802.1X 的配置骨架
802.1X 把接入控制做成三部分：设备作为认证方（authenticator）提出认证请求，终端作为申请方（supplicant）提交凭据，RADIUS 服务器负责校验。配置骨架三家一致：全局开启认证功能、在接入接口上启用认证、再配好 RADIUS 服务器与认证方案。差异主要在命令层级与参数数量上——思科的配置链最长，华为与 H3C 起步只需两行。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware 交换机 |
|---|---|
| 前置依赖 | RADIUS 服务器与认证方案 或 本地认证 |
| 接口角色 | 设备作为认证方，终端作为申请方 |
| 权限要求 | system-view / 全局与接口视图 |
| 旁路需求 | 不支持认证的哑终端需要 MAB 之类的放行方案 |
典型使用场景
- 办公区接入认证：终端输入账号后才能联网
- 访客与员工区分：认证后由服务器下发不同权限
- 哑终端兼容：打印机、摄像头走 MAB 旁路放行
- 合规要求：接入行为可审计、可追溯
- 分阶段上线：先在部分楼层试点，再逐步铺开
华为 VRP
华为 VRP
[Huawei] dot1x enable # 全局开启 802.1X
[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] dot1x enable # 接口启用认证
<Huawei> display dot1x interface GigabitEthernet0/0/1
! RADIUS 服务器与认证方案另行配置，接口认证引用方案思科 IOS
思科 IOS
SW-CORE-01(config)# aaa new-model
SW-CORE-01(config)# aaa authentication dot1x default group radius
SW-CORE-01(config)# dot1x system-auth-control # 全局开启
SW-CORE-01(config)# interface GigabitEthernet0/1
SW-CORE-01(config-if)# authentication port-control auto # 受控端口
SW-CORE-01(config-if)# dot1x pae authenticator
SW-CORE-01# show dot1x interface GigabitEthernet0/1H3C Comware
H3C Comware
[H3C] dot1x # 全局开启
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] dot1x # 接口启用认证
<H3C> display dot1x interface GigabitEthernet1/0/1骨架对照
| 环节 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 全局开启 | dot1x enable | dot1x system-auth-control 配合 aaa | dot1x |
| 接口启用 | 接口下 dot1x enable | 接口下 dot1x pae authenticator 与 port-control | 接口下 dot1x |
| 服务器配置 | radius-server template 与认证方案 | aaa 列表引用 radius 组 | radius scheme 与域 |
| 查看状态 | display dot1x interface | show dot1x interface | display dot1x interface |
| 哑终端旁路 | MAB 相关配置 | MAB 相关配置 | MAB 相关配置 |
802.1X 上线前必须规划哑终端方案：打印机、摄像头、部分工控设备不支持认证，没有 MAB 或静态放行策略时，这些设备会集体离线。上线顺序建议按楼层或按业务灰度推进，并对无认证流量做统计，提前识别受影响设备。
认证成功却拿不到地址，通常是受控端口的转发状态没打开或授权结果没有生效；先看接口的认证状态与授权信息，再回头查 DHCP 与 VLAN 旁路，比直接怀疑认证服务器更接近根因。