Filter-Id 是什么
Filter-Id 是 RADIUS 授权响应中的一个属性（RFC 2865 定义），取值是一个访问控制列表的名称。NAS 收到后，把该名称对应的 ACL 应用到这个用户的流量上，实现用户级或设备级的访问范围控制。它把「谁能访问什么」变成从认证结果里自动引用的策略，认证通过即套用，不必为每台设备单独配策略。
基本信息
| 属性名 | Filter-Id，取值是 NAS 上已定义的 ACL 名称 |
|---|---|
| 作用 | 用户级或设备级的访问控制 |
| 依赖条件 | NAS 侧必须预先定义同名 ACL |
| 常见用法 | 外包人员收窄访问范围、打印机只允许访问打印服务 |
| 配套属性 | 可与动态 VLAN 同时下发，注意优先级 |
典型使用场景
- 外包与访客权限收敛：只允许访问指定服务器或网段
- 打印机与 IoT 隔离：只放行打印服务或管理网段
- 分区访问：同一 SSID 下按身份下发不同 ACL
- 审计复核：按身份、ACL、实际可达范围三列定期核对
- 故障定位：认证通过但访问异常时，先确认 ACL 是否真的套用上
核对与排障
核对与排障
# 1) 在 NAS 上确认 ACL 名称与 RADIUS 下发的 Filter-Id 完全一致
# 2) 用测试账号认证一次，检查 NAS 日志是否显示 ACL 已应用
# 3) 从该终端测试目标可达性，逐条确认放行与拒绝符合设计
# 4) 与动态 VLAN 同时下发时，确认优先级与先后顺序不受影响
# 5) 把身份与 ACL 的对应关系登记，纳入季度复核检查项对照
| 检查项 | 正常表现 | 异常表现 |
|---|---|---|
| ACL 名称 | 日志显示策略已应用 | 名称不匹配，策略被静默忽略 |
| 放行范围 | 与设计一致 | 范围过宽或过窄 |
| 与 VLAN 叠加 | 两者都正常生效 | 互相覆盖，实际策略与设计不符 |
| 复核记录 | 有身份与 ACL 对照表 | 无记录，无法审计 |
常见用法是把外包人员与自助设备的可达范围收窄到必要业务，既保证可用又不扩大暴露面。
审计时按身份、ACL、实际可达范围三列定期复核，比对结果本身即可作为合规检查的证据。