（升级IOS、重建WLAN/Policy），说明问题可能隐藏得更深。我们不要被“随机Ban MAC”这个现象迷惑，核心是客户端在某个时刻被判定为威胁或违规，从而被动态地加入了黑名单。
根据您的描述，问题大概率出在安全策略、终端分析或底层网络交互上。我们来系统地、由浅入深地进行排查。
第一步：立即检查与确认（最直接的证据）
1.检查客户端黑名单来源：
在9800 CLI上，执行以下关键命令，查看客户端被阻止的具体原因：
show wireless client mac-address <被拉黑客户端的MAC> detail
重点关注输出中的这些字段：
·Client State: 显示客户端当前状态（如HTTP DNS DETECTED， PROBE， RUN等）。
·Policy Name: 客户端应用的策略。
·Status: 是否有Web Authentication Pending, IP Learn等异常状态。
最关键的：Security Status。这里会直接显示原因，例如：
·Webauth Pending
·IPv6 ND Attack
·ARP Attack
·DHCP Rate Limit Exceeded
·Client Blacklisted
2.检查安全事件日志：
在9800 GUI上，进入 Monitoring -> Security -> Clients -> Security Events。
过滤条件设置为您遇到问题的客户端的MAC地址。
这里会清晰地记录客户端被加入黑名单的精确时间、原因代码和描述。这是定位问题的黄金标准。
3.检查FlexProfile和Policy配置：
由于您重建过WLAN和Policy，请再次仔细核对：
·WLAN > Advanced > Flex Profile： 检查是否关联了任何可能导致问题的配置，特别是Client Profiling和URL Filtering。
·Configuration > Tags & Profiles > Policy： 检查您WLAN所引用的Policy。重点看：
·Access Policy： 是否有限制条件？
·QoS Policy： 是否有不合理的带宽限制？
·AVC Profile： 应用识别是否过于激进，导致误判？
·URL Filtering Profile： 这是重灾区，如果配置了但服务器不可达或策略过严，会导致客户端认证后无法上网。
第二步：深入排查与解决方案（针对常见根本原因）
根据第一步的发现，进行针对性处理。如果第一步没有明确结果，请依次尝试以下方案：
可能性一：Aggressive或配置不当的安全策略（最高概率）
9800默认或自定义的安全策略可能过于激进，将正常的客户端行为误判为攻击。
1.检查WLAN下的Policy Map：
·进入 Configuration > Tags & Profiles > Policy。
·编辑WLAN引用的Policy，展开 Security > Threats。
·暂时禁用所有Threat Protection功能，特别是：
-IPv6 Threat Protection
-Wireless Client Blacklisting
-Wireless Client Flooding Protection
测试：观察问题是否消失。如果消失，说明是这里的问题，再逐个启用以定位元凶。
2.检查控制器级别的全局安全参数：
·进入 Configuration > Security > Wireless Security。
·检查 Client Exclusion 设置。强烈建议将超时值改小（如从60秒改为30秒），并检查排除条件（如IEEE 802.11 Association Failures, IEEE 802.11 Authentication Failures）的阈值是否过低。
可能性二：客户端分析（Profiling）问题
9800会尝试分析客户端类型（如iPhone， Windows等），如果分析错误或策略基于此类型，会导致问题。
1.检查Profiling Policy：
·进入 Configuration > Tags & Profiles > Policy。
·编辑WLAN引用的Policy，找到 Profiling 部分。
·暂时取消勾选Enable Device Sensor。
测试：如果问题解决，说明Profiling过程中可能发生了异常。
可能性三：IP地址分配或网络可达性问题
您提到“手动设置IP。也无法使用网络。网关都PING不通”，这非常关键，说明问题可能超出了单纯的无线连接层面。
1.检查客户端的完整状态：
当客户端显示“已连接”但无法Ping通网关时，在9800 CLI上执行：
show wireless client mac-address <MAC> statistics
·查看客户端的IP地址是否正常获取？ARP表项是否学习到？
·在网关（核心交换机）上检查，是否能看到这个客户端的ARP条目？
2.可能存在IP冲突或DHCP问题：
虽然地址池足够，但可能存在IP地址冲突，或者DHCP Offer/Request过程被安全设备（防火墙）干扰。
临时测试：为一个有问题的客户端手动设置一个非常用、且肯定未被占用的IP地址，再测试连通性。
可能性四：射频环境或AP本地问题
虽然您说问题随机，但射频环境干扰可能导致连接不稳定，触发保护机制。
1.检查AP和客户端日志：
在9800上，进入 Monitoring > Logs > Message Logs，过滤AP的名称或客户端的MAC地址，查看在问题发生时间点有无相关错误或警告信息。
您遇到的问题不是简单的配置错误，而是多个特性交互产生的复杂现象。请务必从安全事件日志入手，它能提供最直接的线索。祝您顺利解决问题！
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Rockyw | If it solves your problem, please mark as answer. Thanks !
