1. 项目缘起为什么要在交换机上搞802.1x如果你管理过稍微有点规模的网络尤其是办公网或者校园网肯定遇到过这样的头疼事谁都能把电脑、手机甚至游戏机插到墙上的网口然后就能上网。这不仅带来了安全风险比如未经授权的设备接入、ARP欺骗还让IP地址管理、网络审计变得一团糟。更别提有些员工私接小路由器搞出个“子网中的子网”把整个网段的DHCP都搞崩了。802.1x认证就是为了解决这个“物理端口谁都能用”的问题而生的。它本质上是一个基于端口的网络访问控制协议。你可以把它想象成公司大门的门禁系统交换机上的每个物理端口就是一道门而802.1x就是那个门禁读卡器。在设备访客试图通过这道门端口进入网络公司之前门禁系统交换机会要求它出示凭证用户名密码或证书。只有凭证在后台的认证服务器通常是RADIUS服务器那里验证通过了交换机才会“开门放行”允许该设备的数据包通过。否则端口就处于“未授权”状态除了802.1x认证报文其他所有流量都被丢弃。思科交换机作为企业网络的中流砥柱对802.1x的支持非常成熟。通过配置我们可以实现精细化的控制比如不同部门使用不同的VLAN访客设备只能访问有限的资源甚至能绑定设备的MAC地址实现“一人一机一账号”的严格管理。这次我就结合自己的实操经验带你从零开始在一台思科交换机上完整部署802.1x认证。我们会从原理聊到配置再到排错把可能遇到的坑都捋一遍。2. 部署前的核心概念与架构梳理在动手敲命令之前我们必须把802.1x的“角色”和“对话流程”搞清楚这能避免后面配置时出现方向性错误。2.1 三大角色各司其职一个标准的802.1x体系包含三个角色缺一不可客户端Supplicant 试图接入网络的终端设备。它必须支持并启用802.1x客户端功能。在Windows、macOS、主流Linux发行版以及安卓/iOS系统中这个功能通常是内置的。对于打印机、IP电话等哑终端如果它们不支持802.1x则需要通过其他方式如MAC认证旁路处理。认证者Authenticator 这就是我们的思科交换机。它扮演着“守门人”的角色负责控制物理端口的开闭。它本身不判断用户密码的对错只负责在客户端和认证服务器之间转发认证报文。认证服务器Authentication Server 通常是RADIUS服务器。它存储着合法的用户凭证用户名/密码或证书并执行实际的认证和授权决策。思科自家的ISEIdentity Services Engine是功能非常强大的选择开源方案如FreeRADIUS也广泛应用。服务器认证通过后不仅会告诉交换机“放行”还可以下发一些授权参数比如VLAN ID、ACL访问控制列表名称等。2.2 认证流程一次典型的“握手”以最常用的EAP-MD5或EAP-PEAPMSCHAPv2为例一次成功的认证流程如下初始化 客户端连接到交换机端口。交换机检测到链路激活立即将端口置于“未授权”状态此时仅允许EAPOL基于局域网的扩展认证协议报文通过。请求身份 交换机向客户端发送EAP-Request/Identity报文问“你是谁”响应身份 客户端回复EAP-Response/Identity报文其中包含用户名例如zhangsan告诉交换机“我是张三。”代理转发 交换机将这个身份信息包装在RADIUS Access-Request报文里转发给后台的RADIUS服务器。服务器挑战 RADIUS服务器发起认证挑战。对于EAP-MD5可能直接要求验证密码对于EAP-PEAP会先建立TLS隧道再在隧道内进行MSCHAPv2挑战。挑战转发与响应 交换机将服务器的挑战报文EAP-Request转发给客户端客户端计算响应EAP-Response后再通过交换机转发给服务器。认证决策 RADIUS服务器验证响应是否正确。如果正确则回复RADIUS Access-Accept报文包含授权属性如果失败则回复RADIUS Access-Reject。端口授权 交换机收到Access-Accept后将端口状态改为“已授权”允许所有网络流量通过。同时应用服务器下发的授权属性比如将端口动态划分到VLAN 10。下线与重认证 客户端断开连接或主动发送EAPOL-Logoff端口回到未授权状态。交换机也可以配置定期重认证以确认客户端是否依然在线。理解了这个流程你就会明白交换机的配置核心就两点如何与RADIUS服务器通信以及如何在端口上启用802.1x。3. 基础环境准备与交换机全局配置假设我们有一台全新的思科Catalyst 2960系列交换机管理IP已配置好。我们的目标是让连接在GigabitEthernet0/1到0/24口的用户设备必须通过802.1x认证才能上网。后台RADIUS服务器的IP是192.168.1.100共享密钥为MySecretKey123。3.1 配置AAA认证、授权、记账框架AAA是思科设备进行访问控制的基石框架802.1x依赖它来工作。我们首先在全局配置模式下建立与RADIUS服务器的连接并定义认证方法列表。! 进入全局配置模式 Switch# configure terminal ! 启用AAA功能 Switch(config)# aaa new-model ! 配置RADIUS服务器参数。