准入控制场景中的核心矛盾
企业网络从无密码开放接入走向基于身份的访问控制，802.1X是最成熟的技术方案之一。然而单靠交换机无法独立完成用户身份校验，必须与后端RADIUS服务器联动。不少网络管理员在实际配置时遇到认证失败频繁、端口反复震荡甚至网络中断的问题，根源往往在于对协议交互链条理解不足或参数错配。本篇围绕这一真实痛点，拆解从链路初始化到用户获权的完整配置路径。
协议交互：802.1X与RADIUS如何握手
在配置前需要明确角色分工：交换机扮演NAS（Network Access Server）角色，负责将客户端的EAPOL帧转换为RADIUS请求转发给服务器，并根据服务器返回的Accept或Reject决定端口状态。RADIUS服务器则维护用户数据库并完成EAP方法协商。
典型的认证流程包含三个阶段：
- EAPOL起始：客户端主动发送EAPOL-Start，或交换机定期发送Identity Request。
- EAP中继：交换机封装EAP报文为RADIUS Access-Request，服务器回复Access-Challenge携带具体EAP方法（如PEAP-MSCHAPv2）。
- 授权决定：服务器验证凭证后发送Access-Accept（包含VLAN、ACL等属性）或Access-Reject。
环境假设与准备工作
为使配置步骤具备可操作性，下文以如下环境为例：
- 交换机：Cisco Catalyst 2960X，运行IOS 15.x
- RADIUS服务器：Windows Server 2022 + Network Policy Server (NPS)
- 用户数据库：本地Active Directory域
- 客户端：Windows 10/11，已加入域
风险提示：在核心主干交换机上直接启用802.1X可能导致管理会话中断。务必通过带外管理或预留管理VLAN进行配置，并提前准备好本地console线。
交换机侧配置步骤
1. 开启AAA与全局认证参数
进入全局配置模式，定义RADIUS服务器及共享密钥：
radius server NPS
address ipv4 192.168.10.10 auth-port 1812 acct-port 1813
key YourSecretKey
!开启AAA全局认证，指定默认方法列表：
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
!2. 启用802.1X功能
dot1x system-auth-control
!进入目标接口（如GigabitEthernet1/0/1），配置端口模式：
interface GigabitEthernet1/0/1
switchport mode access
authentication port-control auto
dot1x pae authenticator
spanning-tree portfast
!注意：authentication port-control auto使端口在未认证前保持闭合（Unauthorized），仅允许EAPOL流量通过。启用portfast可避免STP收敛延迟影响认证计时。
3. 配置VLAN分配与回滚策略
若RADIUS返回的Access-Accept中携带了Tunnel-Private-Group-ID属性，交换机可动态将端口加入指定VLAN。推荐在配置前先在RADIUS侧设置好默认VLAN与认证失败VLAN，并保留本地回滚命令：
interface GigabitEthernet1/0/1
authentication port-control auto
authentication fallback none
dot1x timeout tx-period 5
!如遇配置错误导致无法通过认证，可在全局模式下关闭系统认证以恢复：no dot1x system-auth-control，再逐个排查。
RADIUS服务器侧配置（以Windows NPS为例）
1. 安装并启NPS角色
通过服务器管理器添加“网络策略和访问服务”角色，确保“网络策略服务器”服务已启动。注册NPS在AD中的身份，使其能从域中读取用户属性。
2. 配置RADIUS客户端
在NPS控制台左侧“RADIUS客户端和服务器” → “RADIUS客户端”，添加交换机IP地址，设置共享密钥（与交换机上一致）。注意启用“访问-请求消息必须包含消息验证器属性”以增强安全性。
3. 创建连接请求策略与网络策略
连接请求策略负责判断哪些请求由本NPS处理，通常默认保留即可。网络策略定义认证条件、约束和属性：
- 条件：Windows组“Domain Users”，NAS端口类型为“以太网”。
- 约束：EAP类型选择“Microsoft: 受保护的EAP (PEAP)”，勾选“快速重新连接”并配置PEAP安全属性（要求服务器证书）。
- 属性：标准属性中添加“VLAN ID（特定值）”或“VLAN名称”，用于动态分配。
务必在策略最后放置一条“拒绝其他访问”的规则，避免非授权用户获取网络权限。
4. 证书与CA信任
PEAP需要NPS服务器持有受客户端信任的证书。在企业AD环境下，可通过组策略推送企业根CA证书。若使用测试环境的自签名证书，需在每台客户端手动导入信任。
验证与排错要点
1. 抓包验证EAP与RADIUS交互
在交换机上执行debug radius authentication可实时查看RADIUS报文流转。典型成功输出会显示Access-Accept及属性列表。若出现“Access-Reject”，需检查RADIUS服务日志（Windows事件查看器NPS源）定位具体错误代码。
2. 常见失败原因
- 共享密钥不匹配：两端密钥必须一致，且RADIUS客户端配置中的IP地址要与交换机来源IP匹配。
- 证书过期或不可信：客户端弹出“无法验证服务器身份”提示，需更新或补发证书。
- 端口未正确配置：未启用
authentication port-control auto或错误设置为force-authorized。 - 用户账户属性限制：AD用户“拨入”属性设置为“拒绝访问”或网络策略条件不匹配。
3. 安全回滚预案
推荐在维护窗口内先在少量端口上启用802.1X并观察至少1小时。若发现大量客户端无法接入，可直接在全局关闭AAA认证或移除RADIUS服务器配置，恢复为传统MAC地址认证或无认证状态。
配置后的安全加固
联动配置完成后，仍可进一步强化：
- 启用CoA（Change of Authorization）使RADIUS能主动通知交换机改变端口状态，适用于会话超时或权限变更。
- 为交换机管理接口单独配置ACL，仅允许来自NPS服务器的RADIUS流量，避免共享密钥被嗅探。
- 定期更换RADIUS共享密钥并同步更新交换机配置。
结语
802.1X与RADIUS的联动并非简单的开启特性，而是一套需要精确对齐每层参数的复杂系统。通过本文的步骤分解与排错方法，可以显著降低初期配置的试错成本。关键原则是：先小范围验证，再逐步推广；始终保留本地console接入能力作为逃生路径。
延伸阅读