服务器认证

这是目前的网络拓扑

不支持radius认证

1. 有线、无线终端统一校验 MAC 白名单；
2. MAC 不在名单：DHCP 拿不到 IP，就算手动配置同网段静态 IP，报文直接丢弃，无法访问网络；
3. 无线由 UR7808 AC 管理 UAP672-E/UAP673；有线在接入交换机（6F/4F 接入 POE 交换机）。

原理：有线 MAC 认证在接入交换机端口开启；无线 MAC 认证在 UR7808 AC 的 WLAN 服务模板开启。认证失败的源 MAC，交换机 / AC 直接丢弃二层报文，不管终端是 DHCP 还是静态 IP，直接阻断，完全满足你的要求。 认证成功才允许该 MAC 转发报文，DHCP 请求才能透传到核心网关获取 IP。

组网关键点：网关在 7306X 核心，接入交换机与核心之间 Trunk 放通 VLAN12，MAC 认证部署在最靠近终端的设备（接入交换机、AC），不能放在核心。

一、整体方案说明

1. 外置 RADIUS 服务器（FreeRADIUS、ClearPass、Windows NPS 都可以）
   • 账号：MAC 地址（不带横杠，小写 aabbccddeeff），密码和用户名完全一样；
   • 白名单：业主提供的 MAC 全部录入 RADIUS 数据库，不在库中的 MAC 直接返回拒绝；
   • RADIUS 端口：认证 1812，计费 1813；配置 H3C 厂商属性，共享密钥和网络设备保持一致。
2. 有线侧：4F/6F 接入 POE 交换机
   • 接入端口开启mac-authentication远程 RADIUS MAC 认证；端口为 access VLAN12。
3. 无线侧：UR7808（AC）
   • WLAN 服务模板启用远程 MAC 认证，不启用 PSK/802.1X；AP UAP672-E/UAP673 由 AC 统一管控。
4. 认证域统一调用 RADIUS 方案。

注意：MAC 认证属于二层准入，认证失败直接丢弃该 MAC 所有帧，静态 IP 也不通；只有认证放行后，二层转发才打开，DHCP 广播才能到核心 VLANIF 网关。

二、接入交换机（V7）有线侧配置模板（每台 4F/6F 接入交换机）

重要：不要配置 guest-vlan/auth-fail vlan，一旦配置失败 vlan，未授权设备会进入失败 VLAN，静态 IP 仍然能通信，不符合你的需求。

三、UR7808 AC 无线侧配置（远程 MAC 认证）

无线终端关联 WiFi 后，AC 抓取客户端 MAC，自动发起 RADIUS 校验；不在白名单直接拒绝接入，终端提示无法连接 WiFi，拿不到 IP，静态 IP 也无法转发流量。

四、外置 RADIUS 服务器配置要点（FreeRADIUS 举例）

1. 添加 NAS 客户端：
   • NAS IP：所有接入交换机 + UR7808 的管理 IP；
   • 密钥：和设备上配置的共享密钥完全一致；厂商选择 H3C。
2. 用户账号录入（白名单 MAC）：
   • Username：aabbccddeeff（小写，无 -）
   • Password：aabbccddeeff（用户名 = 密码）
3. 拒绝规则：数据库不存在该 MAC 账号，RADIUS 直接返回 Access-Reject。

Windows NPS（微软 RADIUS）简要配置

• 新建网络策略，条件：用户名匹配 MAC 格式；
• 账号存储在本地用户 / AD；用户名和密码同为无分隔符 MAC；
• 不匹配账号直接拒绝访问。

五、重点风险 & 注意事项

1. 部署位置：MAC 认证必须在接入交换机和 AC，核心 7306X 不做 MAC 认证。
2. DHCP：VLAN12 的 DHCP 网关在核心 7306X VLANIF12，认证放行后 DHCP 广播报文才能透传。
3. 哑终端（打印机、摄像头）：同样录入 MAC 白名单。
4. 静默定时器：认证失败 MAC 会进入静默，短时间内反复拒绝，属于正常机制。
5. 扩容：新增终端，只需要在 RADIUS 服务器添加一条 MAC 账号，交换机 / AC 无需修改配置，这就是外置 RADIUS 方案的优势。

六、验证命令

接入交换机：

UR7808：

备选方案对比

• 方案 A（当前推荐）：外置 RADIUS 远程 MAC 认证，有线无线统一白名单，新增设备只维护 RADIUS 数据库，适合 MAC 数量多、后期频繁变更。
• 方案 B：设备本地 MAC 认证，每台交换机 / AC 手动添加 mac 本地账号，后期维护麻烦，MAC 量大不推荐。