MSR2020（v5）做802.1x不成功

支持的

一、你现有脚本的问题

1. 最大缺失：全局 dot1x + 接入接口下 dot1x（最核心！）

你只配了 radius、domain，没有开启 802.1X 功能，V5 必须：

MSR20-20 的 LAN 口是二层交换口 (Ethernet0/x)，不是 GigabitEthernet 三层口！很多人这里踩坑，把三层口配置套到 MSR2020。

2. RADIUS 视图命令差异（V5）

V5 的 radius scheme 里，是server-type extended，不是 service-type extended！ 你写的service-type extended是错误命令，这条敲进去会报错，V5 正确写法：

service-type lan-access 是本地用户视图的命令，不是 radius scheme 视图，你这里写错，V5 会识别失败，RADIUS 交互异常。

3. 认证域 domain 配置（你这里名字是数字 1，V5 支持但不推荐）

注意：domain 里引用 radius 方案名字必须是 jxnx，你原来写的radius-scheme 1是错的！！！这是重大错误！ ✅正确：authentication lan-access radius-scheme jxnx local ❌你原脚本：authentication lan-access radius-scheme 1 local 你把域名 1 当成 radius 方案名，radius 方案名字是 jxnx，名字不匹配，AAA 无法调用 RADIUS，这就是 RADIUS 报文不发出的核心原因之一。

二、完整修正后的 V5 脚本（直接替换）

三、V5 额外关键差异（MSR20-20 vs MSR2600 V7）

1. 接口类型 MSR2020：内网口是Ethernet0/x二层交换板口； MSR2600：是 GE 三层路由口，V7 用interface GigabitEthernet。

如果你在 G0/0（WAN 三层口）配置 dot1x，V5 不生效，802.1X 只能在二层交换 Ethernet 口启用。

2. EAP 认证模式（Ucenter iNode EAD 必配） V5 默认 dot1x 认证方式是pap，Ucenter+iNode EAD 需要 EAP，全局添加：

不加这条，iNode 客户端 EAP 报文会被设备丢弃，反复重连。

3. V5 的端口安全与 dot1x 互斥 MSR2020 V5 port-security 和 dot1x 不能同时全局开启，如果之前配过 port-security，需要undo port-security enable。

四、快速排错命令（确认报文有没有发出）

• 如果display radius statistics里 发送认证包 = 0：说明 AAA 没有触发 RADIUS，就是 domain 引用错误 /dot1x 没开启；
• 如果发包有数字，收包 0：检查 MSR2020 和 Ucenter 之间路由、防火墙 UDP 1812/1813 放行，nas-ip 在 Ucenter 设备列表已添加，密钥一致。

五、抓包定位

在 MSR2020 与 Ucenter 服务器之间抓包：

1. 没有 UDP1812 报文：设备侧配置问题（上面 domain 名称、dot1x 未开启）
2. 有 UDP1812 报文，但服务器不回包：Ucenter 没有添加接入设备（NAS 设备，添加 MSR2020 的 nas-ip + 密钥）

六、其他常见坑

1. nas-ip 必须在 Ucenter 平台【接入设备】里录入，密钥必须和key authentication h3c完全一致（区分大小写）；
2. MSR2020 V5 老版本固件部分存在 EAP 报文兼容性 BUG，版本 R2511 及以上比较稳定；
3. iNode 客户端不要勾选 “上传客户端版本号”，V5 老版本对这个字段兼容差，会认证中断。

最简检查清单

1. ✅全局dot1x开启
2. ✅全局dot1x authentication-method eap
3. ✅二层 Ethernet 接口下dot1x开启
4. ✅domain 里面 radius-scheme 引用名字 jxnx，不是数字 1（你脚本这里错了！）
5. ✅radius scheme 用server-type extended
6. ✅Ucenter 接入设备录入 nas-ip，密钥匹配，放通 UDP1812/1813