802.1x认证怎么用？

为啥要使用802.1x认证？

什么是802.1x认证

802.1X 的核心可以概括为：它像一个网络端口的“电子门禁”，在设备通过身份认证之前，不允许它访问网络资源。

一句话概念

802.1X 是一种基于端口的网络接入控制（Port-Based Network Access Control, PNAC）协议 ，由 IEEE 在 2001 年发布（802.1X-2001，后有 2010/2020 修订版）。它在数据链路层（二层）对要接入局域网的用户或设备做身份认证， 认证通过前物理/逻辑端口只放行认证报文，认证通过后才开放正常业务流量 ，从而把"未授权设备"挡在网络门外。

三大角色（AAA 模型）

关键点：交换机本身 不判密码对错 ，它只是 RADIUS 的"中继 + 执行者"。

两个协议、一段链路

[Supplicant] ←—EAPOL—→ [Authenticator (Switch)] ←—EAP over RADIUS—→ [RADIUS Server]
二层(Eth/WiFi) UDP/1812

• EAPOL （EAP over LAN, RFC 3714）：Supplicant ↔ Authenticator 之间的封装格式，直接打在以太网帧里，EthType =0x888E 。
• EAP （Extensible Authentication Protocol, RFC 3740）：真正的认证对话核心，可承载多种方法（MD5、TLS、TTLS、PEAP、FAST…）。
• EAP over RADIUS （RFC 3579）：Authenticator ↔ AS 之间把 EAP 报文塞进 RADIUS 的EAP-Message 属性中透传。

端口状态机（核心机制）

802.1X 把受控端口定义为两个方向：

• 可控入向（controlled In） ：认证前只允许 EAPOL；认证后才放行业务流量

• 不可控入向（uncontrolled In） ：始终允许 EAPOL（保证认证通道畅通）

• 出向通常与入向联动（也有双向独立控制的扩展用法）
  状态分两态：

• Unauthorized ：受控端口关闭，业务流量被丢弃

• Authorized ：受控端口打开，业务流量正常转发

一次典型认证流程（以 EAP-MD5 为例）

1. 初始化 ：Supplicant 接入端口，端口处于 Unauthorized，只放行 EAPOL。
2. 触发 ：可由 Supplicant 发EAPOL-Start ，也可由 Authenticator 主动发EAP-Request/Identity 。
3. 报身份 ：Supplicant 回EAP-Response/Identity （用户名）→ 交换机封装成Access-Request 转给 RADIUS。
4. 挑战-回应 ：RADIUS 回EAP-Request/MD5-Challenge （随机数）→ 交换机转发 → Supplicant 用密码算 Hash 回EAP-Response/MD5-Challenge → 交换机再透传给 RADIUS。
5. 判决 ：RADIUS 校验通过则回EAP-Success （封装在Access-Accept ），否则EAP-Failure （Access-Reject ）。
6. 端口开门 ：交换机收到 Accept → 端口切到 Authorized；可选地按 RADIUS 下发的属性（VLAN、Filter-Id/ACL、Session-Timeout、限速等）执行授权策略。
7. 下线 ：Supplicant 发EAPOL-Logoff 或链路断开 → 端口回到 Unauthorized。 实际企业网中更常用的是 EAP-PEAP/TTLS （隧道加密的密码认证）或 EAP-TLS （双向证书，无密码），MD5 只用于教学演示。

现代增强（与基础原理配套使用）

• MAB（MAC Authentication Bypass） ：对不支持 802.1X 的设备（打印机/IoT），用 MAC 地址当用户名密码走 RADIUS。
• WebAuth/本地认证 ：dot1x 失败后兜底网页认证。
• Critical-Auth / Fallback ：RADIUS 全宕机时端口进入"逃生模式"放行到受限 VLAN，避免大面积断网。
• 多 Auth 模式 ：交换机单端口可挂 Hub/AP，每台主机单独认证（multi-auth / multi-supplicant），相比单 Auth/single-host 更适合无线和汇聚场景。
• MACsec 802.1AE + 802.1X EAPOL-Key ：用 dot1x 协商出的密钥做逐跳链路层加密。
• 无线场景 ：WPA2/WPA3-Enterprise 本质就是把 802.1X + EAP 用在 Wi-Fi 上，AS 用 RADIUS，AP 做 Authenticator，密钥协商用 4-way handshake（EAPOL-Key 报文）。

为什么叫 "dot1x"

802 协议族里写作802.1X ，CLI 中 Cisco/H3C/华为把802.1X 简写为 dot1x ，命令形如dot1x enable /dot1x authentication-method eap 。

一句话总结

dot1x = 在二层端口上用 EAPOL 跑 EAP，由交换机把 EAP 报文透传给 RADIUS，根据 RADIUS 的 Accept/Reject 把受控端口切到"Authorized/Unauthorized"两种状态，从而实现"先认证后接入"。 它本身只解决"端口开关"问题，真正判身份、授权策略的是 RADIUS，而它选哪种 EAP 方法决定了安全强度。