interface GigabitEthernet1/0/1
port link-mode bridge # 接口工作在二层桥模式
port link-type hybrid # 链路类型hybrid，支持同一端口多个untagged vlan，适配802.1X动态VLAN下发
undo port hybrid vlan 1 # 取消默认VLAN1的允许通过，防止未授权VLAN1流量
port hybrid vlan 110 118 untagged # 110、118报文从本口发出不带标签（PC网卡不识别带tag帧）
port hybrid pvid vlan 110 # 端口PVID=110，收到untag帧默认打VLAN110标签
mac-vlan enable # 开启MAC-VLAN，配合802.1X，基于MAC做VLAN映射（macbased模式，一端口多用户独立认证）
stp edged-port # STP边缘端口，直连终端，不跑BPDU，端口up直接转发，加快收敛，防环路
dot1x # 接口开启802.1X认证
undo dot1x handshake # 关闭802.1X在线握手（不周期性探测终端在线，部分老旧终端兼容性优化）
dot1x mandatory-domain feilian_ad # 强制认证域 feilian_ad，本端口所有802.1X用户**强制使用该域认证**，账号里携带的域无效
undo dot1x multicast-trigger # 关闭组播触发802.1X，不主动发组播EAPOL请求
dot1x unicast-trigger # 单播触发：交换机收到终端EAPOL报文才启动认证（推荐，减少广播）
dot1x guest-vlan 118 # Guest VLAN：**未发起认证的终端**放入118（可访问引导/修复页面）
dot1x auth-fail vlan 118 # Auth-Fail VLAN：**RADIUS明确拒绝认证（账号密码错）**，放入118
dot1x critical vlan 118 # Critical VLAN：**RADIUS服务器全部不可达**，端口进入critical状态，终端进入118（断认证服务器时仍能访问修复区）
dot1x auth-fail eapol # 认证失败时，向客户端回复EAP失败报文
dhcp snooping binding record # 端口开启DHCP Snooping绑定表记录，侦听DHCP报文生成IP-MAC-端口-VLAN绑定条目，供DAI/IPSG使用

H3C 交换机 802.1X 对接飞连‑接口配置解读

❓你的理解不完全准确，不是 “认证过就拿 VLAN110，不认证就拿 VLAN118”，三个 VLAN（guest‑vlan /auth‑fail‑vlan /critical‑vlan）触发条件完全不一样H3C。

接口关键配置拆解：

三种进入 VLAN118 的条件（都属于 “不能正常完成认证”，但原因不同）

1. guest‑vlan 118：设备收不到任何 EAPOL 报文，终端根本不发起 802.1X（比如没装飞连客户端），放到 118，用于下载飞连客户端。
2. auth‑fail‑vlan 118：终端发起认证，但是账号密码错误、身份校验被飞连 RADIUS 拒绝，放到 118。
3. critical‑vlan 118：交换机和飞连 RADIUS 服务器网络断了，RADIUS 服务器完全不可访问，放到 118。

✅认证成功之后 VLAN 逻辑

1. 端口 PVID 默认是110，但认证成功并不自动使用 PVID‑110！
2. 开启了mac‑vlan enable，VLAN 由飞连 RADIUS 服务器授权下发。飞连服务器配置哪个 VLAN，终端就进入哪个 VLAN（可以是 110，也可以是别的业务 VLAN）。

⚠️只有 RADIUS没有下发 VLAN的极端情况下，终端才会使用端口原始 PVID（110）。

纠正你原来理解

❌错误理解：认证成功就 VLAN110，不认证就 VLAN118 ✅真实逻辑：

• 没客户端 / 密码错 / 飞连服务器挂掉 →终端进入 VLAN118；
• 802.1X 认证成功：VLAN 由飞连 RADIUS 下发，不一定是 110；RADIUS 不下发才会落到端口 PVID 110。

飞连场景关键点

1. dot1x mandatory‑domain feilian_ad：强制所有此端口 802.1X 报文走feilian_ad域，域内配置飞连 RADIUS 服务器，客户端用户名后面带不带 @域名都不会走其他域H3C。
2. undo dot1x multicast‑trigger + dot1x unicast‑trigger：不周期性组播 EAP 报文；终端发流量上来交换机才单播触发认证，减少广播，适配飞连客户端。
3. dot1x auth‑fail eapol：解决 Windows 收到 EAP‑Failure 后不再响应重认证报文的兼容性问题，飞连环境建议保留H3C。

验证排查命令

补充建议：飞连服务器上务必配置好返回的 RADIUS 授权 VLAN 属性（Tunnel‑Private‑Group‑Id），否则认证成功终端会落到端口 PVID（110）。