最近帮朋友收拾了一张被骂了一周的企业网。新采购的一批华为S5735交换机开局就把802.1X准入打开了结果电脑倒是都能正常上网打印机全趴窝、摄像头黑屏、门禁控制器离线。行政说打印室瘫痪保安说监控回放全断车间说门禁把人锁外面。后来查了一圈发现问题不是NAC方案本身不对而是哑终端接入这块在设计阶段就没人管。这种场景在企业网里太常见了。NACNetwork Access Control想解决的是谁在上网、能不能上、上了能干什么这件事但打印机、摄像头这类哑终端既装不了客户端也不会配合你输入账号密码更不会老老实实回应用户名密码挑战。如果只盯着PC做802.1X忽略了哑终端上线那天就是事故现场。这篇文章我基于自己维护的一套华为交换机NAC配置把打印机、摄像头、IP话机这些哑终端怎么用MAC旁路认证无感接入讲透包括RADIUS配置、认证模板、授权VLAN、常见排错适合正在做NAC改造或准备做准入控制的网络运维参考。1. 哑终端会把NAC方案打回原形共享办公场景的三个真实痛点1.1 不是所有终端都能主动说话电脑做802.1X准入逻辑很简单PC上有客户端交换机端口一旦开启认证就主动向PC发EAP Request/ChallengePC上的802.1X客户端会响应输入域账号或证书后完成认证端口放通。但打印机、摄像头、门禁、考勤机、IP话机这类哑终端它们的网卡固件里根本没有802.1X客户端。你插上网线它会做的第一件事是发DHCP Discover去要IP或者发ARP去探测网关。交换机等不到EAPOL报文就无法判断这个终端是否合法。如果端口默认处于未认证状态这些DHCP Request和ARP包会被丢掉终端拿不到IP业务直接瘫痪。这不是设备傻而是设计逻辑就不一样。PC是人机交互设备哑终端是开机即用设备。你拿PC的标准去要求打印机等于让一个只会按开关的人去做多因素认证不是说不行是根本没法落地。1.2 认证失败的连锁反应不止掉线很多人以为哑终端掉线就是网络不通重启一下就行。实际在NAC环境里哑终端掉线会引发一系列连锁反应打印机反复重启或报脱机因为它在未认证VLAN里拿不到和打印服务器同网段的IP就算拿到也只能访问受限资源。摄像头黑屏NVR录像机显示网络不可达。因为摄像头认证失败会被丢到隔离VLANNVR还在用原IP找它画面自然出不来。门禁控制器离线这门禁不只是安保问题还有消防联动的风险一旦离线整个安全流程卡壳。更麻烦的是有些哑终端每隔一段时间就会尝试重新发起DHCP或重认证一旦认证流程没处理好就会反复踢下线。等你上去排查时核心交换机日志里全是认证失败和重认证记录根本分不清哪条是真实的终端哪条是攻击流量。整张网在乱但根源就是一开始没想清楚哑终端怎么办。1.3 哑终端身份识别的核心MAC地址既然哑终端无法使用802.1X客户端那它们唯一的身份凭证就是MAC地址。MAC旁路认证MAC Authentication Bypass简称MAB的逻辑就是检测到终端不支持802.1X时自动把终端网卡的MAC地址当作用户名和密码发给RADIUS服务器去校验。RADIUS里维护一份允许接入的MAC白名单命中就放行并下发对应的授权VLAN或ACL。一句话总结电脑用账号证明身份哑终端用MAC地址证明身份。这也是做NAC时一定要把MAC管理好、格式统一好的原因。后面所有坑基本都跟MAC地址的格式、大小写、分隔符有关。2. NAC三件套RADIUS模板、认证域、认证模板怎么咬合2.1 为什么RADIUS是认证决策的中心华为交换机本身不做认证决策它只负责收集终端信息并执行授权结果。真正判断这个MAC能不能进、进哪个VLAN的是RADIUS服务器。所以NAC的配置骨架实质上是三类东西的配合RADIUS服务器模板定义RADIUS服务器的IP、端口、共享密钥。AAA认证域定义认证走RADIUS、计费走RADIUS绑定RADIUS模板。认证模板定义端口上跑802.1X还是MAC认证以及两种认证的兜底关系。这三者的关系可以理解为认证模板是门口保安认证域是保安手里的对讲机RADIUS服务器是坐在监控室里查名单的人。保安接到终端请求后用对讲机问监控室这个MAC能不能进监控室查完名单说可以让他去VLAN 60保安再开门并把人领到对应的楼层。