auth-port 1812和acct-port 1816是标准端口。 ! key后面的字符串必须与RADIUS服务器上配置的完全一致这是两者建立信任的基础。 Switch(config)# radius server MY_RADIUS_SERVER Switch(config-radius-server)# address ipv4 192.168.1.100 auth-port 1812 acct-port 1816 Switch(config-radius-server)# key MySecretKey123 Switch(config-radius-server)# exit ! 创建一个RADIUS服务器组方便后续调用。虽然这里只有一个服务器但使用组是推荐做法。 Switch(config)# aaa group server radius MY_RADIUS_GROUP Switch(config-sg-radius)# server name MY_RADIUS_SERVER Switch(config-sg-radius)# exit ! 定义802.1x用户认证所使用的方法列表。 ! dot1x 是这个方法列表的名字。group MY_RADIUS_GROUP 表示使用我们刚定义的RADIUS服务器组进行认证。 ! local 是备选方案当所有RADIUS服务器都不可达时可以尝试使用交换机本地配置的用户名密码需提前配置。生产环境慎用通常建议只留RADIUS。 Switch(config)# aaa authentication dot1x default group MY_RADIUS_GROUP local ! 可选但推荐配置授权和记账。授权用于动态下发VLAN/ACL记账用于记录用户上下线日志。 Switch(config)# aaa authorization network default group MY_RADIUS_GROUP Switch(config)# aaa accounting dot1x default start-stop group MY_RADIUS_GROUP注意aaa new-model命令会立即启用AAA可能会影响你当前通过Console或Telnet的管理会话。确保你有其他恢复访问的方式比如知道enable密码或者在一个维护窗口内操作。3.2 全局启用802.1x并配置关键参数接下来我们在全局模式下开启802.1x功能并设置一些影响所有802.1x端口的参数。! 全局启用802.1x协议 Switch(config)# dot1x system-auth-control ! 配置802.1x的静默定时器。当认证失败后交换机在一段时间内不会处理该客户端的新的认证请求。 ! 这主要用于防止恶意客户端进行密码爆破。默认是60秒这里保持默认。 Switch(config)# dot1x timeout quiet-period 60 ! 配置重认证周期。默认是3600秒1小时。意味着即使用户一直在线每小时也要重新认证一次。 ! 这有助于及时回收离职员工的网络权限。可以根据安全要求调整例如设为7200秒2小时。 Switch(config)# dot1x reauthentication Switch(config)# dot1x timeout reauth-period 3600 ! 配置服务器超时时间。交换机发送RADIUS请求后等待服务器响应的最长时间。 ! 如果网络延迟较大或服务器负载高可以适当调大比如5秒。 Switch(config)# dot1x timeout server-timeout 5完成以上两步交换机的“大脑”就已经知道要使用802.1x并且知道该找谁RADIUS服务器去核对用户身份了。4. 接口级配置与多种认证模式详解全局配置是“立法”接口配置才是“执法”。思科交换机支持多种802.1x模式以适应不同的场景。4.1 基础单主机模式Single-Host这是最经典、最常用的模式。一个端口只允许一台设备通过认证后续接入的设备会被阻止。适用于办公桌面的电脑接入。! 进入需要配置的接口范围 Switch(config)# interface range gigabitEthernet 0/1 - 24 ! 将端口模式设置为“access”。即使后面通过RADIUS动态下发VLAN初始端口模式也必须是access。 ! 如果是Trunk端口需要做802.1x模式设为trunk但情况更复杂初期建议从access入手。 Switch(config-if-range)# switchport mode access ! 指定一个初始的“未授权VLAN”。当端口处于未授权状态时客户端会被放置在这个VLAN中。 ! 这个VLAN通常是一个隔离的、仅能访问认证服务器和有限资源的“隔离VLAN”用于客户端下载802.1x客户端或进行故障诊断。 Switch(config-if-range)# switchport access vlan 99 ! 在接口上启用802.1x认证 Switch(config-if-range)# authentication port-control auto ! 