H3C 802.1X 的 domain 模型
H3C 的 802.1X 认证方案不直接挂在端口上：先建 radius scheme 指向 RADIUS 服务器，再建 ISP domain，把该域下的 lan-access（局域网接入）认证指向这个 scheme，端口下只需一条 dot1x 即可。认证请求找不到可用域时会被直接丢弃，这是 H3C 准入配置最容易踩的坑。
基本信息
| 适用平台 | H3C Comware V7（V5 语法略有差异） |
|---|---|
| 核心概念 | radius scheme（服务器与密钥）、ISP domain（认证/授权方案绑定）、端口 dot1x |
| 前置条件 | RADIUS 服务器可达、共享密钥与服务器端一致、认证与计费端口正确 |
| 端口必要配置 | 接口下 dot1x（开启端口认证） |
| 配套项 | 认证模式下发的 VLAN/ACL 授权属性需服务器支持 |
典型使用场景
- 办公区端口准入：只有通过账号认证的终端才能通信，未认证只放行 DHCP 与认证报文
- 多供应商服务器共存：不同 domain 指向不同 radius scheme，实现按部门/按服务器分流认证
- 有线与无线统一账号：802.1X 账号与无线侧一致，运维成本低
- 访客与员工隔离：认证后由服务器下发授权 VLAN，实现按身份分区
- 合规审计：认证日志落在 RADIUS 上，谁在哪个端口上线有据可查
H3C Comware
H3C Comware
radius scheme RS1 # 定义 RADIUS 服务器与密钥
primary authentication 10.1.1.100 # 主认证服务器地址
key authentication simple 共享密钥 # 与服务器端必须一致
# 若使用计费，还需配 primary accounting
domain dot1x_dm # 定义 ISP domain
authentication lan-access radius-scheme RS1 # 把局域网接入认证指向 RS1
dot1x # 全局开启 802.1X
interface GigabitEthernet1/0/1
dot1x # 端口开启认证（无 domain 参数）
display dot1x interface GigabitEthernet1/0/1 # 看端口角色与在线用户
display dot1x # 全局状态华为 VRP（对照）
华为 VRP（对照）
radius-server template RS1 # 华为用模板而非 scheme
radius-server shared-key cipher 共享密钥
radius-server authentication 10.1.1.100 1812
aaa
authentication-scheme dot1x_auth # 认证方案引用模板
authentication-mode radius
dot1x enable # 全局开启
display dot1x interface GigabitEthernet0/0/1思科 IOS（对照）
思科 IOS（对照）
aaa new-model
radius server RS1
address ipv4 10.1.1.100 auth-port 1812
key 共享密钥
aaa authentication dot1x default group radius # 认证列表直接引用组
dot1x system-auth-control # 全局开启
show dot1x all # 查看全局与端口状态三厂概念对照
| 概念 | H3C | 华为 | 思科 |
|---|---|---|---|
| 服务器定义 | radius scheme | radius-server template | radius server |
| 方案绑定 | domain + authentication lan-access | authentication-scheme（AAA 下） | aaa authentication dot1x default |
| 端口开启 | 接口下 dot1x | 接口下 dot1x enable 或全局 | 接口下 dot1x pae authenticator |
| 全局总开关 | dot1x | dot1x enable | dot1x system-auth-control |
H3C 的 domain 默认名为 system；终端侧不带域名时使用默认域，带域名时按域名匹配。多域场景下，客户端上送的域名字符串必须与设备上的 domain 名完全一致，大小写敏感。
认证不通时按顺序核：①端口是否 dot1x ②域是否存在且 lan-access 指向正确 scheme ③设备到 RADIUS 的 1812 端口是否可达 ④共享密钥是否与服务器端完全一致。display dot1x / display radius scheme 能把前两项一次看清。