2.2 认证模板如何同时允许802.1X和MAC认证在华为交换机上认证模板authentication-profile可以同时绑定dot1x-access-profile和mac-access-profile。绑了之后端口同时具备802.1X和MAC认证能力具体走哪种认证由终端行为决定如果终端主动发EAPOL报文交换机走802.1X流程。如果终端一直发DHCP、ARP等普通数据帧且802.1X等待超时交换机就触发MAC认证把源MAC作为用户名和密码。这就是MAC旁路认证在华为交换机上的实现方式802.1X优先MAC兜底。也正因为如此哑终端接入不需要单独占一个端口模式只要按需求调整认证模板和接口配置就能覆盖。2.3 认证域账号从哪里来、去哪个服务器验证认证域domain需要指定认证方案和计费方案。我习惯把认证域命名为nac认证方案里authentication-mode radius表示所有认证请求都交给RADIUS不做本地认证。如果你在RADIUS服务器宕机时还想让部分白名单终端活着可以配authentication-mode radius local但要注意安全与可用性的权衡这个后面排错部分会详细说。还有一个隐藏细节MAC地址作为用户名发给RADIUS时默认带不带域名后缀会影响RADIUS侧的用户名匹配。华为交换机默认可能在用户名后附加域名比如aabbccddeeffnac。如果RADIUS服务器里存的是纯MAC地址匹配就会失败。通常建议在RADIUS服务器模板里配置undo radius-server user-name domain-included让交换机发送时去掉域名后缀只发MAC。3. 华为交换机NACMAB配置实录以S5735为例3.1 组网假设的规划先说下我配置时的组网背景方便你对号入座。公司有五个部门按部门划分五个子网A部门100台主机、B部门50台、C部门20台D和E部门相对较小。核心交换机是S5730或S5735接入交换机下联工位网口、打印机网口、摄像头网口。VLAN规划VLAN用途网段说明VLAN 10A部门192.168.10.0/24可放100主机VLAN 20B部门192.168.20.0/24可放50主机VLAN 30C部门192.168.30.0/24可放20主机VLAN 40D部门192.168.40.0/24较少VLAN 50E部门192.168.50.0/24较少VLAN 60哑终端设备网192.168.60.0/24打印机、摄像头、门禁等我特意把哑终端单独划一个VLAN而不是混在部门VLAN里。原因有两个一是哑终端的访问权限和PC不一样它们大部分只需要访问打印服务器、NVR、门禁服务器不该被办公网里的PC随意访问二是审计时方便通过VLAN区分终端类型遇到问题不用抓包猜。3.2 RADIUS侧的准备MAC用户名格式约定在敲交换机命令之前先和RADIUS管理员统一MAC地址格式。这一步一定不要省。华为交换机默认把MAC作为用户名发送时带不带连字符、大小写因版本而异。常见格式有两种带连字符小写aa-bb-cc-dd-ee-ff不带连字符小写aabbccddeeffRADIUS服务器里维护MAC白名单时必须与交换机发送格式保持一致。很多同事习惯从设备面板抄MAC写成AA:BB:CC:DD:EE:FF的大写冒号格式导入RADIUS后必然匹配失败。如果RADIUS里统一存不带连字符的小写那交换机侧可以配置MAC用户名的发送格式。老版本华为交换机在系统视图下配置mac-authentication username format without-hyphen lowercase新版本的入口可能在MAC接入模板里不同V200R0xx版本命令位置有差异。稳妥的做法是在设备上敲display this查看当前MAC模板配置再和RADIUS服务器比对确保两边都是同一个格式。3.3 交换机侧的核心配置命令以S5735、V200R019版本为参考配置思路如下。