问题描述：
下面是是我交换机配置
sysname C2-9.23
#
domain default enable ac-domain
#
ipv6
#
dot1x
dot1x retry 5
dot1x authentication-method eap
#
mac-authentication
mac-authentication user-name-format mac-address with-hyphen
#
password-recovery enable
#
vlan 1
#
vlan 10
description yjy
#
vlan 20
description tangyun
#
vlan 30
description devmg
#
vlan 40
#
radius scheme 1x-ca
primary authentication 6.6.6.16
primary accounting 6.6.6.16
key authentication cipher $c$3$JkEw+aqEliZT8i5ot69Kg9wupeHImlbI5xEYbqkp4g==
key accounting cipher $c$3$4HdPXihBtw0PFkxz5oxtJcpQR5pQm9ja8W6aOKQ2zw==
user-name-format without-domain
#
domain ac-domain
authentication lan-access radius-scheme 1x-ca
authorization lan-access radius-scheme 1x-ca
accounting lan-access radius-scheme 1x-ca
access-limit disable
state active
idle-cut disable
self-service-url disable
domain mac-auth
access-limit disable
state active
idle-cut disable
self-service-url disable
domain system
access-limit disable
state active
idle-cut disable
self-service-url disable
#
user-group system
group-attribute allow-guest
1. 完整的认证配置：包括 `domain`、`scheme`、`radius scheme` 和 `radius server` 的配置。
2. 接口应用配置：`dot1x` 和 `mac-authentication` 在接口下的具体应用模式。
3. 具体故障现象：是MAB用户完全无法上线，还是上线后用户名格式不符合预期？
根据“认证用户名带域名后缀”的描述，问题很可能与 `domain` 配置或 RADIUS方案中的 `user-name-format` 有关。
关键排查点与命令：
1. 检查在线用户信息：`display connection` 查看已上线用户的实际用户名格式。
2. 检查域配置：`display domain [name]` 查看默认域或指定域的配置，确认是否配置了强制域名后缀。
3. 检查RADIUS方案配置：`display radius scheme [name]` 查看 `user-name-format` 设置。如果设置为 `with-domain`，则发送给RADIUS服务器的用户名会携带域名。
可能的配置调整：
如果希望RADIUS服务器收到的用户名不带域名，在RADIUS方案视图下执行 `user-name-format without-domain`。
如果希望MAB用户使用统一的域名，可以在域视图下配置 `service-type lan-access`，并在接口或全局的MAC认证配置中指定该域，例如在系统视图下 `mac-authentication domain [domain-name]`。
请补充信息以便进一步定位。
问题可能出在接口配置缺失或域名剥离不生效。
一、检查接口下的认证配置
你提供的配置中没有包含接口部分的配置，这是关键缺失。你需要确认在连接终端的接口下是否启用了802.1X和MAC认证，并且指定了正确的认证域。
示例接口配置（假设连接终端的接口为GigabitEthernet1/0/1）：
dot1x authentication-method eap
dot1x mac-binding enable # 开启MAC地址绑定（可选）
dot1x domain ac-domain # 指定802.1X使用的域
mac-authentication domain mac-auth # 指定MAC认证使用的域（通常单独建一个域）
dot1x mac-authentication
说明：
dot1x domain ac-domain 确保802.1X认证时使用你配置的 ac-domain 域，该域下已设置 user-name-format without-domain。mac-authentication domain mac-auth 可单独指定MAC认证域，该域下不应配置 user-name-format without-domain（MAC地址本身无域名）。二、验证域名剥离是否生效
即使配置了 without-domain，也建议通过debug或日志确认交换机实际发给RADIUS的用户名。
1. 开启debugging（注意生产环境慎用）
terminal monitor
terminal debugging
然后让终端发起802.1X认证，观察打印信息中
User-Name 字段的值。如果仍然带有 @xxx，则说明剥离未生效。2. 查看RADIUS服务器日志
