交换机端口下多用户802.1X认证

你遇到的情况很典型，根本原因通常不在于端口认证模式，而在于 Guest VLAN（访客VLAN） 或类似的认证绕过机制被错误地启用了。

display mac-address 中 AUTH 状态的MAC地址，正是那些未通过认证、但因配置策略获得了有限网络权限的终端。

🔍 问题原因

你看到的“只有一个是dot1x，剩下的是AUTH”是正常的。基于MAC的认证（macbased）模式下，每个终端都需要独立认证。已认证的显示为 dot1x，未认证的显示为 AUTH。

问题的关键在于，为什么 AUTH 状态的终端能上网？这通常是由以下配置导致的：

• Guest VLAN（访客VLAN）：这是最常见的原因。当端口配置了 dot1x guest-vlan，未认证的终端会被自动划入这个访客VLAN。如果该VLAN被允许访问外网或关键内网资源，就会出现“不用认证也能上网”的现象。

• MAC地址认证绕过（MAC Authentication Bypass, MAB）：配置了 dot1x mac-auth-bypass 或类似命令后，交换机可能允许特定MAC地址的终端免认证接入。

• Free IP（免认证IP）：如果配置了 dot1x free-ip，指定IP网段内的终端可能无需认证即可访问网络。

🛠️ 解决方案

请按以下步骤操作：

1. 确认当前认证模式
   执行命令确认端口工作模式是 macbased：

   bash

   display dot1x interface GigabitEthernet 1/0/X

   查看 Port access method 字段。如果显示为 portbased，请用以下命令修改：

   bash

   system-view interface GigabitEthernet 1/0/X dot1x port-method macbased quit

2. 排查并处理Guest VLAN（最关键）
   检查端口下是否存在Guest VLAN配置：

   bash

   display current-configuration interface GigabitEthernet 1/0/X | include guest-vlan

   • 如果存在：说明这就是“免认证上网”的原因。

   • 处理方式：

     • 方案一（推荐）：直接删除Guest VLAN。

       bash

       system-view interface GigabitEthernet 1/0/X undo dot1x guest-vlan quit

     • 方案二（如业务需要）：如果必须保留Guest VLAN，请严格限制其访问权限，确保它只能访问认证服务器，不能访问外网或其他业务网段。

3. 排查其他认证绕过配置
   检查是否存在MAC地址免认证或Free IP配置：

   bash

   display dot1x mac-user all display current-configuration | include free-ip

   如果存在，根据实际需求决定是否删除。