打印机、摄像头怎么准入？MAC 认证这里有坑

---

一、开场：会议室墙上的一个空网口

2021 年一个制造客户，接入层四十多台交换机，端口全是默认开放。会议室墙上留了四个网口给投影和视频会议，平时没人管。

某天流量监控报警：办公网里有台设备在扫 445，一小时扫了三百多个地址。顺着 ARP 表往上找，端口在会议室，MAC 不在资产台账里。到现场一看，一台不属于公司的笔记本插在墙插上，外包人员来开会顺手插的，插上就拿到了办公网 IP，直接能访问文件服务器。

IT 负责人跟我说了句大实话：“我们没做过准入，端口插上就能用。”

这就是准入要解决的问题。不是"防黑客"这种空话，是很具体的三件事：谁能接进来、接进来能去哪、接进来留没留痕。

这一课讲 802.1X 的三个角色、认证的五个动作、Guest VLAN 怎么兜底、哑终端怎么用 MAC 认证进门——以及 MAC 认证那四个我踩过的坑。

---

二、准入不是只有 802.1X

先纠正一个常见误解：一说准入就想到 802.1X，其实园区里能落地的准入至少有四条路。

方式	认什么	适合谁	落点
802.1X	账号 + 证书/密码	有客户端的 PC、笔记本	接入交换机端口
MAC 认证	网卡 MAC 地址	打印机、IP 电话、摄像头	接入交换机端口
Guest VLAN	不认身份，只给隔离网段	访客、临时设备	接入交换机端口
端口 + IP 白名单	固定位置 + 固定地址	门禁、工控、老旧设备	交换机/防火墙 ACL

现实中做得好的园区，是这四条混着用：办公 PC 走 802.1X，打印机走 MAC 认证，访客进 Guest VLAN，摄像头走端口白名单。想用一种方式覆盖所有终端，最后一定是"为了迁就打印机，把整个准入关掉"。

⚠️ 一个前提：准入控制只在接入层有意义。你在核心交换机上做认证，等于门已经开了再查身份证。

---

三、802.1X 的三个角色

802.1X 是二层协议，以太类型 0x888E，只在"端口"和"客户端"之间跑。它规定了三个角色，缺一不可。

角色	是谁	干什么	常见误区
Supplicant（客户端）	PC 上的认证客户端、带 802.1X 的打印机	发起认证、提供身份	以为 Windows 自带就万事大吉，其实要配对方法
Authenticator（接入设备）	接入交换机（少数场景是 AP）	当闸机：认证前只放 EAPOL，认证后开端口	以为它是"认证服务器"，其实它只转发
Authentication Server	RADIUS 服务器（FreeRADIUS、IMC、AD 域对接）	存账号、验密码、回策略	以为交换机本地能做认证，本地只适合应急

1. 类比：小区门禁

Supplicant 是你，Authenticator 是单元门的刷卡器，RADIUS 是物业后台的业主名单。

刷卡器本身不知道你是不是业主，它只负责把你的卡号传给后台；后台说"这户的，放"，门锁才弹开。所以刷卡器坏了，全楼进不去；后台名单错了，全楼也进不去。这就是为什么准入一出问题，先看两个地方：交换机到 RADIUS 的通不通、AAA 里的账号/域配对没配对。

2. Authenticator 的"双面"

交换机在这个协议里是"双面人"：面向客户端说 EAPOL，面向服务器说 RADIUS。它把 EAPOL 报文封装进 RADIUS 的 EAP-Message 属性里送出去，再解回来。所以交换机到 RADIUS 需要三层可达——这也是很多"认证一直不过"的根因：交换机管理 IP 和 RADIUS 不在一个网段，中间 ACL 把 1812 挡了。

---

四、一次认证的五个动作

五个动作，正常情况两三秒：

1. 客户端发起：插网线或开机，客户端发 EAPOL-Start。
2. 交换机要身份：回 EAP-Request/Identity，端口此时处于"未授权"状态。
3. 交换机转发：把客户端的 EAP 响应塞进 RADIUS Access-Request，发往服务器。
4. 服务器判定：回 Access-Challenge（要二次验证）或 Access-Accept / Access-Reject。
5. 开端口或隔离：Accept 就开端口并可能下发动态 VLAN；Reject 就按配置走 Guest VLAN 或直接晾着。

