MAB 是什么
MAC Authentication Bypass（MAB）让交换机或 AP 用设备 MAC 地址代替 802.1X 凭据去 RADIUS 认证。它解决的是打印机、IP 摄像头、会议终端这类装不了 802.1X 客户端（supplicant）的设备无法入网的问题。本质上这是「以标识代认证」：MAC 可被克隆，MAB 不提供密码学意义上的身份保证，只能作为受控兜底。
基本信息
| 全称 | MAC Authentication Bypass（MAC 认证旁路） |
|---|---|
| 适用平台 | 思科 IOS/IOS-XE（IBNS）、华为 VRP、H3C、Aruba 等 |
| 触发时机 | 802.1X 无响应或超时后回退，也可配置为优先尝试 |
| 凭据 | 设备 MAC 地址，明文提交、可伪造 |
| 依赖 | RADIUS 侧需建立 MAC 账号或白名单，NAS 侧需预置 VLAN/ACL |
典型使用场景
- 打印机与标签机接入：设备无 802.1X 能力，只能靠 MAC 白名单放行
- IP 摄像头与门禁：位置固定、维护窗口受限，便于批量纳管
- 会议与医疗终端：厂商客户端无法安装或不可靠，作为受控兜底
- 隔离区引导：MAB 失败先落到隔离 VLAN，再走 Web 认证放行
- 存量网络改造过渡期：分批上 802.1X，先用 MAB 保证老设备可用
思科 IOS 端口配置骨架
思科 IOS 端口配置骨架
configure terminal
interface GigabitEthernet1/0/10
switchport mode access # MAB 只在访问口生效
authentication host-mode multi-auth # 一个口下接多台设备时的模式
mab # 启用 MAC 认证旁路
authentication port-control auto # 端口受控，未通过不放行
authentication order mab dot1x # 先试 MAB，省掉 802.1X 超时等待
end
show authentication sessions interface GigabitEthernet1/0/10 # 看认证状态MAB 失败定位
| 现象 | 常见原因 | 核查动作 |
|---|---|---|
| RADIUS 返回拒绝 | MAC 未入库 | 按 MAC 在认证服务器日志中检索 |
| 端口始终未授权 | 端口未设 port-control auto，或 host-mode 不匹配 | 查看认证会话详情与端口配置 |
| 部分设备偶发失败 | MAC 格式差异（大小写、连字符） | 统一入库格式为 aa:bb:cc:dd:ee:ff |
| 认证通过但通不了网 | 授权 VLAN/ACL 未下发或 NAS 侧不存在 | 核对 RADIUS 属性与 NAS 预置配置 |
MAB 应定位为兜底而非主认证方式：能装 802.1X 客户端的终端一律优先走 802.1X，MAB 只留给确实无法改造的设备，并在资产管理中标注原因。
MAC 地址可在软件层克隆，MAB 放行的端口应配合端口安全限制接入设备数量与 VLAN 范围，否则认证旁路会变成任意接入。