问

无线需要做MAC认证，需要和远端服务器AD对接，并且客户要求要本地转发

MAC地址认证

11小时前提问

0关注
0收藏，69浏览

zhiliao_PXiTH4

zhiliao_PXiTH4 二段

粉丝：0人关注：1人

问题描述：

无线需要做MAC认证，需要和远端服务器AD对接，并且客户要求要本地转发，这种模式下该怎么配置，或者有没有配置手册，最好是WEB的，感谢

3 个回答

按时间按赞数

已采纳

IT小工

IT小工九段

粉丝：44人关注：2人

本地转发 = 用户业务数据流量 AP 本地直接转发，不走 CAPWAP 隧道回 AC；但是 MAC‑RADIUS 认证报文，默认还是由 AC 作为 RADIUS 客户端去和 AD 的 RADIUS 代理交互H3C。
AD 域本身不原生支持 RADIUS，必须部署 NPS（微软网络策略服务器），把 AD 账号转成 RADIUS 服务，AC 对接 NPS，NPS 再读取 AD 用户数据库，AC 不能直接和 AD 数据库通信。
认证位置：client‑security authentication‑location ac（默认 AC 做认证器，本地转发模式建议保持 AC 认证，不改成 AP 认证；AP 做认证器 WEB 界面配置支持弱，排错麻烦）H3C。
WEB 界面：WX 系列 Web 支持这套配置，但RADIUS 部分、ISP 域部分很多高级参数 Web 没有完整入口，建议 WEB 做基础 WLAN，关键 AAA/RADIUS 命令行补充，官方完整典型配置手册以命令行版本为主，WEB 没有独立完整手册。

组网逻辑

终端 → AP【业务本地转发】→ 接入交换机 AP 通过 CAPWAP 隧道和 AC 通信，MAC 认证报文上送给 AC；AC 作为 RADIUS 客户端，对接 Windows NPS；NPS 查询 AD 域账号完成 MAC 认证鉴权。

⚠MAC 认证规则：AC 把终端 MAC 地址作为用户名 + 密码发给 NPS；NPS 需要在 AD/NPS 里面录入终端 MAC 账号（格式要和 AC 完全一致，小写 / 无分隔符）H3C。

一、前置服务器准备（AD 侧，必须）

AD 服务器上安装角色：网络策略服务器 NPS。
NPS 注册到 AD 域。
NPS 添加接入设备：填入 AC 的管理 IP，配置 RADIUS 共享密钥。
在 NPS/AD 中录入需要放行的终端 MAC 账号；账号格式要和 AC 保持，例：aabbccddeeff（小写、无横杠无冒号）。

注意：MAC 认证使用 PAP 协议，NPS 策略需要允许 PAP 认证。

二、AC 配置（WEB+CLI 补充，本地转发 + MAC‑RADIUS）

WEB 页面基础配置

AP 上线，AP 组开启本地转发 无线配置‑AP组‑对应AP组‑高级设置‑转发模式：本地转发
创建服务模板 SSID，加密可以 open/PSK，安全选择 MAC 地址认证。
在 WEB 的 AAA 里面新建 RADIUS 服务器模板：填写 NPS 服务器 IP，1812 认证、1813 计费，共享密钥。
新建 ISP 域，认证模式选择 RADIUS，绑定上面 RADIUS 模板。

❗WEB 的 ISP 域无法配置全部参数，必须登录 CLI 补全。

命令行完整补充配置（核心，WEB 缺失部分）

system‑view
#1、MAC认证用户名格式：小写，不带分隔符，必须和NPS AD账号完全一致
mac‑authentication user‑name‑format mac‑address without‑hyphen lowercase
mac‑authentication authentication‑method pap

#2、RADIUS模板对接NPS
radius‑server template radius‑ad
 radius‑server authentication 192.168.1.100 1812
 radius‑server accounting 192.168.1.100 1813
 radius‑server shared‑key cipher 你的共享密钥
#指定AC的源IP（AC和NPS互通的IP）
 radius‑server source‑ip‑address 172.16.1.10
quit

#3、AAA方案
aaa
 authentication‑scheme auth‑ad
  authentication‑mode radius
 quit
 authorization‑scheme authz‑ad
  authorization‑mode radius
 quit
 accounting‑scheme acc‑ad
  accounting‑mode radius
 quit

#4、ISP域绑定方案
domain ad‑mac
 authentication login auth‑ad
 authorization login authz‑ad
 accounting login acc‑ad
quit

#5、WLAN服务模板配置
wlan service‑template mac‑ssid
 ssid MAC‑TEST
 #开启MAC认证
 client‑security authentication‑mode mac
 #指定MAC认证使用的ISP域
 mac‑authentication domain ad‑mac
 #认证位置保持AC（本地转发强烈建议ac，不要ap）
 client‑security authentication‑location ac
 #开启服务模板
 service‑template enable
quit

#6、AP组应用服务模板 + 开启本地转发
wlan ap‑group default‑group
 service‑template mac‑ssid vlan‑id 20
 #开启本地转发
 local‑forward enable
quit
save

三、关键注意点（坑点）

本地转发不改变认证点：业务流量 AP 本地出去，但 MAC 认证报文走 CAPWAP 到 AC，AC 必须和 NPS（AD 的 RADIUS）三层互通，放通 UDP1812、1813。
MAC 地址格式必须严格对齐：AC 配置without‑hyphen lowercase，NPS/AD 账号必须是同样小写无分隔 MAC，大小写、分隔符不一致直接认证失败H3C。
NPS 必须允许 PAP；MAC 地址认证默认 PAP，不支持 CHAP 对接 AD‑NPS。
终端关闭随机 MAC 地址，否则 MAC 账号失效，认证失败。
不要修改client‑security authentication‑location ap；如果认证位置改为 AP，就变成 AP 直接发起 RADIUS，所有 AP 都要和 NPS 放通 RADIUS，WEB 配置不完善，排错复杂。
动态 VLAN：如果需要 NPS 下发 VLAN，NPS 要配置 RADIUS 属性Tunnel‑Private‑Group‑Id，AC 侧 ISP 域要允许 RADIUS 授权下发 VLAN。

四、调试排查命令

#查看无线在线客户端
display wlan client
#查看MAC认证统计
display mac‑authentication statistics
#查看RADIUS交互统计
display radius‑server statistics template radius‑ad
#开启debug复现故障
debugging radius all
debugging mac‑authentication all

五、关于配置手册

H3C 官网只有命令行完整典型配置举例文档，没有专门 WEB 界面完整手册；操作建议：WEB 做 WLAN、AP 组、基础 RADIUS，上面 AAA、domain、mac‑authentication 相关命令行补齐。

文档检索关键词：《08‑本地转发模式典型配置举例》《10‑MAC 地址认证配置》，在 H3C 官网支持文档中心可以搜到。

两种备选方案说明

如果客户本意是AD 域账号密码登录（用户名密码），不是 MAC 账号：不能用 MAC 认证，要用 802.1X，同样对接 NPS+AD，也支持本地转发。
如果一定要 AP 作为认证器：client‑security authentication‑location ap，需要每台 AP 都可达 NPS，放通 UDP1812‑1813，维护成本高，不推荐。