第一步配置RADIUS服务器模板radius-server template nac_server radius-server shared-key cipher Huawei123 radius-server authentication 1812 radius-server accounting 1813 radius-server retransmit 2 radius-server timeout 5 undo radius-server user-name domain-included这里undo radius-server user-name domain-included很关键去掉用户名后面的域名后缀让RADIUS直接用MAC地址匹配白名单。第二步配置AAA认证域aaa authentication-scheme nac_auth authentication-mode radius accounting-scheme nac_acct accounting-mode radius domain nac authentication-scheme nac_auth accounting-scheme nac_acct radius-server nac_server第三步配置802.1X接入模板和MAC接入模板dot1x-access-profile name dot1x_prof dot1x authentication-method eap quit mac-access-profile name mac_prof mac-authentication quit第四步配置认证模板把两种接入方式绑到一起authentication-profile name nac_profile dot1x-access-profile dot1x_prof mac-access-profile mac_prof quit第五步在接口上应用认证模板interface GigabitEthernet0/0/1 port link-type access port default vlan 10 authentication-profile nac_profile这里面有一个版本坑V200R005之前的传统NAC模式接口上一般还要手动执行dot1x enable和mac-authentication enable统一认证模式V200R005之后只绑定authentication-profile即可。如果你在自己设备上配完发现端口没有触发认证优先查一下版本和认证模式再用display this看接口下的实际配置不要硬套网上教程。3.4 接口绑定与部门VLAN、语音VLAN的联动工位网口直接绑认证模板即可认证通过后RADIUS会下发部门VLAN。但打印机、摄像头、IP话机这些场景要额外注意打印机端口不需要等802.1X超时直接在接口下只保留MAC认证逻辑mac-access-profile或者把802.1X超时调短避免打印机插上线后干等30秒才认证。摄像头端口同样建议优先触发MAC认证而且最好在RADIUS里为摄像头MAC绑定固定IP/DHCP保留否则认证VLAN切换会导致IP变化NVR会找不到摄像头。IP话机接口很多话机是电话接在交换机上、电脑串在话机后面这种场景涉及语音VLAN和数据VLAN的区分。华为交换机上语音VLAN一般配合LLDP-MED下发和NAC认证逻辑需要同时共存。如果只配置了voice-vlan而没有把MAC认证放通话机会反复注册失败。实际部署时话机接口一般同时绑定voice-vlan和authentication-profile语音VLAN优先认证通过后数据VLAN再下发。4. MAC旁路认证正确打开方式先802.1X后MAC兜底4.1 MAB的触发时序MAC旁路认证的触发时序其实非常讲究。端口绑定认证模板后交换机会这样工作终端插上线端口先处于未认证状态所有数据帧几乎都是受限的。交换机等待EAPOL报文这个等待时长由dot1x timer supp-timeout等参数控制。如果终端是PC立即回EAPOL走802.1X正常流程。如果终端是打印机/摄像头它不会回EAPOL只会继续发DHCP、ARP或自己的私有协议报文。交换机收到这些非EAPOL报文后把源MAC当作用户名密码向RADIUS发MAC认证请求。RADIUS返回Access-Accept交换机把端口切到授权VLAN放通数据。有个经验对于纯哑终端端口没必要让它等太久的802.1X超时。打印机插上电还要初始化十几秒如果交换机的EAPOL等待时间太短可能打印机还没准备好就触发了MAC认证如果太长又会导致打印机拿IP变慢。