设置802.1x认证模式为单主机 Switch(config-if-range)# dot1x pae authenticator ! 指定该端口使用我们之前定义的dot1x认证方法列表 Switch(config-if-range)# authentication event fail action next-method Switch(config-if-range)# authentication event server dead action authorize vlan 99 Switch(config-if-range)# authentication event server alive action reinitialize Switch(config-if-range)# authentication priority dot1x Switch(config-if-range)# authentication order dot1x ! 开启周期性重认证 Switch(config-if-range)# dot1x reauthentication关键命令解析authentication port-control auto 这是触发端口进行802.1x控制的开关。auto模式是标准模式端口初始状态为未授权开始认证流程。dot1x pae authenticator 明确端口角色为认证者。authentication event server dead action authorize vlan 99 这是一个非常重要的逃生配置。当交换机检测到所有RADIUS服务器都不可达时server dead自动将端口授权并划入VLAN 99。这避免了因为认证服务器宕机导致整个网络瘫痪。VLAN 99应该是一个有严格限制的网络。authentication order dot1x 指定认证顺序。这里只用了dot1x我们还可以添加mab(MAC认证旁路)用于接打印机等不支持802.1x的设备。4.2 多主机模式Multi-Host这种模式下端口上第一台设备通过802.1x认证后该端口下的所有其他设备连接在同一个傻瓜交换机或集线器后也都能访问网络。风险较高常用于会议室、打印机共享等特定场景。配置与单主机模式大部分相同只需改变一个命令Switch(config-if-range)# dot1x host-mode multi-host启用多主机模式后一旦端口授权其行为就像一个普通的access端口不再检查后续设备的认证状态。务必配合严格的端口安全或ACL来限制此类端口。4.3 多域认证模式Multi-Domain这种模式主要用于IP电话电脑的连接场景。一个端口连接IP电话被视为“语音域”电话本身的MAC地址通常通过MAB认证电话下联的电脑端口被视为“数据域”需要走标准的802.1x认证。这是确保IP电话部署安全的关键。配置相对复杂需要结合VLAN和QoSSwitch(config-if-range)# switchport mode access ! 为语音流量定义一个Voice VLAN比如VLAN 150 Switch(config-if-range)# switchport voice vlan 150 Switch(config-if-range)# authentication host-mode multi-domain Switch(config-if-range)# authentication order dot1x mab Switch(config-if-range)# authentication priority dot1x mab Switch(config-if-range)# mab同时你需要在RADIUS服务器上为IP电话的MAC地址配置相应的授权属性将其授权到Voice VLAN。电脑用户的认证则正常进行。4.4 MAC认证旁路MAB的集成对于摄像头、打印机等不支持802.1x的哑终端MAB是完美的补充。交换机会监听设备发出的第一个数据帧如ARP请求获取其源MAC地址然后将这个MAC地址作为“用户名”和“密码”提交给RADIUS服务器进行认证。! 在接口配置下在认证顺序中加入mab Switch(config-if-range)# authentication order dot1x mab Switch(config-if-range)# authentication priority dot1x mab ! 启用MAB功能 Switch(config-if-range)# mab启用后端口会先尝试802.1x认证。如果在特定超时时间可配置内没有收到客户端的802.1x响应交换机就会回退到MAB流程用设备的MAC地址去认证。在RADIUS服务器端你需要预先录入这些合法设备的MAC地址。5. RADIUS服务器侧的关键配置以FreeRADIUS为例交换机配置得再好服务器对不上也是白搭。这里以FreeRADIUS 3.x为例说明几个关键配置点。假设我们使用PEAP-MSCHAPv2这种最常用的企业认证方式。1. 