📚 课程目录第4章 1X认证体系部署

4. 1X认证体系部署

802.1X 是园区网接入控制的基础协议，它把"端口"从物理链路概念扩展为受控逻辑通道。理解 802.1X 的关键，不是记住三个角色名称，而是看清三个角色之间"谁先说话、谁转发什么、谁最终放行"的协作关系。本节围绕认证方式、EAP 协议、iMC/EAD 联动以及有线与无线接入配置展开，帮助读者建立可落地的部署思路。

一、三个角色与两种认证方式

802.1X 体系由客户端（Supplicant）、认证接入设备（Authenticator，通常是接入交换机或无线 AC/AP）和认证服务器（Authentication Server，通常为 RADIUS 服务器）组成。客户端不直接与服务器对话，所有 EAP 报文都由接入设备在"客户端—设备"和"设备—服务器"两段链路上分别封装转发。接入设备在认证通过前只允许 EAPoL 和少量必要报文通过，认证通过后才打开受控端口。

按客户端与服务器之间 EAP 报文的承载方式，认证方式分为两类：

EAP 终结方式（EAP over RADIUS）：接入设备把客户端的 EAP 报文封装进 RADIUS 属性转发给服务器，服务器完成 EAP 方法协商。设备本身不解析 EAP 方法细节，只做透传。这是 H3C 交换机最常用的方式，配置简单，支持 EAP-MD5、EAP-TLS、PEAP 等多种方法。
EAP 透传方式（EAP over LAN 透传到服务器）：设备把 EAPoL 报文直接透传给服务器，由服务器处理 EAPoL。该方式对设备要求低，但服务器需支持 EAPoL 终结，实际部署较少。

此外还有"MAC 地址认证"作为补充：当客户端不支持 802.1X 时，设备以源 MAC 作为用户名和密码向 RADIUS 发起认证，常用于打印机、摄像头等哑终端。H3C 设备支持 802.1X 与 MAC 认证的混合部署，通过 dot1x mac-auth-bypass 或 MAC 认证优先级实现。

二、EAP 协议族与方法选择

EAP 本身只是一个认证框架，真正决定安全性的是其承载方法。常见方法对比如下：

EAP 方法	认证凭据	是否双向认证	典型场景
EAP-MD5	用户名/密码	否	早期有线接入，安全性低
EAP-TLS	客户端证书 + 服务器证书	是	高安全有线/无线，需 PKI
PEAP-MSCHAPv2	服务器证书 + 用户名/密码	是（服务器侧）	Windows 域环境主流
EAP-TTLS	服务器证书 + 任意内层方法	是（服务器侧）	兼容多种内层认证

选择原则：有线办公终端若已加入域，优先 PEAP-MSCHAPv2，部署成本低且支持单点登录；对安全要求高的区域（如财务、研发）使用 EAP-TLS，配合 iMC 的证书管理；无线场景因空口暴露，必须使用带服务器证书校验的方法，禁止 EAP-MD5。

三、H3C iMC/EAD 联动机制

iMC 是 H3C 的智能管理平台，EAD（Endpoint Admission Defense）是其终端准入组件。二者与接入设备形成完整的准入闭环：接入设备负责 802.1X 认证交互，iMC 的 UAM（用户接入管理）组件作为 RADIUS 服务器完成身份认证，EAD 则在认证通过后对终端进行安全状态检查（如是否安装杀毒软件、补丁是否最新、是否运行违规软件）。

联动流程可概括为：终端发起 802.1X 认证 → 接入设备转发至 iMC UAM → UAM 校验账号密码并返回认证结果 → 若启用 EAD，UAM 通知 EAD 对终端进行安全检查 → 检查通过则下发授权 VLAN/ACL，检查不通过则下发隔离 VLAN 或重定向到修复页面。整个过程对用户透明，用户只需输入一次账号密码。

EAD 的安全检查策略在 iMC 的"终端准入"策略中定义，检查项包括补丁、杀毒、进程、注册表等。检查不通过时，终端被放入隔离 VLAN，只能访问补丁服务器和修复页面，修复完成后自动重新认证。

四、有线与无线接入认证配置要点

有线接入以 H3C 交换机为例，核心配置包括全局开启 802.1X、指定 RADIUS 方案、在接口上启用 802.1X 并绑定认证域。典型配置片段如下：

# 配置 RADIUS 方案
radius scheme imc
 primary authentication 192.168.10.100
 primary accounting 192.168.10.100
 key authentication cipher H3C@123
 user-name-format without-domain

# 配置认证域
domain portal
 authentication lan-access radius-scheme imc
 authorization lan-access radius-scheme imc
 accounting lan-access radius-scheme imc

# 全局开启 802.1X
dot1x

# 接口启用 802.1X
interface GigabitEthernet1/0/1
 dot1x
 dot1x port-method portbased
 dot1x mandatory-domain portal

其中 port-method portbased 表示端口下所有终端只需一个通过认证即可全部放行，适合单终端接入场景；若端口下挂交换机或需逐终端认证，应使用 macbased。无线接入则在 AC 上配置 WLAN 服务模板时绑定 802.1X 认证，AP 作为 Authenticator 的代理，将 EAP 报文封装后送 AC 再转 iMC。无线配置需注意：SSID 的认证方式选择"802.1X"，并指定 RADIUS 方案和认证域，同时开启 client-security 相关选项。

五、部署检查与常见问题

部署完成后，建议按以下顺序验证：先在接入设备上执行 display dot1x 查看端口认证状态，确认受控端口已打开；再在 iMC 上查看在线用户列表，确认账号、IP、MAC、接入设备信息一致；最后测试未认证终端是否只能获取隔离 VLAN 地址。常见问题包括：RADIUS 密钥不一致导致认证失败、认证域未绑定导致用户无法匹配、无线场景下 AC 与 AP 之间 CAPWAP 隧道未建立导致 EAP 报文丢失。排查时优先检查 display radius scheme 和 display domain 的输出。

EAP-MD5 不提供服务器认证，易受中间人攻击，仅建议在临时测试或完全可信的有线环境使用。生产环境无线接入必须使用 PEAP 或 EAP-TLS。

总体而言，802.1X 部署的核心在于"认证方式选对、EAP 方法选强、iMC/EAD 联动配通、有线无线分别验证"。把这四件事做扎实，园区网的接入控制就有了可靠的基础。