802.1x配置案例及参数说明

802.1X（dot1x）是基于端口的网络接入认证协议，企业用于内网准入管控。终端接入交换机端口时，必须使用账号、MAC等认证通过，才能访问内网资源。能够防止非法设备私自接入内网，降低病毒、越权访问风险，是企业内网安全基线常用手段。

本文根据某客户S5720接入交换机实际配置案例，对华为交换机配置dot1x认证的整体过程，以及各命令参数的用途进行介绍。

一、dot1x的认证方式

802.1X由请求方（终端802.1X客户端）、认证者（交换机）、认证服务器（RADIUS）三部分组成，终端与交换机之间用EAPOL承载EAP报文。

交换机侧有两种实现方式：EAP中继——交换机原样封装EAP报文为RADIUS（EAPOR）转发给服务器终结；EAP终结——交换机本地终结EAP，再以PAP/CHAP与服务器交互。对应命令为802.1X接入模板下的dot1x authentication-method { eap | chap | pap }，缺省为eap。

服务器支持EAP时优先使用用EAP中继模式（PEAP/EAP-TTLS不传明文口令，且交换机只做封装转发、CPU开销最低）；仅支持PAP/CHAP时用EAP终结CHAP；PAP仅作兼容性兜底。

二、配置案例

以下为某客户在S5720交换机下的dot1x配置模板，可供参考。