EIA进行1X认证，如果接入策略中不下发vlan，那认证通过后用户属于那个vlan

H3C iMC EIA 802.1X 不下发 VLAN 时归属规则
一、核心结论
接入策略不配置下发动态 VLAN时，终端认证上线不会自动下发任何默认 VLAN，用户流量完全沿用交换机端口原生静态 VLAN（端口 access/hybrid/trunk 配置的本地初始 VLAN）。
二、分端口模式详细说明
1. 端口为 Access 模式（最常用办公接入口）
端口基础配置示例：
plaintext
interface GigabitEthernet 1/0/1
port link-type access
port access vlan 10 // 端口原生静态VLAN10
dot1x authentication method eap
EIA 接入策略不填下发 VLAN → 认证成功后，用户仍处于VLAN10，无任何 VLAN 变更。
2. 端口为 Hybrid 模式
plaintext
interface GigabitEthernet 1/0/1
port link-type hybrid
port hybrid untagged vlan 20 // 原生放通VLAN20为本地默认
dot1x
不下发 VLAN 策略：终端流量在 untagged 原生 VLAN20 转发。
3. 端口 Trunk 模式（极少用于终端 1X 接入）
端口默认允许所有 VLAN、无原生 untagged；无下发 VLAN 时，终端无法正常转发，业务断网。
终端接入不建议 trunk，必须 access/hybrid。
三、区分 2 个容易混淆的关键点
1. EIA 策略 “下发 VLAN”= 动态覆盖端口原生 VLAN
策略填写 VLAN 30：认证后端口临时切换 untagged VLAN30，覆盖原有静态 VLAN；下线后恢复端口原生 VLAN。
策略空白不填 VLAN：不执行任何覆盖动作，端口 VLAN 保持不变。
2. 和 “iNode 客户端默认 VLAN、RADIUS 默认 VLAN” 无关
EIA 没有全局 “认证默认下发 VLAN” 参数，不存在系统内置兜底 VLAN；
只有两种场景会变更 VLAN：
1）接入策略手动指定下发 VLAN；
2）EIA 绑定了安全域 / 用户分组的 VLAN 资源池自动分配。
四、特殊场景：配置了 VLAN 资源池（自动分配 VLAN）
如果你的接入服务模板绑定了VLAN 地址资源池（多业务动态分配场景）：
即便接入策略没手动填 VLAN，EIA 仍会从资源池自动分配一个空闲 VLAN 下发；
仅当未绑定 VLAN 资源池 + 策略不填 VLAN，才会使用端口原生 VLAN。
判断是否绑定资源池路径：
iMC EIA → 接入服务模板 → 高级参数 → 查看是否配置「动态 VLAN 资源」
五、下线恢复逻辑
有下发 VLAN：用户下线后，交换机端口自动恢复配置的静态原生 VLAN；
无下发 VLAN：全程端口 VLAN 无变化，上下线对二层转发无改动。
六、补充排错验证命令（交换机侧）
认证上线后查看端口当前 untagged VLAN：
plaintext
display current-configuration interface GigabitEthernet 1/0/1
display dot1x connection // 查看在线用户授权VLAN字段为空
若授权 VLAN 字段为空，代表未下发动态 VLAN，流量走端口基础 VLAN。

EIA（iMC EIA）的接入策略中不指定VLAN时，认证服务器不会主动下发任何“默认VLAN”。认证通过后，用户所属的VLAN完全由接入交换机端口的静态配置决定。

📌 不同端口模式下的VLAN归属

• Access端口：用户将属于端口配置的 port access vlan。

• Hybrid端口：用户将在端口配置的 port hybrid untagged VLAN 中转发流量。

• Trunk端口：该模式极少用于终端接入。若不下发VLAN，端口可能无法正常转发数据，导致业务中断。

💡 关键概念解析

• EIA无默认VLAN：EIA本身没有全局的“认证默认下发VLAN”参数，不存在系统内置的兜底VLAN。但需注意，如果接入服务模板绑定了VLAN资源池，即使策略中未手动指定，系统仍可能从资源池自动分配一个VLAN。

• 动态VLAN vs 静态VLAN：在EIA策略中填写VLAN（如30），属于动态VLAN，会临时覆盖端口的静态配置。不填写，则属于静态VLAN，端口配置保持不变。

🛠️ 验证方法

认证成功后，可在交换机上通过以下命令查看：

若display dot1x connection显示的授权VLAN字段为空，即代表未下发动态VLAN，用户流量将走端口的基础VLAN。