Blog

有线 802.1X + RADIUS：给墙插加上「先认证后进网」

December 16, 2025 3 min read
网络802.1X安全

无线很多人会做门户或 PSK 轮换，有线墙插却长期「插上就进内网」。外包笔记本、访客随手一插，安全模型直接退回大二层。我们做的是一轮 有线 802.1X：账号密码（或计算机证书）过 RADIUS，交换机口在授权前隔离。

角色

组件 作用
客户端 Windows 有线自动配置 / 超管预配
认证者 接入交换机口
认证服务器 NPS / FreeRADIUS 等，接 AD
可选 动态 VLAN、MAB 给打印机兜底

第一期目标：员工域账号能上网；未认证进 Guest/隔离 VLAN；打印机等哑终端用 MAB 或静态放行口。不追求第一天全楼强制。

交换机口模式

  • access + 802.1X 认证
  • 失败动作：下发 Guest VLAN 或直接拒绝（看业务容忍度）
  • 关键时旁路：IT 保留少数 force-authorized 口，避免把自己锁在楼道
# 逻辑示意
interface Gi0/12
  authentication port-control auto
  dot1x pae authenticator
  # 失败 VLAN / 语音 VLAN 按需

RADIUS 与 AD

  • NPS 连接请求与网络策略：AD 组 G-Wired-Users
  • 共享密钥每台交换机不同更好
  • 事件日志：认证失败原因（账号错、时钟、证书、协议未开）

时钟不同步会导致证书类认证玄学失败，先保证 NTP。

Windows 客户端

组策略下发有线服务（Wired AutoConfig）、认证方法（PEAP-MSCHAPv2 等）、是否验证服务器证书。证书链没发到位时，用户只会看到「无法连接」，现场像闹鬼。

计算机认证 vs 用户认证：开机投屏/装机场景可能需要计算机认证，设计阶段就和桌面组对齐。

哑终端：打印机与考勤机

802.1X 不是全世界。选项：

  1. MAB（MAC 旁路）+ 绑定已知 MAC
  2. 独立哑终端 VLAN + 物理口静态
  3. 小交换机下挂（不推荐，扩大不可见面）

MAC 可伪造，MAB 是妥协不是荣誉。台账和端口描述要写清。

放量节奏

  1. IT 试验 VLAN 与两台交换
  2. 单个楼层
  3. 全楼；同步桌面巡检脚本：服务是否开、证书是否在

回滚：口上 port-control force-authorized，先恢复业务再查 RADIUS。

收益与代价

收益：墙插不再等于内网通行证；离职账号禁用后有线也进不来。
代价：报修量第一周上升；「我的树莓派插上没网」会变成工单。

小结

有线 802.1X 是网络与桌面、身份的交叉项目。简历可写：交换机规模、RADIUS 类型、是否动态 VLAN、哑终端策略。能上线不难，能在学期/财年不反复关掉强制模式，才算组织真的吃下了这个方案。

← Back to Blog