在RADIUS服务器（如iMC）上查看认证请求日志，确认收到的用户名格式。如果带域名，则交换机侧剥离失败。
三、常见原因及修正
| 现象 | 可能原因 | 解决方法 |
|---|---|---|
| 用户名仍带域名后缀 | 接口下未引用 ac-domain，而是使用了默认域或system域 | 在接口下明确指定 dot1x domain ac-domain |
只配置了全局域 domain default enable ac-domain | 全局默认域只影响未指定域的场景，但802.1X有时不继承 | 接口下显式指定更保险 |
RADIUS方案中 user-name-format 未生效 | 该命令需要在RADIUS方案视图下正确配置，且域中引用了该方案 | 检查 radius scheme 1x-ca 下确实有 user-name-format without-domain，并确认 domain ac-domain 下引用了该方案 |
| 客户端强制发送带域名的用户名（如Windows自动添加） | 某些802.1X客户端（如Windows自带的）会默认发送 user@domain | 修改客户端设置或使用iNode客户端，强制发送不带域名的用户名 |
四、推荐的完整配置补充
1. 创建MAC认证专用域（可选）
如果你希望MAC认证时不剥离任何内容（MAC地址本身无域名），可以单独建一个域：
authorization lan-access radius-scheme 1x-ca
accounting lan-access radius-scheme 1x-ca
user-name-format keep-original # 保持原样（MAC地址）
2. 接口完整配置示例
port access vlan 10
dot1x authentication-method eap
dot1x domain ac-domain mac-authentication domain mac-auth
dot1x mac-authentication
3. 确保MAC认证用户名格式正确
你已经配置了 mac-authentication user-name-format mac-address with-hyphen，这会将MAC地址格式化为 xx-xx-xx-xx-xx-xx 形式。请确保RADIUS服务器上存储的MAC地址也是这种格式。
五、验证步骤
查看接口下生效的配置：
display current-configuration interface GigabitEthernet 1/0/1查看认证会话：
display mac-authentication connectiondisplay dot1x sessions测试802.1X认证：使用iNode客户端或Windows自带客户端，输入不带域名的用户名（或带域名，依赖交换机剥离），观察认证结果。
如果仍然失败：将RADIUS方案中的
user-name-format临时改为keep-original，然后在客户端输入带域名的用户名测试，如果此时能成功，说明RADIUS期望的就是带域名的用户名。那么你应该保留keep-original或调整RADIUS服务器配置。
暂无评论
一、问题根本原因（10 秒看懂）
domain default enable ac-domain
ac-domainradius scheme 1x-ca
user-name-format without-domain
二、正确解决方案（直接复制执行）
目标
最终命令（直接粘贴）
# 单独给 MAC 认证指定一个 不带域名 的域
mac-authentication domain mac-auth
# 进入这个域，让它使用你的 radius 1x-ca
domain mac-auth
authentication lan-access radius-scheme 1x-ca
authorization lan-access radius-scheme 1x-ca
accounting lan-access radius-scheme 1x-ca
# 强制这个域 不携带域名（关键）
user-name-format without-domain
解释作用
mac-authentication domain mac-auth→ MAC 认证强制使用 mac-auth 域，不使用全局默认域- 该域配置
without-domain→ MAC 地址发送给 RADIUS 时，完全不带域名后缀
三、为什么这样能解决？
- 802.1x → 使用域
ac-domain（带域名） - MAB (MAC) → 也被强制使用
ac-domain（带域名）
- 802.1x → 走
ac-domain（不变） - MAB → 走 mac-auth 域（不带域名）
MAC 认证：纯 MAC 地址，无域名后缀
四、验证是否成功
display mac-authentication
Mac authentication domain: mac-auth
五、我再帮你检查一下你的最佳配置格式
mac-authentication user-name-format mac-address with-hyphen
aabb-ccdd-eeffmac-authentication user-name-format mac-address plain
aabbccddeeff六、最终总结（最关键）
mac-authentication domain mac-auth
mac-auth 域引用 radius 并关闭域名MAB 用户名立刻不带后缀！暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论