打印机没装认证客户端：AC无线MAC认证拿地址当账号
整理自华为官方发布的典型配置案例。
公司的无线网络打印机、网络电话这类哑终端，装不了任何认证客户端，偏偏又要上无线网——用PC那套Portal或802.1X都套不上。华为AC的MAC认证就是为它们准备的：设备在开了MAC认证的接口上首次检测到终端，就拿终端MAC地址当用户名和密码，送到RADIUS服务器认证，全程不需要人输入任何东西。终端连上来就是授权，管理员在RADIUS侧把MAC地址登记好，接入控制就闭环了。这种认证方式对员工电脑同样可用，只是企业更常把它留给哑终端——员工终端走802.1X有域账号可用，哑终端没有客户端，MAC认证是它们唯一的正门。
场景与格式约定
官方场景：企业AC直连AP提供无线网络，无线打印机、无线电话等哑终端无法安装认证客户端，采用MAC认证——终端MAC地址作为用户信息到RADIUS服务器认证，接入时不需要任何手工操作。
MAC认证用户的用户名和密码格式按默认口径：不带分隔符"-“的MAC地址。也就是说RADIUS服务器里登记的账号就是形如00e0fc111111的字符串，服务器侧开账号时务必按这个格式来，格式对不上是这类项目现场最高频的翻车点。另一处要留心的是安全策略与安全模板的关系：VAP下security open并不等于不设防，链路层放开是为了让终端先连进来，真正拦人的是认证模板这一关。
认证侧三件套
案例的配置思路是：WLAN基本业务先通、AP上线，再配RADIUS认证参数、MAC接入模板、认证模板，最后在VAP模板下绑定，对STA做接入控制。
第一步，RADIUS服务器模板与认证方案。服务器地址、认证端口号、共享密钥三要素必须与RADIUS服务器两侧一致，任何一个不对认证都会挂：
[AC] radius-server template radius_huawei
[AC-radius-radius_huawei] radius-server authentication 10.23.200.1 1812
[AC-radius-radius_huawei] radius-server shared-key cipher YsHsjx_202206
[AC-radius-radius_huawei] quit
[AC] aaa
[AC-aaa] authentication-scheme radius_huawei
[AC-aaa-authen-radius_huawei] authentication-mode radius
[AC-aaa-authen-radius_huawei] quit
第二步，AAA域把服务器模板和认证方案挂起来：
[AC-aaa] domain huawei.com
[AC-aaa-domain-huawei.com] radius-server radius_huawei
[AC-aaa-domain-huawei.com] authentication-scheme radius_huawei
[AC-aaa-domain-huawei.com] quit
[AC-aaa] quit
第三步，MAC接入模板与认证模板。MAC接入模板m1创建后默认参数即可用——用户名和密码默认均为不带分隔符的MAC地址；认证模板p1引用m1并强制走MAC认证进指定域：
[AC] mac-access-profile name m1
[AC-mac-access-profile-m1] quit
[AC] authentication-profile name p1
[AC-authen-profile-p1] mac-access-profile m1
[AC-authen-profile-p1] access-domain huawei.com mac-authen force
[AC-authen-profile-p1] quit
VAP模板绑定接入控制
无线业务侧用open安全策略——链路加密交由认证后的动态密钥协商，真正的控制点在MAC认证这一层，VAP模板同时引用安全模板、SSID模板和认证模板：
[AC] wlan
[AC-wlan-view] security-profile name wlan-security
[AC-wlan-sec-prof-wlan-security] security open
[AC-wlan-sec-prof-wlan-security] quit
[AC-wlan-view] ssid-profile name wlan-ssid
[AC-wlan-ssid-prof-wlan-ssid] ssid wlan-net
[AC-wlan-ssid-prof-wlan-ssid] quit
[AC-wlan-view] vap-profile name wlan-vap
[AC-wlan-vap-prof-wlan-vap] forward-mode tunnel
[AC-wlan-vap-prof-wlan-vap] service-vlan vlan-id 101
[AC-wlan-vap-prof-wlan-vap] security-profile wlan-security
[AC-wlan-vap-prof-wlan-vap] ssid-profile wlan-ssid
[AC-wlan-vap-prof-wlan-vap] authentication-profile p1
[AC-wlan-vap-prof-wlan-vap] quit
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] vap-profile wlan-vap wlan 1 radio 0
[AC-wlan-ap-group-ap-group1] vap-profile wlan-vap wlan 1 radio 1
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan-view] commit all
Warning: Committing configuration may cause service interruption, continue?[Y/N]:y
验证与排错视角
终端接入后，在AC上display station ssid wlan-net应能看到哑终端以认证通过状态上线；认证失败时先按三处查：RADIUS侧有没有按"无分隔符MAC"格式开账号、共享密钥两侧是否一致、认证模板p1的域是否指向配好的RADIUS模板。把哑终端MAC登记纳入设备台账流程，新打印机到货先登记后上电，接入即通。
哑终端管进网，贵州诚鑫致达科技可以把认证与台账流程一并搭好，欢迎搜索关注交流。
企业存储选型参考｜贵州诚鑫致达
做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。