💡 关键细节：认证过程中端口一直是未授权状态，只放 EAPOL。这意味着终端在认证完成前拿不到 IP——DHCP 请求会被丢掉。所以大量"上不了网"的报障，现象是"插了网线没网、IP 地址都没有"，根因却是认证没过，不是 DHCP 坏了。

1. 交换机侧配置（华为 S 系列）

# 全局开启 802.1X
dot1x enable
#
# 配置 RADIUS 模板
radius-server template RAD01
 radius-server shared-key cipher Huawei@123
 radius-server authentication 10.10.7.11 1812
 radius-server accounting 10.10.7.11 1813
#
# 配置认证方案
aaa
 authentication-scheme SCH-DOT1X
  authentication-mode radius
#
# 接入端口开启认证
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 101
 dot1x enable
 dot1x authentication-method eap
#
# 验证：看全局与端口状态
display dot1x

正常回显（挑关键几行）：

Global 802.1X status              : Enabled
Authentication method             : EAP
Port Name         Protocol   Status          Client
GE0/0/1           DOT1X      Authenticated   AA:BB:CC:DD:EE:FF
GE0/0/2           DOT1X      Unauthenticated -

# 异常处理
# 1) Status 一直 Unauthenticated，Client 为 “-”
#    → 终端没装/没开客户端，或 EAPOL 在上游被 ACL 挡了。先抓包看 0x888E。
# 2) Status 变 Authenticated 但终端拿不到 IP
#    → 认证成功了但动态 VLAN 下发了 1101，而该 VLAN 没起 DHCP。
#    用 display dot1x connection 看协商到的 VLAN。
# 3) 所有端口都不过，且 RADIUS 无日志
#    → 交换机到 RADIUS 的 1812 不通。ping + telnet 10.10.7.11 1812 排查。

2. 如果你用 Windows 自带客户端

服务里把 Wired AutoConfig 启动，网络适配器属性里勾"启用 IEEE 802.1X 身份验证"，选"Microsoft: 受保护的 EAP (PEAP)“，去掉"验证服务器证书”（内网自签证书时）。这三步很多人在现场忘了第二步，然后一直说"我配了没反应"。

---

五、认证不过，去哪？

认证失败不可怕，可怕的是失败后"没地方去"。业界有三条兜底路线：

兜底方式	效果	用在哪
Guest VLAN	失败终端自动进隔离 VLAN，只能上网不能访问内网	访客、临时设备
拒绝 + 无限重试	端口一直未授权，终端反复弹认证框	严格内网（如研发）
定向重定向	失败跳认证门户页，提示"请联系 IT"	员工自助场景

华为上用 dot1x guest-vlan 20 在接口下挂一个 Guest VLAN；dot1x auth-fail vlan 30 则是"认证失败专用 VLAN"（账号密码错了，进这个；连客户端都没有，进 Guest VLAN）。这两个 VLAN 不是一回事，别配混了。

1. 类比：客舱

飞机上你也买了票，但登机牌不一样，进的舱不一样。认证失败不是赶你下飞机，是让你坐客舱——能待着，但进不了驾驶舱。

这条设计非常实用：访客来了不用找 IT 要账号，插上网线自动进 Guest VLAN，扫码填个手机号就能上网，全程不碰内网。反过来，如果失败就"彻底断网"，前台每天要接二十个电话。

---

六、哑终端：三种门，各有各的坑

🎯 先说结论：哑终端不要硬推 802.1X。推不动的设备，用 MAC 认证或端口白名单，比逼厂商改固件现实得多。

打印机、摄像头、IP 电话、门禁控制器——这些设备没有操作系统，装不了客户端，802.1X 用不上。它们的进门票有三种。

1. 类比：认脸、访客证、固定座位

MAC 认证是"认脸"：看你这张脸（MAC）在不在名单里，在就放。
Guest VLAN 是"访客证"：不认你是谁，发张临时证，只能在指定区域活动。
端口白名单是"固定座位"：这个位置只归这台设备，换人换机都不行。

2. MAC 认证的四个坑（重点）

标题里说的"这里有坑"，就是这四条，全是我现场撞过的。

坑一：MAC 能改。 Windows 网卡属性里就能改 MAC，Linux 一句 ip link set wlan0 address。所以 MAC 认证只能防"误插"和"随手接"，防不住有心人。把它当强认证用，安全评估会被打穿。正确姿势：办公终端必须 802.1X，MAC 认证只给哑终端。