我一般把纯哑终端端口的802.1X超时调到5秒左右让MAC认证尽快兜底减少用户感知的掉线时间。4.2 哪些端口应该只开MAC认证MAB虽然好但不是所有端口都适合先802.1X后MAC的混合模式。我的经验是这样区分办公工位口混合模式PC走802.1X如果哪天有人私接了打印机或小交换机也能被MAC认证拦一道。打印机/摄像头/门禁专用口直接只开MAC认证不做802.1X。因为这类端口接入的是固定哑终端不存在需要输入账号的PC等EAPOL纯粹浪费时间。接入层上联口和汇聚口一律不开认证。上联口同时承载大量终端流量开认证会引起MAC漂移、认证风暴等问题。区分方法就是在认证模板上做文章。给办公口绑nac_profile混合认证给哑终端口单独建一个mac_only_profile只绑mac-access-profile不绑dot1x-access-profile。这样端口行为一目了然排障也方便。4.3 摄像头和打印机的授权策略差异MAC认证通过只是第一步通过后给什么权限更重要。很多NAC项目失败不是认证没通而是授权策略太粗放所有设备一股脑进了同一个VLAN网络隔离名存实亡。我推荐按设备类型配置不同的授权结果打印机RADIUS返回Filter-Id ACL或专用VLAN只允许访问打印服务器IP的9100/515/631端口禁止访问办公网和互联网。这样就算打印机被利用攻击面也有限。摄像头RADIUS返回VLAN 60并配合ACL只允许访问NVR所在网段和网关。摄像头本身漏洞多隔离到独立网段是底线。门禁控制器建议MAC白名单固定IP双保险只允许访问门禁服务器禁止任何外联。IP话机语音VLAN或专用语音网段只放通SIP服务器和TFTP/HTTP配置服务器。RADIUS下发的授权VLAN在华为交换机上一般通过Tunnel-Private-Group-ID属性实现。要注意的是RADIUS下发的VLAN必须在交换机上真实存在且端口需要允许这个VLAN通过。如果接口是access口有些版本动态切换PVID时会有兼容性问题我习惯把哑终端口配成hybrid类型让授权VLAN可以灵活放通。5. 避坑排错三个月踩过的哑终端接入坑5.1 打印机开机就掉线看似随机故障第一次排查打印机接入问题时我盯着RADIUS日志看了一下午发现打印机的MAC认证请求时有时无。后来才意识到问题出在802.1X等待超时上打印机开机后先发DHCP但交换机还在等EAPOL等到超时后又重新发起认证结果两边节奏没对上打印机拿不到IP就报脱机。解决方式很简单把打印机网口单独划成仅MAC认证端口不等待EAPOL。同时把打印机的IP在DHCP里做保留避免认证通过后因为VLAN切换导致IP变更。改完之后打印机开机十几秒就能进到设备VLAN再也没有反复掉线的情况。5.2 摄像头重启后入网失败问题出在MAC格式另一个印象深刻的问题是摄像头批次重启后全部离线。排查时发现RADIUS服务器里存的摄像头MAC带连字符小写而华为交换机MAC认证发过去的用户名是不带连字符的。由于两边格式不一致RADIUS根本匹配不到白名单认证失败的记录刷了一屏。解决方法是统一格式。我在交换机侧配置了不带连字符小写的MAC用户名格式同时要求RADIUS侧清理了一遍存量MAC白名单全部改成同一种格式。从那以后摄像头批量重启也能正常拉起认证。这个坑看似简单实际特别容易踩因为不同版本华为交换机对MAC用户名格式的默认值不一样RADIUS服务器导表时也可能自动格式化。建议在开通前就用一台哑终端做格式验证确认通过后再批量导入。5.3 广播报文刷屏与认证风暴有一段时间核心交换机CPU偏高排查发现是几百台摄像头在早上同一时间通电同时发起MAC认证请求RADIUS服务器响应不过来出现大量重传。再加上摄像头网段里有一些组播报文没有被正确处理整个认证链路雪上加霜。处理思路有三个摄像头端口不采用动态MAC认证改为静态MAC白名单提前下发到设备上减少认证交互。在接入端口开启广播/组播抑制防止摄像头异常报文冲击CPU。调整RADIUS服务器并发和超时参数避免集中上线时请求堆积。排查广播和组播时可以用display mac-address | include broadcast在交换机上看有没有异常的广播MAC表项配合display interface统计丢包情况能快速定位是哪个端口在刷流量。