思科的 IBNS 落地顺序
思科把 802.1X 归入 IBNS（基于身份的网络服务）体系，配置顺序是：先启用 AAA 并定义 RADIUS 服务器，再全局开启 dot1x system-auth-control，最后在接口上配置认证控制方式与 PAE 角色。老版本 IOS 用 dot1x port-control，新版本推荐 authentication port-control，两套命令在不同版本中并存。
基本信息
| 适用平台 | Cisco Catalyst / IOS-XE 交换机 |
|---|---|
| 关键组件 | AAA（aaa new-model）+ RADIUS 服务器 + dot1x |
| 接口关键命令 | authentication port-control auto、dot1x pae authenticator |
| 华为与 H3C | 接口命令为 dot1x enable 与 dot1x，全局需先使能 |
典型使用场景
- 办公区接入口准入：未通过认证的终端无法联网
- 与 ISE 等 RADIUS 平台联动做身份识别与动态授权
- 员工与访客网络按身份区分 VLAN 与权限
- 打印机、摄像头等不支持认证的哑终端需要 MAB 或旁路口
- 认证失败排查：区分 RADIUS 不可达与终端侧客户端问题
思科 IOS
思科 IOS
SW-CORE-01(config)# aaa new-model
SW-CORE-01(config)# radius server ISE
SW-CORE-01(config-radius-server)# address ipv4 10.1.1.100 auth-port 1812 acct-port 1813
SW-CORE-01(config-radius-server)# key 共享密钥
SW-CORE-01(config)# aaa authentication dot1x default group radius
SW-CORE-01(config)# dot1x system-auth-control
SW-CORE-01(config-if)# switchport mode access
SW-CORE-01(config-if)# authentication port-control auto # 老版本为 dot1x port-control auto
SW-CORE-01(config-if)# dot1x pae authenticator
SW-CORE-01# show authentication sessions interface GigabitEthernet0/1华为 VRP
华为 VRP
[Huawei] dot1x enable # 全局使能
[Huawei-GigabitEthernet0/0/1] dot1x enable # 接口使能
[Huawei] dot1x authentication-method eap
<Huawei> display dot1x
<Huawei> display dot1x interface GigabitEthernet0/0/1H3C Comware
H3C Comware
[H3C] dot1x
[H3C-GigabitEthernet1/0/1] dot1x
[H3C] dot1x authentication-method eap
<H3C> display dot1x
<H3C> display dot1x interface GigabitEthernet 1/0/1认证失败排障检查点
| 检查点 | 查看方式 | 常见问题 |
|---|---|---|
| 全局开关 | show dot1x / display dot1x | 未开启时接口下的认证命令不生效 |
| 接口控制方式 | show authentication sessions | port-control 未设为 auto，端口不做认证 |
| RADIUS 可达与密钥 | 服务器侧日志、连通性测试 | 密钥不一致表现为认证超时而非明确报错 |
| 终端侧 | 客户端认证方式设置 | EAP 方式与服务器策略不匹配，反复重试 |
思科老式端口命令 dot1x port-control auto 在新版本中逐步被 authentication port-control auto 取代，两套命令并存；华为与 H3C 的端口命令更简洁，分别为 dot1x enable 与 dot1x。
RADIUS 服务器不可达时，如果没有配置认证失败旁路（例如语音 VLAN 的 critical 模式或失败开放策略），所有终端都会无法上网，这是一处明显的单点依赖，投产前必须评估。
哑终端常用 MAB（基于 MAC 的旁路认证）兜底：交换机先尝试 802.1X，超时后把终端 MAC 作为身份交给 RADIUS 校验。因此 RADIUS 侧需要维护终端 MAC 清单，清单不更新时新设备接上仍会被判为未授权。