802.1x认证111

在核心交换机接口开启802.1X认证后，未通过认证的终端，交换机确实看不到它的MAC地址。这通常是802.1X认证机制的正常表现，而不是终端或配置有问题。

 核心原因：802.1X的端口阻塞机制

当你在交换机接口上开启802.1X认证（且未配置特殊VLAN）时，该逻辑端口会处于阻塞状态。具体机制如下：

1. 仅允许认证报文通过：在终端通过认证之前，交换机会丢弃该终端发送的所有数据流量（如ARP、DHCP、普通IP报文），仅允许EAPOL（Extensible Authentication Protocol over LAN）认证报文通过。

2. MAC地址学习的前提是接收数据帧：交换机学习MAC地址，需要从终端发出的数据帧中读取源MAC地址并写入MAC地址表。由于数据帧在上游就被丢弃了，交换机自然无法学习到终端的MAC地址。

3. 认证通过后才放行：只有当终端通过RADIUS服务器或本地认证后，交换机才会打开端口的数据通道，此时终端的数据流量才能通过，MAC地址也会随之出现在MAC地址表中。

 不同配置下的MAC地址学习情况对比

为了帮你更清晰地判断，下表总结了不同配置下的情况：

 排查步骤建议

根据你的情况，可以按以下步骤确认：

1. 检查802.1X状态及配置

   # 查看802.1X全局及接口配置

   display dot1x interface GigabitEthernet x/x/x 确认输出中接口状态是否为 802.1X authentication: Enabled

2. 确认未看到MAC地址是正常现象

   # 查看MAC地址表（应该看不到未认证终端的MAC）

   display mac-address interface GigabitEthernet x/x/x
3. 检查是否存在特殊VLAN配置# 查看接口下是否有Guest VLAN或Auth-Fail VLANdisplay dot1x interface GigabitEthernet x/x/x 如果 Guest VLAN或 Auth-Fail VLAN显示为 Not configured，那么未认证时看不到MAC地址是完全正常的。

4. 确认认证报文交互情况

   # 查看该接口下是否有正在认证或已认证的用户

   display dot1x connection interface GigabitEthernet x/x/x 如果终端已开始认证但尚未成功，这里可能会显示认证状态为 Unauthenticated。