RADIUS 动态下发 VLAN 是什么
终端通过 802.1X 或 Portal 认证后，RADIUS 服务器在授权回应里携带 Tunnel 类属性，把目标 VLAN 编号告诉交换机，交换机据此把该端口授权到对应 VLAN。终端于是不需要端口上做静态 VLAN 配置就能进入自己的业务网络，人员调动、部门变更只改服务器策略，不必逐台交换机改配置。
基本信息
| 适用平台 | 支持 802.1X / Portal 的交换机与无线控制器，命令按平台核对 |
|---|---|
| 标准依据 | RFC 3580：802.1X 场景下 RADIUS 的使用方式 |
| 交换机角色 | 把服务器下发的授权属性落到端口 |
| 服务器角色 | 按账号或设备属性决定终端进哪个 VLAN |
| 前置条件 | 授权 VLAN 必须在接入与上行链路预先放行 |
| 失败回退 | 授权失败时通常回到缺省或 Guest VLAN |
典型使用场景
- 按部门下发 VLAN：同一批端口，不同账号进不同业务网
- 会议室与访客区：终端用谁的账号就进对应网络
- 设备准入：打印机、摄像头等按设备属性进入 IoT VLAN
- 临时驻场：不改交换机配置即完成网络归属调整
标准属性与落地效果
| 属性 | 取值 | 含义 |
|---|---|---|
| Tunnel-Type | 13 | 隧道协议类型为 VLAN |
| Tunnel-Medium-Type | 6 | 介质类型为 IEEE-802 以太网 |
| Tunnel-Private-Group-ID | VLAN ID 字符串 | 目标 VLAN 编号，按字符串语义传递 |
| 出参位置 | Access-Accept 回应 | 仅在认证通过时下发，认证失败不下发 |
| 落地效果 | 端口授权 VLAN 变更 | 终端无需改交换机配置即进入业务 VLAN |
交换机侧与查看命令
交换机侧与查看命令
# 华为（接口视图）
interface GigabitEthernet0/0/1
dot1x enable # 端口开启 802.1X
dot1x authentication-method eap # 指定认证方式（按平台支持选择）
# 查看授权结果
display dot1x interface GigabitEthernet0/0/1 # 华为：端口认证与授权 VLAN
show authentication sessions interface Gi1/0/1 # Cisco：会话与授权属性
# 核对前置条件
display port vlan # 授权 VLAN 是否已在链路放行属性名与取值以服务器侧的字典为准：不同服务器对 Tunnel-Private-Group-ID 的类型标注（字符串或整数）不一致，类型不匹配时交换机可能忽略该属性，表现为认证成功但没换 VLAN。
授权 VLAN 的放行范围要覆盖终端可能接入的所有端口，包括备份链路与新增机柜，只放行主用路径会在故障切换后暴露问题。