欢迎访问宝典百科，专注于IT类百科知识解答！
H3C交换机配置入网认证（如802.1X、MAC认证或Portal认证）需通过以下步骤实现，涉及协议选择、RADIUS服务器对接及端口控制策略：
1. 基础环境准备
启用RADIUS服务
确保交换机与RADIUS服务器（如CAMS、IMC或FreeRADIUS）网络连通，配置服务器IP、共享密钥及端口（默认1812/1813）：
bash
radius scheme test
primary authentication 192.168.1.100
primary accounting 192.168.1.100
key authentication simple h3c@123
key accounting simple h3c@123
user-name-format without-domain
创建认证域
定义认证域并绑定RADIUS方案，默认域名为`system`：
bash
domain test
authentication lan-access radius-scheme test
authorization lan-access radius-scheme test
accounting lan-access radius-scheme test
2. 认证模式配置
A. 802.1X认证
全局启用802.1X
bash
dot1x
dot1x interface GigabitEthernet1/0/1 to GigabitEthernet1/0/24
认证方法选择
支持`EAP`（证书认证）或`CHAP/PAP`（用户名密码）：
bash
dot1x authentication-method chap
端口控制模式
- `auto`：端口收到认证请求后触发认证
- `force-authorized`：强制放行
- `force-unauthorized`：强制拒绝
bash
interface GigabitEthernet1/0/1
dot1x port-method port
dot1x port-control auto
B. MAC地址认证
启用MAC认证
bash
mac-authentication
mac-authentication interface GigabitEthernet1/0/1 to GigabitEthernet1/0/24
绑定RADIUS或本地用户
可配置本地用户名密码或依赖RADIUS的MAC绑定表：
bash
local-user mac-001 password simple 123456
local-user mac-001 service-type lan-access
C. Portal认证
配置Portal服务器
适用于Web认证场景，需指定重定向URL和密钥：
bash
portal server imc
ip 192.168.1.200 key simple portal@123
url http://192.168.1.200:8080/portal
接口应用
bash
interface GigabitEthernet1/0/1
portal enable method direct
portal apply server imc
3. 进阶配置
VLAN隔离与动态VLAN分配
通过RADIUS返回属性动态划分用户VLAN（如`Tunnel-Private-Group-ID=10`）：
bash
interface GigabitEthernet1/0/1
dot1x mandatory-domain test
dot1x guest-vlan 100 # 认证前临时VLAN
多因素认证叠加
可组合802.1X+MAC认证提升安全性：
bash
dot1x
mac-authentication
authentication unified-mode # H3C V7版本支持混合模式
逃生机制
配置认证服务器超时后的备用策略（如本地认证或放行指定MAC）：
bash
mac-authentication critical vlan 50
radius scheme test
timer response-timeout 5
retry 3
4. 调试与排错
日志监控
bash
display dot1x interface GigabitEthernet1/0/1 # 查看802.1X状态
display mac-authentication # 检查MAC认证表
display portal user # 查看Portal在线用户
RADIUS报文分析
开启调试模式抓包分析认证流程：
bash
debugging radius all
terminal monitor
注意事项
若使用EAP-PEAP/TLS证书认证，需在RADIUS服务器配置CA证书；
华为/H3C交换机默认关闭EAP中继功能，需通过`dot1x eap-notify`开启；
ACL策略需放行认证流量（UDP 1812/1813及DHCP/DNS）。
配置完成后，通过`save force`保存配置避免重启丢失。若遇认证失败，优先检查RADIUS服务器状态及交换机与服务器间的密钥一致性。
