802.1X 端口认证 + MAC 旁路认证配置，终端入网身份校验

wuyun

# 802.1X 端口认证 + MAC 旁路认证配置指南

## 概述

802.1X 端口认证结合 MAC 旁路认证提供了一种灵活的终端入网身份校验方案，既保证了安全性又提供了设备兼容性。

## 配置方案

### 1. 802.1X 端口认证基础配置

**交换机端配置：**
```
interface GigabitEthernet0/1
switchport mode access
dot1x port-control auto  // 启用802.1X认证
dot1x pae authenticator  // 设置为认证器模式
!
aaa new-model
aaa authentication dot1x default group radius  // 指定RADIUS服务器组
radius-server host <RADIUS_SERVER_IP> key <SHARED_SECRET>
```

### 2. MAC 旁路认证配置

**配置MAC认证旁路：**
```
interface GigabitEthernet0/1
mab                      // 启用MAC认证旁路
dot1x mab               // (或部分设备使用此命令) 结合802.1X的MAB
!
aaa authentication mab default group radius  // MAC认证使用RADIUS
```

### 3. 组合认证策略

**推荐配置顺序：**
1. 终端首先尝试802.1X认证
2. 如果802.1X无响应，则触发MAC认证
3. 两者都失败则限制访问

**配置示例：**
```
interface GigabitEthernet0/1
authentication event fail action authorize vlan <GUEST_VLAN>  // 认证失败放入访客VLAN
authentication event no-response action authorize vlan <GUEST_VLAN>
authentication host-mode multi-auth  // 允许多认证模式共存
authentication order mab dot1x  // 认证顺序：先MAC旁路，后802.1X(或反之根据需求)
authentication priority mab dot1x  // 设置优先级
!
```

## 终端入网身份校验流程

1. **设备接入**：终端连接到交换机端口
2. **认证触发**：
   - 交换机检测到链路状态变化
   - 启动认证流程
3. **认证尝试**：
   - 首先发送EAPOL请求尝试802.1X认证
   - 如果无EAPOL响应，则启动MAC认证
4. **认证结果处理**：
   - 认证成功：端口开放，允许访问授权网络
   - 认证失败或超时：端口限制或放入隔离VLAN
5. **持续验证**：可配置周期性重新认证

## 注意事项

1. **兼容性考虑**：
   - 确保所有终端支持至少一种认证方式
   - 对于不支持802.1X的设备，MAC认证提供备用方案

2. **安全性增强**：
   - 结合动态VLAN分配
   - 实施基于角色的访问控制(RBAC)
   - 记录所有认证事件用于审计

3. **性能影响**：
   - 大量MAC认证可能增加RADIUS服务器负载
   - 考虑使用本地认证作为RADIUS的备用方案

4. **故障排除**：
   - 检查RADIUS服务器可达性和共享密钥
   - 验证交换机上的认证顺序配置
   - 使用`debug dot1x`和`debug aaa authentication`命令诊断问题

这种组合认证方案在保证网络安全的同时，提高了对各类终端设备的兼容性，特别适用于混合设备环境的企业网络。