5.4 级联端口误开认证导致MAC漂移C部门有一排摄像头通过一个小型傻瓜交换机汇聚后再用一根网线接到华为交换机上。当时图省事把这根上联线也直接绑了认证模板结果出现一个很诡异的现象摄像头在线几分钟后就掉线重新拔插网线又好一阵。后来看日志才发现傻瓜交换机下面挂了多台摄像头每台摄像头的MAC都通过同一个物理端口上线。认证模板在这个端口上反复处理多个MAC的认证请求而真正的接入端口却什么都没做MAC地址在不同VLAN/端口间漂移交换机防MAC漂移机制直接把端口隔离了。标准做法是只在最终接入哑终端的边缘端口做认证级联端口、傻瓜交换机的上联口一律放通不参与NAC。另外接入端口开启stp edged-port避免傻瓜交换机BPDU影响生成树计算。5.5 常用排错命令和日志定位这里整理一下我排哑终端NAC问题最常用的几条命令都是实际打架时验证过有用的# 查看认证模板和接口绑定状态 display authentication-profile configuration display authentication-profile interface GigabitEthernet0/0/1 # 查看端口802.1X和MAC认证状态 display dot1x interface GigabitEthernet0/0/1 display mac-authentication interface GigabitEthernet0/0/1 # 查看在线用户和认证来源 display access-user interface GigabitEthernet0/0/1 display aaa online-user domain nac # 查看异常下线记录掉线原因一目了然 display aaa abnormal-offline-record最有用的是display aaa abnormal-offline-record它会记录用户掉线的具体原因比如认证超时、RADIUS无响应、VLAN下发失败等。比你在RADIUS日志里翻半天效率高得多。如果怀疑RADIUS请求报文有问题可以打开调试debugging radius packet terminal debugging terminal monitor调试信息输出量大生产环境慎用建议在业务低峰期操作用完立即关闭。5.6 快速排查表格症状可能原因排查方向哑终端完全无法认证RADIUS里没有MAC白名单核对MAC格式、大小写、分隔符认证通过但业务不通授权VLAN错误或ACL太严检查RADIUS授权属性和端口放通VLAN认证后频繁掉线重认证周期太短或RADIUS超时关闭周期性重认证调长超时摄像头/打印机批量掉线集中上线引发认证风暴静态MAC白名单、限制端口广播MAC漂移告警级联口误开认证只在边缘接入口做认证802.1X等待太久哑终端口启用混合认证哑终端口只开MAC认证RADIUS服务器挂了全网瘫痪认证方案没有本地兜底根据业务设计radiuslocal降级策略6. 上线前我建议你先做这三件事如果你正准备在公司部署华为交换机NAC尤其是有大量打印机和摄像头的情况下我的建议是别急着在核心区域开全局认证。先做三件事第一把哑终端MAC清单梳理干净。找行政要打印机台账找安保要摄像头和门禁台账整理成Excel设备名称、型号、MAC、接入交换机IP、端口、用途、是否固定IP。这张表就是你的哑终端白名单底稿RADIUS导入和后期维护都靠它。第二找一个试点端口先跑通全流程。拿一台打印机、一台摄像头在一个不影响业务的工位口上验证MAC格式、授权VLAN、重认证周期。确认打印机能找到打印服务器摄像头能被NVR搜到再考虑批量切换。第三给未认证用户留一条后路。不要把所有未认证流量直接丢进黑洞至少配置guest-vlan或critical-vlan作为兜底让认证失败或RADIUS不可达的终端还能访问DHCP和IT管理网段。否则RADIUS服务器一重启全厂哑终端跟着瘫痪这个锅谁也背不动。就我个人的维护体会来说NAC配置命令本身不算难真正考验人的是对哑终端的理解和对异常情况的预案。把打印机、摄像头这些不会说话的设备照顾好NAC项目基本就成了大半。