Guest VLAN 是什么
Guest VLAN 是 802.1X 准入里的一种降级策略：未通过认证的终端不直接被交换机拒绝，而是先被放进一个受限 VLAN，该 VLAN 内通常只放行到准入门户和认证服务器的流量；认证通过后终端再被切换到授权 VLAN。这样既保证未认证设备碰不到业务网段，又让用户能打开门户页面把认证流程走完。
基本信息
| 适用平台 | 华为 S 系列、Cisco IOS 交换机等，命令按平台核对 |
|---|---|
| 前提条件 | 接入端口已开启 802.1X 认证 |
| 未认证终端 | 被放入 Guest VLAN，不进入业务 VLAN |
| 放行范围 | 通常仅门户页面与认证服务器 |
| 认证通过 | 切换到认证服务器授权的业务 VLAN |
| 实现要点 | Guest VLAN 需在交换机内部与上行链路都放行 |
典型使用场景
- 办公区准入：员工终端认证前先落到受限 VLAN，避免裸接入业务网
- 访客上网：访客只用门户注册，认证前不允许访问内网
- 强制门户模式：终端先看到认证页，再获得正式网络权限
- 终端换机与重装系统期间：认证前保留最小的可达范围
配置与查看示例
配置与查看示例
# 华为（接口视图）
interface GigabitEthernet0/0/1
dot1x enable # 开启 802.1X 认证
dot1x guest-vlan 100 # 未认证终端放入 Guest VLAN 100
# Cisco（接口视图）
interface GigabitEthernet1/0/1
authentication port-control auto
dot1x guest-vlan 100
display dot1x interface GigabitEthernet0/0/1 # 华为：查看认证与 Guest VLAN 状态
show dot1x interface GigabitEthernet1/0/1 # Cisco认证各阶段对照
| 阶段 | 终端所在 VLAN | 可访问范围 | 常见异常表现 |
|---|---|---|---|
| 未认证 | Guest VLAN | 仅门户与认证服务器 | 打不开门户网页：多为 Guest VLAN 未放行 |
| 认证中 | Guest VLAN | 同上 | 门户能开但认证无响应：查认证服务器可达性 |
| 认证通过 | 授权业务 VLAN | 业务网段与内网资源 | 认证成功但业务不通：多为此 VLAN 未在链路放行 |
| 认证失败 | 回落到 Guest VLAN | 仅门户 | 反复重试：查账号状态与服务器策略 |
Guest VLAN 内的终端通常拿不到业务网段地址；若门户流程需要地址，要为 Guest VLAN 单独规划地址池与 DHCP 服务，并把它的三层出口限制在门户侧。
Guest VLAN 是准入的降级通道而非安全区：它内部仍然要配 ACL 只放行门户与认证服务器，不能因为『反正没认证』就不设限制。