• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 是
  • 否
  • 全部
  • 是
  • 否
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索
问

S5310S配置802.1X认证和动态vlan划分

2小时前提问
  • 0关注
  • 0收藏，29浏览
zhiliao_3BnelC
zhiliao_3BnelC 零段
粉丝：0人 关注：1人

问题描述：

现在命令配置好了，终端接入通过准入软件接入，认证不成功，也不划分vlan怎么排查

组网及组网描述：

[H3C]dis cur # version 7.1.070, Release 6328P03 # sysname H3C # irf mac-address persistent timer irf auto-update enable undo irf link-delay irf member 1 priority 1 # dot1x dot1x authentication-method eap # lldp global enable # password-recovery enable # vlan 1 # vlan 18 # vlan 1016 # vlan 1107 # stp global enable # interface NULL0 # interface Vlan-interface1 ip address dhcp-alloc dhcp client identifier ascii bcd0ebc36d48-VLAN0001 # interface Vlan-interface18 ip address 192.168.18.11 255.255.255.0 # interface GigabitEthernet1/0/1 dot1x undo dot1x handshake dot1x mandatory-domain imc-dot1x mac-authentication domain imc-dot1x # interface GigabitEthernet1/0/2 # interface GigabitEthernet1/0/3 # interface GigabitEthernet1/0/4 port access vlan 1016 # interface GigabitEthernet1/0/5 # interface GigabitEthernet1/0/6 # interface GigabitEthernet1/0/7 # interface GigabitEthernet1/0/8 # interface GigabitEthernet1/0/9 # interface GigabitEthernet1/0/10 # interface GigabitEthernet1/0/11 # interface GigabitEthernet1/0/12 # interface GigabitEthernet1/0/13 # interface GigabitEthernet1/0/14 # interface GigabitEthernet1/0/15 # interface GigabitEthernet1/0/16 # interface GigabitEthernet1/0/17 # interface GigabitEthernet1/0/18 # interface GigabitEthernet1/0/19 # interface GigabitEthernet1/0/20 # interface GigabitEthernet1/0/21 # interface GigabitEthernet1/0/22 # interface GigabitEthernet1/0/23 # interface GigabitEthernet1/0/24 # interface GigabitEthernet1/0/25 # interface GigabitEthernet1/0/26 # interface GigabitEthernet1/0/27 # interface GigabitEthernet1/0/28 # interface GigabitEthernet1/0/29 # interface GigabitEthernet1/0/30 # interface GigabitEthernet1/0/31 # interface GigabitEthernet1/0/32 # interface GigabitEthernet1/0/33 # interface GigabitEthernet1/0/34 # interface GigabitEthernet1/0/35 # interface GigabitEthernet1/0/36 # interface GigabitEthernet1/0/37 # interface GigabitEthernet1/0/38 # interface GigabitEthernet1/0/39 # interface GigabitEthernet1/0/40 # interface GigabitEthernet1/0/41 # interface GigabitEthernet1/0/42 # interface GigabitEthernet1/0/43 # interface GigabitEthernet1/0/44 # interface GigabitEthernet1/0/45 # interface GigabitEthernet1/0/46 # interface GigabitEthernet1/0/47 # interface GigabitEthernet1/0/48 port link-type trunk port trunk permit vlan all # interface GigabitEthernet1/0/49 # interface GigabitEthernet1/0/50 # interface GigabitEthernet1/0/51 # interface GigabitEthernet1/0/52 # scheduler logfile size 16 # line class aux user-role network-admin # line class vty user-role network-operator # line aux 0 user-role network-admin # line vty 0 63 user-role network-operator # ip route-static 0.0.0.0 0 192.168.18.254 # radius scheme imc-dot1x primary authentication 10.20.102.14 primary accounting 10.20.102.14 key authentication cipher $c$3$o33on+WlzwILf2+P8vSeHMl4A1bbL1kFYtLc key accounting cipher $c$3$7GFDH/JmawduQSl+JvaYtnSx76qeTw9z9giV # radius scheme system user-name-format without-domain # domain dot1x-domain authentication lan-access radius-scheme imc-dot1x authorization lan-access radius-scheme imc-dot1x accounting lan-access radius-scheme im-dot1x # domain system # domain default enable system # role name level-0 description Predefined level-0 role # role name level-1 description Predefined level-1 role # role name level-2 description Predefined level-2 role # role name level-3 description Predefined level-3 role # role name level-4 description Predefined level-4 role # role name level-5 description Predefined level-5 role # role name level-6 description Predefined level-6 role # role name level-7 description Predefined level-7 role # role name level-8 description Predefined level-8 role # role name level-9 description Predefined level-9 role # role name level-10 description Predefined level-10 role # role name level-11 description Predefined level-11 role # role name level-12 description Predefined level-12 role # role name level-13 description Predefined level-13 role # role name level-14 description Predefined level-14 role # user-group system # return [H3C]

