打印机摄像头过不了802.1X：交换机MAC认证把哑终端放进来

网络准入做严了，新麻烦也跟着来：802.1X认证要求终端装认证客户端，公司电脑装起来没难度，可打印机、网络摄像头、门禁机、扫描仪这类哑终端压根没有装客户端的地方，接上口子就卡在认证外面上不了网。把准入关放松点让它们免认证直通？安全底线又破了口子。华为官方文档给这类设备留了一条正规通道——MAC认证：设备不用装任何客户端，交换机把终端的MAC地址当作身份交给认证服务器校验，验得过就放行。哑终端按身份进门，认证体系不破功。

前提：认证服务器与网络底座

官方案例的结构是交换机对接RADIUS服务器做集中校验。先打底座：业务VLAN与网关地址照常规划：

<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 10 20

[Switch] interface gigabitethernet1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access
[Switch-GigabitEthernet1/0/1] port default vlan 10 
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 192.168.1.10 24
[Switch-Vlanif10] quit

然后指路认证服务器——RADIUS模板写明服务器地址与共享密钥：

[Switch] radius-server template rd1
[Switch-radius-rd1] radius-server authentication 192.168.2.30 1812
[Switch-radius-rd1] radius-server shared-key cipher YsHsjx_202206
[Switch-radius-rd1] quit

认证方案与认证域串起来

AAA视图下建认证方案并指向radius，再落到认证域里生效：

[Switch] aaa
[Switch-aaa] authentication-scheme abc
[Switch-aaa-authen-abc] authentication-mode radius
[Switch-aaa-authen-abc] quit

[Switch-aaa] domain huawei.com
[Switch-aaa-domain-huawei.com] authentication-scheme abc
[Switch-aaa-domain-huawei.com] radius-server rd1
[Switch-aaa-domain-huawei.com] quit
[Switch-aaa] quit

官方提示NAC配置要先把设备切到统一模式（切换后需保存配置并重启生效）：

[Switch] authentication unified-mode

两个模板把MAC认证挂上接口

MAC接入模板用缺省配置就能用，建好即可：

[Switch] mac-access-profile name m1
[Switch-mac-access-profile-m1] quit

认证模板把MAC接入模板绑进来，指定强制认证域，并放开多用户上限：

[Switch] authentication-profile name p1
[Switch-authen-profile-p1] mac-access-profile m1
[Switch-authen-profile-p1] access-domain huawei.com force
[Switch-authen-profile-p1] authentication mode multi-authen max-user 100
[Switch-authen-profile-p1] quit

最后一步，在哑终端所在的接入口挂上认证模板，口子就具备了MAC认证能力：

[Switch] interface gigabitethernet1/0/1
[Switch-GigabitEthernet1/0/1] authentication-profile p1
[Switch-GigabitEthernet1/0/1] quit

上线前先验服务器连通

配置下发前，官方给了test-aaa命令直接测RADIUS是否可达、账号能否通过：

[Switch] test-aaa test YsHsjx_202206 radius-template rd1
Info: Account test succeeded.

回显succeeded说明服务器链路和账号体系都通，哑终端再插线就能按MAC过认证。要在服务器侧把账对齐：哑终端的MAC要在RADIUS上登记成合法账号才能验过，没登记的设备默认验不过——这正是这套机制的价值，外来设备插上去也进不了网；新进的打印机、摄像头入库时同步登记MAC，采购与网络两本账一起走，准入体系才不留暗中放行的口子。

准入要分层而不是一刀切

这套方案的价值在于把"能不能装客户端"从准入条件里拿掉了：人用的电脑走802.1X，哑终端走MAC认证，访客走Portal，各走各的门。官方认证模板还支持把多种方式绑在一起做混合认证，认证顺序为MAC认证、802.1X认证和Portal认证——打印机先按MAC验身份，电脑走802.1X，同一个口对不同终端各归各路。要配套的是管理动作——哑终端的MAC同样要登记进台账，服务器上按MAC授权；MAC可仿冒，所以重要哑终端尽量绑定接入位置，别把它当强认证用。分层放行加台账管理，安全与省心才兼得。

准入做扎实，数据同样要扎实。贵州诚鑫致达科技为企业做网络准入与数据备份的一体化规划，欢迎搜索关注交流。

企业存储选型参考｜贵州诚鑫致达

做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。