802.1X 认证失败查三处
802.1X 是端口级认证：终端插上后端口处于未授权状态，只放行 EAP 报文，认证通过才切到授权转发。认证失败的信息分散在三处：端口本身的 dot1x 状态、设备上的在线用户表、以及设备与认证服务器的交互统计。三处信息对不上就是问题点：端口一直处于认证中就说明服务器没响应，出现明确的拒绝记录则多半是凭据或授权属性问题，在线用户已建立但业务不通则要回头看 VLAN 与授权属性下发。
基本信息
| 适用平台 | 三厂通用（接入交换机） |
|---|---|
| 华为命令族 | display dot1x、display access-user、display aaa online-fail-record |
| 思科命令族 | show dot1x all、show authentication sessions、show aaa servers |
| H3C 命令族 | display dot1x、display dot1x connection、display aaa session |
| 关键区分 | 服务器无响应与明确拒绝，处置方向完全不同 |
典型使用场景
- 终端插入端口后长时间无法上网，需要确认认证卡在哪一步
- 同一端口换台电脑就能上网，说明问题集中在终端凭据或证书
- 批量用户同时认证失败，优先怀疑认证服务器或网络可达性
- 认证通过但访问受限，检查授权属性下发的 VLAN 与 ACL
- 认证超时投诉增多，需要确认是服务器压力还是链路丢包
华为与 H3C
华为与 H3C
<Huawei> display dot1x ! 全局与端口认证状态
<Huawei> display access-user ! 在线用户与授权信息
<Huawei> display aaa online-fail-record all ! 认证失败记录与失败原因
<H3C> display dot1x
<H3C> display dot1x connection ! 正在认证的连接
<H3C> display aaa session思科 IOS
思科 IOS
SW-CORE-01# show dot1x all
SW-CORE-01# show authentication sessions
SW-CORE-01# show aaa servers ! 服务器可达性与请求统计
SW-CORE-01# show authentication sessions interface GigabitEthernet0/1 details
! 必要时开调试：debug dot1x all（业务高峰慎用）三处状态怎么对照
| 观察点 | 现象 | 问题方向 |
|---|---|---|
| 端口状态 | 长期停在认证中 | 认证服务器无响应或报文未到达 |
| 失败记录 | 有明确的拒绝原因记录 | 账号密码、证书或授权属性不匹配 |
| 在线用户表 | 用户已建立但访问受限 | 授权 VLAN 或 ACL 下发不正确 |
| 服务器统计 | 请求计数增长但无响应 | 服务器侧故障或共享密钥不一致 |
| 物理链路 | 端口频繁 up/down 触发重认证 | 线路或终端网卡问题造成认证中断 |
排查顺序建议从三处状态查起，而不是一上来就开调试。调试输出量大且占用 CPU，在接入层批量投诉时还可能加剧问题，先用状态命令缩小范围更安全。
共享密钥（RADIUS key）两端不一致时，设备侧往往只表现为请求超时或响应无效，没有明显的报错，属于典型易漏点，核对配置时值得单独确认。