2 个回答
按时间 按赞数
zhiliao_Gixe
zhiliao_Gixe 九段
粉丝：15人 关注：9人

请按照以下步骤排查，注意收集每一步的Debug和Log信息：
一、 基础配置检查
1. 接口配置： 确认物理口下是否已使能802.1X。
display current configuration interface GigabitEthernet1/0/X
关键检查项：port access vlan 1 (初始vlan)，dot1x enable，dot1x port-method macbased (或portbased)。
2. AAA配置：
确认是否配置了RADIUS方案、ISP域，并引用了正确的方案。
确认接口下是否应用了ISP域（dot1x domain xxx）或使用了默认域。
3. 动态VLAN授权：
RADIUS服务器上必须下发标准属性 Tunnel-Type=VLAN，Tunnel-Medium-Type=802，以及 Tunnel-Private-Group-ID=VLAN ID（必须是字符串形式）。
确认设备上已创建了下发的VLAN（例如VLAN 1016, 1107）。
二、 连通性与调试
1. RADIUS连通性：
ping
确认RADIUS Key一致。
2. 开启Debug：
terminal debugging
terminal monitor
debugging dot1x all
debugging radius all
重新插拔终端，观察交互流程。
三、 常见排障命令
display dot1x connection
display radius statistics
display aaa online-fail-record
*注：由于您提供的配置信息不全（缺失接口和AAA部分），请先补充检查接口配置。*

暂无评论

zhiliao_GeOM0O
zhiliao_GeOM0O 九段
粉丝：34人 关注：2人

一、配置里明显错误（优先修复）

  1. ISP 域计费 scheme 名字写错
domain dot1x-domain authentication lan-access radius-scheme imc-dot1x authorization lan-access radius-scheme imc-dot1x accounting lan-access radius-scheme im-dot1x ←这里名字错：im-dot1x，正确应为imc-dot1x

后果：认证、授权走 imc-dot1x，计费引用了不存在的 radius 方案，RADIUS 交互异常，会导致认证失败、授权 VLAN 不下发。

  1. 全局没有开启 dot1x！！ display cur看不到dot1x全局使能命令，V7 交换机全局必须输入 dot1x 开启 802.1X，只在接口下敲 dot1x 不生效。
system-view dot1x
  1. 接入端口 G1/0/1 配置缺陷
interface GigabitEthernet1/0/1 dot1x undo dot1x handshake dot1x mandatory-domain imc-dot1x mac-authentication domain imc-dot1x
  • 缺少dot1x port-method portbased（端口模式，动态 VLAN 推荐 portbased）
  • 端口链路类型：接入终端的口，必须配置 port link-type access；当前没配链路类型，默认是 access，但规范建议显式配置。

