交换机S5560-EI 802.1x认证

S5560‑54C‑EI R1122 版本，802.1X 认证前放行病毒更新服务器，无dot1x free‑ip命令替代方案
需求：终端802.1X 认证之前就可以访问病毒更新服务器；认证完成后访问全部业务网络。
约束：R1122 老版本不支持dot1x ead‑assistant free‑ip（Free‑IP）特性，该特性是后续新版本才支持的 EAD 快速部署能力。
原理：Comware V7 的 802.1X 端口，未认证状态受控端口丢弃所有 IP 流量，仅放行 EAPOL、ARP 报文；没有 free‑ip，交换机本地无法直接在端口上放行指定业务 IP。有 4 套可行方案，按现场实施难度排序。
方案 1：Guest‑VLAN（现场改动最小，优先推荐）
思路：端口未认证时落入 Guest‑VLAN；Guest‑VLAN 三层只放通病毒更新服务器；终端完成 802.1X 认证后切换到正式业务 VLAN 获得全部网络权限。
规划独立 Guest‑VLAN（示例 VLAN 40），所有 802.1X 接入端口配置dot1x guest‑vlan 40
给 Guest‑VLAN 配置三层 Vlan‑if 接口，配置 ACL，仅允许访问病毒更新服务器 IP，其余全部 deny。
shell
vlan 40
#
interface Vlan‑interface40
ip address 10.40.0.1 255.255.255.0
traffic‑filter inbound acl 3040
#
acl number 3040
rule permit ip destination 192.168.10.10 0 #病毒更新服务器IP
rule deny ip
#
interface GigabitEthernet 1/0/1
port link‑type access
port access vlan 100 #业务VLAN
dot1x
dot1x guest‑vlan 40 #认证失败/未认证进入guest‑vlan
dot1x authentication method eap
⚠️注意点：
终端在 Guest‑VLAN 内获取Guest‑VLAN 网段 IP，才能访问病毒更新服务器；更新完成，发起 802.1X 认证成功，端口切换回业务 VLAN，拿到业务网段 IP 访问全部网络。
缺点：终端会发生一次 IP 变更（guest‑vlanIP→业务 VLANIP），需要终端 DHCP 重新获取地址。
终端如果静态 IP，此方案不适用。
方案 2：RADIUS 服务器侧预授权隔离（iMC/EIA 服务器下发隔离 ACL，推荐，无 IP 变更）
适合有 iMC/EIA 准入平台场景，不需要交换机 free‑ip。
流程：
终端接入，发起 802.1X 认证；账号先做预认证，RADIUS 下发隔离 ACL，ACL 只允许访问病毒更新服务器；
终端完成病毒库更新；iNode 做安全检查，安全状态合格之后，RADIUS 下发正式权限 ACL，放开全部网络访问。
关键点：依靠 EAD 安全检查流程，认证流程分两阶段，不需要交换机本地 free‑ip。
优点：终端 IP 地址不变，不切换 VLAN。
缺点：必须部署 iMC/EIA+inode 客户端，纯本地交换机 802.1X 场景无法使用。
方案 3：升级交换机版本（根治，获得原生 free‑ip 能力）
R1122 是非常老的分支，新版本 CMW710‑R66xx/R68xx 支持dot1x ead‑assistant free‑ip命令，原生实现认证前免 IP 访问服务器。
shell
#新版本配置示例
dot1x ead‑assistant enable
dot1x ead‑assistant free‑ip 192.168.10.10 32
风险：升级需要停机维护，升级前备份配置。
方案 4：端口安全 + MAC 认证迂回（不推荐，特殊场景）
不建议，会改变整套 802.1X 认证逻辑，容易带来其他准入问题。
各方案选型对照表
表格
方案 优点 缺点 适用场景
Guest‑VLAN 交换机本地配置，不需要服务器 终端 IP 会变更 DHCP 重获取 无 iMC/EIA，纯交换机本地 802.1X
iMC/EAD 两阶段授权 IP 不变，体验好 依赖 iMC+inode 客户端 已经部署 iMC EAD 准入环境
版本升级 原生 free‑ip 功能，配置简洁 需要版本升级停机维护 允许维护窗口升级固件