坑二：一个端口后面挂了一串设备。 端口级 MAC 认证默认只认第一个通过认证的 MAC。会议室墙插接了个小交换机，五台设备共享一条线，第一个认证过了，后面四台全蹭通了——等于没做。要么开"端口下多 MAC 认证"并限制数量，要么禁止接入层下挂交换（配合 32 课讲的端口安全）。

坑三：设备休眠后重新认证，业务断了。 打印机省电休眠会把网卡挂起，唤醒后重新走一遍认证，2-3 秒内打印任务超时。财务月底打报表，卡在这一步。解法：给打印机固定 IP + 端口白名单，绕开认证；或者认证服务器把这类 MAC 直接放行不走二次验证。

坑四：换备件，白名单就废了。 摄像头坏了换新，MAC 变了，白名单没跟上，凌晨两点监控掉线。所以白名单必须有台账，且换件流程里带"更新准入名单"这一步——这就是 62 课讲配置基线和变更记录的价值，两个篇章在这里咬合上了。

3. MAC 认证配置与验证

# 接口开启 MAC 认证
mac-authen enable
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 601
 mac-authen
#
# 用户名格式与 AAA 对齐（默认带分隔符，很多对接失败在这）
mac-authen username-format fixed
mac-authen username fixedformat 3A-4B-5C-6D-7E-8F
#
# 验证
display mac-authen

正常回显：

MAC authentication             : Enabled
Port         Status          Auth-User        Auth-Type
GE0/0/2      Authenticated   3A-4B-5C-6D-7E-8F  MAC
GE0/0/3      Unauthenticated -                 -

# 异常处理
# 1) 端口 Unauthenticated 且 Auth-User 为空
#    → MAC 没上报。检查终端是否真的在发流量（MAC 认证靠首个报文触发）。
# 2) Auth-User 有值但认证失败
#    → 十次有八次是格式不一致：交换机报 3A-4B-5C-6D-7E-8F，
#      RADIUS 里存的是 3a4b5c6d7e8f（无分隔符、小写）。对齐格式。
# 3) 认证成功但设备上不了网
#    → 看下发的 VLAN 里有没有该设备的业务网段路由。

---

七、准入和 VLAN、安全域的接缝

准入不是孤立的。它和前面两课是这么咬合的：

• 和 61 课的 VLAN 规划：认证结果可以下发"动态 VLAN"。研发账号认证成功进 1101，行政账号进 101。VLAN 号还是按"站点代号 + 业务号"编，准入只决定"这台设备被扔进哪个 VLAN"。
• 和 63 课的安全域：准入是二层入口的门，安全域是三层边界的墙。门管"谁能进来"，墙管"进来后能去哪"。只做门不做墙，一台笔记本通过认证后照样能扫全网——所以 65 课的 ACL 必须跟上。

一句话：准入管入口，ACL 管路径，安全域管边界。三者缺一，等于只锁了大门没锁房门。

---

八、推行准入，真正的阻力在哪

这个问题我在评论区被问过很多次：你们公司做准入了吗？推行时最大的阻力是什么？

技术从来不是最大的坎。三方的顾虑是实的：

角色	真实顾虑	应对
领导	"花了钱，能防住什么？"说不清就砍预算	先做观察期，用失败记录和非法接入数据说话
员工	换网要认证、机器要重配、打印老断	办公终端统一客户端 + 打印机走白名单，别一刀切
运维	半夜掉线被叫起来，责任在网工	灰度上线，先一个楼层，回滚预案写进变更单
厂商	打印机/摄像头不配合，说"不支持"	不支持的走 MAC 认证或端口白名单，不当阻力当分类

1. 别一上来就阻断

最省事的推行方式是先观察、再灰度、最后全量。

# 观察期：不开 dot1x 阻断，先靠 RADIUS 日志和 AAA 记录摸清家底
display aaa online-fail-record all
display dot1x statistics

正常回显（观察期该看到的东西）：

User name        : 3A-4B-5C-6D-7E-8F
MAC address      : 3a-4b-5c-6d-7e-8f
Access type      : MAC-authen
Failure reason   : invalid-user
Fail time        : 2026-11-08 09:12:33