注意：上行口 G1/0/48 为 trunk，允许所有 vlan，这部分没问题。

  1. 域名称不匹配 接口强制域写的imc-dot1x，但实际创建的 domain 名字叫dot1x-domain。 dot1x mandatory-domain imc-dot1x 引用了一个不存在的域！ ✅ 二选一修改： 方案 A：接口改成 dot1x mandatory-domain dot1x-domain（推荐） 方案 B：把 domain 名称改为 imc-dot1x

这个是核心故障点：端口强制认证域名称和实际创建的域不一致，认证报文找不到 AAA 域，直接认证失败。

二、完整修正命令

system-view # 全局开启802.1X dot1x # 修改ISP域，修正计费scheme名称 domain dot1x-domain authentication lan-access radius-scheme imc-dot1x authorization lan-access radius-scheme imc-dot1x accounting lan-access radius-scheme imc-dot1x quit # 修正接入端口G1/0/1 interface GigabitEthernet1/0/1 port link-type access dot1x dot1x port-method portbased undo dot1x handshake dot1x mandatory-domain dot1x-domain mac-authentication domain dot1x-domain quit

三、排查顺序（改完配置之后）

1、RADIUS 连通性

display radius scheme imc-dot1x
  • 确认服务器 IP：10.20.102.14，交换机能 ping 通 IMC 服务器；
  • IMC 上添加接入设备，设备 IP、共享密钥和交换机 radius key 必须完全一致，密钥大小写、特殊字符不能错。

2、IMC EIA 服务器侧检查（动态 VLAN 不下发重点）

  1. iNode 账号的接入服务配置里，下发 Tunnel 属性： Tunnel-Type=VLAN (13), Tunnel-Medium-Type=802 (6), Tunnel-Private-Group-ID=VLAN 号
  2. 交换机上必须提前预先创建好需要动态下发的 VLAN（比如 vlan1107，配置里已经创建），交换机不存在的 VLAN，RADIUS 下发无效。
  3. IMC 的接入设备模板：认证协议 EAP，和交换机dot1x authentication-method eap保持匹配。

3、交换机查看认证会话 & 调试命令

display dot1x interface GigabitEthernet 1/0/1 display connection display dot1x connection
  • 有连接、但是无授权 VLAN：IMC 没有下发 Tunnel VLAN 属性；
  • 完全没有 EAP 报文：全局 dot1x 没开 / 域名称错误 /iNode 客户端配置错；

调试抓报文（故障定位）

debugging dot1x packet debugging radius packet terminal monitor terminal debugging

4、其他坑

  1. 上行 Trunk 口 G1/0/48 必须允许所有动态 VLAN 通过，当前port trunk permit vlan all是没问题；
  2. 终端 iNode 客户端：EAP 类型 PEAP，用户名不要携带 @域名，或者和强制域匹配；
  3. 交换机 VLANIF：动态 VLAN 的 VLAN 接口 IP（网关）必须存在，终端认证拿到 VLAN 后才能获取 IP。

四、简短总结

3 个核心问题：①全局未开启 dot1x；②接口 mandatory-domain 域名写错，引用不存在域；③domain 下 accounting 的 radius 方案名称拼写错误。 先修复这三条配置，保存，重新测试 iNode 认证。认证成功后仍然不划分 VLAN，去 IMC EIA 检查用户接入服务是否配置 Tunnel VLAN 授权属性，并且交换机提前建好目标 VLAN。

暂无评论

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问，请使用评论功能。

✖

分享扩散:

➤

提出建议

✖

    +
网站相关
关于我们
服务条款
隐私政策
帮助中心
经验与权限
积分规则
联系我们
联系我们
建议反馈
常用链接
标杆的神器下载
关注我们
H3C官网
新华三服务公众号
安仔远程运维服务
新华三商城
内容许可
除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

Copyright©2026新华三集团保留一切权利 当前呈现版本 NO.1

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1   浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定
✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub
✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等（不友善）

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等（不友善）
骚扰我

泄露了我的隐私

×

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

×

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
  • 3. 是哪家企业？（营业执照，单位登记证明等证件）
  • 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
  • 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票

不规范转载

×

举报说明