公司电脑想上网先亮身份：交换机802.1X准入认证配置
整理自华为官方发布的典型配置案例。
网口插上网线就能进内网，等于公司大门对陌生人敞开：访客笔记本、私接小设备、保洁推车上的终端，谁插谁能通。802.1X准入认证把这扇门管起来——终端必须先通过身份认证，交换机才放行这个端口，认证不过，网线插着也只有一个待认证通道可用。
全局与接口两级使能
802.1X要全局使能一次，再在需要的接口上使能。全局使能后直接在系统视图下指定接口：
<HUAWEI> system-view
[HUAWEI] dot1x enable
[HUAWEI] dot1x enable interface gigabitethernet 1/0/1
也可以进入接口视图逐口配置，适合按楼层分批上线的节奏：
<HUAWEI> system-view
[HUAWEI] dot1x enable
[HUAWEI] interface gigabitethernet 1/0/1
[HUAWEI-GigabitEthernet1/0/1] dot1x enable
选接入控制方式
接入控制方式决定"以谁为单位"认证：基于MAC方式是端口下每个终端各自认证，一台不过不影响别人；基于端口方式是端口下第一台终端认证通过即整口放行。办公区人机固定，两种都常见，会议室这类多人接入的位置建议按MAC方式逐台认证：
<HUAWEI> system-view
[HUAWEI] dot1x port-method port interface gigabitethernet 1/0/1
特殊端口单独处置
演示区、访客区有时需要把某个端口强制置为非授权状态，不管插什么都不放行，这类端口可以用强制命令固定住：
<HUAWEI> system-view
[HUAWEI] interface gigabitethernet 1/0/1
[HUAWEI-GigabitEthernet1/0/1] dot1x port-control unauthorized-force
打印机、哑终端这类不支持802.1X的设备，规划时要单独划VLAN配免认证，别让准入把业务设备也拦在外面。
上线节奏建议
- 先旁路后串接：先在测试端口开认证跑两周，员工端的认证客户端配置摸清后再铺开。
- 分楼层推进：一次一个接入层交换机，出问题影响面可控。
- 准备免认证白名单：打印机、考勤机、监控主机提前登记，避免上线当天电话被打爆。
准入认证配上之后，内网入口才算真正有了门禁。企业终端准入方案选型与分批落地，欢迎搜索关注贵州诚鑫致达科技，我们可以到现场按办公环境定制实施。
企业存储选型参考｜贵州诚鑫致达
做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。