# 异常处理
# 1) invalid-user 大面积出现
#    → 账号没建或域配错。先批量导入，别指望员工自己注册。
# 2) timeout 大面积出现
#    → RADIUS 响应慢或链路抖动。看服务器负载和 1812 丢包。
# 3) 某几个端口一直失败
#    → 大概率是哑终端，转入 MAC 认证名单，不要硬推 802.1X。

两周观察下来，你会得到一张"哪些 MAC 必须白名单、哪些账号要批量建"的清单。拿着这张清单去找领导，比拿一份方案管用得多。

2. 分期落地路线

---

九、排障表：六种"上不了网"，六种根因

🔍 下面六行覆盖了园区准入九成的报障。查之前先确认一件事：这个端口到底开没开认证。没开的端口"上不了网"，那是二层或 DHCP 问题，不是准入。

现象	命令	看到什么	判断	动作
插网线没反应，连 IP 都没有	display dot1x	端口 Unauthenticated，Client 为 -	终端没发 EAPOL	开客户端；抓包确认 0x888E 有无
弹认证框但一直过不去	display dot1x connection	状态停在 Connecting	交换机到 RADIUS 不通	ping 服务器；查 1812 是否被 ACL 挡
账号密码明明对，就是拒	display aaa online-fail-record	Failure reason: invalid-user	域名/账号格式不匹配	核对 user@域 与 AAA 配置
认证成功，但业务系统不通	display dot1x connection	协商 VLAN 为 1101	动态 VLAN 没配网关或路由	补 Vlanif 与 DHCP
打印机三天两头掉线	display mac-authen	状态反复 Authenticated/Unauthenticated	休眠后重认证	固定 IP + 端口白名单
一台设备通了，同端口其他设备不通	display mac-authen	只有一个 Auth-User	端口级认证只认首个 MAC	限制下挂，或开多 MAC 认证

---

十、小结：准入是"工程 + 组织"，不是"功能"

三句话收尾：

1. 802.1X 三个角色，交换机只是闸机。认证不过先查 RADIUS 可达性和账号格式，别在交换机上反复改。
2. 哑终端必须分类处理。MAC 认证能防误插，防不住伪造；打印机用白名单比用认证更稳。
3. 准入是入口，ACL 是路径。只做准入，认证过的机器照样能横向扫，所以下一课必须把口子封上。

📌 速查表

目的	华为命令
全局开 802.1X	dot1x enable
接口开认证	dot1x enable / dot1x authentication-method eap
失败进隔离 VLAN	dot1x auth-fail vlan / dot1x guest-vlan
开 MAC 认证	mac-authen enable / 接口 mac-authen
MAC 用户名格式	mac-authen username fixedformat
看认证状态	display dot1x / display mac-authen
看失败记录	display aaa online-fail-record all

1. 思科对照

目的	华为	思科
全局开 802.1X	dot1x enable	dot1x system-auth-control
接口开认证	dot1x enable	authentication port-control auto
指定认证方式	dot1x authentication-method eap	dot1x pae authenticator
失败 VLAN	dot1x auth-fail vlan	dot1x auth-fail vlan
MAC 认证	mac-authen	mab（MAC Authentication Bypass）
看状态	display dot1x	show dot1x all

思科把 MAC 认证叫 MAB，思路完全一样：拿 MAC 当用户名去 RADIUS 查。名字不同，坑一样多。

2. 💬 互动题（评论区接招）

你们公司做准入了吗？推行时最大的阻力是什么？

1. 你手上有没有"墙插随便插就能上网"的楼层？
2. 打印机、摄像头这些哑终端，现在是走认证、白名单，还是干脆留个端口不设防？
3. 如果只能先做一个楼层，你会选哪个部门？

我的经验是：阻力最大的从来不是技术，是"以前都能通"这四个字。把你遇到的阻力发评论区，我帮你想想怎么绕。

---

系列导航：

• 上一课：第 63 课《安全域划分——Trust/Untrust/DMZ》
• 下一课：第 65 课《ACL 封堵实战——高危端口与安全基线模板》
• 专栏主页：[网络工程师进阶：企业组网实战——从交换机配置到园区网交付]

我是你们的老网工。准入这一课，最难的不是配 dot1x enable，是把"哪些设备不该走认证"这件事分清楚。分不清，最后一定是全公司关掉准入，回到"端口插上就能用"。下一课我们把门后的路封一封——勒索病毒最爱的那几个端口。