华为 802.1X 认证配置
802.1X 让终端先通过认证才能上网，是园区网准入的基础。华为的实现分三层：全局开启 802.1X、配置 AAA 认证方案指向 RADIUS 服务器、再在接入口上启用认证。终端认证失败时端口通常保持未授权状态，看起来和链路故障一样，需要看认证日志区分。
基本信息
| 适用平台 | 华为 VRP 交换机（其他厂商对照：思科 authentication port-control、H3C dot1x） |
|---|---|
| 前置条件 | RADIUS 服务器可达、共享密钥一致、已配置 AAA 认证方案 |
| 全局命令 | dot1x enable |
| 接口命令 | 接入口下 dot1x enable |
| 查看命令 | display dot1x interface 查看认证状态与失败原因 |
三厂开启方式对照
| 环节 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 全局开启 | dot1x enable | dot1x | dot1x system-auth-control |
| 接口开启 | 接口下 dot1x enable | 接口下 dot1x | authentication port-control auto |
| 认证角色 | 由全局与接口决定 | 同左 | dot1x pae authenticator |
| AAA 依赖 | 认证方案指向 RADIUS | 认证方案指向 RADIUS | aaa authentication dot1x default group radius |
| 查看会话 | display dot1x interface | display dot1x interface | show authentication sessions |
典型使用场景
- 办公区有线接入要求员工账号认证后才能上网
- 外来人员接入受限，只有授权设备能使用网络
- 合规要求接入设备身份可追溯，认证日志作为审计证据
- 与动态授权配合，按用户身份下发 VLAN 或 ACL
- 排查接入异常：确认终端是否因认证失败被拦在外
- 会议区与访客区分开策略，避免把不支持的设备一起纳入认证
华为 VRP
华为 VRP
dot1x enable # 全局开启
aaa
authentication-scheme dot1x_auth
authentication-mode radius # 指向 RADIUS 认证
radius-server template default
radius-server shared-key cipher Radius@123
interface GigabitEthernet0/0/1
dot1x enable
display dot1x interface GigabitEthernet0/0/1思科 IOS 与 H3C Comware
思科 IOS 与 H3C Comware
aaa new-model # 思科
aaa authentication dot1x default group radius
dot1x system-auth-control
interface GigabitEthernet0/1
authentication port-control auto
dot1x pae authenticator
show authentication sessions
dot1x # H3C
interface GigabitEthernet1/0/1
dot1x
display dot1x interface GigabitEthernet1/0/1部署顺序影响体验：先把 RADIUS 与 AAA 配好并验证服务器可达，再逐端口启用认证。一次性全网启用而服务器有问题时，会出现大面积终端无法上网且原因看起来像链路故障。建议先在一个机柜试点，确认认证与放行策略都正确后再推广。
端口启用认证后，未通过认证的终端完全不通，调试时容易误判为链路或交换机问题。排查先看认证状态与失败原因，再看物理层，问题定位会快很多。