客户端配置 (/etc/freeradius/3.0/clients.conf) 这里定义交换机客户端的信息共享密钥必须匹配。client my-switch { ipaddr 192.168.1.1 # 交换机的管理IP或源IP secret MySecretKey123 require_message_authenticator yes nas_type cisco }2. 用户文件 (/etc/freeradius/3.0/mods-config/files/authorize) 最简单的静态用户配置。生产环境通常连接LDAP或数据库。# 用户认证部分 # PEAP/MSCHAPv2 认证密码为明文仅示例生产环境用哈希 # 格式用户名 Cleartext-Password : “密码” zhangsan Cleartext-Password : “UserPass123” # 授权部分VLAN下发 # 思科交换机识别特定的Vendor-Specific Attribute (VSA) # Tunnel-Type、Medium-Type、Tunnel-Private-Group-ID 是下发VLAN的标准三元组 zhangsan Cisco-AVPair “subscriber:commandaccount-logon” zhangsan Tunnel-Type VLAN zhangsan Tunnel-Medium-Type IEEE-802 zhangsan Tunnel-Private-Group-ID 10 # 这是VLAN ID注意是字符串格式当用户zhangsan认证成功时RADIUS服务器会在Access-Accept报文中携带这些属性。思科交换机收到后就会动态地将该端口从初始的VLAN 99切换到VLAN 10。3. EAP模块配置 (/etc/freeradius/3.0/mods-available/eap) 确保peap和mschap模块被启用并正确配置。这是支持PEAP-MSCHAPv2的基础。6. 实战排错从现象到根因的完整链路配置完成后问题往往才开始浮现。下面是一个结构化的排错流程帮你定位大部分常见问题。6.1 现象客户端反复提示“正在验证身份”最终失败排查思路检查物理连接与端口状态Switch# show interfaces gigabitEthernet 0/1 status确认端口是connected而不是err-disabled。检查是否有authentication port-control auto配置。检查交换机端的802.1x会话状态Switch# show dot1x interface gigabitEthernet 0/1 details这是最重要的命令。关注以下字段Port Status: 应该是Unauthorized认证前或Authorized认证后。Supplicant: 是否显示了客户端的MAC地址如果没有说明交换机没收到客户端的EAPOL-Start或Identity响应可能是客户端802.1x功能未开启或者中间有非网管交换机阻断了EAPOL报文某些家用交换机可能过滤。Current EAP State: 状态机卡在哪里connecting、authenticating还是heldheld状态通常意味着认证失败次数过多触发了静默定时器。检查RADIUS通信Switch# debug radius authentication Switch# debug aaa authentication谨慎使用在排错时开启完成后立即undebug all观察交换机是否发出了RADIUS请求Access-Request以及是否收到了服务器的回复Access-Accept或Access-Reject。如果没收到任何请求检查交换机的RADIUS服务器配置IP、端口、密钥、路由是否可达、服务器防火墙是否放行了UDP 1812端口。如果收到Access-Reject问题出在服务器侧。用户名密码错误或者用户不在许可列表中。如果请求超时检查debug输出中的服务器IP是否正确网络是否有丢包服务器负载是否过高。6.2 现象认证成功但获取不到IP地址或无法上网排查思路确认VLAN是否成功下发Switch# show authentication sessions interface gigabitEthernet 0/1 details查看输出中的Authorized By和Oper host mode特别是Session VLAN字段。确认下发的VLAN例如10是否与你在show dot1x命令中看到的VLAN一致。检查端口的实际VLANSwitch# show interfaces gigabitEthernet 0/1 switchport查看Access Mode VLAN和Operational Mode。认证成功后Access Mode VLAN应该从初始的99变成了下发的10。如果没变可能是RADIUS下发的属性格式不对或者交换机不支持。