网络笔记：准入控制与 802.1X 认证

防火墙管的是「进来之后能去哪」，准入控制管的是「谁有资格进来」。这两件事经常被混着说，其实是完全不同的两道关。

一句话概括 802.1X 的思想：端口默认是关的，认证通过了才打开。没认证的终端，连二层都不通，更别说拿 IP 了。

准入控制要解决什么

传统网络的问题	准入控制怎么解
任何人插上网线就能上网	没认证的端口不放行业务流量
外来设备接入内网没人知道	接入即触发认证，认证记录可审计
不同身份的人权限一样	授权阶段按身份下发不同 VLAN / ACL
终端不合规（没装杀毒）也能进	认证 + 终端合规检查（NAC 的扩展能力）

802.1X 的三个角色

角色	是谁	干什么
Supplicant 客户端	PC / 手机上的 802.1X 客户端	提交凭据，被动响应
Authenticator 认证者	交换机 / AP	转发 EAP 报文，控制端口的开关
Auth Server 认证服务器	RADIUS 服务器	真正做认证决策

关键理解：交换机不判断密码对不对。它只是把 EAP 报文在客户端和服务器之间搬来搬去，最后按服务器的结果决定开不开端口。所以认证逻辑全在服务器上，改策略不用动交换机。

端口的三种状态

状态	放行什么	业务能通吗
Unauthorized 未认证	只放行 EAPOL（二层协议）	不能，连 DHCP 都拿不到地址
Authenticating 认证中	同上	不能
Authorized 已认证	业务流量	能，且按授权下发 VLAN / ACL

「认证期间端口逻辑关闭」这一点很重要，它解释了一个常见现象：终端刚插上网线时拿不到 IP。因为 DHCP 报文属于业务流量，在认证完成前是被丢掉的。认证完成后终端需要重新发一次 DHCP——或者靠交换机主动触发。

授权阶段能下发什么

认证只是「放你进来」，授权才是「你能去哪」。RADIUS 服务器可以下发这些属性：

下发内容	效果
VLAN（Tunnel-Private-Group-ID）	把终端动态划到指定 VLAN——这是最常用的
ACL（Filter-Id）	限制终端能访问哪些网段
带宽 / QoS	限制上下行速率
权限级别（HW-Privilege-Level）	设备管理场景用，控制能敲哪些命令

动态 VLAN 的价值很大：员工、访客、打印机插在同一个交换机上，认证后自动进不同的 VLAN，不用按端口划 VLAN，也不用改配线。

NAC 方案的完整组成

802.1X 只是 NAC（Network Admission Control）里的一个组件。一个完整的准入方案通常包含：

组件	作用
认证方式	802.1X / MAC 认证 / Portal 认证（三种可组合）
认证服务器	RADIUS，存账号、下发授权
策略服务器	终端合规检查（杀毒、补丁、准入客户端是否安装）
隔离区	不合规终端先放进隔离 VLAN，修复后再放行
审计与日志	谁什么时候从哪个端口接入，全程可追溯

华为交换机 802.1X 配置

huawei · 802.1X + RADIUS 动态 VLAN

# ① 全局开启 802.1X
dot1x enable

# ② RADIUS 服务器
radius-server template rad1
 radius-server shared-key cipher Huawei@123
 radius-server authentication 10.1.1.200 1812
 radius-server accounting 10.1.1.200 1813

# ③ AAA 方案与域
aaa
 authentication-scheme auth-1x
  authentication-mode radius
 accounting-scheme acct-1x
  accounting-mode radius
 domain office
  authentication-scheme auth-1x
  accounting-scheme acct-1x
  radius-server rad1

# ④ 认证模板（决定授权下发什么）
dot1x-access-profile name dot1x-prof
 dot1x authentication-method eap
#
authentication-profile name auth-prof
 dot1x-access-profile dot1x-prof
 authentication-scheme auth-1x
 radius-server rad1
# ★ 授权下发的 VLAN 由服务器给，交换机负责应用

# ⑤ 应用到接口
interface GigabitEthernet0/0/1
 authentication-profile auth-prof

# ⑥ 配合 MAC 认证做「哑终端」兜底
mac-access-profile name mac-prof
authentication-profile name auth-prof
 mac-access-profile mac-prof        # 两种认证方式并存

排错

huawei

display dot1x                          # ★ 802.1X 全局状态与接口状态
display dot1x interface GigabitEthernet0/0/1
display dot1x connection               # ★ 已认证的在线用户
display access-user                    # 所有在线用户（含 MAC 认证）

display authentication-profile         # 认证模板
display radius-server configuration    # RADIUS 配置

reset dot1x-access-user all            # 强制用户重新认证
debugging dot1x all                    # 调试（慎用，日志量极大）

客户端提示「认证超时」 → 先看 display dot1x 接口状态。如果连 EAPOL 都没收到，是客户端问题或链路问题；收到了但没到服务器，查 RADIUS 可达性；
认证成功但拿不到 IP → 授权下发的 VLAN 不存在，或者 VLAN 里没有 DHCP 服务器。查 display dot1x connection 看下发的 VLAN 号；
哑终端（打印机、摄像头）认证不了 → 它不会跑 802.1X 客户端。必须配 MAC 认证兜底，见下一篇；
换了台交换机就不行了 → 检查 authentication-profile 是否配全、RADIUS shared-key 是否一致；
用户下线后端口没关 → 检查是否有 dot1x reauthenticate 或者终端是否发了 EAPOL-Logoff。

一句话总结：802.1X 是「端口默认关、认证后开」。交换机只当搬运工，判断在 RADIUS 服务器上；认证管放行，授权管下发 VLAN/ACL。哑终端要靠 MAC 认证兜底。

📌 本篇整理自 2024–2025 的「数通」学习笔记（HCIE-Datacom 方向）

合并了原始笔记中「802.1X / 准入控制 / NAC配置实现」三页。
原笔记以认证流程图与配置片段为主，本文补上了「认证期间端口逻辑关闭导致拿不到 DHCP」这个高频现象的解释，以及动态 VLAN 的实际价值。
配置命令按华为 VRP 新版认证模板语法整理。