交换机开启本地mac认证之后，未被认证的mac地址无法被看到，这个该怎么查看

一、核心结论

• H3C设备：display mac-authentication [interface [接口名]]
  执行后需在输出中查找 Silent MAC info 或 Silent Mac User info 部分，此处会明确列出未通过认证的MAC地址。

二、具体查看方法

（1）查看全局静默MAC列表

• 关键输出示例：
  Silent Mac User info: MAC Addr From Port Port Index 00e0-fc11-1111 GE1/0/1 1
  • 此处 00e0-fc11-1111 为未通过认证的MAC地址，GE1/0/1 为接入端口5。

（2）查看指定接口的静默MAC

• 关键输出位置：
  在接口认证统计信息中，会明确列出 Silent Mac User info 表格，包含未认证MAC地址、端口及静默原因3。

三、关键原理说明

1. 为什么未认证MAC不会出现在常规MAC表？

• 认证流程阻断机制：
  开启MAC认证后，交换机在认证完成前会阻断所有非认证流量（仅允许EAPOL认证报文）。
  • 未认证的终端无法发送数据包，交换机收不到其MAC地址的源帧，因此 display mac-address 无法学习到该MAC。
  • 未认证的MAC会被记录到静默列表，并进入静默定时器（默认60秒），期间交换机忽略该MAC的认证请求3。

四、故障排查建议

1. 确认静默MAC是否被正确记录

• 若执行上述命令未看到未认证MAC，可能原因：
  • 终端未触发认证流程（如未发送DHCP请求或802.1X报文）；
  • 静默定时器已超时，MAC自动从静默列表移除（需重新触发认证）。

2. 临时解除静默状态（测试用）

• 执行后，交换机会立即重新处理该MAC的认证请求，便于快速验证配置是否正确3。

3. 常见配置检查点

• 本地用户是否匹配：
  未认证MAC对应的本地用户名必须与MAC地址格式完全一致（区分大小写、连字符）。
  • 例如：若配置 user-name-format mac-address with-hyphen lowercase，则用户名需为 00-e0-fc-12-34-56（而非 00E0FC123456）5。
• 认证域绑定：
  确认接口或全局配置的认证域（mac-authentication domain）已正确关联本地用户。

开启 mac-authentication 后，交换机默认不会把未认证 MAC 放到普通 MAC 地址表，所以 display mac-address 看不到；但可以用专门的 MAC 认证命令看到 “未认证 / 认证中” 的 MAC。
下面按 H3C 交换机（你环境常用）给你直接能用的命令。
一、看全局 / 端口下所有 MAC 认证状态（含未认证）
bash
运行
display mac-authentication
输出里会有：
plaintext
MAC address Auth state
0001-0000-0001 Unauthenticated <-- 未认证
0001-0000-0002 Authenticated <-- 已认证
Unauthenticated：就是你要的 “未被认证的 MAC”
同时能看到端口、认证状态、在线时长
只看某个端口：
bash
运行
display mac-authentication interface GigabitEthernet 1/0/1
二、看 Guest VLAN / Critical VLAN 里的未认证 MAC（常用）
如果端口配置了 guest-vlan 或 critical-vlan，未认证 MAC 会被放到这些 VLAN 里，用：
bash
运行
# 看 Guest VLAN 里的未认证 MAC
display mac-authentication mac-address guest-vlan

# 看 Critical VLAN 里的未认证 MAC
display mac-authentication mac-address critical-vlan

# 只看某个端口
display mac-authentication mac-address guest-vlan interface GigabitEthernet 1/0/1
这些 MAC 就是已经上线但没通过认证的终端。
三、为什么 display mac-address 看不到？
开启 mac-authentication 后：
已认证 MAC：会正常写入二层 MAC 地址表 → display mac-address 能看到
未认证 MAC：不写入普通 MAC 表，只存在于 MAC 认证模块 → 只能用上面 display mac-authentication 系列命令看
四、快速排查步骤（你直接照着敲）
先确认全局是否开启：
bash
运行
display mac-authentication | include "MAC authentication"
看所有未认证 MAC：
bash
运行
display mac-authentication | include Unauthenticated
看某个端口的未认证 MAC：
bash
运行
display mac-authentication interface GigabitEthernet 1/0/1 | include Unauthenticated
看 Guest VLAN 里的所有未认证 MAC：
bash
运行
display mac-authentication mac-address guest-vlan
五、补充（可选）
如果你是 iMC/EIA 配合 MAC 认证：
交换机上只能看到 “已上线未认证” 的 MAC
真正的认证失败日志 / 拒绝列表要在 iMC → 用户 → 接入日志 → MAC 认证日志里看。