检查VLAN和SVI接口状态Switch# show vlan id 10 Switch# show interfaces vlan 10确认VLAN 10已创建并且其对应的SVIVLAN接口状态是up/up配置了正确的IP地址作为该网段的网关。6.3 现象IP电话能注册但下联电脑认证失败排查思路 这通常是多域认证Multi-Domain或语音VLAN配置问题。检查端口主机模式Switch# show authentication sessions interface gigabitEthernet 0/1 details确认Oper host mode是multi-domain。分别查看DATA域和VOICE域的会话状态。检查CDP/LLDP 思科电话依赖CDP或LLDP从交换机获取语音VLAN信息。确保端口上启用了它们Switch(config-if-range)# cdp enable Switch(config-if-range)# lldp transmit Switch(config-if-range)# lldp receive检查MAB配置 电话通常通过MAB认证。确认接口配置了authentication order dot1x mab和mab命令。使用show mab interface gigabitEthernet 0/1 details查看电话的MAC地址是否被成功学习并认证。7. 高级调优与安全加固建议基础功能跑通后可以考虑以下优化让网络更安全、更健壮。7.1 调整定时器以适应不同环境默认的定时器不一定适合所有场景。dot1x timeout tx-period 交换机发送EAP-Request/Identity报文的重试间隔默认30秒。在无线漫游等需要快速认证的场景可以适当调小如5秒但会增加网络开销。dot1x timeout supp-timeout 交换机等待客户端对EAP请求响应的超时时间默认30秒。如果客户端响应慢可以调大。dot1x max-reauth-req 重认证请求的最大重试次数默认2次。在网络不稳定的环境下可以增加。7.2 实施认证失败后的处理策略除了之前提到的服务器宕机逃生VLAN还可以配置认证失败后的动作。! 当认证失败如密码错误时将端口置于一个“惩罚VLAN” Switch(config-if-range)# authentication event fail action authorize vlan 998 ! 当认证服务器恢复后重新初始化端口认证状态 Switch(config-if-range)# authentication event server alive action reinitializeVLAN 998可以是一个完全隔离的网络仅提供修改密码的页面或显示错误提示。7.3 结合动态ACLdACL进行精细授权RADIUS服务器不仅可以下发VLAN还能下发ACL名称。交换机上预定义好ACL服务器在认证通过时返回该ACL名交换机将其动态应用到该用户的会话上。在交换机上定义一个命名的扩展ACLSwitch(config)# ip access-list extended ACL_ENGINEER_DEPT Switch(config-ext-nacl)# permit ip any 10.1.0.0 0.0.255.255 Switch(config-ext-nacl)# deny ip any any在RADIUS服务器的用户授权属性中添加Cisco-AVPair “ip:inacl#1permit ip any 10.1.0.0 0.0.255.255” Cisco-AVPair “ip:inacl#2deny ip any any”或者直接下发ACL名称取决于交换机型号和软件版本Cisco-AVPair “priv-lvl15” Cisco-AVPair “shell:roles“network-operator”” # 对于支持下载命名ACL的版本 Cisco-AVPair “acl:nameACL_ENGINEER_DEPT”7.4 定期审计与日志监控启用日志并发送到Syslog服务器便于事后审计和故障分析。Switch(config)# logging host 192.168.1.200 Switch(config)# logging trap debugging ! 启用AAA和802.1x相关的调试日志级别信息 Switch(config)# aaa accounting system default start-stop group MY_RADIUS_GROUP定期查看show authentication sessions、show dot1x statistics等命令监控在线用户数和认证成功率及时发现异常。配置思科交换机的802.1x认证就像搭建一个精细的门禁系统全局配置是定规矩接口配置是装读卡器RADIUS服务器是后台数据库。整个过程环环相扣任何一个环节的微小差错都可能导致认证失败。我的经验是严格按照“先全局后接口、先服务器后交换机、先单端口测试后批量部署”的步骤来并善用show和debug命令在适当的时候大部分问题都能被定位。最后别忘了那个“服务器宕机逃生VLAN”的配置这能在关键时刻避免把自己锁在门外的尴尬。